Guide de conformité AMLR : règlement UE 2024/1624

Le règlement européen contre le blanchiment de capitaux (AMLR), règlement (UE) 2024/1624, réunit les règles de vigilance à l’égard de la clientèle (CDD) dans un texte unique et directement applicable. Il s’impose aux établissements de crédit et aux établissements financiers, y compris les prestataires de services sur crypto-actifs (CASP), aux prestataires de services de jeux d’argent et aux autres entités assujetties énumérées à l’article 3. Il est entré en vigueur le 9 juillet 2024 et s’appliquera à partir du 10 juillet 2027. D’ici là, les lois nationales transposant la directive actuelle continuent de s’appliquer. Cette page s’adresse aux développeurs et aux ingénieurs en conformité qui doivent l’implémenter. Chaque section énonce les exigences du règlement, cite l’article correspondant et présente l’étape de workflow Didit, l’endpoint API ou le webhook que vous pouvez utiliser pour cette partie. Pour une vue d’ensemble orientée métier, consultez la page de solution AMLR. Dernière révision : 2 octobre 2026.

Didit fournit les contrôles et les éléments de preuve. Vous restez l’entité assujettie. Vous déterminez le profil de risque du client, vous décidez de l’onboarding et vous conservez l’entière responsabilité de toute tâche externalisée (article 18). L’utilisation de Didit ne rend pas à elle seule votre entreprise conforme à l’AMLR. Cette page ne constitue pas un conseil juridique : confirmez la manière dont chaque règle s’applique à votre activité auprès de vos conseillers juridiques et de votre autorité de contrôle.

Ce qu’exige l’AMLR en un coup d’œil

Obligation	Article	Où cela se trouve dans Didit
Savoir quand s’applique le devoir de vigilance	Art. 19	Votre propre logique de routage, puis une session par déclencheur. Voir Quand le devoir de vigilance s’applique
Identifier le client et vérifier son identité	Art. 20(1)(a), art. 22	Vérification d’identité avec portefeuilles d’identité numérique ou capture de document. Voir Identifier et vérifier les personnes physiques
Identifier les bénéficiaires effectifs et comprendre la structure de propriété	Art. 20(1)(b), art. 51 à 53	Workflow de Vérification d’entreprise. Voir Vérifier les entreprises et les bénéficiaires effectifs
Vérifier les sanctions et les personnes politiquement exposées	Art. 20(1)(d) et (g), art. 42	Filtrage AML. Voir Filtrer les sanctions et les PEP
Surveiller la relation d’affaires et actualiser les données client	Art. 26	Surveillance AML continue et expiration des documents. Voir Surveiller en continu et actualiser
Comprendre l’objet de la relation et, le cas échéant, l’origine des fonds	Art. 25	Questionnaires. Voir Objet et origine des fonds
Surveiller les transactions et déclarer les soupçons	Art. 26(1), art. 69	Surveillance des transactions et gestion des dossiers. Voir Surveiller les transactions et déclarer
Conserver les dossiers pendant 5 ans, puis supprimer les données personnelles	Art. 77	Paramètre de conservation, exports et suppression à la demande. Voir Conserver les dossiers, puis supprimer
Prévoir une intervention humaine dans les décisions automatisées	Art. 76(5)	Examen manuel et mises à jour de statut. Voir Examen humain des décisions automatisées
Encadrer ce que vous externalisez	Art. 18	Votre registre d’externalisation. Voir Externalisation

Flux de bout en bout

Votre backend crée une session, l’utilisateur complète le workflow, Didit vous envoie une notification et vous récupérez la décision complète. La décision d’onboarding reste entre les mains de votre équipe. La surveillance se poursuit après l’onboarding.

Quand le devoir de vigilance s’applique

L’article 19 précise quand vous devez appliquer les mesures de vigilance à l’égard de la clientèle : lors de l’établissement d’une relation d’affaires ; pour une transaction occasionnelle d’au moins 10 000 EUR, en une seule opération ou via des transactions liées ; lorsqu’il existe un soupçon de blanchiment de capitaux ou de financement du terrorisme, quel que soit le montant ; et lorsque vous doutez de l’exactitude des données d’identification déjà en votre possession. Des seuils de déclenchement plus bas s’appliquent dans certains secteurs : 1 000 EUR pour les transferts de fonds occasionnels et pour les CASP, 3 000 EUR pour les transactions occasionnelles en espèces (au minimum l’identification et la vérification), et 2 000 EUR dans le secteur des jeux d’argent. Un CASP doit au minimum identifier et vérifier le client pour toute transaction occasionnelle inférieure à 1 000 EUR. Didit ne décide pas si un déclencheur s’applique. Vous effectuez le routage selon le type de transaction et le montant dans votre propre code, puis vous démarrez le workflow correspondant.

Exigence	Fonctionnalité Didit	Endpoint ou paramètre
Démarrer le devoir de vigilance pour une nouvelle relation d’affaires (art. 19(1)(a))	Session de vérification sur votre workflow d’onboarding	`POST /v3/session/`
Démarrer le devoir de vigilance lorsqu’une transaction occasionnelle franchit votre seuil (art. 19(1)(b), 19(2) à 19(5))	Session de vérification sur le workflow que vous choisissez pour ce déclencheur	`POST /v3/session/` avec le `workflow_id` correspondant
Détecter des transactions liées qui franchissent ensemble un seuil	Règles de vélocité dans le module de Surveillance des transactions	`POST /v3/transactions/`, règles
Demander une vérification au client avant le dénouement d’une transaction signalée	Une action de règle fait passer la transaction à `AWAITING_USER` et une session de vérification associée est créée	Statuts de transaction

Une ébauche de logique de routage minimale pour votre backend. Elle ne couvre pas tous les déclencheurs de l’article 19 (par exemple, la participation à la création d’une entité juridique), et les règles sectorielles qui vous sont applicables peuvent différer :

# Illustrative only. The figures are the Article 19 thresholds in EUR.
def due_diligence_for(event) -> str:
    """Return "full_cdd", "identify_and_verify" or "none"."""
    if event.new_business_relationship or event.suspicion or event.doubts_about_identity_data:
        return "full_cdd"

    amount = event.linked_total_eur  # one operation, or linked transactions added together

    if event.sector == "casp":
        return "full_cdd" if amount >= 1_000 else "identify_and_verify"
    if event.is_transfer_of_funds and amount >= 1_000:
        return "full_cdd"
    if event.sector == "gambling" and amount >= 2_000:
        return "full_cdd"
    if amount >= 10_000:
        return "full_cdd"
    if event.is_cash and amount >= 3_000:
        return "identify_and_verify"
    return "none"


WORKFLOWS = {
    "full_cdd": "YOUR_FULL_CDD_WORKFLOW_ID",
    "identify_and_verify": "YOUR_ID_ONLY_WORKFLOW_ID",
}

Identifier et vérifier les personnes

L’article 22(1) énumère les données que vous devez détenir sur une personne physique : tous les noms et prénoms, le lieu et la date complète de naissance, les nationalités, le numéro national d’identification le cas échéant, le lieu de résidence habituel et, lorsqu’il est disponible, le numéro d’identification fiscale. L’article 22(6) mentionne ensuite deux moyens de vérifier l’identité : un document d’identité, un passeport ou un équivalent, ou une identification électronique (eID) répondant aux niveaux de garantie eIDAS « substantiel » ou « élevé », conjointement avec les services de confiance qualifiés pertinents.

Données associées à la décision

La décision renvoyée par GET /v3/session/{sessionId}/decision/ comporte une entrée par contrôle d’identité dans id_verifications[].

Donnée de l’article 22(1)(a)	Champ dans `id_verifications[]`	Remarques
Tous les noms et prénoms	`first_name`, `last_name`, `full_name`	Tels qu’ils apparaissent sur le document ou tels que le portefeuille les renvoie
Lieu et date complète de naissance	`place_of_birth`, `date_of_birth`	Le lieu de naissance est présent lorsque le document le comporte
Nationalités	`nationality`	Enregistrez les nationalités supplémentaires déclarées par le client dans votre propre système
Numéro national d’identification, le cas échéant	`personal_number`	Le contenu de ce champ dépend du document. Consultez le rapport de Vérification d’identité
Lieu de résidence habituel	`address`, `formatted_address`, `parsed_address`	Les passeports comportent rarement une adresse. Ajoutez un Justificatif de domicile ou une validation en base de données lorsque le document n’en contient pas
Numéro d’identification fiscale, lorsqu’il est disponible	`extra_fields.tax_number`	Uniquement lorsque le document le comporte. Sinon, recueillez-le à l’aide d’un questionnaire

Les deux voies

Exigence	Fonctionnalité Didit	Endpoint ou paramètre
Vérifier avec une identification électronique (art. 22(6)(b))	Portefeuilles d’identité numérique. Disponibles en production : MitID (Danemark), BankID Sweden, Finnish Trust Network (Finlande), Smart-ID (Estonie, Lettonie, Lituanie, Belgique) et Mobile-ID (Estonie, Lituanie). European Digital Identity (EUDI) Wallet : Prochainement	Configurez les méthodes par pays dans l’étape de Vérification d’identité. Le résultat indique `verification_method` et `wallet_provider`
Vérifier avec un document d’identité (art. 22(6)(a))	Capture de document avec contrôles d’authenticité, et lecture de puce NFC pour les passeports électroniques et les pièces d’identité électroniques. Pour une utilisation à distance, lisez les projets de normes ci-dessous	Étapes Vérification d’identité et NFC dans le workflow
S’assurer que la personne présentant le document en est le titulaire	Détection du vivant et Correspondance faciale avec le portrait du document	Étapes Détection du vivant et Correspondance faciale. Résultats dans `liveness_checks[]` et `face_matches[]`
Conserver des preuves consultables ultérieurement	Enregistrement de session avec images, données extraites et horodatages	`GET /v3/session/{sessionId}/generate-pdf/`, exportations

Le niveau de garantie indiqué par chaque portefeuille est répertorié sur la page Portefeuilles d’identité numérique. Il vous appartient d’évaluer si un système donné satisfait à l’article 22(6)(b) pour votre cas d’usage. Didit constitue l’intégration permettant à votre client d’utiliser le portefeuille ; ce n’est pas en soi un prestataire de services de confiance qualifié ni un système d’eID.

Ce que disent les projets de normes techniques sur la vérification à distance

Les normes techniques de réglementation (RTS) sur la vigilance à l’égard de la clientèle en vertu de l’article 28(1) sont élaborées par l’Autorité de lutte contre le blanchiment de capitaux (AMLA). Le rapport final de l’AMLA est daté du 30 septembre 2026 et a été annoncé le 1er octobre 2026. Il s’agit d’un projet final soumis à la Commission européenne. Il n’est pas adopté et n’a pas force de loi. La Commission peut encore le modifier, et le projet prévoit une application six mois après son entrée en vigueur. Ce projet considère les deux moyens prévus à l’article 22(6) comme la règle par défaut. La vérification à distance à l’aide d’un document constitue une solution alternative lorsque l’on ne peut raisonnablement attendre de la personne qu’elle présente le document en personne et qu’elle n’a pas accès à un eID éligible (projet d’article 7(1)). Si vous recourez à cette alternative, le projet exige que vous soyez en mesure d’en justifier l’utilisation et de démontrer à votre autorité de contrôle que la solution dispose de garanties (projet d’articles 7(2) et 7(3)). Le projet est technologiquement neutre : il ne mentionne aucune technique particulière. Correspondance entre les garanties du projet et ce qu’enregistre une session Didit :

Garantie prévue par le projet (article 7(2))	Ce que vous pouvez utiliser dans Didit
Contrôles attestant que la personne présentant le document en est bien le titulaire	Résultats de Détection du vivant et de Correspondance faciale sur la session
Images, vidéo et données d’une qualité suffisante pour identifier la personne	Contrôles de qualité de la capture pendant le parcours, avec avertissements sur le rapport
Interruption en cas de doute sur l’identité ou l’intégrité du processus	Avertissements et statut de session `"Declined"` ou `"In Review"`
Copies conservées, horodatées et disponibles pour vérification ultérieure	Enregistrement de session, rapport PDF et votre paramètre de conservation

Il vous appartient d’enregistrer la raison pour laquelle un client a suivi la voie du document plutôt que celle de l’eID. Enregistrez-la dans votre propre système ou associez-la à la session avec metadata lors de sa création.

Vérifier les entreprises et les bénéficiaires effectifs

Pour une entité juridique, l’article 22(1)(b) exige la forme juridique et le nom, l’adresse du siège social, les représentants légaux et, le cas échéant, le numéro d’immatriculation, l’identifiant fiscal et l’identifiant d’entité juridique (LEI). Vous devez également identifier les bénéficiaires effectifs et prendre des mesures raisonnables pour les vérifier, de manière à comprendre la structure de propriété et de contrôle (article 20(1)(b)). Un bénéficiaire effectif est une personne physique qui possède directement ou indirectement « 25 % ou plus » des parts, des droits de vote ou d’autres participations au capital (article 52(1)), ou qui contrôle l’entité par le biais de la propriété ou par d’autres moyens (articles 51 et 53). Le contrôle est évalué en parallèle de la propriété.

Exigence	Fonctionnalité Didit	Endpoint ou paramètre
Identifier l’entité juridique et la vérifier auprès d’un registre	Vérification d’entreprise (know your business, KYB) avec une recherche au registre des sociétés au niveau Lite, Shareholders ou UBOs. La disponibilité des niveaux varie selon le pays	`POST /v3/session/` avec un `workflow_id` de type KYB. Voir les pays pris en charge
Identifier les bénéficiaires effectifs finaux (UBO) à 25 % ou plus	Actionnariat issu du registre lorsque disponible, confirmé et complété par le représentant de l’entreprise	Seuil d’UBO dans Workflows, sur le workflow KYB. Résultats dans `key_people_checks[]`
Vérifier l’identité des propriétaires, dirigeants et représentants	Contrôles d’identité liés : chaque personne clé reçoit une session de vérification enfant sur le workflow que vous choisissez pour chaque rôle	Paramètres par rôle sous Personnes clés dans le workflow KYB
Comparer ce que contient le registre avec ce que le client déclare (art. 22(7), art. 24)	Parties issues du registre et parties soumises affichées côte à côte	`key_people_checks[].registry` et `key_people_checks[].submitted` dans la décision
Filtrer l’entreprise, ses propriétaires et ses contrôleurs	Filtrage AML de l’entreprise et des personnes	Étape AML dans le workflow KYB

Quatre points à prendre en compte lors de la conception :

Le seuil vous appartient. Le chiffre du règlement AMLR est « 25 % ou plus », et non « plus de 25 % ». Le seuil d’UBO sur le workflow est configurable, configurez-le donc pour qu’il corresponde à cette valeur et réexaminez-le si votre politique est plus stricte.
Un registre ne suffit pas à lui seul. L’article 22(7) vous oblige à consulter les registres centraux en plus de vérifier les bénéficiaires effectifs. Le signalement d’une divergence au registre dans un délai de 14 jours calendaires (article 24) relève de votre responsabilité.
Un résultat vide du registre n’est pas la preuve qu’une entreprise n’a pas de propriétaires. Un registre peut ne détenir aucun enregistrement d’actionnariat pour une entreprise ou un pays donné. Si vous n’identifiez aucun bénéficiaire effectif, l’article 22(2) vous demande d’enregistrer ce fait et d’identifier et de vérifier les cadres dirigeants à la place.
La surveillance du registre arrive prochainement. La surveillance continue des modifications du registre n’est pas encore disponible. En attendant, relancez la vérification d’entreprise selon votre calendrier d’actualisation.

Effectuer un filtrage des sanctions et des PEP

Vous devez vérifier si le client ou ses bénéficiaires effectifs font l’objet de sanctions financières ciblées, et si des personnes sanctionnées contrôlent un client qui est une entité juridique ou détiennent plus de 50 % de cette entité (article 20(1)(d)). Dans l’AMLR, les sanctions financières ciblées désignent les sanctions de l’UE. Vous devez également déterminer si le client ou un bénéficiaire effectif est une personne politiquement exposée (PEP), un membre de sa famille ou une personne qui lui est étroitement associée (article 20(1)(g)). Pour les PEP, l’article 42 ajoute l’approbation de la haute direction, des mesures pour établir l’origine du patrimoine et l’origine des fonds, ainsi qu’une surveillance continue renforcée.

Exigence	Fonctionnalité Didit	Endpoint ou paramètre
Filtrer lors de l’onboarding	Étape de Filtrage AML dans le workflow, par rapport aux sanctions, aux PEP et aux listes de surveillance	Étape AML et ses seuils dans le workflow. Résultats dans `aml_screenings[]`
Filtrer sans parcours hébergé	Filtrage autonome d’une personne ou d’une entreprise	`POST /v3/aml/`
Connaître les listes couvertes	Base de données des listes de surveillance, qui inclut la liste consolidée des sanctions financières de l’UE	Page de référence
Enregistrer une décision sur chaque correspondance	Examen des correspondances avec un `review_status` par correspondance	`PATCH /v3/session/{sessionId}/update-aml-hit-status/`
Transmettre les correspondances PEP et de sanctions à une personne	Seuils qui font passer la session à `"In Review"`	Seuils AML dans le workflow, puis examen manuel

curl -X POST 'https://verification.didit.me/v3/aml/' \
  -H "x-api-key: $DIDIT_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "full_name": "Javier Ejemplo Modelo",
    "entity_type": "person",
    "date_of_birth": "1974-01-01",
    "nationality": "ES",
    "vendor_data": "user-1234"
  }'

L’enregistrement d’une correspondance en tant que Confirmed Match ou False Positive déclenche un webhook data.updated et ne modifie pas la décision de la session en soi. L’approbation par la haute direction d’une relation d’affaires avec une PEP relève de votre processus : acheminez la session vers l’examen manuel et enregistrez l’identité de la personne qui l’a approuvée.

Surveillance continue et actualisation

L’article 26 impose une surveillance continue de la relation d’affaires et la tenue à jour des informations relatives aux clients. Le délai entre les actualisations ne doit pas dépasser 1 an pour les clients à risque plus élevé et 5 ans pour tous les autres clients (article 26, paragraphe 2), et vous devez également procéder à une actualisation lorsque la situation du client évolue ou que vous apprenez un fait pertinent (article 26, paragraphe 3). Les vérifications de sanctions doivent être répétées régulièrement, et pour les établissements de crédit et les établissements financiers, lors de toute nouvelle désignation (article 26, paragraphe 4).

Exigence	Fonctionnalité Didit	Endpoint ou paramètre
Réévaluer les clients par rapport aux listes de sanctions et de PEP	Surveillance AML continue avec un nouveau filtrage quotidien	Activez-la sur l’étape AML, ou par profil avec `POST /v3/users/aml-monitoring/`
Réévaluer les entreprises	Surveillance AML continue pour les profils d’entreprise	`POST /v3/businesses/aml-monitoring/`
Être informé lorsqu’un nouveau filtrage modifie le résultat	Webhooks sur la session	`status.updated` lorsque le statut change, par exemple vers `"In Review"`, et `data.updated`. Le payload contient `trigger: "ongoing_monitoring"`
Prouver que la surveillance a bien été effectuée lorsque rien n’a changé	Date du dernier filtrage et historique de filtrage	`last_ongoing_screening_at` sur le rapport AML, et export de l’historique de filtrage
Détecter les documents d’identité expirés	Surveillance des documents	La session passe de `"Approved"` à `"Kyc Expired"` et un webhook `status.updated` est déclenché

curl -X POST https://verification.didit.me/v3/users/aml-monitoring/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"is_enabled": true, "vendor_data_list": ["user-123", "user-456"]}'

L’activation ou la désactivation de la surveillance n’émet aucun webhook dédié. Une fois la surveillance active, les nouveaux filtrages déclenchent les événements habituels status.updated et data.updated.

Planifier l’actualisation à 1 an et 5 ans dans votre propre système

L’échéance d’actualisation dépend de la classe de risque que vous attribuez, et cette décision ne peut pas être externalisée. Didit ne conserve pas votre classe de risque et ne planifie pas l’actualisation périodique à votre place.

Stocker la classe de risque et la date de dernière actualisation

Conservez-les sur la fiche de votre client, aux côtés des vendor_data que vous envoyez à Didit.

Exécuter une tâche planifiée

Sélectionnez les clients dont la dernière actualisation est antérieure à votre intervalle : au maximum 1 an pour les risques plus élevés, au maximum 5 ans pour les autres. Il s’agit de durées maximales, le choix d’un intervalle plus court vous appartient donc.

Créer une nouvelle session

Appelez POST /v3/session/ avec les mêmes vendor_data et votre workflow d’actualisation, puis envoyez l’adresse url au client.

Réagir également aux événements

Traitez "Kyc Expired", un webhook de surveillance qui fait passer une session à "In Review", ainsi qu’un changement signalé par le client comme des déclencheurs pour une actualisation anticipée.

Objet et origine des fonds

Avant d’entrer en relation d’affaires ou d’exécuter une transaction occasionnelle, l’article 25 exige que vous compreniez son objet et sa nature envisagée. Le cas échéant, vous recueillez des informations sur l’objet et la justification économique, le volume estimé de l’activité, l’origine des fonds, la destination des fonds, ainsi que l’activité commerciale ou la profession du client. L’expression « le cas échéant » signifie que l’étendue dépend du niveau de risque. La vigilance renforcée peut y ajouter l’origine du patrimoine (article 34, paragraphe 4).

Exigence	Fonctionnalité Didit	Endpoint ou paramètre
Recueillir l’objet et l’activité attendue	Questionnaires avec le modèle Purpose of Account	Étape Questionnaire dans le workflow
Recueillir l’origine des fonds avec pièces justificatives	Modèle Source of Funds avec téléversement de fichiers	Étape Questionnaire dans le workflow
Recueillir la profession et l’employeur	Modèle Employment Details	Étape Questionnaire dans le workflow
Faire lire chaque réponse par une personne	Questionnaire configuré pour toujours aboutir à `"In Review"`	Paramètre d’examen manuel sur le questionnaire

Les modèles constituent un point de départ. Modifiez les questions pour correspondre à votre évaluation des risques, et conservez les réponses avec la session afin qu’elles figurent dans le même dossier que la vérification d’identité.

Surveiller les transactions et déclarer

La surveillance continue couvre les transactions effectuées au cours de la relation, de façon à ce qu’elles restent cohérentes avec ce que vous savez du client (article 26, paragraphe 1). Lorsque vous savez, soupçonnez ou avez des motifs raisonnables de soupçonner que des fonds sont le produit d’une activité criminelle ou sont liés au financement du terrorisme, vous faites une déclaration à votre cellule de renseignement financier (CRF) en vertu de l’article 69.

Exigence	Fonctionnalité Didit	Endpoint ou paramètre
Soumettre chaque transaction pour évaluation	Surveillance des transactions pour monnaies fiduciaires et cryptos	`POST /v3/transactions/`
Appliquer des critères de détection que vous avez approuvés	Lots de règles prédéfinis et règles personnalisées, chacun avec un mode que vous contrôlez	Règles dans la console ou l’API des règles
Être informé du verdict	Webhooks	`transaction.created` et `transaction.status.updated`
Enquêter	Alertes et dossiers avec une chronologie de chaque action	Gestion des dossiers dans la console
Préparer la déclaration	Préparation du rapport CRF à partir des données du dossier	Onglet Rapports CRF sur un dossier

curl -X POST https://verification.didit.me/v3/transactions/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "transaction_id": "finance0001",
    "transaction_category": "finance",
    "transaction_details": {
      "direction": "outbound",
      "amount": "1200.00",
      "currency": "EUR"
    },
    "subject": { "entity_type": "person", "vendor_data": "user-123", "full_name": "John Doe" },
    "counterparty": { "entity_type": "person", "full_name": "Jane Doe" }
  }'

Deux limites à garder à l’esprit :

Vous approuvez les critères de détection. L’approbation des critères de détection des transactions suspectes ou inhabituelles ne peut pas être externalisée (article 18, paragraphe 3, point f). Examinez chaque règle que vous installez et consignez cette approbation dans vos propres politiques.
Vous transmettez la déclaration. Didit prépare les fichiers de rapport à partir du dossier. Il ne soumet rien à une CRF. La transmission est effectuée par votre responsable de la conformité via le canal de votre CRF.

Conserver les enregistrements, puis les supprimer

L’article 77 définit votre obligation de conservation des documents. Vous conservez les documents et informations obtenus pour la vigilance à l’égard de la clientèle, les enregistrements de vos évaluations de soupçon et les enregistrements des transactions pendant 5 ans. La période commence lorsque la relation d’affaires prend fin, lorsque la transaction occasionnelle est exécutée ou lorsque vous refusez d’entrer en relation (article 77, paragraphe 3). Lorsque les 5 ans expirent, vous supprimez les données personnelles, sauf si une autre législation s’applique ou si une autorité vous demande de conserver des enregistrements spécifiques plus longtemps. Le décompte commence à partir d’un événement dans votre système : la fin de la relation. Didit ne connaît pas cette date, de sorte que la conservation que vous configurez et les suppressions que vous demandez relèvent de votre décision.

Exigence	Fonctionnalité Didit	Endpoint ou paramètre
Conserver les enregistrements de session aussi longtemps que dure votre obligation	Paramètre de conservation : une fenêtre de 1 mois à 10 ans, ou illimitée	Business Console → App Settings → Data retention
Supprimer lorsque votre période de 5 ans prend fin	Suppression à la demande d’une session	`DELETE /v3/session/{sessionId}/delete/`
Remettre un dossier à un superviseur ou un auditeur	Rapport PDF par session et par utilisateur, export CSV en masse	`GET /v3/session/{sessionId}/generate-pdf/`, exports
Conserver les éléments justificatifs de filtrage	Export de l’historique de filtrage par session	Éléments justificatifs de surveillance continue

Choisir une fenêtre de conservation qui ne peut pas se terminer prématurément

Une session atteint la fin de la fenêtre et est supprimée. Choisissez une fenêtre qui couvre la durée de vos relations clients plus 5 ans, ou définissez-la comme illimitée et supprimez à la demande.

Enregistrer la fin de la relation

Stockez la date de fin de la relation, de transaction ou de refus dans votre propre système. Cette date marque le début de votre période de 5 ans.

Supprimer à l'expiration de la période

Appelez DELETE /v3/session/{sessionId}/delete/ pour chaque session de ce client. La suppression est irréversible et les URL des médias cessent de fonctionner.

Les journaux d’audit et l’historique de filtrage ne couvrent pas l’obligation de 5 ans à eux seuls. Les journaux d’audit sont disponibles de 30 jours à 3 ans selon votre forfait, et les exécutions de filtrage enregistrées dans l’historique sont disponibles pendant deux ans par défaut. Si votre politique de conservation s’appuie sur ces éléments, exportez-les dans vos propres registres avant la fin de ces périodes. Les enregistrements de session régis par votre paramètre de conservation sont ceux qui correspondent à l’article 77.

Examen humain des décisions automatisées

L’article 76, paragraphe 5, vous permet d’adopter des décisions issues de processus automatisés, y compris le profilage et les systèmes d’IA, à trois conditions. Les données sont limitées aux données de vigilance à l’égard de la clientèle. Toute décision d’entrer en relation d’affaires, de la refuser ou de la maintenir, d’exécuter ou de refuser une transaction occasionnelle, ou de modifier l’étendue de la vigilance fait l’objet d’une intervention humaine significative. Et le client peut obtenir une explication de la décision et la contester.

Exigence	Fonctionnalité Didit	Endpoint ou paramètre
Envoyer les dossiers à une personne	Seuils de workflow et branches qui aboutissent à `"In Review"`	Workflows
Examiner les éléments justificatifs et décider	Examen manuel avec un motif de refus et des notes d’examen	Console, ou `PATCH /v3/session/{sessionId}/update-status/`
Exiger un second réviseur	Examen à quatre yeux sur un modèle de dossier : un responsable différent approuve ou rejette la résolution	Gestion des dossiers dans la console
Expliquer le résultat	Résultats par vérification, avertissements et commentaires du réviseur sur la session	`GET /v3/session/{sessionId}/decision/`

curl -X PATCH https://verification.didit.me/v3/session/4c5c7f3a-.../update-status/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "new_status": "Approved",
    "comment": "Cleared after manual review by compliance team"
  }'

Un statut de session "Approved" ou "Declined" est le résultat des vérifications que vous avez configurées. Il s’agit d’un élément alimentant votre décision d’onboarding, que l’article 18, paragraphe 3, laisse sous votre entière responsabilité. Déterminez avec vos conseillers juridiques où une personne doit intervenir, puis intégrez cette étape dans le workflow et dans votre propre back-office.

Externalisation

L’article 18 vous permet d’externaliser des tâches découlant de l’AMLR auprès d’un prestataire de services. Il fixe des conditions : vous notifiez votre autorité de surveillance avant que le prestataire ne commence (article 18(1)), vous demeurez pleinement responsable des tâches externalisées (article 18(2)), et vous fixez les conditions dans un accord écrit tout en effectuant des contrôles réguliers sur le prestataire (article 18(4)). Le règlement précise également que l’utilisation d’un logiciel tiers, ou l’accès à des bases de données ou à des services de filtrage, lorsque vous réalisez vous-même l’obligation, ne constitue pas une externalisation (considérant 47). La qualification de votre utilisation de Didit dépend de la manière dont vous l’utilisez. Les orientations de l’AMLA sur l’externalisation sont attendues d’ici le 10 juillet 2027. Six tâches ne peuvent en aucun cas être externalisées (article 18(3)). Elles restent de votre ressort :

La proposition et l’approbation de votre évaluation des risques à l’échelle de l’entreprise.
L’approbation de vos politiques, procédures et contrôles internes.
La décision sur le profil de risque à attribuer au client.
La décision d’entrer en relation d’affaires ou d’exécuter une transaction occasionnelle.
La déclaration d’opérations suspectes et les déclarations fondées sur des seuils auprès de la FIU.
L’approbation des critères de détection des transactions et activités suspectes ou inhabituelles.

Les tâches qui les entourent peuvent être déléguées : la collecte des données d’identité, l’exécution de la vérification du document ou de l’eID, la collecte des données sur les bénéficiaires effectifs et les consultations de registres, le filtrage par rapport aux listes de sanctions et de PEP, l’exécution de la surveillance des transactions selon les critères que vous avez approuvés, ainsi que la préparation des alertes et des éléments de preuve. Ce qu’il convient d’inscrire dans votre registre des externalisations concernant Didit :

Élément	Ce qu’il faut consigner	Où le trouver
Accord écrit (art. 18(4))	Votre contrat avec Didit et l’accord de traitement des données (DPA)	Demandez à votre représentant Didit le DPA ainsi que les mesures techniques et organisationnelles
Tâches déléguées	Les vérifications dans chaque workflow exécuté, par version de workflow	Workflows. Les sessions et les webhooks comportent `workflow_id` et `workflow_version`
Tâches conservées	Les six tâches ci-dessus, avec le responsable désigné au sein de votre organisation	Vos propres politiques
Qualification du prestataire (art. 18(4))	Certifications et attestations	Certifications
Localisation des données	Les données sont traitées et stockées dans l’UE par défaut. Le traitement dans le pays est disponible avec l’offre Enterprise	Conservation des données
Contrôles réguliers (art. 18(4))	Votre échantillonnage de sessions, d’exports et de pistes d’examen, à une fréquence adaptée au caractère critique de la tâche	Exports, journaux d’audit
Notification à l’autorité de surveillance (art. 18(1))	La date à laquelle vous avez notifié votre autorité de surveillance, avant le passage en production	Votre démarche. La notification n’implique pas que l’autorité accepte le dispositif

Workflow de référence

Un point de départ pour un workflow d’onboarding de personnes physiques. Adaptez-le à votre évaluation des risques.

Créer le workflow

Dans la Business Console, ouvrez Workflows et créez un workflow de connaissance client (KYC). Utilisez le concepteur visuel si vous avez besoin de branches par pays ou par résultat.

Choisir les méthodes d'identité par pays

À l’étape Vérification d’identité, activez les portefeuilles d’identité numérique disponibles pour les pays que vous desservez, et la capture de document comme parcours pour tous les autres. Consultez les méthodes de vérification d’identité.

Associer le document à la personne

Pour le parcours documentaire, ajoutez Détection du vivant et Correspondance faciale, ainsi que NFC lorsque le document comporte une puce.

Couvrir l'adresse

Ajoutez Justificatif de domicile pour les clients dont le document ne mentionne pas d’adresse.

Filtrer et surveiller

Ajoutez Filtrage AML, définissez les seuils qui envoient une correspondance en examen manuel, et activez la surveillance continue.

Demander l'objet et l'origine des fonds

Ajoutez un Questionnaire à partir des modèles Objet du compte et Origine des fonds.

S'abonner aux webhooks

Créez une destination de webhook abonnée à status.updated et data.updated. Consultez Webhooks.

Publier et copier l'identifiant du workflow

Publiez le workflow et utilisez son workflow_id lors de la création de vos sessions.

Créer une session :

curl -X POST https://verification.didit.me/v3/session/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "workflow_id": "YOUR_KYC_WORKFLOW_ID",
    "vendor_data": "user-42",
    "callback": "https://yourapp.com/callback"
  }'

Réponse (201 Created) :

{
  "session_id": "4c5c7f3a-1f82-4f3b-8d8e-1a8d2d2f9b7a",
  "session_kind": "user",
  "session_number": 1024,
  "session_token": "...",
  "url": "https://verify.didit.me/session/...",
  "status": "Not Started",
  "workflow_id": "YOUR_KYC_WORKFLOW_ID",
  "vendor_data": "user-42"
}

Redirigez le client vers url. Lorsque la session aboutit à une décision, Didit envoie un webhook status.updated. En voici un extrait :

{
  "event_id": "9c0c8b8a-1111-4222-9333-444444444444",
  "webhook_type": "status.updated",
  "timestamp": 1774970000,
  "created_at": 1774969994,
  "application_id": "11111111-2222-3333-4444-555555555555",
  "environment": "live",
  "session_id": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
  "status": "In Review",
  "workflow_id": "66666666-7777-8888-9999-000000000000",
  "workflow_version": 4,
  "vendor_data": "user_42",
  "decision": { "...": "see /sessions-api/retrieve-session" }
}

Vérifiez la signature, utilisez event_id comme clé d’idempotence, et comparez status sous forme de chaîne exacte et sensible à la casse. Les valeurs sont répertoriées dans les statuts de vérification. Lisez ensuite l’intégralité de la décision avec GET /v3/session/{sessionId}/decision/ et transmettez-la à la personne ou au processus qui prend votre décision d’onboarding.

Calendrier

Date	Événement
19 juin 2024	AMLR, le règlement (UE) 2024/1624, est publié au Journal officiel
9 juillet 2024	AMLR entre en vigueur
30 septembre 2026	L’AMLA date son rapport final sur les projets de normes de vigilance à l’égard de la clientèle (annoncé le 1er octobre 2026). Soumis à la Commission, non adopté
10 juillet 2027	AMLR devient applicable. Date limite pour les États membres pour transposer la sixième directive anti-blanchiment, Directive (UE) 2024/1640. Les orientations de l’AMLA sur l’externalisation sont attendues
2028	L’AMLA commence la surveillance directe de certaines entités financières sélectionnées. La première sélection est plafonnée à 40
10 juillet 2029	AMLR s’applique aux agents sportifs du football et aux clubs de football professionnels

FAQ

Quand l'AMLR s'applique-t-il ?

L’AMLR est entré en vigueur le 9 juillet 2024 et s’appliquera à partir du 10 juillet 2027. Pour les agents de football et les clubs de football professionnels, il s’appliquera à partir du 10 juillet 2029. Jusqu’au 10 juillet 2027, les lois nationales transposant la directive actuelle s’appliquent.

Quelle est la différence entre l'AMLR, l'AMLD6 et l'AMLA ?

L’AMLR est le règlement (UE) 2024/1624. Il contient les règles applicables aux entités assujetties et s’applique directement, sans transposition nationale. L’AMLD6 est la directive (UE) 2024/1640. Elle s’adresse aux États membres et couvre les autorités de surveillance, les registres et les sanctions, avec une transposition prévue d’ici le 10 juillet 2027. L’AMLA est l’Autorité de lutte contre le blanchiment de capitaux, créée par le règlement (UE) 2024/1620 et basée à Francfort. Elle élabore les normes techniques et les orientations, et supervisera directement un groupe sélectionné d’entités financières à partir de 2028.

La vérification à distance à l'aide d'un document d'identité est-elle toujours autorisée ?

Oui, sous certaines conditions. L’article 22(6) mentionne deux moyens : un document d’identité ou une eID de niveau de garantie substantiel ou élevé. Le projet final de normes de l’AMLA du 30 septembre 2026 maintient la vérification à distance au moyen d’un document comme alternative lorsque l’on ne peut raisonnablement exiger de la personne qu’elle présente le document en personne et qu’elle n’a pas accès à une eID répondant aux critères requis. Vous devez être en mesure de justifier son utilisation et de démontrer les garanties mises en place. Le projet ne mentionne aucune technique et n’a pas encore force de loi.

Les normes techniques sont-elles définitives ?

Non. L’AMLA a finalisé son projet le 30 septembre 2026 et l’a transmis à la Commission européenne. Il ne deviendra contraignant que lorsque la Commission l’aura adopté et qu’il aura été publié au Journal officiel, et la Commission peut le modifier. Le projet propose qu’il s’applique six mois après son entrée en vigueur ; aucune date n’est donc encore fixée.

Dois-je accepter l'EUDI Wallet, et Didit le prend-il en charge ?

L’AMLR lui-même mentionne l’eID comme l’un des deux moyens de vérification. Il n’impose pas à chaque entité assujettie d’accepter l’EUDI Wallet. L’obligation d’acceptation figure dans le règlement eIDAS : les parties utilisatrices privées tenues d’utiliser une authentification forte de l’utilisateur pour l’identification en ligne acceptent le portefeuille à la demande de l’utilisateur, au plus tard 36 mois après l’entrée en vigueur des actes d’exécution, et les micro et petites entreprises en sont exemptées. Déterminer si cela concerne votre onboarding relève de votre service juridique. Dans Didit, l’EUDI Wallet est Prochainement. Les portefeuilles disponibles en production aujourd’hui sont MitID, BankID Sweden, Finnish Trust Network, Smart-ID et Mobile-ID.

Le seuil de détention du bénéficiaire effectif est-il de 25% ou de 15% ?

Il est de « 25 % ou plus » des actions, des droits de vote ou d’autres participations au capital (article 52(1)), le contrôle étant évalué en parallèle. L’article 52(2) autorise la Commission à fixer un seuil inférieur, à un maximum de 15 %, pour les catégories d’entités à plus haut risque par acte délégué. Aucun acte de ce type n’existe. Dans Didit, le seuil UBO est un paramètre de votre workflow KYB.

Comment mettre en œuvre l'actualisation à 1 an et 5 ans ?

Stockez la classe de risque et la date de dernière mise à jour du client dans votre propre système, exécutez une tâche planifiée qui sélectionne les clients dont l’intervalle est dépassé, puis créez une nouvelle session avec POST /v3/session/ et les mêmes vendor_data. Ajoutez des déclencheurs d’événements : un statut "Kyc Expired", un webhook de surveillance ou une modification signalée par le client. Les durées de 1 an et 5 ans de l’article 26(2) sont des périodes maximales.

Que puis-je externaliser ?

Des tâches telles que la collecte des données d’identité, l’exécution de la vérification, les consultations de registres, le filtrage et l’exécution de la surveillance des transactions selon des critères que vous avez approuvés. Six tâches ne peuvent pas être externalisées : l’approbation de l’évaluation des risques à l’échelle de l’entreprise, l’approbation des politiques internes, la décision relative au profil de risque du client, la décision d’onboarding, la déclaration auprès de la FIU et l’approbation des critères de détection. Vous restez pleinement responsable de ce que vous externalisez (article 18(2)).

Comment configurer la conservation pour la règle des 5 ans ?

Les 5 ans commencent à la fin de la relation d’affaires, et non au moment où le client a été vérifié. Dans Business Console → App Settings → Data retention, choisissez une fenêtre suffisamment longue pour couvrir la relation plus 5 ans, ou laissez-la illimitée. Suivez la date de fin dans votre propre système et appelez DELETE /v3/session/{sessionId}/delete/ à l’expiration de votre période de conservation. Exportez les journaux d’audit et l’historique de filtrage si votre politique de gestion des dossiers repose sur eux.

L'utilisation de Didit me rend-elle conforme à l'AMLR ?

Non. La conformité est une propriété de votre programme : votre évaluation des risques, vos politiques, vos décisions et vos contrôles. Didit vous fournit les vérifications, la surveillance et les éléments de preuve sur lesquels reposent ces volets du programme. Il n’existe aucune certification ou homologation AMLR pour les prestataires ou les outils.

Ressources associées

Vue d'ensemble de la solution AMLR

La vision métier : qui est soumis à l’AMLR et comment Didit s’y intègre.

Méthodes de Vérification d'identité

Capture de document, consultation sans document et portefeuilles d’identité numérique.

Portefeuilles d'identité numérique

Disponibilité et niveau de garantie par portefeuille.

Vérification d'entreprise

Consultations des registres, actionnariat et personnes clés.

Filtrage AML

Filtrage des sanctions, PEP et listes de surveillance avec surveillance continue.

Surveillance des transactions

Règles, alertes, dossiers et préparation des déclarations CRF.

Questionnaires

Modèles pour l’objet de la relation et l’origine des fonds.

Conservation des données

Fenêtres de conservation et suppression à la demande.

Webhooks

Types d’événements, payloads et vérification de signature.

Tarifs

Paiement par vérification. Consultez le prix actuel de chaque fonctionnalité.

Présentation

Tarifs

Workflows et vérification

Examen et opérations

Entités (utilisateurs et entreprises)

Paramètres et personnalisation

Sécurité et conformité

Didit Academy

Ressources

Guide de conformité AMLR : règlement UE 2024/1624

Ce qu’exige l’AMLR en un coup d’œil

Flux de bout en bout

Quand le devoir de vigilance s’applique

Identifier et vérifier les personnes

Données associées à la décision

Les deux voies

Ce que disent les projets de normes techniques sur la vérification à distance

Vérifier les entreprises et les bénéficiaires effectifs

Effectuer un filtrage des sanctions et des PEP

Surveillance continue et actualisation

Planifier l’actualisation à 1 an et 5 ans dans votre propre système

Objet et origine des fonds

Surveiller les transactions et déclarer

Conserver les enregistrements, puis les supprimer

Examen humain des décisions automatisées

Externalisation

Workflow de référence

Calendrier

FAQ

Ressources associées

Vue d'ensemble de la solution AMLR

Méthodes de Vérification d'identité

Portefeuilles d'identité numérique

Vérification d'entreprise

Filtrage AML

Surveillance des transactions

Questionnaires

Conservation des données

Webhooks

Tarifs

​Ce qu’exige l’AMLR en un coup d’œil

​Flux de bout en bout

​Quand le devoir de vigilance s’applique

​Identifier et vérifier les personnes

​Données associées à la décision

​Les deux voies

​Ce que disent les projets de normes techniques sur la vérification à distance

​Vérifier les entreprises et les bénéficiaires effectifs

​Effectuer un filtrage des sanctions et des PEP

​Surveillance continue et actualisation

​Planifier l’actualisation à 1 an et 5 ans dans votre propre système

​Objet et origine des fonds

​Surveiller les transactions et déclarer

​Conserver les enregistrements, puis les supprimer

​Examen humain des décisions automatisées

​Externalisation

​Workflow de référence

​Calendrier

​FAQ

​Ressources associées

Vue d'ensemble de la solution AMLR

Méthodes de Vérification d'identité

Portefeuilles d'identité numérique

Vérification d'entreprise

Filtrage AML

Surveillance des transactions

Questionnaires

Conservation des données

Webhooks

Tarifs

Ce qu’exige l’AMLR en un coup d’œil

Flux de bout en bout

Quand le devoir de vigilance s’applique

Identifier et vérifier les personnes

Données associées à la décision

Les deux voies

Ce que disent les projets de normes techniques sur la vérification à distance

Vérifier les entreprises et les bénéficiaires effectifs

Effectuer un filtrage des sanctions et des PEP

Surveillance continue et actualisation

Planifier l’actualisation à 1 an et 5 ans dans votre propre système

Objet et origine des fonds

Surveiller les transactions et déclarer

Conserver les enregistrements, puis les supprimer

Examen humain des décisions automatisées

Externalisation

Workflow de référence

Calendrier

FAQ

Ressources associées