Fraude et IA, les banques se notent 80 sur 100. La réalité est à 67

Ces deux chiffres viennent du Fraud Readiness Index 2026, une étude publiée par Feedzai, éditeur de solutions antifraude basées sur l'IA utilisées par des banques et des institutions financières. Elle s'appuie sur une enquête menée auprès de 1 030 responsables seniors de la lutte contre la fraude, dans 12 pays. On l'a lue de près, puis on a posé onze questions à Daniel Holmes, directeur de la stratégie fraude bancaire et identité chez Feedzai, qui a répondu à toutes, y compris à celles qui dérangent.

On en parle sur Findfi parce que ce qui coûte le plus cher aux banques est aussi ce qui vise vos équipes. Le faux mail d'un fournisseur qui aurait changé de RIB. Le faux appel du directeur financier qui réclame un virement urgent. Et ce que les banques apprennent pour s'en protéger, une entreprise peut le copier dès lundi.

Trois idées à retenir

• Se croire prêt n'est pas l'être. Les banques se notent 80,2 sur 100, l'étude mesure 66,9.
• Le budget n'est pas le problème, les fondations le sont. 96 % vont investir dans l'IA antifraude, mais seuls 41 % ont des données pleinement connectées.
• Les agents préparent, les humains décident. Ce que font les banques contre les faux RIB, une direction financière peut le copier dès lundi.

Se croire prêt, ce n'est pas l'être

C'est le chiffre qui donne son titre à l'étude. Les institutions financières évaluent leur préparation à la fraude à 80,2 sur 100 en moyenne. Mesurée sur ce qu'elles ont réellement en place (données, IA, partage de renseignements, organisation des équipes), elle tombe à 66,9. Soit 13,3 points d'écart.

En faisant le calcul à la main chez Findfi, ça veut dire que les banques se jugent environ 20 % meilleures qu'elles ne le sont (80,2 divisé par 66,9). Et seul un établissement sur quatre (25,5 %) atteint la catégorie « Leading », à partir de 76 sur 100.

Le plus intéressant, c'est que l'argent n'est pas le problème. 96 % des établissements comptent augmenter leur budget pour les outils antifraude basés sur l'IA dans les deux ans. Ce qui coince, ce sont les fondations. Selon l'étude, 73 % des répondants estiment que leurs analystes passent trop de temps à collecter des données dans différents systèmes, et seuls 41 % ont des données pleinement connectées entre la fraude, la lutte contre le blanchiment, la conformité et la cybersécurité. Autrement dit, près de 6 banques sur 10 (59 %) n'ont pas encore cette vue d'ensemble.

Le jour d'une vraie attaque, ça se voit tout de suite. Les arnaques, les prises de contrôle de compte et les réseaux de comptes mules passent d'un canal à l'autre en quelques minutes. Quand les analystes ont fini de recoller les morceaux, l'argent est souvent déjà parti. La réponse de Daniel Holmes tient en une idée, connecter ce que l'on a déjà avant d'acheter de nouveaux outils, et utiliser l'IA pour automatiser la collecte des données et le premier tri des alertes.

La France, bonne élève sur les données, prudente sur l'IA

Côté français, le tableau est contrasté. 58 % des institutions ont entièrement unifié leurs données, contre 41 % dans le monde. La France compte aussi un peu plus d'établissements « Leading » que la moyenne mondiale, 28 % contre 26 %. Mais seulement 20 % testent ou utilisent des agents IA, contre 58 % des établissements « Leading » dans le monde, et la France affiche le niveau de maturité IA le plus faible des 12 pays étudiés.

Le petit calcul Findfi. 58 % côté données, 20 % côté agents, ça fait presque trois établissements aux données unifiées pour un seul qui s'est lancé dans les agents (58 divisé par 20, soit 2,9). Les deux groupes ne se recoupent pas forcément, mais l'ordre de grandeur est parlant.

Frilosité ? Pour Daniel Holmes, ce n'est pas ça. Unifier ses données permet de mieux voir les risques. Laisser un agent agir seul, c'est autre chose, puisqu'il ne s'agit plus d'éclairer une décision mais de la prendre. Et en matière de fraude, une mauvaise décision coûte dans les deux sens, une transaction frauduleuse qui passe ou un paiement légitime bloqué. S'y ajoutent des exigences d'explicabilité parmi les plus fortes du monde. 43 % des établissements français jugent l'explicabilité non négociable, la proportion la plus élevée de tous les pays étudiés (38 % au Royaume-Uni, 28,5 % pour l'ensemble de la zone EMEA).

Son interprétation va plutôt à contre-courant. Selon lui, l'explicabilité ne freine pas l'Europe, c'est un signe de maturité. Dans la zone EMEA, les établissements qui l'exigent testent même un peu plus souvent des agents (31 % contre 25 %). Et le Royaume-Uni cumule une forte exigence d'explicabilité et le taux d'adoption le plus élevé de la région (43 %).

Le paradoxe français n'en est pas vraiment un. Quand chaque décision doit pouvoir être expliquée à un client, à une victime et à un superviseur, on ne confie pas les clés à un agent du jour au lendemain, on commence par lui faire préparer le travail.

L'IA agentique, oui, mais pour préparer le travail

Ce que les banques confient aujourd'hui aux agents, ce n'est pas la décision finale. C'est tout ce qui la précède. D'après Daniel Holmes, les usages les plus répandus sont la collecte et la centralisation des éléments de preuve (68 % des établissements), la génération de règles de détection et les enquêtes de bout en bout sur les dossiers. Les humains gardent le dernier mot.

Pour qu'une direction des risques laisse un agent agir seul sur certaines décisions, il faut pouvoir lui montrer trois choses.

• D'où viennent ses décisions. Les signaux qui l'ont conduit à agir doivent être traçables.
• Combien de fois il se trompe. Le taux d'erreurs et de faux positifs se mesure.
• Quand il s'arrête. Les situations où l'agent doit demander une validation humaine sont définies, avec si possible la capacité de revenir en arrière.

Dans l'étude, ceux qui avancent le plus vite sont aussi ceux qui multiplient les cas d'usage. 92 % des établissements « Leading » travaillent sur au moins trois cas d'usage de l'IA agentique, contre 53 % des établissements français, soit 1,7 fois plus (92 divisé par 53).

Sur l'emploi, la réponse de Daniel Holmes est claire. Viser une réduction des équipes n'est pas la meilleure approche, il vaut mieux chercher à réduire les pertes dues à la fraude. L'automatisation des tâches ne doit pas être confondue avec le remplacement du jugement humain.

Reste le partage de renseignements. 87 % des institutions y sont intéressées, y compris avec des concurrents, mais en France seuls 63 % disposent d'une connexion opérationnelle pour le faire, contre 74 % dans le monde (11 points d'écart). Selon Daniel Holmes, le principal frein n'est pas le RGPD, qui reconnaît déjà la prévention de la fraude comme un intérêt légitime. C'est l'incertitude, car en cas de doute les équipes de conformité préfèrent dire non.

Ce que les directions financières peuvent copier dès lundi

L'étude porte sur des banques, mais Daniel Holmes le dit lui-même. Les menaces sont les mêmes pour les équipes financières des entreprises, qui sont souvent les premières exposées. Dans 10 des 12 pays étudiés, les arnaques où la victime autorise elle-même le virement et l'ingénierie sociale sont la première cause de pertes. Côté entreprise, ça donne le mail d'un faux fournisseur qui annonce un nouveau RIB, ou l'appel d'un faux directeur financier qui exige un virement urgent.

Et ça ne va pas s'arranger. Les deepfakes (54 %) et le phishing personnalisé à grande échelle (53 %) sont les menaces liées à l'IA que les établissements redoutent le plus. Une voix ou une vidéo de dirigeant, même convaincante, ne prouve plus rien.

Quatre réflexes tirés de ce que font les banques.

1. Traiter tout changement de coordonnées bancaires d'un fournisseur comme un événement à haut risque, pas comme une formalité administrative. On le confirme par un canal indépendant, avec les coordonnées déjà enregistrées (jamais celles de la demande), puis une deuxième personne le valide.
2. Utiliser la vérification du bénéficiaire. Depuis 2025, les banques vérifient que le nom du bénéficiaire correspond à l'IBAN avant l'envoi du paiement. Une réponse « no match » ou « close match » est un signal pour vérifier, pas un écran à valider pour continuer.
3. Recouper en interne. Les achats, la comptabilité fournisseurs et la trésorerie n'ont chacun qu'un morceau de l'information. Un changement de coordonnées reçu par mail le lundi et une demande de paiement urgent le mardi doivent être analysés ensemble.
4. En parler à sa banque. Demander quels contrôles elle applique aux paiements sortants et comment les alertes sont remontées et escaladées.

À faire cette semaine. Tenez un petit registre partagé de tous les changements de coordonnées bancaires reçus, visible des achats, de la compta et de la trésorerie. C'est exactement le recoupement du point 3, sans outil à acheter.

L'interview complète de Daniel Holmes

Daniel Holmes est directeur de la stratégie fraude bancaire et identité chez Feedzai, où il travaille directement avec les banques sur leurs défis de fraude. Onze questions, onze réponses.

1. D'où vient l'écart entre la confiance des dirigeants et la préparation réellement démontrée, et qu'est-ce qui le révèle le jour d'une vraie attaque ?

La confiance des dirigeants témoigne des progrès accomplis, elle montre que le secteur a conscience de l'évolution des menaces et qu'il est prêt à investir.

Cependant, la confiance dépasse les capacités réellement démontrées. Cet écart ne tient pas principalement à un manque d'ambition ou de budget. 96 % des établissements prévoient d'augmenter leurs budgets consacrés aux outils de prévention de la fraude reposant sur l'IA au cours des deux prochaines années. Le défi se situe au niveau des fondations. Nous constatons que 73 % des répondants estiment que les analystes consacrent trop de temps à collecter des données issues de différents systèmes, et que seuls 41 % des établissements ont pleinement connecté leurs données entre les fonctions de lutte contre la fraude, de lutte contre le blanchiment d'argent (AML), de conformité et de cybersécurité. Une banque peut disposer d'outils performants dans chacun de ces silos tout en restant privée d'une vision unifiée du client et de la menace.

Lorsqu'une attaque réelle survient, la fragmentation des données et les processus manuels peuvent empêcher les équipes de faire les rapprochements nécessaires, d'identifier les activités suspectes et de réagir rapidement. Les formes modernes de fraude, comme les escroqueries, les prises de contrôle de comptes et les réseaux de comptes mules, se propagent d'un canal à l'autre en quelques minutes. Lorsque les analystes ont reconstitué l'ensemble de la situation, les fonds ont souvent déjà été transférés. La priorité n'est donc pas simplement d'investir dans davantage d'outils, mais de connecter les données et les systèmes dont les banques disposent déjà et de recourir à l'IA pour automatiser la collecte des données et le tri initial des alertes, afin de permettre aux analystes de consacrer davantage de temps aux investigations sur les fraudes. C'est ainsi que les établissements peuvent transformer leur confiance en un niveau de préparation réel et démontrable.

2. Comment expliquez-vous que les mieux préparées sur les données, comme la France, soient parmi les plus prudentes sur l'IA agentique ?

La France présente une situation intéressante, et cette prudence ne doit pas être confondue avec un manque de progrès. En réalité, la qualité des données et l'adoption de l'IA correspondent à deux étapes distinctes. Unifier les données permet aux équipes d'avoir une vision plus complète des risques, c'est la première étape. Donner à un agent d'IA la capacité d'analyser une situation et d'agir de manière autonome constitue une étape d'une autre nature, puisqu'il ne s'agit plus seulement d'éclairer les décisions, mais de les prendre.

Cela suppose de pouvoir faire confiance à l'IA pour prendre des décisions, de comprendre ces décisions et d'en maîtriser les conséquences. Dans la prévention de la fraude, la prudence à l'égard de l'IA agentique est légitime. Une décision erronée peut aussi bien laisser passer une transaction frauduleuse que bloquer un paiement parfaitement légitime. Les banques doivent également respecter des exigences réglementaires strictes en matière d'explicabilité et de responsabilité. Elles doivent donc être en mesure de démontrer comment chaque décision automatisée a été prise.

Ces chiffres montrent que la France dispose d'une base solide et prometteuse sur laquelle s'appuyer. Les données permettent à l'IA d'apprendre, le prochain défi consiste à passer à une mise en œuvre opérationnelle, avec des garde-fous clairs, une supervision humaine et de la transparence, en commençant par des cas d'usage bien définis dans lesquels les agents peuvent démontrer leur valeur avant que leur autonomie ne soit étendue.

3. Que faut-il montrer à une direction des risques pour qu'elle accepte de laisser un agent IA agir seul sur certaines décisions, et jusqu'où va-t-on aujourd'hui ?

Lorsqu'une équipe de gestion des risques envisage d'intégrer un agent d'IA, elle doit pouvoir vérifier comment celui-ci parvient à une décision, quelles informations il a utilisées et ce qui se passe lorsqu'il commet une erreur.

Concrètement, il doit être possible de retracer les signaux ayant conduit à une décision, de mesurer la fréquence des erreurs et des faux positifs, et de définir les situations dans lesquelles l'agent doit s'arrêter et demander une validation humaine. Des mécanismes de contrôle doivent également être intégrés, ainsi que, lorsque cela est possible, la capacité de revenir sur les décisions prises.

Aujourd'hui, l'IA agentique peut déjà être utile sans que chaque décision soit prise de manière autonome. Notre étude montre que les principaux cas d'usage envisagés concernent l'automatisation de tâches intervenant avant la prise de décision finale, la collecte et la centralisation des données et des éléments de preuve, la génération de règles de détection et la conduite d'investigations sur les dossiers de bout en bout. Dans ces domaines, les agents peuvent déjà faire gagner un temps considérable aux analystes, tout en laissant aux humains le dernier mot.

Il s'agit d'une progression pragmatique, commencer par les tâches pour lesquelles l'IA apporte une valeur mesurable, puis étendre progressivement son autonomie à mesure que les résultats et les mécanismes de contrôle sont validés. La confiance se construit étape par étape, sur la base de preuves plutôt que de promesses.

4. Cette exigence d'explicabilité freine-t-elle l'adoption de l'IA en Europe, ou est-ce un signe de maturité ? Et quel impact attendez-vous de l'AI Act sur les outils de lutte contre la fraude ?

Nos données suggèrent que l'explicabilité n'est pas ce qui freine l'Europe. Dans la région EMEA, les établissements qui considèrent l'explicabilité comme une exigence non négociable sont même légèrement plus susceptibles de tester ou d'utiliser des agents d'IA que ceux qui ne la considèrent pas ainsi (31 % contre 25 %).

Le Royaume-Uni en est un bon exemple. Il figure parmi les marchés les plus exigeants en matière d'explicabilité, tout en affichant le taux d'adoption de l'IA agentique le plus élevé de la région, à 43 %. À l'autre extrémité, les Émirats arabes unis accordent le moins d'importance à l'explicabilité et affichent également le taux d'adoption de l'IA agentique le plus faible parmi les pays étudiés. La prudence européenne s'explique par d'autres facteurs, les systèmes existants, la fragmentation des données et le temps nécessaire pour faire approuver les nouvelles technologies dans le cadre des processus de gouvernance.

J'interpréterais donc cette exigence d'explicabilité comme un signe de maturité. Les établissements qui l'imposent ont généralement réfléchi plus en profondeur à la manière dont l'IA fonctionnera réellement dans leur environnement. Dans la prévention de la fraude, une décision que l'on ne peut pas expliquer est une décision que l'on ne peut pas justifier, auprès d'un client dont le paiement a été bloqué, d'une victime d'escroquerie qui demande un remboursement ou d'une autorité de contrôle. L'explicabilité permet à une banque de déployer l'IA à grande échelle en toute confiance, plutôt que de la cantonner à une phase pilote.

Concernant l'AI Act, la détection de la fraude n'est pas classée parmi les cas d'usage à haut risque. Le règlement n'imposera donc pas directement aux outils de lutte contre la fraude les obligations les plus contraignantes, mais il fera monter le niveau d'exigence. Les banques devront savoir quels systèmes d'IA elles utilisent, comment ils sont gouvernés et qui en est responsable. Associée au contrôle accru des modèles par les autorités de supervision et à la responsabilité grandissante des banques concernant les pertes liées aux escroqueries, cette évolution trace une direction claire. Les outils de lutte contre la fraude devront de plus en plus être capables d'expliquer leur raisonnement, d'enregistrer chaque étape et de maintenir un contrôle humain sur les décisions importantes. Les fournisseurs qui intègrent ces exigences dès la conception contribueront à accélérer l'adoption de ces technologies, plutôt qu'à la ralentir.

5. Si le client valide lui-même l'opération, où se situe désormais la responsabilité de la banque, et quels signaux permettent d'agir avant que l'argent ne parte ?

Dans les escroqueries reposant sur la manipulation, nous examinons une combinaison de signaux qui nous permettent de comprendre le contexte global, le comportement du client, les événements qui précèdent le paiement, les données de transaction en temps réel, entre autres.

Par exemple, si un client ajoute un nouveau bénéficiaire au cours d'une session plus longue que d'habitude, alors qu'il est en communication téléphonique, cela peut justifier une vérification supplémentaire avant l'exécution du virement.

Cette approche est particulièrement importante, puisque les escroqueries reposant sur la manipulation constituent la principale source de pertes liées à la fraude dans la grande majorité des pays étudiés.

En matière de responsabilité des banques, les choses évoluent. Différentes réglementations (PSR/PSD3) et des décisions de justice rendues dans des litiges entre banques et particuliers transfèrent progressivement davantage de responsabilités aux banques. Le remboursement des victimes devient plus systématique, tandis que les critères permettant d'établir une négligence grave de la part du client font l'objet d'un examen plus approfondi. Par exemple, l'authentification forte du client ne suffit plus, à elle seule, à justifier une décision. On attend également de plus en plus des banques qu'elles expliquent en détail leurs actions (ou leur absence d'action) dans le cadre d'une procédure qui s'apparente de plus en plus à une investigation complète. En pratique, cela signifie qu'elles doivent être en mesure de démontrer ce qu'elles ont détecté, les mesures qu'elles ont prises et les raisons de ces choix.

6. Que dites-vous aux banques qui attendent de l'IA agentique des économies de personnel plutôt qu'un travail d'investigation de meilleure qualité ?

L'objectif de l'intégration de l'IA est de réduire le temps consacré à la collecte d'informations, afin que les équipes chargées de la prévention de la fraude puissent consacrer davantage de temps à l'analyse.

Il ne faut pas confondre l'automatisation des tâches avec le remplacement systématique du jugement humain. L'expertise humaine reste essentielle dans notre domaine, ce sont les personnes qui analysent et interprètent les informations, et l'IA doit être là pour les accompagner. La fraude évolue constamment, et ce sont les analystes qui repèrent les nouveaux schémas et prennent les décisions les plus délicates.

Se concentrer sur la réduction des effectifs n'est pas la meilleure approche. Il est plus pertinent de chercher à réduire les pertes causées par la fraude. Investir dans des investigations de meilleure qualité peut, à terme, contribuer à limiter les pertes financières liées aux fonds détournés lors de transactions frauduleuses.

7. Quels sont, en Europe, les verrous les plus durs à lever pour le partage de renseignements sur la fraude, et à quoi ressemble un partage réussi ?

Le principal obstacle n'est pas le RGPD, puisque celui-ci reconnaît déjà la prévention de la fraude comme un intérêt légitime. Le principal frein est l'incertitude. En cas d'ambiguïté, les équipes chargées de la conformité ont tendance à privilégier un refus, car les conséquences d'une erreur sont particulièrement visibles.

La confiance entre concurrents et entre banques constitue un obstacle moins important qu'on pourrait le penser. La plupart des banques ne considèrent pas la fraude comme un facteur de différenciation concurrentielle, elles y voient plutôt un problème commun. Ce qui leur inspire parfois des réserves, c'est davantage le processus lui-même, qui accède aux données, comment elles sont utilisées et qui est responsable en cas d'erreur, entre autres.

C'est pourquoi les propositions relatives au PSR sont intéressantes. Elles fournissent aux prestataires de services de paiement une base explicite pour partager des données sur la fraude, comme les identifiants des comptes bénéficiaires utilisés dans des opérations frauduleuses.

En pratique, un partage d'informations efficace présente plusieurs caractéristiques essentielles. Il est ciblé et commence par un cas d'usage précis, comme les comptes mules ou les fraudes avérées. Il repose sur une gouvernance définie, avec des normes de données convenues et une base juridique claire, validée une seule fois. Il est suffisamment rapide pour permettre une action en temps réel. Enfin, il prévoit un mécanisme de retour d'information, afin que chaque participant puisse constater la valeur de sa contribution. Le dispositif CIFAS au Royaume-Uni constitue un bon exemple de modèle pouvant fonctionner à grande échelle.

8. Comment les fraudeurs utilisent-ils déjà l'IA, et qu'est-ce qui vous inquiète le plus pour les deux prochaines années ?

L'IA ne crée pas des types de fraude entièrement nouveaux. Elle représente plutôt une opportunité, elle rend les formes de fraude existantes plus rapides, plus faciles à mettre en œuvre et plus difficiles à détecter. Aujourd'hui, les criminels utilisent principalement l'IA pour cibler les consommateurs et compromettre leur sécurité.

• Deepfakes générés par l'IA (voix, vidéo) pour commettre des fraudes par usurpation d'identité.
• Création d'identités synthétiques et automatisation à grande échelle de l'ouverture de comptes.
• Campagnes d'escroquerie automatisées, par exemple au moyen de scripts agentiques permettant de contacter massivement des clients.
• Tentatives de phishing convaincantes générées et traduites par l'IA, qui permettent aux fraudeurs de toucher des publics du monde entier à grande échelle.
• Utilisation d'agents pour accéder aux services bancaires en ligne et exécuter des paiements.

À plus long terme, nous nous attendons à ce que les criminels utilisent des agents pour attaquer directement les banques. Ces derniers mois, nous avons déjà constaté que les banques elles-mêmes devenaient des cibles. C'est assurément préoccupant, mais cela doit également inciter le secteur à accélérer l'adoption de l'IA et le partage de renseignements afin de renforcer sa capacité de riposter à ce type d'attaques.

9. Comment une banque doit-elle arbitrer entre une plateforme unique et plusieurs briques spécialisées, notamment lorsqu'elle veut introduire des agents IA ?

Il n'existe pas de nombre idéal de fournisseurs, et les données de l'étude le montrent. Les établissements classés dans la catégorie « Leading » de l'indice sont en réalité plus susceptibles d'ajouter des fournisseurs que d'en supprimer. 61 % prévoient d'en ajouter au cours des deux à trois prochaines années, contre 36 % des établissements de la catégorie « Capable ». Ce qui les distingue, ce n'est pas le nombre d'outils qu'ils utilisent, mais leur capacité à faire fonctionner ces outils à partir des mêmes données. Parmi les établissements « Leading », 76 % ont pleinement unifié leurs données entre la lutte contre la fraude, la lutte contre le blanchiment d'argent (AML), la conformité et la cybersécurité, contre 30 % des établissements « Capable ».

La véritable question n'est donc pas « une seule plateforme ou plusieurs ? », mais plutôt « où les décisions sont-elles prises, et sur quelles données ? ». Une banque a besoin d'une couche centralisée où les données sont regroupées, où les décisions relatives aux risques sont orchestrées et où chaque action est enregistrée. Des solutions spécialisées, dédiées à la vérification d'identité, à l'analyse des appareils ou à un canal de paiement spécifique, peuvent s'intégrer à cette couche. Les problèmes apparaissent lorsque chaque outil conserve ses propres données, ses propres règles et sa propre file de dossiers à traiter, obligeant les analystes à assurer eux-mêmes l'intégration entre les différents systèmes.

Cette question devient encore plus importante avec les agents d'IA. Les capacités d'un agent dépendent de la qualité des données auxquelles il peut accéder et des actions qu'il est autorisé à effectuer. Si un agent chargé d'enquêter sur un paiement suspect doit travailler sur cinq systèmes déconnectés, il hérite des mêmes angles morts que l'analyste. Du point de vue de la gouvernance, il est également beaucoup plus facile de superviser, d'expliquer et d'auditer des agents opérant dans un environnement unique et contrôlé que des agents répartis entre plusieurs fournisseurs, chacun disposant de sa propre logique.

Pour évaluer une solution spécialisée, nous appliquerions trois critères.

1. Partage-t-elle ses signaux et ses décisions avec le reste de l'écosystème technologique en temps réel ?
2. Ses résultats peuvent-ils être expliqués et audités de la même manière que ceux des autres outils ?
3. Permet-elle de réduire la charge de travail des analystes, ou ajoute-t-elle simplement un écran supplémentaire à consulter ?

10. Que peuvent retenir les directions financières et les trésoriers d'entreprise de cette étude pour se protéger, par exemple face aux faux ordres de virement ?

Notre étude porte sur des établissements financiers, mais les menaces qu'ils décrivent sont les mêmes que celles auxquelles sont confrontées les équipes financières des entreprises, et auxquelles celles-ci sont souvent exposées en premier. Dans 10 des 12 pays étudiés, les escroqueries par manipulation incitant la victime à autoriser elle-même un virement (APP) et l'ingénierie sociale constituent les principales causes de pertes liées à la fraude. Pour une entreprise, cela prend généralement la forme d'un e-mail d'un prétendu « fournisseur » annonçant de nouvelles coordonnées bancaires, ou d'un appel semblant provenir du directeur financier et exigeant un virement urgent. Les établissements s'attendent à ce que ces menaces deviennent plus difficiles à contrer. Les deepfakes générés par l'IA (54 %) et le phishing personnalisé à grande échelle (53 %) sont les menaces liées à l'IA qu'ils anticipent le plus. Une imitation convaincante de la voix ou de l'image vidéo d'un dirigeant ne constitue désormais plus une preuve de quoi que ce soit.

Trois enseignements tirés du secteur bancaire s'appliquent directement aux équipes de trésorerie.

• Considérer toute modification des coordonnées de paiement comme un événement à haut risque, et non comme une simple formalité administrative. Les banques examinent le contexte entourant un paiement, et pas uniquement la transaction elle-même (nouveau bénéficiaire, montant inhabituel, pression pour agir rapidement). Les entreprises peuvent appliquer la même logique. Toute modification des coordonnées bancaires d'un fournisseur doit être confirmée par un canal indépendant, en utilisant les coordonnées déjà enregistrées plutôt que celles figurant dans la demande, puis validée par une deuxième personne.
• Utiliser les outils de vérification désormais disponibles. Depuis 2025, les banques vérifient que le nom du bénéficiaire correspond à l'IBAN avant l'envoi du paiement. Une réponse indiquant une « absence de correspondance » (no match) ou une « correspondance approximative » (close match) doit être considérée comme un moyen de vérifier que le paiement est bien adressé à la bonne personne, et non comme un simple écran à valider pour poursuivre l'opération.
• Recouper les informations en interne. Notre étude montre que les établissements qui rencontrent le plus de difficultés sont ceux dont les données et les équipes fonctionnent en silos. Il en va de même dans une entreprise, où les achats, la comptabilité fournisseurs et la trésorerie ne disposent chacun que d'une partie des informations. Une modification des coordonnées d'un fournisseur reçue par e-mail le lundi et une demande de paiement urgent le mardi doivent être analysées conjointement.

Enfin, échangez avec votre banque. Les banques analysent de plus en plus les comportements et les schémas de paiement afin de détecter les manipulations avant que l'argent ne quitte le compte, et nombre d'entre elles partagent des renseignements sur les comptes mules. Demander quels contrôles votre banque applique aux paiements sortants et comment les alertes vous sont communiquées et escaladées constitue un bon point de départ.

11. Un seul conseil à une banque française qui veut passer du stade « Capable » au stade « Leader » d'ici un an, et par quoi commencer ?

Mon conseil serait de cesser de traiter les données et l'IA comme deux projets distincts. Les établissements français ont déjà accompli la partie la plus difficile. 58 % ont pleinement unifié leurs données, soit l'un des taux les plus élevés de notre étude, et la France compte déjà une proportion d'établissements « Leading » supérieure à la moyenne mondiale, 28 % contre 26 %. Ce qui freine les banques françaises, c'est l'IA. La France affiche le niveau de maturité en matière d'IA le plus faible parmi les 12 pays étudiés, et seuls 20 % des établissements testent ou utilisent des agents d'IA, contre 58 % des établissements « Leading » à l'échelle mondiale.

Les établissements français sont également ceux qui se montrent les plus exigeants en matière d'explicabilité. 43 % la considèrent comme une exigence non négociable, soit la proportion la plus élevée de tous les pays. C'est un bon point de départ, à condition que l'explicabilité soit intégrée dès le premier jour, plutôt qu'ajoutée a posteriori.

Concrètement, je commencerais par trois mesures au cours des 90 premiers jours.

1. Choisir un ou deux cas d'usage dans lesquels les agents préparent les décisions plutôt que de les prendre. La collecte et la centralisation des éléments de preuve nécessaires aux investigations constituent le cas d'usage de l'IA agentique le plus répandu dans notre étude (68 %). C'est également l'un des plus faciles à mesurer.
2. Associer dès le départ les équipes chargées des risques, de la conformité et de la protection des données, afin de définir ensemble les règles. Ce que l'agent peut faire de manière autonome, à quel moment il doit passer le relais à un humain et comment chaque étape est enregistrée et expliquée. Les autorités de supervision attendront de toute façon un tel cadre. Le mettre en place dès le départ en fait un accélérateur plutôt qu'un frein.
3. Définir dès maintenant un niveau de référence, en mesurant le temps consacré à chaque investigation, le taux de faux positifs et le délai entre une alerte et la prise de décision, afin de pouvoir démontrer la valeur apportée en quelques mois.

Au cours du reste de l'année, deux éléments feraient la différence. Le premier serait d'étendre les agents à d'autres cas d'usage une fois les résultats démontrés. 92 % des établissements « Leading » travaillent sur au moins trois cas d'usage de l'IA agentique, contre 53 % des établissements français. Le second serait de se connecter à des sources de renseignements externes, car les établissements français sont moins nombreux que la moyenne à disposer d'une connexion opérationnelle permettant de partager des renseignements avec d'autres organisations, 63 % contre 74 % à l'échelle mondiale.

Passer de la catégorie « Capable » à la catégorie « Leading » en un an constitue un objectif ambitieux, mais réaliste pour une banque française, car les fondations sont déjà en place. La prochaine étape consiste à transformer ces données en décisions plus rapides et explicables.

L'étude en bref

Le Fraud Readiness Index 2026 de Feedzai repose sur une enquête menée auprès de 1 030 responsables d'établissements financiers dans 12 pays, du 13 juillet au 4 août 2026. L'indice évalue cinq domaines pondérés. Le score de 66,9 correspond à la moyenne des quatre domaines qui ne relèvent pas de l'auto-évaluation, tandis que le score de 80,2 reflète la perception que les établissements ont de leur propre niveau de préparation.

Article réalisé en partenariat avec Feedzai, à partir du Fraud Readiness Index 2026 et d'un entretien avec Daniel Holmes. Les analyses signalées comme « calcul Findfi » sont des estimations de la rédaction à partir des chiffres de l'étude.