Prouver le clic ne suffit pas à prouver le consentement : Lecture critique du « Pare-feu de Confiance » de Deloitte et Docaposte à l’épreuve des fraudes au faux conseiller.
Deloitte et Docaposte viennent de publier un livre blanc formalisant un « Pare-feu de Confiance » à destination des banques et des assureurs. Le document propose une politique de preuve numérique fondée sur le cadre eIDAS 2.0. L’analyse est rigoureuse sur le plan technologique, mais elle demeure incomplète sur le plan juridique, et surtout, elle passe sous silence l’essentiel du point de vue des victimes.

Lecture critique depuis le terrain du contentieux, vu par l’avocate des victimes.

 

Un client reçoit un appel de sa banque.

Le numéro qui s’affiche est celui de son agence. La voix est celle de son conseiller habituel. Le discours est précis, professionnel, rassurant. On lui explique qu’une opération suspecte est en cours sur son compte et qu’il faut agir rapidement pour la neutraliser. Il suffit, lui dit-on, d’ajouter un nouveau bénéficiaire, de valider une opération ou de confirmer une demande de sécurité.

Le client obéit.

Quelques minutes plus tard, l’argent a disparu.

Dans les systèmes de la banque, pourtant, tout semble en ordre. L’identité du client a été reconnue. L’authentification forte a fonctionné. Le code a été saisi. Le clic a été enregistré. L’opération a été exécutée.

Techniquement, le système peut donc raconter une histoire parfaitement cohérente.

Mais juridiquement, une question demeure, et elle est autrement plus difficile :

qui a réellement consenti à cette opération ?

C’est à cet endroit précis que le livre blanc publié en septembre 2026 par Deloitte et Docaposte, Le Pare-feu de Confiance – Politique et chaîne de preuve sur les actes sensibles, mérite une lecture attentive. Le document est ambitieux. Il part d’un constat désormais difficile à contester : l’intelligence artificielle ne se contente plus de menacer les systèmes d’information. Elle s’attaque à ce qui, jusqu’à présent, constituait leur périphérie la plus difficile à sécuriser : l’être humain.

La voix, le visage, le numéro de téléphone, le langage, les habitudes du conseiller, la connaissance de quelques éléments personnels : tout peut désormais être reproduit, combiné et industrialisé.

La fraude ne consiste donc plus nécessairement à contourner la sécurité.

Elle consiste à faire en sorte que la victime utilise elle-même la sécurité contre elle-même.

Le livre blanc propose, face à cette évolution, une architecture de confiance fondée sur l’identification des « moments sensibles », la gradation des niveaux de preuve et la constitution d’une chaîne probatoire associant notamment identité, mandat, consentement, notification et archivage.

L’approche est techniquement convaincante.

Mais, du point de vue de celui qui défend une victime de fraude bancaire, elle laisse apparaître une question essentielle :

que prouve exactement cette preuve ?

Ce livre blanc part d’un constat que nul praticien du contentieux bancaire ne peut contester : « l’authentification forte reste efficace contre les attaques techniques, mais les fraudeurs se concentrent désormais sur la manipulation de l’utilisateur lui-même » (p. 5). On le sait, désormais, la manipulation est psychologique. Le rapport conjoint EBA-BCE de décembre 2025 chiffre ainsi la fraude aux paiements dans l’EEE à 4,2 milliards d’euros en 2024.

Les auteurs vont plus loin et écrivent, à propos de l’ajout de bénéficiaire : « la frontière entre "autorisation consentie" et "virement autorisé sous contrainte" devient difficile à établir sans preuve structurée » (p. 17). Cette formulation est remarquable. Elle dit, en langage de cabinet de conseil, ce que la Cour de cassation a posé en droit encore dans son dernier arrêt du 1er juillet 2026 : une validation obtenue sous emprise ne constitue pas une autorisation au sens de l’article L133-6 du Code monétaire et financier, et ne permet pas à l’établissement de s’exonérer en invoquant la négligence grave du client au sens de l’article L133-19 du même code.

Le livre blanc cite à l’appui de ce constat plusieurs décisions dans lesquelles des établissements ont été déboutés faute de pouvoir démontrer les conditions dans lesquelles un acte avait été formé — dont CA Orléans, 8 juin 2023, RG n° 22/00539, et trois décisions de l’été 2025 (CA Riom, TJ Val-de-Briey, TJ Troyes, telles que citées p. 5).

Toutefois, ce que la politique de preuve ne règle pas.

  • La preuve d’intégrité n’est pas la preuve de consentement libre.

C’est le glissement central du livre blanc, et le plus dangereux pour les praticiens qui l’appliqueront sans précaution.

Le document annonce en effet que le recours aux services d’archivage qualifiés «  inverse la charge de la preuve : c’est alors à la partie qui conteste d’apporter la preuve contraire » (p. 12). Cette présentation est exacte pour ce qu’elle couvre : l’intégrité et l’authenticité du document archivé. Un écrit conservé dans un service d’ ;archivage qualifié bénéficie d’une présomption d’intégrité — mais cette présomption porte sur le document, pas sur les conditions dans lesquelles il a été signé.

Or l’article L133-23 du Code monétaire et financier est explicite : l’utilisation enregistrée de l’instrument de paiement « ne suffit pas nécessairement en tant que telle » à prouver que l’opération a été autorisée par le payeur, ni qu’il a agi frauduleusement ou avec négligence grave. Un horodatage qualifié prouve qu’un clic a eu lieu à 14 h 32. Il ne prouve pas que ce clic était libre, ni
que la banque a satisfait à son devoir de vigilance face à une opération manifestement atypique.

Or le fraudeur ne vole plus seulement une donnée : il fabrique une réalité. C’est peut-être ce que les dispositifs de sécurité classique ont le plus de mal à appréhender. Le rapport conjoint EBA-BCE sur la fraude aux paiements, cité par le livre blanc, constate lui aussi le déplacement progressif vers des formes de fraude qui exploitent davantage la manipulation du payeur.

La question n’est alors plus seulement : "Le système a t-il reconnu le client ?" mais devient : "Qu’a-t-on fait croire à ce client au moment même où le système l’a reconnu ?"

Et la nuance est considérable.

Authentifier n’est pas autorisé.
L’authentification technique n’épuise pas nécessairement la question de l’autorisation juridique.
La jurisprudence l’avait déjà affirmé avant même l’essor actuel du spoofing.

  • Un modèle probatoire sans prévention

Le « Pare-feu de Confiance » détecte, sélectionne, orchestre, horodate, notifie, archive (p. 11). Ces sept fonctions sont toutes probatoires. Aucune n’est préventive.
En gestion des risques, un risque identifié et qualifié — ici, la manipulation de l’utilisateur lors d’un ajout de bénéficiaire — appelle des mesures d’atténuation, pas seulement des mesures de documentation. Le livre blanc ne prévoit pourtant ni délai de réflexion, ni détection comportementale des séquences anormales, ni rappel sortant du client sur un canal maîtrisé, ni formation des conseillers à reconnaître un client sous emprise. Si l’établissement a lui-même qualifié l’ajout d’un bénéficiaire de
« moment sensible » de niveau « Substantiel », il reconnaît le risque — et il devient difficile de plaider qu’il pouvait exécuter l’opération sans contrôle complémentaire.

  • Le silence sur le règlement européen sur les services de paiement

Le document de septembre 2026 consacré à la fraude bancaire ne mentionne pas l’accord politique du 27 novembre 2025 sur la directive DSP3 et le règlement sur les services de paiement (PSR).
Or ce texte déplace la charge de manière bien plus favorable aux victimes que le cadre eIDAS seul : remboursement obligatoire en cas de fraude par usurpation de l’identité d’un employé du prestataire, responsabilité du prestataire qui n’a pas mis en œuvre les mécanismes appropriés, obligation de support client humain, partage d’information inter-prestataires sur la fraude. Ce sont des obligations de prévention et de réparation — non de simple documentation.

Ce qui est craint ici, en reflet de l’attitude des banques dans les contentieux de fraude bancaire, c’est de constater que la banque cherche encore une fois le plus possible à transférer sa responsabilité et à s’exonérer de son obligation de remboursement, mais à aucun moment, de prévenir la fraude et d’assurer enfin, une protection efficace du client.

  • La symétrie d’authentification manquante

Le scénario d’ouverture du livre blanc est celui du faux conseiller : « un appel, un numéro crédible, une voix convaincante » (p. 5). Le cas d’usage correspondant — « le client vérifie son conseiller (symétrie de confiance) » — n’apparaît qu’en annexe, sur une ligne de tableau, au niveau de preuve « Substantiel » (p. 23). La banque exige du client une authentification forte permanente ; elle ne lui offre aucun moyen fiable d’authentifier son propre interlocuteur. Tant que cette asymétrie persiste, l’IA continuera d’exploiter la faille, et la chaîne de preuve continuera de documenter des consentements extorqués.

Ce que j’en tire, praticienne défendant les victimes.

Pour le défenseur des victimes, ce livre blanc est paradoxalement utile à deux titres.

D’abord, il fournit une grille d’examen des dossiers. Les sept questions de la chaîne de preuve proposée (qui, au nom de qui, pour faire quoi, quand, quoi exactement, à qui, combien de temps) correspondent exactement aux éléments que nous demandons en communication de pièces à tout établissement qui refuse un remboursement. Un établissement qui revendique publiquement une « chaîne de preuve complète et juridiquement opposable » et qui, saisi d’une contestation, ne produit même pas les journaux d’authentification, le libellé affiché à l’écran et les horodatages, se contredit.

Une banque qui affirme qu’un opération a été régulièrement autorisée devrait pouvoir répondre à ces sept questions. Et surtout, où se trouve dans cette "chaîne", l’élément permettant de distinguer la volonté du client de la volonté du fraudeur qui l’a manipulé ?

Plus la preuve numérique devient sophistiquée, plus il faut être précis sur ce qu’elle démontre.

Ensuite, il consacre implicitement l’obligation de vigilance proportionnée à la sensibilité de l’acte. Si les établissements adoptent la qualification de « moment sensible » de niveau « Élevé » pour les virements atypiques, cette qualification elle-même pourra être opposée au défendeur qui aurait laissé passer une séquence manifestement anormale sans contrôle complémentaire.

La preuve du vrai, telle que le livre blanc la conçoit, est un progrès réel pour la sécurité juridique des parcours numériques. Mais elle ne peut pas servir à renverser une charge que le Code monétaire et financier, interprété strictement par la jurisprudence depuis 2024, fait peser sur l’établissement : établir la négligence grave du client, concrètement, jamais par présomption.

Une archive peut être parfaite et raconter une fraude. Le livre blanc insiste à juste titre sur la valeur des services de confiance, et l’horodatage et de l’archivage probant. Mais c’est là précisément que se situe le risque d’une confusion. L’intégrité d’une donné n’est pas nécessairement la vérité de l’histoire que cette donnée raconte. L’intégrité d’une donnée n’est pas nécessairement la vérité de l’histoire que cette donnée raconte. Il faut distinguer ce que la technologie naturellement tendance à rapprocher, à savoir l’intégrité de la trace et la liberté du consentement. La victime ne conteste pas le clic, elle conteste son sens.

Et à force de vouloir prouver, la banque ne risque t-elle pas en réalité d’oublier de prévenir ? En effet, comme indiqué précédemment, le "Pare-feu de confiance" propose une architecture qui permet de détecter, sélectionner, orchestrer, horodater, archiver les actes sensibles ? Mais quand un établissement détecte qu’une opération se situe précisément dans une zone de risque élevée, que doit-il faire : documenter ou intervenir ? Alors une question s’impose ... si le système de la banque relève qu’un acte est sensible, que fait-il de cette information avant que l’argent ne disparaisse ? Un dispositif qui documente la fraude après son exécution, c’est bien, mais un dispositif qui permet de l’empêcher c’est mieux. La preuve ne devrait jamais devenir le substitut de la prévention.

Virginie Audinot, Avocat
Barreau de Paris
Audinot Avocat
www.fraude-bancaire.fr