Le 16 juillet 2026, le Groupe d'action financière (GAFI) a publié sa septième mise à jour ciblée sur la mise en œuvre de la Recommandation 15 dans le domaine des actifs virtuels et des prestataires de services sur actifs virtuels (VASP). Le document n'introduit pas de nouvel ensemble de règles obligatoires distinct, mais montre comment les États mettent en œuvre les normes du GAFI existantes et quelles lacunes subsistent en matière de réglementation, de surveillance et d'application.
Pourquoi les normes du GAFI ont une portée pratique
Le GAFI est un organisme intergouvernemental qui établit des normes internationales de lutte contre le blanchiment de capitaux, le financement du terrorisme et le financement de la prolifération des armes de destruction massive. Les recommandations du GAFI ne remplacent pas la législation nationale et, en règle générale, ne créent pas d'obligations de droit privé directes pour les entreprises. Les États mettent en œuvre ces normes par leurs propres lois, procédures d'agrément et mécanismes de surveillance.
Dans le même temps, la non-conformité d'un système national aux normes du GAFI peut être prise en compte lors des évaluations mutuelles et des procédures de suivi renforcé. Pour les entreprises crypto opérant à l'échelle transfrontalière, les normes du GAFI ont également une portée contractuelle et de conformité : les banques, les plateformes d'échange et d'autres contreparties réglementées peuvent exiger la confirmation de procédures KYC adéquates, d'un filtrage des sanctions, d'une surveillance des transactions et de la transmission d'informations conformément à la règle de voyage.
Principaux constats de la mise à jour du GAFI
Dans le cadre de l'enquête 2026, 83 % des répondants — 91 juridictions sur 109 — ont déclaré avoir adopté une législation mettant en œuvre la règle de voyage pour les VASP. En 2025, ce chiffre était de 73 % — 85 juridictions sur 117. En 2026, 11 répondants supplémentaires sur 109 ont indiqué être en cours de mise en œuvre des exigences correspondantes.
Ces résultats ne doivent pas être confondus avec les données des évaluations mutuelles. En avril 2026, le GAFI avait analysé les évaluations publiées de 149 juridictions au titre de la Recommandation 15 : une juridiction a été jugée entièrement conforme, 51 largement conformes (34 %), 64 partiellement conformes (43 %) et 33 non conformes (22 %). L'adoption d'une législation sur la règle de voyage ne signifie donc pas encore que le système est pleinement opérationnel.
Le GAFI souligne par ailleurs la difficulté d'identifier les personnes physiques et morales qui fournissent effectivement des services de VASP sans l'enregistrement ou l'agrément requis. Près de la moitié des juridictions ayant déjà introduit une législation sur la règle de voyage n'ont pas encore démontré de mesures de surveillance ou d'application directement liées au respect de cette règle.
Les risques sur lesquels se concentre le GAFI
Le rapport décrit la sophistication croissante de l'usage criminel des actifs virtuels, y compris l'« industrialisation » de la fraude par des groupes criminels organisés. Parmi les domaines à risque élevé, le GAFI cite les stablecoins, les transferts P2P via des portefeuilles non hébergés (unhosted wallets), les VASP offshore, les courtiers OTC, les outils inter-chaînes et certains modèles DeFi.
Les estimations des sociétés d'analyse privées ne constituent pas des statistiques du GAFI et dépendent de leur propre méthodologie. Ainsi, en janvier 2026, Chainalysis a estimé à au moins 17 milliards de dollars les fonds dérobés par fraude crypto en 2025. Ces chiffres doivent être utilisés en indiquant clairement leur source et leurs limites méthodologiques.
La règle de voyage dans l'Union européenne
Le règlement (UE) 2023/1113 sur les informations accompagnant les transferts de fonds et de certains crypto-actifs s'applique depuis le 30 décembre 2024. Il couvre les transferts de crypto-actifs lorsque le CASP du donneur d'ordre, du bénéficiaire ou un CASP intermédiaire a son siège statutaire dans l'Union européenne, sous réserve des exceptions prévues par le règlement.
Pour les transferts de crypto-actifs, le règlement ne fixe aucun seuil minimal général : les exigences d'information s'appliquent quel que soit le montant et que le transfert soit national ou transfrontalier. Cela diffère, par exemple, de la règle fédérale américaine en vigueur, selon laquelle la règle de voyage s'applique généralement aux transferts de fonds de 3 000 dollars ou plus.
L'absence ou le caractère incomplet des données requises n'entraîne pas toujours la fin automatique de la relation d'affaires. Le CASP du bénéficiaire doit agir selon une approche fondée sur les risques : rejeter ou retourner le transfert, ou demander les informations manquantes. Si un autre CASP ne fournit pas systématiquement les informations requises, les conséquences possibles sont le rejet des transferts futurs, ou la restriction ou la cessation de la relation d'affaires.
L'article 37, paragraphe 2, du règlement prévoit que la Commission européenne prépare une évaluation distincte des risques liés aux transferts vers ou depuis des adresses auto-hébergées et aux opérations avec des entités non établies dans l'Union. La possibilité de nouvelles modifications du règlement ne doit pas être présentée comme une interdiction déjà établie : de nouvelles restrictions ne peuvent résulter que de l'adoption des actes juridiques correspondants.
Les listes « grise » et « noire » du GAFI
Au 19 juin 2026, le Koweït, la Papouasie-Nouvelle-Guinée, la Bosnie-Herzégovine et l'Irak ont été ajoutés en 2026 à la liste des juridictions sous surveillance renforcée (dite « liste grise »). L'Algérie et la Namibie en ont été retirées en juin 2026. L'Ukraine ne figure pas sur la « liste grise » actuelle.
L'inscription d'un pays sur la « liste grise » ne signifie pas que le GAFI exige l'application automatique d'une vigilance renforcée (EDD) à chaque client ou à chaque opération liée à cette juridiction. Le GAFI appelle explicitement à une approche fondée sur les risques et à la prise en compte des informations relatives à la juridiction dans le cadre d'une évaluation individuelle des risques.
Une approche différente s'applique aux juridictions à haut risque pour lesquelles le GAFI a lancé un appel à l'action. Au 19 juin 2026, cette liste comprend l'Iran, la République populaire démocratique de Corée et le Myanmar. Pour ces juridictions, le GAFI appelle à une vigilance renforcée et, dans les cas les plus graves, à des contre-mesures.
Importance pour l'Ukraine
L'Ukraine est une juridiction évaluée par MONEYVAL — l'organe régional de type GAFI au sein du système du Conseil de l'Europe. Le projet de loi n° 10225-d relatif à la réglementation de la circulation des actifs virtuels a été adopté par la Verkhovna Rada d'Ukraine en première lecture le 3 septembre 2025 et, à la date de préparation du présent document, est en préparation pour sa seconde lecture.
Tant que la version finale de la loi n'aura pas été adoptée, il n'est pas possible d'affirmer par avance quelles seront exactement les conditions d'autorisation, les périodes de transition et la liste complète des obligations des prestataires de services ukrainiens. Dans le même temps, pour les entreprises envisageant une activité transfrontalière, la compatibilité avec les procédures des CASP étrangers, l'identification adéquate des contreparties, le filtrage des sanctions, la surveillance des transactions et la capacité à transmettre les données requises par la règle de voyage sont déjà des enjeux pratiques importants, lorsque le droit applicable l'exige.
Mesures pratiques pour les entreprises crypto
Déterminer les juridictions d'activité et établir une matrice distincte des exigences applicables du GAFI, du TFR, de MiCA, de la législation AML/CFT et des régimes de sanctions. Vérifier la préparation technique et organisationnelle à la transmission sécurisée des données au titre de la règle de voyage. Mettre en place une procédure de vérification du statut d'agrément ou d'enregistrement des autres VASP/CASP et d'évaluation de la qualité de leurs contrôles AML/CFT.
Appliquer des mesures fondées sur les risques aux transferts impliquant des portefeuilles auto-hébergés ou non hébergés, sans remplacer l'évaluation individuelle des risques par une interdiction automatique. Suivre régulièrement les mises à jour des listes du GAFI et documenter la manière dont le risque lié à la juridiction est pris en compte dans les procédures de vigilance. Distinguer les obligations juridiques contraignantes, les recommandations du GAFI, les évolutions législatives attendues et les normes internes volontaires propres à l'entreprise.
Conclusion
La septième mise à jour ciblée du GAFI ne crée pas de nouveau régime réglementaire autonome pour les entreprises crypto, mais confirme l'orientation générale des exigences AML/CFT : de l'adoption formelle de règles à la vérification de leur mise en œuvre pratique. Pour les entreprises, l'enjeu clé n'est plus seulement de disposer de politiques internes, mais de démontrer que les procédures fonctionnent réellement et qu'elles sont techniquement compatibles avec les contreparties réglementées.
Avertissement. Ce document a un caractère général d'information et d'analyse, ne constitue pas un conseil juridique individuel et ne tient pas compte des particularités d'une juridiction, d'un modèle d'affaires ou d'une opération donnés.
Sources : GAFI — Seventh Targeted Update on Implementation of the FATF Standards on Virtual Assets/VASPs (16 juillet 2026) ; GAFI — The FATF Recommendations ; règlement (UE) 2023/1113 sur les informations accompagnant les transferts de fonds et de certains crypto-actifs ; FinCEN — Funds « Travel » Regulations : Questions & Answers ; GAFI — Jurisdictions under Increased Monitoring (19 juin 2026) ; GAFI — High-Risk Jurisdictions subject to a Call for Action (19 juin 2026) ; Verkhovna Rada d'Ukraine — fiche du projet de loi n° 10225-d ; Conseil de l'Europe — MONEYVAL : Ukraine ; Chainalysis — 2026 Crypto Crime Report: Scams.