Community post

Intelligence artificielle, fraude et responsabilité : la nouvelle frontière de la Compliance au Luxembourg

Luxembourg, 13 novembre 2026

Et si les affaires LuxTrust et BCEE, apparemment sans rapport, soulevaient une question commune : qui surveille réellement les opérations lorsque chaque maillon de la chaîne de contrôle considère avoir correctement rempli sa mission ?

D'un côté, des centaines de victimes d'escroqueries utilisant frauduleusement l'identité de LuxTrust, une multiplication des interrogations sur la sécurité des transactions et des établissements bancaires dont la responsabilité est désormais contestée devant la justice.

De l'autre, la Banque et Caisse d'Épargne de l'État (BCEE), confrontée en octobre 2026 à des soupçons de fraude interne impliquant un collaborateur et trois clients potentiellement lésés.

Deux situations différentes, deux mécanismes de fraude potentiellement distincts, et aucune preuve publique d'une connexion entre les affaires.

Pourtant, leur rapprochement soulève une interrogation fondamentale : notre modèle de contrôle financier est-il encore adapté à des risques qui traversent simultanément les frontières technologiques, humaines et organisationnelles ?

À l'heure où l'intelligence artificielle promet d'identifier les comportements suspects, d'anticiper les fraudes et d'automatiser les décisions, cette question prend une dimension nouvelle.

Car lorsqu'une opération frauduleuse échappe aux contrôles, la véritable interrogation ne se limite plus à savoir qui l'a exécutée. Elle consiste aussi à comprendre pourquoi l'ensemble des dispositifs censés la prévenir, la détecter ou l'interrompre n'a pas permis de l'empêcher.

1. LuxTrust et BCEE : deux affaires, une même interrogation sur la confiance

Les chiffres révélés par le parquet de Luxembourg sont particulièrement préoccupants.

Sur les seules années 2024 et 2025, plus de 700 plaintes concernant des escroqueries dites « fraude LuxTrust » ont été enregistrées, pour un préjudice global dépassant 10 millions d'euros.

Le phénomène ne s'est pas arrêté en 2026. Le 5 novembre encore, la Police grand-ducale signalait de nouvelles escroqueries impliquant des individus se faisant passer pour des employés de LuxTrust afin d'obtenir des accès bancaires, des validations de transactions ou des cartes de paiement.

Ces fraudes reposent principalement sur l'ingénierie sociale : les victimes sont amenées à communiquer leurs informations confidentielles ou à effectuer des validations qu'elles croient légitimes.

Une distinction essentielle s'impose toutefois : l'utilisation frauduleuse du nom de LuxTrust ne démontre ni une compromission de ses systèmes ni une faute du prestataire.

La panne technique de décembre 2025, qui avait temporairement rendu indisponibles certains services de LuxTrust, constitue un incident distinct. Elle avait néanmoins suscité un débat sur la résilience d'une infrastructure devenue essentielle à de nombreux services financiers et publics.

Le 22 octobre 2026, c'est une autre forme de risque qui s'est invitée dans l'actualité luxembourgeoise.

La BCEE annonçait avoir saisi le parquet après la détection, par ses propres services, de faits susceptibles de constituer une fraude interne impliquant un collaborateur.

Trois victimes potentielles avaient été identifiées. Le collaborateur concerné avait été immédiatement relevé de ses fonctions, les autorités de supervision informées et des analyses complémentaires engagées, notamment avec le concours d'experts indépendants.

À ce stade, les circonstances précises et l'ampleur de cette fraude présumée restent à établir. La présomption d'innocence demeure pleinement applicable.

Il serait donc incorrect de présenter ces événements comme les manifestations démontrées d'une même organisation criminelle.

Mais il serait tout aussi réducteur de ne voir dans leur coexistence qu'une simple succession de faits divers.

Leur point commun potentiel n'est pas l'identité des fraudeurs. C'est la question de l'efficacité des contrôles aux différentes étapes d'une opération financière.

2. Et si le véritable risque se situait entre les contrôles ?

La sécurité bancaire moderne repose sur plusieurs mécanismes complémentaires : authentification forte, surveillance transactionnelle, séparation des fonctions, gestion des habilitations, détection des anomalies et contrôles indépendants.

Chacun peut fonctionner correctement dans son périmètre sans nécessairement garantir la sécurité globale d'une transaction.

Une authentification peut être techniquement valide alors que le client a été manipulé.

Une transaction peut respecter les limites autorisées tout en s'écartant fortement du comportement habituel de son initiateur.

Un collaborateur peut disposer d'une habilitation légitime et néanmoins en faire un usage abusif.

Enfin, un système d'alerte peut identifier une anomalie sans qu'une intervention suffisamment rapide ou proportionnée intervienne.

Ces exemples sont des scénarios de risque génériques. Ils ne constituent pas des conclusions sur les mécanismes effectivement utilisés dans les affaires LuxTrust ou BCEE.

Ils illustrent néanmoins une vulnérabilité de gouvernance : le contrôle d'une opération ne peut plus être apprécié uniquement à travers la conformité de chacune de ses étapes prises isolément.

La question décisive devient alors celle de leur cohérence collective.

Qui rapproche les informations d'authentification, les comportements transactionnels, les modifications de bénéficiaires, les interventions internes et les alertes de fraude ?

Qui détient une vision suffisamment transversale pour décider d'interrompre une opération pourtant techniquement autorisée ?

Et surtout, qui assume la responsabilité lorsqu'aucun de ces contrôles, considéré individuellement, ne semble avoir dysfonctionné ?

3. L'intelligence artificielle : la solution qui introduit un nouveau risque

L'intelligence artificielle pourrait profondément modifier cette approche.

Contrairement aux systèmes exclusivement fondés sur des règles prédéfinies, certaines technologies d'IA permettent d'analyser des combinaisons complexes de signaux, d'identifier des comportements atypiques et de détecter des anomalies difficiles à repérer par des contrôles traditionnels.

Appliquée à la fraude bancaire, elle pourrait notamment contribuer à :

• Identifier des ruptures inhabituelles dans le comportement transactionnel d'un client.
• Détecter des séquences suspectes combinant changement d'appareil, ajout de bénéficiaire et virements rapides.
• Mettre en évidence des comportements atypiques dans l'utilisation des accès privilégiés par des collaborateurs.
• Corréler des signaux provenant de plusieurs dispositifs de contrôle et prioriser les interventions.

Ces capacités ne sont toutefois ni universelles ni infaillibles. Leur efficacité dépend notamment de la qualité des données, de l'architecture des systèmes, de la conception des modèles et de leur supervision.

Et c'est précisément ici qu'apparaît un paradoxe.

Plus une institution confie à des systèmes intelligents la détection et le traitement des anomalies, plus elle risque de développer une dépendance à leurs conclusions.

Un système peut ne pas détecter une fraude. Il peut également produire une alerte erronée, bloquer une opération légitime ou attribuer un niveau de risque inapproprié.

Le danger devient particulièrement important lorsque les décisions de l'outil ne sont plus véritablement contestées par les personnes chargées de les superviser.

C'est ce que l'on appelle le biais d'automatisation : la tendance à accorder une confiance excessive aux résultats produits par un système automatisé.

L'IA peut renforcer les contrôles. Elle ne doit jamais devenir une justification permettant de renoncer à les comprendre.

Rien, dans les informations publiques examinées, ne permet d'affirmer qu'un système d'IA aurait joué un rôle dans les événements LuxTrust ou BCEE. Le rapprochement est ici prospectif : il s'agit d'examiner comment les établissements devraient concevoir leurs contrôles face à des risques comparables.

4. Quand une opération est authentifiée, est-elle nécessairement autorisée ?

C'est probablement l'une des questions juridiques les plus importantes soulevées par les escroqueries utilisant frauduleusement l'identité de LuxTrust.

Une transaction peut avoir été réalisée au moyen d'un dispositif d'authentification forte sans que cela suffise, à lui seul, à établir que le payeur l'a effectivement autorisée au sens juridique.

L'article 72 de la directive européenne PSD2 prévoit précisément que l'utilisation enregistrée d'un instrument de paiement ne constitue pas nécessairement une preuve suffisante de l'autorisation de l'opération ni d'une fraude ou négligence grave du client.

Les articles 73 et 74 organisent, sous certaines conditions, le remboursement des opérations non autorisées et la répartition des pertes.

La distinction entre une opération réellement autorisée, une validation obtenue par manipulation et une opération exécutée sans consentement juridiquement valable est donc déterminante.

Elle doit être appréciée au regard des circonstances de chaque dossier.

De plus, l'article 2 du règlement délégué (UE) 2018/389 impose aux prestataires de services de paiement de disposer de mécanismes de surveillance des transactions destinés à détecter les opérations non autorisées ou frauduleuses.

La question n'est donc pas uniquement de savoir si l'authentification a fonctionné.

Elle consiste aussi à examiner si les mécanismes de surveillance ont correctement évalué les risques liés à l'opération.

Cette interrogation est d'autant plus pertinente que plusieurs victimes des escroqueries dites « LuxTrust » ont engagé ou annoncé des démarches judiciaires à l'encontre d'établissements bancaires luxembourgeois, contestant leur refus de responsabilité.

La détermination d'une responsabilité éventuelle relève naturellement de l'appréciation des juridictions compétentes.

Mais pour les professionnels de la Compliance, le débat révèle une évolution profonde : la preuve technique de l'exécution d'une opération ne règle pas nécessairement la question juridique de son autorisation ni celle de l'efficacité des contrôles qui l'entourent.

5. Le cadre réglementaire existe. La véritable difficulté est sa mise en œuvre.

Le Luxembourg ne part pas d'une page blanche.

La circulaire CSSF 12/552 établit un cadre exigeant en matière de gouvernance interne, de gestion des risques, de séparation des fonctions et de dispositifs de contrôle pour les établissements relevant de son champ d'application.

Depuis le 17 janvier 2025, le règlement DORA renforce les exigences de résilience opérationnelle numérique applicables aux entités financières concernées, notamment en matière de gestion des risques TIC et de supervision des prestataires technologiques.

Le règlement européen sur l'intelligence artificielle (AI Act) apporte quant à lui des exigences spécifiques, notamment en matière de contrôle humain pour les systèmes qualifiés d'IA à haut risque.

Son article 14 consacre le principe d'une supervision humaine effective, tandis que l'article 26 prévoit des obligations pour les déployeurs de ces systèmes, selon les dispositions applicables et leur calendrier de mise en œuvre.

Il serait néanmoins juridiquement incorrect de considérer que tout outil bancaire de détection de fraude constitue automatiquement un système d'IA à haut risque au sens de ce règlement.

Le RGPD ajoute également des garanties particulières concernant certaines décisions individuelles fondées exclusivement sur un traitement automatisé, lorsqu'elles produisent des effets juridiques ou affectent significativement les personnes concernées.

L'ensemble de ces textes fait apparaître une conviction réglementaire commune : la technologie doit rester gouvernée, contrôlable et proportionnée aux risques.

Mais disposer d'une politique, d'un comité, d'un modèle de risque et d'une procédure d'escalade ne suffit pas.

Une gouvernance efficace doit pouvoir démontrer comment une anomalie est identifiée, qui l'évalue, qui décide d'agir et dans quel délai.

La conformité documentaire et l'efficacité opérationnelle sont deux réalités distinctes.

6. Ce que les fonctions Compliance devraient désormais demander

À la lumière de ces événements, cinq questions mériteraient de figurer à l'ordre du jour des comités de risques, des fonctions Compliance et des conseils d'administration des établissements financiers luxembourgeois.

Première question : les contrôles détectent-ils des anomalies isolées ou des scénarios de fraude complets ?

Une succession d'opérations apparemment ordinaires peut devenir suspecte lorsqu'elle est analysée dans son ensemble.

Deuxième question : les collaborateurs bénéficiant d'accès sensibles font-ils l'objet d'une surveillance adaptée à leurs privilèges ?

La confiance institutionnelle ne saurait se substituer à des mécanismes proportionnés de ségrégation des tâches, de contrôle indépendant et de détection des abus d'habilitation.

Troisième question : les alertes sont-elles réellement exploitables ?

Un système générant des milliers d'alertes sans hiérarchisation suffisante peut produire une illusion de maîtrise des risques.

Quatrième question : les modèles d'IA font-ils l'objet d'une validation et d'une surveillance indépendantes ?

Performance, faux négatifs, faux positifs, dérive des modèles, qualité des données, traçabilité et capacité d'intervention humaine doivent être appréciés en fonction de la criticité des décisions concernées.

Cinquième question : l'organisation sait-elle démontrer pourquoi une opération a été autorisée malgré certains signaux de risque ?

Cette dernière question est essentielle.

Une institution doit pouvoir reconstituer les éléments déterminants d'une décision : données pertinentes, alertes générées, contrôles effectués, interventions humaines et justification de l'éventuelle absence de blocage.

Une telle traçabilité permet non seulement d'améliorer les dispositifs de prévention, mais également de soutenir une analyse juridique et réglementaire lorsque survient un incident.

7. La nouvelle frontière : passer d'une Compliance de conformité à une Compliance de responsabilité

Pendant longtemps, la maturité d'un dispositif de Compliance s'est largement appréciée à travers l'existence de politiques, de procédures, de contrôles et de reportings.

Ces éléments restent indispensables.

Mais l'automatisation croissante des opérations financières appelle une évolution supplémentaire.

La fonction Compliance doit désormais être capable d'interroger la logique des décisions technologiques, leurs limites, leurs conséquences et les responsabilités qu'elles impliquent.

Cela ne signifie pas que la Compliance doit devenir propriétaire de tous les risques technologiques ou se substituer aux équipes opérationnelles, aux fonctions Risk Management ou aux responsables informatiques.

Cela suppose, en revanche, une articulation beaucoup plus étroite entre ces acteurs, dans le respect de leurs responsabilités respectives et des principes d'indépendance des fonctions de contrôle.

L'objectif n'est pas d'accumuler de nouvelles validations.

Il est de s'assurer que chaque décision significative puisse être comprise, contestée lorsque cela est nécessaire et rattachée à un dispositif de gouvernance clairement identifiable.

Une décision peut être automatisée. La responsabilité de sa gouvernance, elle, ne disparaît pas.

Conclusion : le risque ne disparaît pas parce que la machine a dit oui

Il serait prématuré et injustifié de conclure à un lien opérationnel entre les escroqueries utilisant l'identité de LuxTrust et la fraude interne présumée révélée par la BCEE.

Les enquêtes et les procédures concernées doivent suivre leur cours.

En revanche, ces événements ont le mérite de placer une interrogation fondamentale au centre du débat luxembourgeois : les institutions financières maîtrisent-elles réellement les risques qui se situent à l'intersection de leurs systèmes, de leurs collaborateurs et de leurs processus de décision ?

L'intelligence artificielle peut apporter une réponse technologique particulièrement puissante à une partie de ce défi.

Elle peut accélérer la détection, améliorer la corrélation des signaux et renforcer la capacité des établissements à identifier des situations atypiques.

Mais elle introduit simultanément de nouvelles exigences de transparence, de validation, de surveillance et de responsabilité.

La prochaine génération de dispositifs de Compliance ne sera donc pas nécessairement celle qui produira le plus grand nombre d'alertes ou automatisera le plus de décisions.

Ce sera celle qui saura démontrer que les décisions importantes restent maîtrisées, que les anomalies sont effectivement traitées et que les responsabilités sont clairement attribuées.

Car dans une place financière de plus en plus automatisée, la véritable question n'est plus seulement de savoir si une machine peut prendre une décision.

C'est de savoir qui sera capable de la défendre lorsque cette décision aura eu des conséquences.