La rapidité avec laquelle les fonds peuvent circuler sur les plateformes de jeux en ligne constitue à la fois l’un des principaux atouts de l’iGaming et l’une de ses vulnérabilités majeures en matière de criminalité financière. Dépôts instantanés, retraits rapides, multiplicité des moyens de paiement et accès transfrontalier imposent désormais aux opérateurs de disposer de dispositifs solides de Know Your Customer (KYC) et de lutte contre le blanchiment de capitaux et le financement du terrorisme (AML/CFT).
Dans un article publié le 7 août 2026, European Gaming revient sur les principales obligations qui structurent ces dispositifs en Europe et sur les évolutions réglementaires attendues avec l’entrée en application du nouveau règlement européen AML en juillet 2027.
KYC et AML : deux notions complémentaires mais distinctes
La première distinction fondamentale concerne le périmètre des contrôles.
Le KYC vise principalement à déterminer avec suffisamment de certitude l’identité réelle du joueur et à maintenir ses données à jour. Les opérateurs peuvent notamment recourir à des documents d’identité, à des bases de données électroniques fiables ou encore à des mécanismes de vérification biométrique.
L’AML couvre un périmètre beaucoup plus large. Il s’agit d’évaluer et de gérer le risque de criminalité financière pendant toute la durée de la relation avec le client. Cela implique notamment l’évaluation du risque client, la Customer Due Diligence, l’Enhanced Due Diligence lorsque le niveau de risque le justifie, le screening sanctions et PEP, la surveillance des transactions, la conservation des données, la formation des collaborateurs ainsi que le signalement des opérations suspectes.
Autrement dit, le KYC répond à la question « Qui est le client ? », tandis que l’AML cherche à déterminer « Quel risque représente-t-il et son comportement est-il cohérent avec ce que nous savons de lui ? ».
Pourquoi le secteur des jeux en ligne présente-t-il un risque particulier ?
Les plateformes de jeux peuvent être exploitées pour introduire, déplacer ou tenter de légitimer des fonds d’origine criminelle.
Plusieurs caractéristiques du secteur renforcent cette exposition : fréquence élevée des dépôts et retraits, utilisation de plusieurs comptes, environnement transfrontalier, recours aux portefeuilles électroniques, cartes prépayées, crypto-actifs ou paiements provenant de tiers.
Un scénario classique peut ainsi consister à déposer des fonds sur un compte de jeu, à réaliser une activité de jeu limitée puis à retirer rapidement l’argent. Les fonds peuvent alors acquérir artificiellement l’apparence de gains ou de revenus provenant d’une plateforme de jeu légitime.
La fragmentation des responsabilités entre opérateurs, plateformes technologiques et prestataires de paiement peut également créer des zones de faiblesse si chaque intervenant ne dispose que d’une vision partielle du comportement du client.
Un dispositif AML qui accompagne l’ensemble du cycle de vie du joueur
L’article insiste particulièrement sur le fait que la conformité AML ne doit pas être réduite à un contrôle effectué lors de l’ouverture du compte.
Elle doit accompagner l’intégralité de la relation client.
La première étape repose sur la vérification de l’identité et de l’âge du joueur. Les informations fournies doivent être confrontées à des sources fiables permettant d’établir que la personne utilisant effectivement le compte correspond à l’identité déclarée.
Les opérateurs doivent ensuite effectuer des contrôles concernant les sanctions internationales et les personnes politiquement exposées (PEP). Ces vérifications doivent être actualisées lorsque les listes officielles évoluent ou lorsque de nouvelles informations concernant le client apparaissent. Le statut de PEP ne signifie naturellement pas qu’une personne est impliquée dans une activité illicite, mais peut entraîner une augmentation du niveau de risque et des mesures renforcées.
Le risk scoring au cœur du dispositif
Les informations collectées lors de l’identification et du screening alimentent ensuite une évaluation individuelle du risque client.
Cette analyse doit être distinguée de l’évaluation globale des risques de l’établissement. Cette dernière examine notamment les marchés sur lesquels l’opérateur est actif, les produits proposés, les méthodes de paiement accessibles ou encore les zones géographiques couvertes.
Le customer risk assessment détermine quant à lui le niveau de vigilance qui devra être appliqué à chaque joueur.
Il s’agit d’un élément essentiel d’une approche véritablement fondée sur les risques : tous les clients ne doivent pas nécessairement faire l’objet du même niveau de contrôle, mais les clients et comportements les plus risqués doivent entraîner une vigilance proportionnellement renforcée.
Les seuils réglementaires ne doivent jamais remplacer l’analyse du risque
Les modalités de Customer Due Diligence diffèrent actuellement selon les juridictions.
En Grande-Bretagne, les opérateurs de jeux à distance doivent généralement vérifier l’identité du joueur avant qu’il puisse commencer à jouer. À Malte, certaines modalités permettent à un client considéré comme présentant un faible risque de commencer la relation avec des informations d’identification minimales, la CDD complète devant toutefois intervenir au plus tard lorsque certains seuils sont atteints.
L’article rappelle cependant un principe fondamental : un seuil financier constitue le dernier moment auquel les contrôles doivent être réalisés, et non une justification permettant d’attendre systématiquement ce seuil. Une suspicion, une incohérence d’identité ou un comportement inhabituel doit pouvoir déclencher les contrôles plus tôt.
Cette distinction est particulièrement importante sur le plan opérationnel : un dispositif AML efficace ne doit jamais reposer exclusivement sur une logique mécanique de seuils.
Ongoing Monitoring et Enhanced Due Diligence
Une fois le client onboardé, l’opérateur doit comparer régulièrement l’activité réelle observée avec le comportement attendu.
Les habitudes de jeu, les méthodes de paiement, les dépôts, les retraits et les mouvements financiers doivent ainsi pouvoir être analysés dans leur contexte.
Lorsque le niveau de risque augmente, les opérateurs peuvent mettre en œuvre une Enhanced Due Diligence (EDD) comprenant notamment des contrôles d’identité supplémentaires, une surveillance accrue, des validations par des niveaux hiérarchiques supérieurs et, lorsque cela est justifié, des investigations concernant la Source of Funds ou la Source of Wealth.
L’objectif n’est pas simplement de collecter davantage de documents, mais de répondre à une question précise : les fonds engagés et le comportement observé sont-ils cohérents avec le profil économique du client ?
Escalade et déclaration des soupçons
Lorsque les anomalies ne peuvent être raisonnablement expliquées, elles doivent être escaladées vers la fonction responsable de la lutte contre le blanchiment, généralement le Money Laundering Reporting Officer (MLRO) ou l’équivalent prévu par la législation locale.
Si les critères légaux de suspicion sont remplis, une Suspicious Activity Report (SAR) ou une Suspicious Transaction Report (STR) doit être transmise à la cellule nationale de renseignement financier compétente.
L’établissement peut parallèlement décider de renforcer la surveillance, limiter certaines opérations, refuser une transaction ou mettre fin à la relation.
L’article souligne également l’importance fondamentale de la traçabilité des décisions : les collaborateurs doivent être capables de démontrer les investigations réalisées, les éléments analysés et le raisonnement ayant conduit à la décision finale.
Les sanctions réglementaires révèlent souvent un écart entre politiques et pratiques
L’un des constats les plus intéressants concerne les défaillances identifiées par les autorités de supervision.
Dans de nombreux cas, les opérateurs disposent de politiques AML relativement détaillées, mais celles-ci ne sont pas correctement appliquées dans la pratique.
Les faiblesses observées concernent notamment des évaluations de risque incomplètes, des contrôles déclenchés trop tardivement, des investigations insuffisantes sur l’origine des fonds, une documentation déficiente des décisions ou encore des alertes automatisées qui ne font pas l’objet d’une analyse humaine suffisamment rigoureuse.
Cette problématique illustre un principe applicable bien au-delà du secteur de l’iGaming : un dispositif AML n’est efficace que si les contrôles décrits dans les procédures sont réellement exécutés, démontrables et documentés.
Ne pas confondre AML et protection du joueur
L’article attire également l’attention sur une distinction importante entre les contrôles liés à la criminalité financière et ceux destinés à protéger les joueurs contre les risques financiers ou l’addiction.
Une vérification de Source of Funds cherche à déterminer l’origine des fonds afin d’identifier un éventuel risque de blanchiment.
Une évaluation de la situation financière ou du caractère potentiellement problématique de l’activité de jeu poursuit une autre finalité : identifier un risque financier ou un comportement susceptible de porter préjudice au joueur.
Les informations utilisées peuvent parfois être similaires, mais les objectifs réglementaires restent différents. Une personne disposant de revenus parfaitement légitimes peut présenter des signes de difficultés financières, tandis qu’un client disposant d’un patrimoine important peut malgré tout utiliser des fonds provenant d’activités criminelles.
10 juillet 2027 : une étape majeure pour l’harmonisation européenne
Le paysage réglementaire européen va connaître une évolution importante avec l’entrée en application du Règlement (UE) 2024/1624, ou AML Regulation.
À compter du 10 juillet 2027, une grande partie des règles AML sera directement applicable dans les États membres de l’Union européenne.
Pour le secteur des jeux, le règlement introduira notamment des règles communes de Customer Due Diligence, d’ongoing monitoring ainsi qu’un seuil de 2 000 euros applicable aux mises, gains ou transactions liées.
Cette harmonisation ne supprimera toutefois pas toutes les spécificités nationales. Les licences, les modalités de supervision, les déclarations auprès des cellules de renseignement financier, les sanctions et certaines éventuelles exemptions continueront à relever en partie des dispositifs nationaux.
De la vérification d’identité à une véritable gestion dynamique du risque
L’enseignement principal de cette analyse est clair : dans l’iGaming moderne, la Compliance ne peut plus se limiter à vérifier une pièce d’identité lors de l’ouverture d’un compte.
Un dispositif efficace doit fonctionner comme un processus continu combinant identification, screening, risk scoring, transaction monitoring, EDD, investigation, escalation et reporting réglementaire.
La qualité du dispositif dépend donc moins du nombre de contrôles effectués que de leur cohérence tout au long du parcours du joueur.
Pour les opérateurs européens, l’enjeu des prochains mois sera double : maintenir des contrôles suffisamment efficaces pour identifier rapidement les comportements suspects tout en préparant leurs méthodologies, systèmes et procédures à l’harmonisation introduite par le règlement AML à compter du 10 juillet 2027.
Dans un secteur où les transactions peuvent être réalisées en quelques secondes, la Compliance doit désormais être capable d’évaluer le risque avec la même rapidité — sans sacrifier ni la qualité du jugement humain, ni la traçabilité des décisions.
