L’échec du Sénat à faire avancer le CLARITY Act a laissé inchangées les exigences existantes en matière d’identification des clients, de lutte contre le blanchiment d’argent, de sanctions et de déclaration d’activités suspectes pour les entreprises crypto américaines concernées.
Fernando Castellanos, responsable mondial des actifs numériques et des banques sponsors chez Prove, a déclaré à crypto.news que le texte portait principalement sur la structure du marché et n’aurait pas remplacé les exigences du Bank Secrecy Act déjà imposées aux entreprises crypto concernées.
L’identification des clients, les vérifications de bénéficiaires effectifs, le filtrage des sanctions, les contrôles AML et la surveillance des activités suspectes restent en vigueur, selon Castellanos. Les entreprises crypto doivent également continuer à déposer les rapports requis lorsque leurs systèmes détectent une activité répondant aux normes de déclaration applicables.
« L’échec du vote ne modifie pas les obligations de conformité qui s’appliquent déjà aux entreprises crypto concernées », a déclaré Castellanos.
« La législation sur la structure du marché n’avait jamais vocation à supplanter le Bank Secrecy Act ; elle aurait clarifié quel régulateur en assurerait la supervision. »
Le 15 septembre, le Sénat a rejeté la clôture du débat sur la motion visant à examiner le H.R. 3633, la version de la Chambre des représentants du Digital Asset Market Clarity Act. Ce vote procédural infructueux a recueilli 49 voix pour et 50 contre, laissant la mesure à 11 voix du seuil des 60 nécessaires pour ouvrir le débat.
Le résultat ne constituait pas un vote final sur le texte lui-même. Sept sénateurs démocrates qui s’étaient opposés à la clôture ont ensuite qualifié l’issue de « pas la fin » et déclaré qu’ils restaient engagés dans des négociations bipartites. Aucun second vote n’a été programmé, bien que les sept démocrates aient rouvert les discussions tandis que les législateurs continuaient de s’opposer sur les dispositions éthiques couvrant les élus et leurs intérêts en actifs numériques.
Alors que le texte reste en suspens, Castellanos a indiqué que le transfert de fonds via des réseaux blockchain ne supprime pas la nécessité de déterminer qui contrôle un compte ou se trouve derrière une transaction. Le règlement plus rapide et les transactions difficiles à annuler laissent aux entreprises moins de temps pour identifier une fraude présumée ou une activité illicite.
« Si quoi que ce soit, cela relève le niveau d’exigence », a-t-il dit. « À mesure que les stablecoins et autres actifs numériques rendent les paiements plus rapides et plus difficiles à annuler, la fenêtre pour détecter un problème se réduit. »
Selon Castellanos, les entreprises doivent donc maintenir les contrôles d’identité et de risque après l’onboarding, au lieu de traiter la vérification comme une étape ponctuelle. Les changements dans le comportement du compte, l’activité du portefeuille ou les schémas transactionnels peuvent modifier le risque associé à un client existant.
Lorsque les banques sponsors évaluent une entreprise crypto, Castellanos a indiqué qu’elles examinent les contrôles sur l’ensemble du cycle de vie du client et des transactions. Les examens couvrent généralement la vérification des clients et des entreprises, la vérification des bénéficiaires effectifs, le filtrage des sanctions, la prévention de la fraude, le screening des portefeuilles et la surveillance des transactions.
Les banques recherchent également des preuves que chaque contrôle fonctionne dans des conditions d’exploitation réelles, au lieu de se fier uniquement à des politiques de conformité écrites ou à des tests menés avant le lancement. Castellanos a indiqué que des outils séparés peuvent créer des angles morts lorsque les données d’identité, de portefeuille et de transaction n’alimentent pas le même processus de gestion du risque.
« Une banque doit avoir l’assurance que vous savez qui se trouve derrière un compte ou un portefeuille, et que vous le verrez lorsque ce profil de risque changera. »
Dans le cadre proposé par le CLARITY Act, la supervision fédérale serait répartie entre la Securities and Exchange Commission et la Commodity Futures Trading Commission. Cette répartition placerait les commodities numériques éligibles et les intermédiaires enregistrés du marché spot sous la supervision de la CFTC, tout en préservant l’autorité de la SEC sur les securities et les transactions associées.
Une telle répartition permettrait de déterminer quel régulateur fédéral supervise certains actifs et activités, mais elle n’effacerait pas les couches distinctes de conformité. Les licences étatiques de transmission d’argent, les règles fédérales en matière de sanctions et les obligations existantes des institutions financières concernées pourraient toujours s’appliquer selon les services d’une entreprise et sa clientèle.
Pour les banques sponsors, des contrôles connectés aident à déterminer si un compte ou un portefeuille appartient toujours à la partie vérifiée et si l’activité ultérieure correspond à l’usage attendu du client. Castellanos a indiqué que les entreprises peuvent réduire les frictions pour les utilisateurs légitimes en combinant plusieurs signaux de risque au lieu de demander à répétition aux clients d’effectuer des vérifications isolées.
La vérification des portefeuilles auto-hébergés et de la finance décentralisée n’exige pas que des informations personnelles soient inscrites sur une blockchain publique, selon Castellanos. Les entreprises peuvent effectuer ces contrôles aux points où les sociétés régulées interagissent déjà avec les utilisateurs, notamment les rampes d’entrée fiat, les rampes de sortie, les interfaces applicatives et d’autres points d’accès.
Conserver les noms, pièces d’identité et autres données sensibles en dehors des registres publics évite d’exposer des informations qui ne pourraient pas être supprimées par la suite. Les entreprises régulées peuvent toujours conserver dans des systèmes contrôlés les enregistrements nécessaires au respect de leurs obligations.
Castellanos a indiqué que les contreparties n’ont pas non plus besoin de chaque information collectée lors de la vérification. Une entreprise peut n’avoir besoin que de la confirmation qu’un utilisateur a passé un contrôle d’identité, contrôle le portefeuille déclaré ou ne figure pas sur une liste de sanctions.
« Confirmer une assertion, plutôt que transmettre les données sous-jacentes, est ce qui permet aux entreprises de respecter leurs obligations sans placer d’informations personnelles on-chain ni forcer un logiciel open source à se comporter comme un intermédiaire conventionnel. »
Une telle approche sépare le code open source d’un protocole des obligations de conformité des entreprises régulées qui utilisent des interfaces ou des rails de paiement autour de celui-ci. Castellanos a déclaré que l’objectif n’est pas de traiter chaque portefeuille auto-hébergé comme un compte bancaire, mais d’établir suffisamment d’informations vérifiées autour d’une interaction régulée pour gérer les risques identifiés.
La proposition CLARITY abordait des questions connexes via des exemptions d’enregistrement pour certains développeurs de logiciels DeFi, fournisseurs de portefeuilles et opérateurs de validateurs. Son échec à avancer signifie que les entreprises doivent continuer à appliquer le droit existant pendant que le Congrès, la SEC et la CFTC examinent comment les services décentralisés s’inscrivent dans les règles financières américaines.
Les contrôles d’identité deviennent plus complexes lorsqu’un agent IA ouvre un compte, négocie des actifs ou initie un paiement pour une personne ou une entreprise. Castellanos a déclaré que les institutions doivent établir qui contrôle l’agent, qui a approuvé une action spécifique et ce que le logiciel est autorisé à faire.
Chaque question nécessite une vérification distincte. Vérifier la personne ou l’entreprise derrière un agent établit la responsabilité, tandis qu’un processus d’autorisation détermine si l’agent a la permission d’initier la transaction examinée.
Selon Castellanos, cette autorité devrait être limitée dans son périmètre, liée à une période définie et pouvoir être retirée. Les institutions devraient vérifier l’autorisation au moment où la transaction se produit au lieu de s’appuyer sur une approbation accordée antérieurement, en particulier lorsque le logiciel peut déplacer des fonds sans nouvelle intervention humaine.
La question est devenue plus immédiate à mesure que les plateformes crypto américaines ajoutent des outils pour la finance pilotée par des machines. En juin, le lancement de Coinbase for Agents a permis à des agents logiciels autorisés de trader des cryptos, gérer des portefeuilles, effectuer des paiements et accomplir des tâches financières via les comptes utilisateurs.
Coinbase a indiqué que les utilisateurs peuvent définir des règles pour le rééquilibrage de portefeuille, l’exécution des ordres et la gestion des positions. Son protocole x402 permet également aux agents de payer pour des données, de la recherche, des interfaces de programmation applicative et des services informatiques sans intervention humaine directe à chaque paiement.
Pour les institutions financières prenant en charge des services similaires, Castellanos a déclaré que l’autorisation doit relier la transaction à la personne ou à l’entreprise responsable. L’enregistrement doit identifier le mandant, l’agent, l’action approuvée et les limites appliquées au moment où la transaction a été initiée.
« À mesure que les agents commencent à interagir avec les systèmes financiers et à déplacer de l’argent de manière autonome, il doit exister une chaîne claire et vérifiable reliant la personne, l’entreprise, l’agent et la transaction », a-t-il déclaré.
Castellanos a indiqué que les institutions devront passer d’une vérification unique du client à un contrôle continu de l’autorité d’agir et de l’identité des fonds ou du compte qu’un agent IA utilise.
