La Banque nationale d'Ukraine prépare des modifications aux règles de surveillance financière : les banques seront obligées de créer des profils de comportement individuels des clients et d'enregistrer automatiquement tout écart par rapport au schéma habituel. Un virement supérieur à la normale, une géographie de paiement inhabituellement, un nouveau contrepartie — tout cela serait soumis à un contrôle renforcé.
La logique du régulateur est compréhensible. L'Ukraine subit des pressions du GAFI et de l'UE concernant les normes de lutte contre le blanchiment de capitaux. La guerre à grande échelle a ajouté une dimension particulière : les schémas de financement souterrains, le contournement des sanctions, la sortie d'actifs. La détection des anomalies est un outil qui fonctionne vraiment dans ces conditions.
Mais l'architecture du système soulève des questions que la BNU n'a pas encore soulevées publiquement.
Premièrement, les critères « d'atypicité ». Qui détermine qu'un virement de 50 000 hryvnia à un parent dans une autre ville est une anomalie et non une aide ordinaire ? Si l'algorithme apprend à partir d'indicateurs moyens, il punira par définition ceux dont le comportement diffère de la majorité — les pigistes, les entrepreneurs, les personnes ayant des revenus irréguliers.
Deuxièmement, les conséquences de l'activation du système. Le blocage d'une opération, une demande de documents, un délai — pour une entreprise avec des délais serrés, cela pourrait signifier des pertes réelles. Le mécanisme de recours et les délais d'examen ne sont pas détaillés dans les matériaux publiés.
Troisièmement, l'accès aux profils. Le « profil d'activité habituel » est un ensemble structuré de données financières personnelles. L'ordre de leur stockage, de leur protection et de leur transmission à des tiers, notamment aux organismes chargés de l'application de la loi, nécessite un cadre normatif clair, qui n'existe actuellement pas.
Des systèmes similaires d'analyse comportementale fonctionnent depuis longtemps dans les banques de l'UE — mais ils existent dans un environnement RGPD avec des droits clairement définis des titulaires de données, une surveillance indépendante et un contrôle judiciaire. La version ukrainienne est pour l'instant un outil sans limites d'utilisation clairement définies publiquement.
La BNU a le droit de prendre cette mesure. Mais le mécanisme de protection du client contre les faux positifs sera-t-il aussi un développement aussi prioritaire que le mécanisme de surveillance lui-même — cela sera compris lorsque nous verrons le texte final de l'acte réglementaire, et non seulement son concept.
