La commissaire de la SEC Hester Peirce a demandé le 23 septembre une refonte en profondeur du régime américain d'identification des clients, estimant que le cadre KYC et AML actuel collecte toujours plus de données tout en interceptant toujours moins de criminels — et que les preuves à divulgation nulle pourraient assurer la conformité sans collecte massive de données.

S'exprimant à la conférence SIFMA Digital Assets — un événement de la Securities Industry and Financial Markets Association, l'organisation professionnelle dont les membres, sociétés de valeurs mobilières et gestionnaires d'actifs, sont directement concernés par le régime de vérification des clients qu'elle a décrit — la défenseure des cryptomonnaies la plus connue de la Commission a exposé son argumentation dans des remarques publiées sur la salle de presse officielle de la SEC. Peirce, commissaire de la SEC depuis 2018, à la tête du Crypto Task Force de l'agence et longtemps surnommée « Crypto Mom » dans l'industrie, a déclaré que les superviseurs ont adopté une mentalité de « Data Go Up » — miroir de l'obsession du « Number Go Up » dans la crypto — dans laquelle chaque exigence de reporting supplémentaire est comptée comme un progrès, qu'elle freine ou non réellement la criminalité financière.

Une botte de foin plus grande, moins d'aiguilles

La métaphore de la botte de foin de Peirce allait droit à la logique du système : les régulateurs continuent d'accumuler un tas toujours plus grand de données civiles afin que les enquêteurs puissent finir par trouver quelques aiguilles criminelles, mais plus le tas grossit, plus il devient difficile d'isoler ces aiguilles.

Une grande partie de l'architecture qu'elle interroge trouve ses racines dans la loi : le Bank Secrecy Act de 1970 a créé l'ossature du reporting, et l'obligation d'identification des clients elle est arrivée via la section 326 du USA PATRIOT Act, adopté dans les semaines qui ont suivi les attentats du 11 septembre, avec des règles définitives publiées en 2003.

En vertu des règles du Customer Identification Program qui lient les banques et autres intermédiaires réglementés — des prêteurs aux réseaux de cartes comme Visa — chaque entreprise doit recueillir de manière indépendante le nom, la date de naissance, l'adresse et le numéro d'identification d'un client, puis surveiller continuellement les transactions et déposer des Currency Transaction Reports et des Suspicious Activity Reports.

Peirce s'est demandé si le coût de maintien de cette architecture de surveillance ne dépasse pas désormais sa valeur de prévention de la criminalité. Les dossiers des gens ordinaires reposent dans des bases de données exposées aux accidents, aux piratages et aux abus délibérés, souvent sans que la personne concernée ne sache jamais que la collecte a eu lieu, a-t-elle noté. Chaque copie dupliquée, a-t-elle averti, ajoute un nœud supplémentaire vulnérable, et les régulateurs revisite rarement la question de savoir si la justification initiale d'un point de données tient toujours.

Elle a présenté le choix comme une fourche : continuer d'étendre la collecte jusqu'à ce que l'infrastructure financière devienne un panoptique, ou adopter des outils cryptographiques qui réduisent l'empreinte des données tout en améliorant la détection de la finance illicite.

Les preuves à divulgation nulle comme voie de conformité

L'alternative esquissée par Peirce repose sur la cryptographie plutôt que sur la paperasse. Grâce aux attestations basées sur des attributs et aux systèmes de preuve à divulgation nulle — la famille de technologies pionnérisée par les chaînes axées sur la confidentialité telles que Zcash — un client pourrait prouver à une institution financière qu'il est majeur, citoyen d'un pays donné, investisseur qualifié, ou absent des listes de sanctions, sans renoncer au nom, aux revenus ou à l'adresse qui sous-tendent ces conclusions.

Selon son raisonnement, si la seule information dont une entreprise a réellement besoin est de savoir si une personne franchit le seuil d'investisseur qualifié qui régit les levées de fonds crypto privées dans le cadre d'un Simple Agreement for Future Tokens, collecter des documents d'identité complets pour obtenir cette réponse n'est plus techniquement nécessaire.

Elle a également attaqué les onboardings redondants. Hors exceptions étroites, les règles américaines obligent chaque entreprise supervisée à revérifier des clients déjà contrôlés ailleurs, ce qui signifie que le dossier sensible d'une même personne peut se retrouver dans des dizaines d'institutions. Permettre aux entreprises de s'appuyer sur une vérification existante d'une contrepartie réglementée de confiance, a-t-elle soutenu, améliorerait la vie privée tout en réduisant les budgets de conformité.

Peirce a en outre rejeté la prémisse selon laquelle les systèmes sans permission échapperaient à la surveillance. Un véritable réseau sans permission, tel qu'elle le définit, fonctionne sur du code automatisé et immuable, sans intermédiaire dépositaire des actifs des utilisateurs, et sa couche publique de smart contracts laisse des enregistrements permanents et auditables que des outils forensiques on-chain de plus en plus performants peuvent analyser — de sorte que l'absence d'intermire traditionnel ne signifie pas l'absence d'information de supervision.

Des remarques, pas encore des règles

Peirce a conclu en reliant son propos à l'exemption à l'innovation de la SEC, lancée moins d'une semaine plus tôt, indiquant que les titres tokenisés devraient pouvoir s'échanger sur des réseaux crypto et des teneurs de marché automatisés pendant que des règles durables sont élaborées — et que la tokenisation arrive, une évolution qu'elle souhaite voir se dérouler sur le territoire national plutôt que d'abord via les marchés étrangers.

Lue à partir du texte primaire sur la salle de presse de la SEC plutôt qu'à travers des résumés de seconde main, cette allocution est l'argument d'une commissaire, et non une procédure réglementaire : elle n'engage aucune entité et ne comporte aucune date d'entrée en vigueur, mais elle esquisse l'architecture de conformité que les régulateurs pourraient codifier. Transformer cette esquisse en règles contraignantes passerait par des processus formels de consultation publique, offrant aux banques, aux entreprises fintech et aux défenseurs de la vie privée une fenêtre définie pour débattre de la question de savoir si les attestations ZKP peuvent atteindre le niveau d'assurance du CIP. Pour le Bitcoin (BTC) et le marché au sens large, la trajectoire va d'une approche fondée d'abord sur l'application des règles vers une conformité crypto-native, où la cryptographie elle-même satisfait aux objectifs de supervision.

L'affirmation finale de Peirce — selon laquelle les Américains peuvent avoir à la fois sécurité et vie privée — redéfinit le KYC comme un choix de conception technique plutôt que comme une fatalité. Les indicateurs qui montreraient que l'argument passe du discours au texte réglementaire sont de nature procédurale plutôt que commerciale : une demande officielle de commentaires ou une table ronde du task force sur l'identité numérique. L'analyse de COINOTAG est que la pression en faveur d'un cadre intégrant le ZKP va désormais passer des discours à la voie réglementaire formelle que l'exemption est censée amorcer.

Source : Coinotag