Fraude bancaire : les banques françaises hésitent encore devant l’IA agentique

En 2025, les clients des banques françaises ont perdu 516 millions d’euros dans des escroqueries où ils ont eux-mêmes validé le paiement. La fraude par manipulation a bondi de 34 % en un an, selon l’Observatoire de la sécurité des moyens de paiement, et représente désormais 41,6 % de la fraude aux moyens de paiement. Face à cette menace, les établissements français partent avec un atout et un retard, d’après le Fraud Readiness Index 2026 publié le 8 octobre par Feedzai : leurs données sont parmi les mieux unifiées au monde, mais un sur cinq seulement a déployé ou testé des agents d’intelligence artificielle.

La victime valide elle-même le virement

La fraude classique recule. Le taux de fraude sur la carte est tombé à 47 euros pour 100 000 euros de paiements en 2025, son plus bas niveau historique, et la fraude au chèque a diminué de 16 %. Le nombre total d’opérations frauduleuses a baissé de 7,6 %, alors que les montants progressaient de 3,8 %.

La hausse vient presque entièrement des virements. Le faux conseiller bancaire, qui convainc sa victime au téléphone de « sécuriser » son argent, reste le scénario le plus répandu. Le virement de banque en ligne concentre les trois quarts de la fraude par manipulation, contre moins des deux tiers un an plus tôt, et le nombre de virements frauduleux de ce type a progressé de 182 % quand l’usage du canal n’augmentait que de 13 %. Le montant moyen d’un virement frauduleux atteint 1 457 euros, contre une soixantaine d’euros pour un paiement par carte en ligne.

Les institutions interrogées par Feedzai décrivent le même déplacement. 67 % d’entre elles placent les escroqueries au virement autorisé et l’ingénierie sociale parmi les trois types de fraude qui leur coûtent le plus. Les arnaques sont la première source de pertes dans dix des douze pays couverts par l’étude.

Des données réunies, des agents encore rares

En France, 58,3 % des institutions financières ont entièrement unifié leurs données entre la fraude, la lutte contre le blanchiment, la conformité et la cybersécurité, contre 41,2 % en moyenne mondiale. Ce décloisonnement permet de rapprocher une alerte de fraude d’un signal de blanchiment ou d’une intrusion informatique sur un même client.

L’avance s’arrête là. Seules 20 % des institutions françaises ont déjà déployé ou piloté des agents d’IA, ces programmes capables d’enchaîner des tâches sans intervention humaine à chaque étape. L’Allemagne se situe au même niveau, à 21,7 %. Le Royaume-Uni atteint 42,9 % et les États-Unis 58,2 %.

À l’échelle mondiale, 68 % des établissements testent ou utilisent l’IA agentique sur au moins trois cas d’usage. Le premier consiste à centraliser et exploiter des données internes et externes (67,7 %), devant la génération de règles de détection (52,2 %) et la conduite d’enquêtes de fraude de bout en bout (50,7 %). La France dispose donc du socle de données que ces usages exigent, sans l’avoir encore mis au service d’agents.

Treize points d’écart entre perception et capacités

Interrogés sur leur propre niveau de préparation, les dirigeants s’attribuent en moyenne 80,2 sur 100. Les capacités effectivement en place, mesurées par Feedzai sur quatre critères qui ne reposent pas sur l’autoévaluation, ressortent à 66,9. Seuls 25,5 % des établissements atteignent le niveau « avancé », fixé à 76 points ou plus ; 73 % se situent dans la catégorie intermédiaire.

Le frein le plus cité tient à l’organisation du travail. 73,4 % des répondants estiment que leurs analystes passent trop de temps à collecter des données à la main au lieu d’analyser les menaces. Les budgets ne manquent pas : 96 % des dirigeants prévoient d’augmenter leurs dépenses d’IA et de lutte contre la criminalité financière d’ici deux ans. « Les criminels ne ciblent pas une banque à la fois, l’industrie ne peut donc pas se défendre une banque à la fois », résume Nuno Sebastião, cofondateur et directeur général de Feedzai.

Bruxelles fera payer l’usurpation d’identité aux banques

La pression réglementaire va s’accentuer. L’accord provisoire conclu le 27 novembre 2025 sur le règlement européen sur les services de paiement (PSR) oblige le prestataire à rembourser intégralement un client lorsqu’un escroc s’est fait passer pour l’un de ses employés, à condition que la victime ait porté plainte et prévenu sa banque. Le texte généralise la vérification de concordance entre le nom du bénéficiaire et son IBAN, impose aux prestataires de partager entre eux les informations sur la fraude, et rend les plateformes en ligne redevables envers les banques lorsqu’elles n’ont pas retiré un contenu frauduleux signalé. Une période de transition d’environ 21 mois est prévue après l’adoption formelle.

Les banques semblent prêtes à ce partage : 87 % des institutions interrogées par Feedzai envisageraient d’échanger des renseignements sur la fraude avec d’autres établissements, concurrents directs compris. En France, l’Observatoire recommande déjà de renforcer la coopération avec les opérateurs téléphoniques, d’étudier un numéro unique de lutte contre la fraude et d’engager les plateformes numériques contre les faux comptes et les annonces frauduleuses. Il rappelle qu’« une banque n’a jamais besoin de demander à son client quelque manœuvre que ce soit ».

Une étude d’éditeur

Feedzai vend des outils d’IA de détection de la fraude et du blanchiment, et son indice débouche sur un outil d’autodiagnostic proposé aux banques à partir du 22 octobre. L’enquête repose sur 1 030 responsables de la lutte contre la fraude interrogés du 13 juillet au 4 août 2026 dans douze pays. L’infographie consacrée à la France ne précise pas le nombre de répondants français, ce qui invite à la prudence sur les écarts entre pays. Le communiqué avance par ailleurs un score global de 69,3, à côté de la moyenne mesurée de 66,9, sans expliquer la différence.

Les chiffres de l’Observatoire, issus des déclarations des établissements, confirment en revanche la tendance : la fraude passe du vol des moyens de paiement à la manipulation de leurs détenteurs.