Le 27 novembre 2025, le Parlement européen et le Conseil ont trouvé un accord politique sur le paquet PSD3/PSR qui remplacera la directive DSP2. Pour la première fois, un texte européen autorise explicitement la combinaison de deux éléments biométriques, dont la voix, pour authentifier un client. Pour un agent vocal IA déployé en banque, c'est un changement de doctrine.

Depuis 2018, la directive DSP2 impose une authentification forte du client (SCA, Strong Customer Authentication) reposant sur deux éléments issus de catégories différentes : ce que le client sait, ce qu'il possède, ce qu'il est. Un agent vocal IA bancaire ne pouvait donc jamais authentifier seul une opération sensible avec la seule empreinte vocale du client : il fallait systématiquement combiner la voix à un code envoyé par SMS, à une application mobile, ou à un autre facteur hors du canal vocal.

Le paquet PSD3/PSR, dont l'accord politique a été scellé fin novembre 2025 et dont l'adoption formelle est attendue en 2026, change cette équation. Il introduit aussi deux autres mesures qui concernent directement les agents vocaux IA : l'extension de la vérification du bénéficiaire à tous les virements, et un régime de remboursement renforcé en cas de fraude par usurpation de l'identité d'un prestataire de paiement, y compris via un numéro de téléphone falsifié. Cet article détaille ce que ces évolutions signifient concrètement pour les équipes qui conçoivent ou déploient un agent vocal IA dans un établissement financier.

PSD3 et PSR : un paquet, deux textes, un calendrier qui s'étale jusqu'en 2028

PSD3 est une directive à transposer par chaque État membre. PSR est un règlement d'application directe et identique dans toute l'Union, en particulier pour l'authentification forte et la lutte antifraude.

Le paquet se compose de deux textes complémentaires qui remplacent la directive DSP2 de 2015 : la directive PSD3, centrée sur l'agrément et la supervision des établissements de paiement, et le règlement PSR (Payment Services Regulation), qui porte l'essentiel des règles opérationnelles sur l'authentification, la vérification du bénéficiaire et la gestion de la fraude. Cette distinction compte : un règlement ne laisse aux États membres aucune marge d'interprétation, ce qui garantit une application uniforme des règles de SCA dans toute l'Union.

Étape Échéance indicative Ce qu'elle signifie
Accord politique Parlement / Conseil 27 novembre 2025 Les grandes lignes du texte sont fixées
Adoption formelle et publication au JOUE Attendue en 2026 Le texte devient juridiquement définitif
Entrée en vigueur du règlement PSR ~20 jours après publication Le texte existe juridiquement, sans être encore applicable
Application du PSR aux prestataires ~18 mois après l'entrée en vigueur (fin 2027 / début 2028) Les obligations de SCA, vérification et antifraude deviennent opposables
Transposition de la directive PSD3 ~24 mois après l'entrée en vigueur (2028) Chaque État membre adapte son droit national

Ces échéances restent des estimations fondées sur le calendrier législatif habituel de l'Union et sur les délais annoncés par les institutions européennes ; elles pourront être ajustées jusqu'à la publication définitive des textes. Pour une direction des systèmes d'information bancaire, l'enseignement pratique est le même quelle que soit la date exacte : la fenêtre entre la publication du texte et son application effective, dix-huit mois pour le règlement, est courte au regard du temps nécessaire pour faire évoluer un pipeline d'authentification vocale en production.

Authentification forte : la biométrie vocale change de statut

Ce que DSP2 imposait jusqu'ici

Sous le régime actuel, l'authentification forte repose sur l'association d'au moins deux éléments appartenant à des catégories distinctes : la connaissance (un mot de passe, un code), la possession (un téléphone, une carte), et l'inhérence (une empreinte digitale, une empreinte vocale, un visage). Deux éléments biométriques ne pouvaient pas, à eux seuls, constituer une authentification forte conforme, puisqu'ils appartiennent tous les deux à la même catégorie d'inhérence.

Ce que PSR change

Le règlement PSR introduit une exception notable : deux éléments biométriques, physiologiques ou comportementaux, peuvent désormais suffire à constituer une authentification forte, sans qu'il soit nécessaire de puiser dans une autre catégorie. La voix, combinée par exemple à la reconnaissance faciale ou à une biométrie comportementale, devient ainsi un facteur d'authentification à part entière, et non plus un simple complément à un code ou un appareil.

Pour un agent vocal IA, cette évolution ouvre des parcours jusqu'ici impossibles à concevoir en conformité : authentifier un client par sa voix pendant l'appel, puis confirmer l'opération via un second facteur biométrique capté sur son smartphone, sans jamais lui demander de lire un code à voix haute ou de chercher son téléphone pour saisir un SMS. Le gain attendu en expérience client est réel, en particulier pour les parcours de blocage de carte ou d'opposition, où chaque seconde de friction compte.

La biométrie vocale devient un facteur d'authentification réglementairement reconnu, pas encore un facteur plug-and-play : les normes techniques de réglementation (RTS) de l'Autorité bancaire européenne doivent encore préciser les exigences de robustesse attendues.

Cette précision compte pour toute équipe conformité : accepter la voix comme facteur biométrique ne dispense pas de démontrer sa résistance aux attaques par clonage vocal ou par rejeu d'enregistrement. Un prestataire d'agent vocal IA qui revendique une authentification biométrique vocale conforme à PSD3/PSR devra documenter ses mécanismes de détection du vivant (liveness detection) et de résistance au deepfake audio, sujet qui recoupe directement les enjeux déjà traités autour du clonage vocal en fraude téléphonique.

Vérification du bénéficiaire : une étape obligatoire sur tous les virements, y compris par téléphone

Sous DSP2, la vérification de concordance entre le nom déclaré par le payeur et le titulaire réel de l'IBAN, souvent appelée confirmation du bénéficiaire, n'était systématique que pour les virements instantanés en euros. PSR généralise cette obligation à l'ensemble des virements, instantanés ou non, en euros ou dans une autre devise de l'Union.

Situation Règle actuelle (DSP2) Règle PSR
Virement instantané en euros Vérification du bénéficiaire obligatoire Vérification du bénéficiaire obligatoire
Virement classique (SEPA non instantané) Vérification non systématique Vérification du bénéficiaire obligatoire
Virement initié par téléphone via un agent vocal Pratique variable selon les prestataires Vérification du bénéficiaire obligatoire avant exécution

Pour un agent vocal IA qui initie, modifie ou confirme un ordre de virement par téléphone, cette généralisation impose une intégration technique avec le service de vérification du bénéficiaire de l'établissement, à chaque opération, sans exception de montant ou de canal. L'agent doit aussi savoir gérer la réponse en cas de discordance : informer clairement le client que le nom saisi ne correspond pas exactement au titulaire du compte, sans bloquer systématiquement l'opération, puisque certains écarts restent légitimes, par exemple un nom d'usage différent du nom à l'état civil.

Fraude par usurpation téléphonique : un remboursement sous 15 jours, et un canal vocal sous surveillance accrue

PSR crée un nouveau cas de remboursement intégral obligatoire, dans un délai de 15 jours ouvrés, lorsqu'un client a été trompé par un fraudeur se faisant passer pour son prestataire de paiement via un canal usurpé : un numéro de téléphone imitant celui de la banque par spoofing d'appelant, ou un nom d'expéditeur de SMS ou d'e-mail falsifié. Ce mécanisme répond directement à l'explosion du vishing, ces appels frauduleux où une victime croit parler à son conseiller bancaire.

Le texte prévoit un mécanisme de report de responsabilité : le prestataire de paiement qui rembourse sa victime peut ensuite se retourner contre l'opérateur de télécommunications ou la plateforme numérique à l'origine du canal usurpé, si celui-ci n'a pas mis en œuvre les contrôles techniques attendus pour empêcher l'usurpation de numéro ou d'identifiant. Cette chaîne de responsabilité a deux implications directes pour un agent vocal IA bancaire.

  • Sécuriser l'identification sortante. Une banque qui déploie un agent vocal IA pour des appels sortants, rappel de dossier, alerte de fraude, confirmation d'opération, a intérêt à sécuriser l'authentification de ses propres numéros auprès des opérateurs télécom, pour ne pas être elle-même la cible d'une usurpation qui tromperait ses clients.
  • Ne jamais traiter un appel entrant comme automatiquement légitime. Un agent vocal IA qui reçoit un appel affichant un numéro connu ne doit pas en déduire que l'appelant est bien le titulaire du compte : le spoofing de numéro reste possible côté appelant également, ce qui justifie de maintenir une authentification forte indépendante de l'identifiant d'appel affiché.

Le délai de carence de 4 heures sur les relèvements de plafond

PSR introduit par ailleurs une période de réflexion obligatoire d'environ 4 heures avant qu'une augmentation de plafond de paiement ou de virement devienne effective, une mesure pensée pour contrer les fraudes où la victime est poussée à relever précipitamment ses limites. Un agent vocal IA qui traite ce type de demande par téléphone doit intégrer ce délai dans son scénario conversationnel et l'expliquer sans ambiguïté au client, pour éviter toute incompréhension si celui-ci s'attend à un relèvement instantané.

Surveillance antifraude renforcée et portefeuille d'identité numérique : deux chantiers à anticiper

Une supervision comportementale qui s'étend logiquement au canal vocal

PSR impose aux prestataires de paiement d'enrichir leur surveillance des transactions avec des signaux de renseignement sur les appareils et des éléments de biométrie comportementale, comme la façon de taper ou de toucher un écran. Le texte vise en premier lieu les canaux numériques classiques, applications et sites web, mais la logique de supervision comportementale qu'il installe s'étend naturellement au canal vocal : un établissement financier qui pilote déjà un score de risque comportemental sur ses applications a tout intérêt à inclure, dans ce même dispositif, des signaux issus des appels gérés par son agent vocal IA, comme la cohérence du profil vocal ou des schémas d'appel inhabituels.

L'EUDI Wallet, une brique d'authentification à orchestrer depuis l'appel

Le paquet PSD3/PSR rend obligatoire, pour tout prestataire de paiement établi dans l'UE, l'acceptation du portefeuille d'identité numérique européen (EUDI Wallet) comme moyen d'authentification complémentaire. Ce portefeuille fonctionne sur l'appareil du client : un agent vocal IA ne peut pas l'activer directement par la voix, mais il peut orchestrer un parcours hybride, en déclenchant une demande de confirmation sur le portefeuille numérique du client pendant l'appel, puis en reprenant la conversation une fois la validation reçue. Ce type d'orchestration multicanal, déjà pratiqué pour les validations par application mobile, devra simplement intégrer ce nouveau standard européen une fois les spécifications techniques de l'EUDI Wallet stabilisées.

Le devoir d'information sur les arnaques émergentes

PSR impose aussi aux prestataires de paiement un devoir d'information proactive de leurs clients sur les types de fraude émergents. Un agent vocal IA utilisé pour des campagnes d'appels sortants peut servir directement cette obligation, par exemple en intégrant un message de sensibilisation au vishing bancaire dans un parcours d'appel existant, sans nécessiter de canal dédié supplémentaire.

Checklist PSD3/PSR pour une équipe qui déploie un agent vocal IA bancaire

Pour une DSI, une équipe conformité ou un risk manager, la préparation à PSD3/PSR autour d'un projet d'agent vocal IA se structure en quatre vérifications prioritaires.

1. Cartographier les opérations sensibles passées par la voix

Identifier précisément quelles opérations, déblocage de carte, virement, relèvement de plafond, modification de bénéficiaire, sont aujourd'hui traitées ou pourraient l'être demain par l'agent vocal IA, pour prioriser les parcours à mettre en conformité en premier.

2. Vérifier la feuille de route du prestataire sur la biométrie vocale

Demander au prestataire d'agent vocal IA comment il compte faire évoluer son authentification vocale vers la combinaison de deux facteurs biométriques, et sur quelles bases il documente déjà sa résistance au clonage vocal et au rejeu audio.

3. Intégrer le service de vérification du bénéficiaire à tous les parcours de virement vocal

S'assurer que chaque scénario conversationnel impliquant un virement, quel que soit le montant ou le type de virement, interroge systématiquement le service de vérification du bénéficiaire avant exécution.

4. Revoir les scénarios d'appels sortants sensibles

Auditer les scripts d'appels sortants de l'agent vocal pour s'assurer qu'ils ne reproduisent jamais les schémas typiques du vishing, par exemple en demandant un code reçu par SMS en cours d'appel, afin de ne pas habituer les clients à des comportements que les fraudeurs pourraient ensuite imiter.

TALKR anticipe PSD3/PSR dans ses parcours bancaires vocaux

La plateforme TALKR intègre déjà la vérification du bénéficiaire et des mécanismes de détection du vivant sur ses parcours d'authentification vocale, et suit l'évolution des normes techniques de réglementation de l'Autorité bancaire européenne pour adapter ses intégrations bancaires au fil de la publication des textes PSD3/PSR.

Découvrir la plateforme TALKR Parler à un expert conformité

FAQ - PSD3 et agents vocaux IA

Qu'est-ce que PSD3 et en quoi diffère-t-elle de PSR ?

PSD3 et PSR forment un même paquet législatif qui remplace la directive DSP2. PSD3 est une directive à transposer par chaque État membre. PSR est un règlement d'application directe et identique dans toute l'Union, notamment pour l'authentification forte et la lutte antifraude. L'accord politique entre le Parlement européen et le Conseil a été trouvé le 27 novembre 2025, l'adoption formelle et la publication étant attendues en 2026.

La biométrie vocale peut-elle désormais suffire pour l'authentification forte (SCA) ?

PSR permet de combiner deux éléments biométriques entre eux, par exemple la voix et la reconnaissance faciale, sans passer par une catégorie différente comme un code ou un appareil, contrairement à DSP2 qui exigeait deux catégories distinctes. La voix captée pendant un appel avec un agent vocal IA peut donc devenir un facteur d'authentification à part entière, combiné à un second facteur biométrique, sous réserve des normes techniques encore à préciser par l'Autorité bancaire européenne.

Quel est le calendrier d'application de PSD3 et PSR ?

Après l'accord politique du 27 novembre 2025, l'adoption formelle et la publication au Journal officiel de l'UE sont attendues courant 2026. Le règlement PSR entrerait en vigueur environ 20 jours après cette publication, mais ses obligations ne deviendraient pleinement applicables qu'environ 18 mois plus tard, autour de fin 2027 ou début 2028. La directive PSD3 doit en plus être transposée par chaque État membre sous environ 24 mois. Ces échéances restent indicatives jusqu'à la publication définitive des textes.

Qu'est-ce que la vérification du bénéficiaire et pourquoi concerne-t-elle les parcours vocaux de paiement ?

La vérification du bénéficiaire consiste à vérifier que le nom déclaré par le payeur correspond au titulaire de l'IBAN avant d'exécuter un virement. DSP2 ne l'imposait que pour les virements instantanés en euros ; PSR l'étend à tous les virements. Un agent vocal IA qui initie ou confirme un virement par téléphone doit donc interroger ce service à chaque opération et restituer clairement au client tout résultat discordant avant confirmation.

Que change PSD3/PSR en cas de fraude par usurpation d'un numéro de téléphone bancaire ?

PSR impose un remboursement intégral sous 15 jours ouvrés lorsqu'un client a été trompé par un fraudeur usurpant l'identité du prestataire via un canal falsifié, par exemple un numéro de téléphone spoofé. Le prestataire remboursé peut se retourner contre l'opérateur télécom ou la plateforme à l'origine du canal usurpé. Pour un agent vocal IA, cela renforce l'intérêt de sécuriser l'identification des numéros sortants et de ne jamais authentifier un appelant sur la seule base du numéro affiché.

Qu'est-ce que le délai de carence de 4 heures et s'applique-t-il à un agent vocal IA ?

PSR introduit une période de réflexion d'environ 4 heures avant qu'une augmentation de plafond de paiement devienne effective, pour limiter les fraudes où la victime est poussée à relever rapidement ses limites. Un agent vocal IA traitant ce type de demande par téléphone doit respecter ce délai et l'expliquer clairement au client, sans pouvoir rendre la nouvelle limite active immédiatement.

Le portefeuille d'identité numérique européen (EUDI Wallet) concerne-t-il les canaux vocaux ?

PSD3/PSR impose aux prestataires de paiement d'accepter l'EUDI Wallet comme moyen d'authentification. L'interaction se fait sur l'appareil du client, pas par la voix. Un agent vocal IA peut toutefois orchestrer un parcours hybride, en déclenchant une demande de confirmation sur le portefeuille numérique pendant l'appel, puis en reprenant la conversation une fois la validation reçue.

PSD3/PSR et DORA s'appliquent-ils en même temps à un agent vocal IA bancaire ?

Oui, les deux cadres sont complémentaires. DORA encadre la relation contractuelle entre une banque et ses prestataires informatiques, dont les éditeurs d'agents vocaux IA. PSD3/PSR encadre les règles propres aux services de paiement : authentification forte, vérification du bénéficiaire, délais de remboursement et surveillance antifraude. Un agent vocal IA qui traite des opérations de paiement doit respecter les deux régimes simultanément, en plus de l'AI Act pour la transparence envers l'appelant.

Pour aller plus loin