Conseil sur crypto-actifs : ce que change la nouvelle doctrine de l’AMF pour les CIF.

Mots-clés. CIF, conseil en crypto-actifs, MiCA, PSCA, AMF DOC-2006-23.

De plus en plus de clients interrogent leur conseiller sur l’opportunité d’investir dans les crypto-actifs. Jusqu’à récemment, un Conseiller en investissements financiers (CIF) pouvait, dans certains cas, accompagner sur ce terrain de manière relativement souple. Ce n’est plus le cas.

Le 27 juillet 2026, l’Autorité des marchés financiers (AMF) a mis à jour sa position-recommandation DOC-2006-23, le document qui rassemble ses réponses aux questions récurrentes sur le régime des CIF, afin de préciser le périmètre du conseil en crypto-actifs.

Cette mise à jour intervient alors que le règlement MiCA, qui harmonise au niveau européen l’encadrement des crypto-actifs, est pleinement applicable et que la période transitoire ouverte aux anciens Prestataires de services sur actifs numériques (PSAN) s’est achevée le 1er juillet 2026.

Désormais, dès qu’un CIF franchit la ligne du conseil personnalisé sur crypto-actifs, il doit détenir un agrément de Prestataire de services sur crypto-actifs (PSCA). Reste à savoir où fixer cette frontière : c’est tout l’objet des précisions apportées par l’AMF.

Un statut de CIF qui ne couvre pas les crypto-actifs

Le statut de CIF, régi par les articles L. 541-1 et suivants du code monétaire et financier (CMF), autorise son titulaire à fournir un service de conseil en investissement. Ce service consiste à adresser à un client une recommandation personnalisée, c’est-à-dire un conseil présenté comme adapté à sa situation, portant sur une ou plusieurs transactions relatives à des instruments financiers (article D. 321-1, 5° du même code).

La notion d’instrument financier est ici décisive : elle recouvre notamment les actions, les obligations et les parts d’organismes de placement collectif (OPC), mais non les crypto-actifs. L’AMF le confirme expressément dans sa nouvelle question-réponse 2.5 du DOC-2006-23 : la prestation de conseil du CIF ne couvre ni les crypto-actifs, ni les services portant sur ceux-ci.

Cette limite tenait toutefois davantage du principe que de la pratique, car le statut de PSAN ouvrait une autre voie. Le PSAN, Prestataire de services sur actifs numériques, était le régime français qui encadrait ces acteurs avant MiCA, à l’époque où l’on parlait d’actifs numériques et non encore de crypto-actifs. Dans sa doctrine de 2022, l’AMF avait distingué deux situations :

  • lorsque le CIF était lui-même agréé comme PSAN pour le conseil aux souscripteurs d’actifs numériques, il exerçait cette activité sous les règles propres à ce service ;
  • à défaut, ce conseil était rattaché aux « autres activités de conseil en gestion de patrimoine » que le CIF peut exercer, et se trouvait alors soumis aux seules règles d’organisation et de bonne conduite du régime CIF.
    Dans les deux cas, le CIF pouvait, en pratique, conseiller ses clients sur les actifs numériques.

Ce dispositif reposait cependant sur un régime temporaire. Les PSAN enregistrés ou agréés en France avant le 30 décembre 2024, ou fournissant le service de conseil aux souscripteurs d’actifs numériques avant cette date, pouvaient poursuivre leur activité jusqu’à l’obtention ou le refus d’un agrément MiCA, et au plus tard jusqu’au 1er juillet 2026.

Cette échéance étant désormais dépassée, les repères posés en 2022 sont caducs.

Le conseil sur crypto-actifs relève dorénavant du seul régime PSCA institué par MiCA. Autrement dit, ce qui était admis hier au titre du statut de PSAN ou des activités de gestion de patrimoine ne l’est plus aujourd’hui sur ce seul fondement.

Un périmètre du conseil plus large sous MiCA

La difficulté ne tient pas seulement à l’exigence d’un agrément : elle tient aussi à la définition même du conseil retenue par MiCA, plus large qu’il n’y paraît.

Aux termes de l’article 3, paragraphe 1, point 24, du règlement MiCA, la fourniture de conseils en crypto-actifs s’entend du fait d’offrir, de donner ou d’accepter de donner des recommandations personnalisées à un client, soit à sa demande, soit à l’initiative du prestataire, concernant une ou plusieurs transactions relatives à des crypto-actifs ou l’utilisation de services sur crypto-actifs.

Cette définition dépasse celle du conseil en investissement au sens de la directive MIF 2, laquelle se limite aux transactions sur instruments financiers : elle y ajoute le conseil sur l’utilisation de services sur crypto-actifs, tels que la conservation ou la gestion de portefeuille. L’ESMA, l’autorité européenne des marchés financiers, l’a confirmé dans sa question-réponse du 18 juin 2026 (ESMA_QA_2882) : un simple service d’introduction, qui recommande un service ou un PSCA sans viser de transaction déterminée, peut déjà constituer un conseil, dès lors que la recommandation est personnalisée, qu’elle n’est pas exclusivement destinée au public et qu’elle s’adresse à un investisseur ou à son représentant. Seule échappe à cette qualification la simple référence à un PSCA, accessible de façon identique à tous les investisseurs potentiels.

L’AMF met en garde, dans ce contexte, contre un risque propre aux CIF qui orienteraient leurs clients vers un PSCA. La qualité même de CIF peut laisser croire au client que cette orientation procède d’une recommandation personnalisée fondée sur l’examen de sa situation, en particulier lorsque le conseiller a déjà recueilli des informations patrimoniales le concernant au titre d’une prestation de conseil en investissement. Le risque est alors celui d’une requalification en conseil sur crypto-actifs, activité pour laquelle le CIF n’est pas habilité.

Une clarification attendue par la profession

L’entrée en application de MiCA et la caducité des repères de 2022 laissaient les CIF sans doctrine actualisée, à un moment où le champ du conseil en crypto-actifs, plus large que celui du conseil en investissement, expose à un risque de requalification en cas de communication mal maîtrisée.

En complétant le DOC-2006-23 d’une nouvelle question-réponse, qui relaie la position de l’ESMA et l’illustre d’exemples non exhaustifs, l’AMF répond à ce besoin de sécurité juridique et indique certaines situations dans lesquelles un agrément PSCA est, ou n’est pas, nécessaire.

Ce que change concrètement la position de l’AMF

Pour tracer cette frontière, l’AMF raisonne à partir d’une distinction simple entre deux catégories de communications.
Les communications générales échappent au conseil en crypto-actifs. Il en va ainsi de l’information à visée pédagogique, des communications marketing adressées à un public indifférencié ou de l’orientation du client vers la liste blanche des PSCA autorisés publiée par l’AMF. Leur trait commun est de ne viser personne en particulier.

Les communications individuelles, adressées à un client déterminé, appellent davantage de prudence. Elles demeurent admises, mais à une double condition : qu’aucune recommandation personnalisée ne soit formulée, et que le CIF précise au client qu’il n’est pas habilité à recommander des crypto-actifs tout en le renvoyant vers la liste blanche de l’AMF. Sous cette réserve, sont notamment permises :

(1) la simple indication à un prospect, contre rémunération ou à titre gratuit, de l’existence d’un PSCA, avant toute étude patrimoniale ou toute collecte d’information sur sa situation personnelle ;

(2) la simple indication à un client, contre rémunération ou à titre gratuit, de l’existence d’un PSCA appartenant au même groupe que le CIF, dès lors que ce client est dûment et clairement informé de la nature de ce lien ;

(3) l’allocation d’actifs diversifiée pouvant inclure des crypto-actifs, sans recommandation portant sur un crypto-actif ou un service identifié ;

(4) les recommandations portant directement sur des instruments financiers, quand bien même ceux-ci seraient adossés à des crypto-actifs (FIA exposés aux crypto-actifs, titres de créance indexés), qui relèvent alors du conseil en investissement couvert par le statut de CIF.

Les voies ouvertes aux CIF

Pour aller au-delà de ces communications encadrées et délivrer une véritable recommandation personnalisée sur des crypto-actifs ou des services sur crypto-actifs, une seule voie demeure : l’obtention d’un agrément PSCA.

À la différence des prestataires de services d’investissement (PSI), les CIF ne peuvent l’obtenir par simple notification ; ils doivent déposer une demande d’agrément et ont intérêt à saisir l’AMF en amont.

La contrainte est toutefois calibrée : l’AMF précise qu’un agrément limité au seul service de conseil emporte des exigences proportionnées, sensiblement moins étendues que celles attachées à une demande couvrant également, par exemple, la conservation et l’administration de crypto-actifs pour le compte de clients.

Conclusion

La position de l’AMF ne modifie pas le droit applicable : elle en éclaire la mise en œuvre, la période transitoire ayant pris fin. Le point de vigilance est clair : à défaut d’agrément PSCA, seule une communication générale, ou une communication individuelle assortie des précisions requises, met le CIF à l’abri d’une requalification. La ligne de partage entre communication permise et conseil soumis à agrément demeure toutefois ténue et s’apprécie au cas par cas.

Les CIF dont l’activité tend vers un accompagnement récurrent sur les crypto-actifs ont donc intérêt à évaluer dès à présent l’opportunité d’un agrément PSCA limité au service de conseil, dont le formalisme demeure proportionné.

IA Act : de nouvelles obligations pour les employeurs

Résumé. Dans cet article, Allison BENICHOU CORCHIA analyse les nouvelles obligations imposées aux employeurs par le Règlement (UE) 2024/1689 du 13 juin 2024 sur l’Intelligence Artificielle (« IA Act »). Si l’échéance du 02 août 2026, initialement prévue pour la mise en conformité des systèmes d’IA à risque élevé, a fait l’objet d’un report au 02 décembre 2027 dans le cadre du paquet « Digital Omnibus » – dont l’adoption formelle par le Conseil est encore attendue -, cette date du 02 août 2026 demeure néanmoins déterminante.

Mots-clés. Intelligence Artificielle, IA Act, systèmes d’IA, sanctions.

Introduction

Dans cet article, Allison BENICHOU CORCHIA, Avocate Associée au sein du département social du Cabinet d&a partners, met en lumière une partie des nouvelles obligations pesant sur les entreprises à la suite de l’adoption du premier cadre juridique européen consacré à l’IA.

L’IA s’impose aujourd’hui dans de nombreux outils utilisés en entreprise : recrutement automatisé, évaluation des performances, analyse des données ou encore surveillance de l’activité des salariés. Si ces technologies peuvent permettre d’accroître grandement la productivité et d’assurer un gain considérables de temps, elles soulèvent également des enjeux juridiques majeurs, notamment en matière de protection des droits fondamentaux. Pour répondre à ces nouveaux défis, les députés européens adoptaient, le 13 mars 2024, le Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle (ci-après « IA Act »), instaurant ce faisant le premier cadre juridique harmonisé relatif à l’IA au sein de L’UNION EUROPEENNE.

L’IA Act, entré en vigueur le 01er août 2024, poursuit un objectif central : améliorer « le fonctionnement du marché intérieur et promouvoir l’adoption d’une Intelligence Artificielle axée sur l’humain et digne de confiance ». Son application est progressive : échelonnée depuis 2025, elle se poursuivra jusqu’en 2027, voire 2028 pour certains systèmes à haut risque.

Ce texte marque une étape importante : il impose désormais aux entreprises de nouvelles obligations, parfois méconnues, dès lors qu’elles utilisent des systèmes d’IA dans leur organisation. Sont sujettes aux règles établies par le Règlement, conformément à son article 3, « toute personne physique, morale, autorité publique, agence, utilisant sous sa propre autorité un système d’Intelligence Artificielle ». Le Règlement européen sur l’IA impose aux employeurs, en tant que déployeurs de systèmes d’IA, plusieurs obligations spécifiques.

Les employeurs, en tant que déployeurs de systèmes d’IA, sont ainsi soumis à plusieurs obligations spécifiques, notamment lorsqu’ils recourent à ces technologies dans le cadre du recrutement, de l’évaluation des performances, de la prise de décision concernant les salariés ou encore de la surveillance de l’activité des salariés.

Seront successivement abordées la classification des systèmes d’IA retenue par le Règlement (I), les obligations qu’il impose aux employeurs (II), avant d’envisager les risques en cas de non-conformité (III).

I/ Une approche fondée sur les risques : classification des systèmes d’IA

Le Règlement européen repose sur une approche graduée : plus l’usage d’un système d’IA est susceptible d’affecter les droits fondamentaux, plus les obligations qui en découlent sont exigeantes.

L’IA Act distingue ainsi quatre niveaux de risque, chacun entraînant des exigences spécifiques pour les employeurs qu’il convient de ne pas négliger et d’anticiper dès à présent.

1/ Les systèmes d’IA interdits

Depuis le 02 février 2025, les pratiques jugées inacceptables par l’IA Act sont prohibées. Huit pratiques sont ainsi interdites, parmi lesquelles les systèmes de notation sociale et la reconnaissance des émotions sur le lieu de travail (sauf pour des raisons médicales ou de sécurité).

2/ Les systèmes d’IA à haut risque

Ils regroupent notamment les outils d’évaluation des salariés, les dispositifs de recrutement automatisé, les systèmes de gestion algorithmique du travail ou encore ceux susceptibles d’influer sur la carrière ou le contrat d’un salarié.

3/ Les systèmes d’IA à risque limité

Ils sont soumis à des obligations de transparence, en raison des risques de manipulation ou de tromperie qu’ils présentent. Ils incluent les chatbots, les contenus générés par IA et les deepfakes : l’utilisateur doit être informé qu’il interagit avec une IA ou qu’un contenu a été généré artificiellement.

4/ Les systèmes d’IA à risque minimal

La plupart des IA entrent dans cette catégorie, comme les systèmes de recommandation, les filtres anti-spam ou les jeux-vidéos. Elles ne sont soumises à aucune obligation spécifique au titre du Règlement.

II/ Des obligations renforcées pour l’employeur

Au-delà de la classification des systèmes, l’IA Act impose aux employeurs un ensemble d’obligations transversales, dont certaines sont d’ores et déjà applicables.

La première obligation, en vigueur depuis le 02 février 2025, consiste à garantir un niveau suffisant de maîtrise de l’IA. L’article 4 du Règlement sur l’Intelligence Artificielle intitulé « Maîtrise de l’IA » pose ainsi une obligation générale de formation aux fournisseurs et déployeurs de systèmes d’IA. Il en résulte une obligation pour les entreprises de former les utilisateurs aux outils d’IA déployés en leur sein.

Le texte dispose en effet que « Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés ».

L’objectif est de s’assurer que toutes les personnes impliquées dans les systèmes d’IA au sein de l’entreprise disposent des compétences et des connaissances nécessaires pour prendre des décisions éclairées et utiliser ces systèmes de manière responsable.

L’IA Act prévoit de nouvelles obligations pour l’employeur, en fonction du niveau de risque du système d’IA.

Les systèmes à risque limité doivent respecter un principe de transparence et un principe d’information, consistant notamment à avertir les utilisateurs qu’ils interagissent avec une IA et à fournir des informations claires aux utilisateurs sur le contenu généré par l’IA.

Ont été qualifiés de systèmes à haut risque par l’IA Act : les outils de recrutement automatisé, les systèmes d’évaluation ou de notation des salariés, les outils de gestion algorithmique du travail ainsi que les outils de prise de décision affectant la carrière ou le contrat d’un salarié. En conséquence, ces systèmes devront répondre à des exigences strictes. Initialement fixée au 02 août 2026, l’entrée en application de ces obligations est en passe d’être reportée au 02 décembre 2027 dans le cadre du paquet « Digital Omnibus », dont l’adoption formelle par le Conseil est encore attendue à ce jour.

Ces systèmes devront faire l’objet d’une supervision humaine effective : conçus par le fournisseur pour permettre un contrôle humain (article 14 du Règlement), ils devront être surveillés, côté employeur, par des personnes disposant de la compétence, de la formation et de l’autorité nécessaires (article 26 du Règlement). Cette exigence s’articule avec l’article 22 du RGPD, qui encadre déjà les décisions entièrement automatisées produisant des effets juridiques à l’égard des salariés. L’article 26 du Règlement impose, en outre, à l’employeur-déployeur d’informer les travailleurs et leurs représentants avant la mise en service d’un système d’IA à haut risque sur le lieu de travail (paragraphe 7), ainsi que les personnes faisant l’objet d’une décision impliquant un tel système (paragraphe 11).

Ces exigences s’accompagnent d’obligations de traçabilité du fonctionnement et des données utilisées, de documentation et d’information des salariés et de leurs représentants.

III/ Les risques en cas de non-conformité à l’IA Act

L’IA Act ne se limite pas à poser un cadre théorique. Il prévoit également des sanctions financières particulièrement importantes en cas de non-respect des obligations qu’il édicte.

Les entreprises et autres opérateurs économiques qui développent, commercialisent ou utilisent des systèmes d’IA interdits s’exposent à des sanctions financières particulièrement sévères.

L’IA Act prévoit en effet des amendes administratives pouvant atteindre 35 millions d’euros ou, lorsque l’auteur de l’infraction est une entreprise, jusqu’à 7 % de son chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

Le non-respect des autres obligations instituées par le Règlement fait également l’objet de sanctions financières substantielles : l’article 99 du Règlement prévoit une amende pouvant aller jusqu’à 15 millions d’euros ou, pour une entreprise, jusqu’à 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant là encore retenu.

Pour les PME et les jeunes entreprises, bonne nouvelle, c’est, en revanche, le montant le plus faible qui s’applique.

Face à ces nouvelles exigences introduites par l’IA Act, les entreprises doivent ainsi adopter une démarche résolument proactive, afin de sécuriser leurs pratiques.

La première étape consiste à réaliser un audit précis des outils utilisés, afin d’identifier les systèmes d’IA présents dans l’entreprise et d’évaluer l’ampleur des obligations qui en découlent.

Il appartient ensuite aux employeurs d’évaluer les risques liés à leur utilisation, au regard de la classification retenue par le Règlement et de l’impact potentiel sur les droits des salariés.