KYA : Visa, Mastercard et Ant créent le standard identité IA

Ce qui s'est passé

Le 10 septembre 2026, trois géants mondiaux des paiements ont franchi une étape décisive vers la standardisation de l'économie agentique : Visa, Mastercard et Ant International — filiale financière d'Alibaba Group — ont officiellement annoncé leur collaboration sur le framework Know-Your-Agent (KYA). Cette initiative, développée dans le cadre de BuildFin.ai, une plateforme sectorielle convoquée par l'Autorité monétaire de Singapour (MAS), vise à créer une couche de confiance commune pour les agents IA qui effectuent des transactions financières au nom de consommateurs et d'entreprises.

Le contexte de cette annonce est celui d'une transformation structurelle en cours dans le commerce mondial. Les agents IA autonomes — des programmes capables de naviguer sur des sites marchands, de comparer des prix, de sélectionner des produits et de finaliser des achats sans intervention humaine directe — se multiplient à une vitesse que les infrastructures de paiement existantes n'étaient pas conçues pour gérer. La question centrale que le framework KYA cherche à résoudre est simple mais fondamentale : comment les réseaux de paiement peuvent-ils faire confiance à un agent IA et vérifier qu'il agit bien pour le compte d'un utilisateur légitime ayant donné son consentement ?

Le framework KYA repose sur trois éléments centraux. Premièrement, la traçabilité des opérateurs inter-réseaux (Cross-network Operator Traceability) : chaque agent IA doit être associé à un opérateur identifié qui peut être tracé quel que soit le réseau de paiement utilisé. Deuxièmement, des exigences de certification partagées (Shared Certification Requirements) : les agents doivent passer par un processus de vérification dont les critères sont harmonisés entre les trois réseaux. Troisièmement, la surveillance continue des transactions (Continuous Transaction Monitoring) : les comportements des agents sont analysés en temps réel pour détecter toute activité anormale ou non autorisée.

Chacune des trois entreprises a développé ses propres protocoles propriétaires qu'elle cherche désormais à aligner. Visa a déployé son Trusted Agent Protocol, un standard de vérification de l'identité des agents basé sur des attestations cryptographiques. Mastercard a lancé Verifiable Intent, un mécanisme permettant de vérifier que chaque action d'un agent correspond à une intention préalablement exprimée et consentie par l'utilisateur humain. Ant International a introduit son Agentic Mobile Protocol, optimisé pour les scénarios de commerce mobile et de paiements transfrontaliers en Asie.

L'objectif pratique du framework KYA est d'éliminer la friction liée au multi-enregistrement. Actuellement, si un agent IA développé par un éditeur logiciel souhaite opérer sur les réseaux Visa, Mastercard et Ant simultanément, il doit se conformer aux processus de vérification séparés de chacun — un investissement en temps et en ressources qui freine l'innovation. Avec KYA, Jiang-Ming Yang, directeur des systèmes d'information d'Ant International, a confirmé lors de l'annonce qu'un agent enregistré auprès d'Ant n'aurait plus besoin de se ré-enregistrer auprès de Visa ou de Mastercard.

La gouvernance du framework KYA est assurée par BuildFin.ai, dont le rôle est de maintenir des standards responsables pour l'IA dans les services financiers. La participation de la MAS en tant qu'organisateur de cette plateforme est significative : elle confère au framework une légitimité réglementaire et préfigure une possible adoption par d'autres régulateurs financiers en Europe, en Amérique du Nord et en Asie. Singapour s'impose ainsi comme un hub de normalisation pour l'IA financière, une position stratégique que le pays cultivait depuis plusieurs années.

Les projections des trois entreprises chiffrent à 3 000 à 5 000 milliards de dollars la valeur du commerce mondial qui pourrait être orchestrée par des agents IA d'ici 2030. Ces chiffres, bien que difficiles à vérifier indépendamment, traduisent la conviction des acteurs du secteur que les agents autonomes de shopping, de gestion budgétaire et de services financiers sont une tendance de fond irréversible. Dans cet environnement, l'absence de standards d'identification des agents crée un risque systémique : des transactions frauduleuses effectuées par des agents non vérifiés, des litiges impossibles à résoudre faute de traçabilité, et une érosion de la confiance des consommateurs dans l'économie agentique.

Le timing de cette annonce est délibéré. Plusieurs gouvernements, dont l'Union européenne via l'AI Act, commencent à s'interroger sur le cadre réglementaire applicable aux agents IA agissant en tant que mandataires économiques. En proposant un standard industriel avant que les régulateurs n'imposent le leur, Visa, Mastercard et Ant cherchent à influencer la forme que prendra cette réglementation — une stratégie bien rodée dans le secteur des paiements, qui a souvent préféré l'autorégulation à la contrainte législative.

Pourquoi c'est important

Le framework KYA représente la première initiative de standardisation à grande échelle pour ce qui sera probablement l'une des questions de sécurité les plus importantes de la décennie : comment authentifier et autoriser des agents IA qui agissent de manière autonome au nom de personnes humaines dans des transactions à enjeux financiers élevés. La question n'est pas théorique. Des agents de shopping IA existent déjà ; des services de gestion financière autonome sont en déploiement chez plusieurs fintechs ; et les assistants personnels des grandes plateformes tech intègrent progressivement la capacité à initier des paiements. Sans un framework d'identification commun, cet écosystème risque de se fragmenter en silos incompatibles.

Du point de vue de la cybersécurité, l'arrivée des agents IA dans les paiements introduit des vecteurs d'attaque inédits. Un agent IA compromis ou malveillant — qu'il s'agisse d'un agent développé par un acteur malveillant ou d'un agent légitime dont les instructions ont été manipulées par une attaque de type prompt injection — pourrait initier des transactions non autorisées à grande échelle, bien plus rapidement qu'un humain ne pourrait le détecter. Le composant de surveillance continue des transactions du framework KYA est donc moins un élément de conformité qu'un mécanisme de détection précoce des comportements anormaux.

Pour les entreprises européennes, le framework KYA anticipe par ailleurs les exigences que DORA et l'AI Act sont susceptibles d'imposer aux entités financières qui déploient des agents IA dans leurs processus de traitement des paiements. DORA impose déjà des exigences de résilience opérationnelle et de gestion des risques tiers qui s'appliquent naturellement aux agents IA gérant des transactions. L'AI Act, pour sa part, est susceptible de classer les systèmes d'IA utilisés dans la prise de décision en matière de crédit ou de paiements comme systèmes à haut risque, avec des obligations de documentation et de transparence correspondantes.

Enfin, la dimension géopolitique de cette initiative mérite attention. Le fait qu'Ant International — une entreprise chinoise — soit co-fondatrice d'un standard global de confiance pour les agents IA dans les paiements, sous la gouvernance de la MAS à Singapour, signale la montée en puissance des standards technologiques asiatiques dans la finance mondiale. Pour les acteurs européens et américains, cela soulève une question stratégique : vaut-il mieux participer à ces standards pour les influencer, ou développer des alternatives qui reflètent mieux les valeurs réglementaires occidentales (RGPD, AI Act, approche risk-based) ?

Ce qu'il faut retenir

• Le framework KYA introduit trois piliers pour la sécurité des paiements par agents IA : traçabilité inter-réseaux, certification harmonisée et surveillance continue des transactions.
• Un agent IA enregistré auprès d'un réseau pourra être reconnu par tous les membres du consortium sans re-enregistrement — une simplification majeure pour les développeurs d'agents IA commerciaux.
• Les RSSI et équipes conformité doivent anticiper les implications réglementaires (DORA, AI Act) de tout déploiement d'agents IA dans des processus de paiement ou de décision financière.