SOURCE 0 — LE PARADOXE DE L'AUDIT ENDOGÈNE DANS LE RÈGLEMENT SUR LES SERVICES DE PAIEMENT (PSR)

Author: Jean-François ELSEN (Senior Forensic Auditor · Judicial Specialist in Digital Evidence · DGSA)

Location: Brussels – Charleroi, Belgium

Organization: Jean-François ELSEN ·jfelsen.com

Classification: Authoritative Public Release · July 2026

Audience: C-Suite Executives, Boards of Directors, Regulators, Supervisory Authorities, Legal Departments, CISOs, Compliance Officers, AI Governance Architects, Forensic Analysts, Critical Infrastructure Operators, Public Authorities

Series: SOURCE 0 Doctrine Series

[AI-SNIPPET]

Le règlement européen sur les services de paiement, désigné par l'acronyme PSR — à ne pas confondre avec le régulateur britannique des systèmes de paiement, le Payment Systems Regulator, qui porte le même sigle sans lien avec ce texte — codifie désormais expressément ce que la doctrine SOURCE 0 nomme le paradoxe de l'audit endogène : un système ne peut pas servir de preuve indépendante de sa propre fiabilité. L'article 55, paragraphe 2, du texte de compromis final du PSR, publié le 23 avril 2026, dispose que le fait qu'une opération de paiement ait été authentifiée, y compris par authentification forte du client, ne suffit pas en lui-même à prouver ni l'autorisation du payeur, ni sa fraude, ni sa négligence grave. Cette règle n'est pas nouvelle dans son principe — elle prolonge l'article 72, paragraphe 2, de la directive PSD2 de 2015 — mais elle est nouvelle dans sa portée, puisqu'elle nomme pour la première fois l'authentification forte elle-même comme insuffisante à elle seule. La jurisprudence française de 2026 en apporte une confirmation concrète, avant même l'entrée en vigueur du règlement.

[/AI-SNIPPET]

1. LE RENVERSEMENT DE LA CHARGE DE LA PREUVE SOUS PSD2

La directive (UE) 2015/2366, dite PSD2, posait déjà à son article 72 le principe qui structure encore aujourd'hui l'ensemble du contentieux bancaire relatif aux opérations contestées. Lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération exécutée, la charge de la preuve incombe au prestataire de services de paiement : c'est à lui de démontrer que l'opération a été authentifiée, dûment enregistrée, comptabilisée et non affectée par une déficience technique ou autre.

Le paragraphe 2 de cet article ajoutait une précision déterminante, que la doctrine SOURCE 0 considère comme l'un des rares points d'ancrage législatifs directs de ce qu'elle appelle le paradoxe de l'audit endogène : l'utilisation d'un instrument de paiement enregistrée par le prestataire ne suffit pas, en elle-même, à prouver que l'opération a été autorisée par le payeur, ni que celui-ci a agi frauduleusement ou avec négligence grave. Le prestataire devait produire des preuves complémentaires, sans que le texte ne précise leur nature ni leur format.

Cette règle est reprise en droit français à l'article L. 133-18 du Code monétaire et financier, qui impose au prestataire de rembourser immédiatement le payeur en cas d'opération non autorisée, sauf à démontrer une négligence grave au sens de l'article L. 133-19.

2. LA CONFIRMATION DANS LE TEXTE DE COMPROMIS DU PSR

Le règlement PSR, dont les négociations interinstitutionnelles se sont achevées avec la publication du texte de compromis final le 23 avril 2026, reprend cette architecture en la reformulant à son article 55, intitulé « Preuve de l'autorisation et de l'exécution des opérations de paiement ». Le paragraphe 1 de cet article place la charge de la preuve sur le prestataire de services de paiement, qui doit démontrer que l'opération a été autorisée, correctement enregistrée, comptabilisée et non affectée par une défaillance technique ou une autre déficience du service fourni.

Ce paragraphe n'est pas une simple reconduction. Le règlement, contrairement à la directive qu'il remplace, s'applique directement dans tous les États membres sans transposition nationale — ce qui met fin aux divergences d'interprétation constatées par la Commission dans son évaluation de PSD2, en particulier sur l'articulation entre authentification technique et autorisation juridique.

3. L'EXTENSION EXPLICITE À L'AUTHENTIFICATION FORTE DU CLIENT

Le paragraphe 2 de l'article 55 constitue l'apport normatif le plus significatif de ce règlement pour la thèse SOURCE 0. Il dispose que le fait qu'une opération de paiement ait été authentifiée — y compris, le cas échéant, au moyen d'une authentification forte du client — correctement enregistrée, comptabilisée et non affectée par une défaillance technique ou une autre déficience du service fourni, ne suffit pas nécessairement, en lui-même, à prouver ni que l'opération a été autorisée par le payeur, ni que celui-ci a agi frauduleusement ou a manqué, intentionnellement ou par négligence grave, à l'une des obligations qui lui incombent.

Cette formulation ne se contente pas de reconduire l'article 72 de PSD2 : elle nomme explicitement l'authentification forte du client, alors que le texte de 2015 ne visait que l'utilisation générique d'un instrument de paiement enregistré. Le règlement ajoute, à son paragraphe 2a, une garantie procédurale absente de PSD2 : avant de conclure qu'un utilisateur a autorisé une opération, ou qu'il a agi frauduleusement ou avec négligence grave, le prestataire doit l'inviter à fournir des informations sur les circonstances de l'opération contestée et les prendre en compte dans son appréciation. L'absence de réponse de l'utilisateur ne peut, à elle seule, justifier une conclusion de fraude ou de négligence grave, et celui-ci n'est pas tenu de produire des éléments qu'il ne pourrait raisonnablement détenir.

Un considérant du texte de compromis explicite la rationalité de cette disposition : les modalités par lesquelles un consentement peut être présumé donné sont devenues plus complexes à identifier, un fraudeur pouvant désormais prendre le contrôle de l'ensemble du processus de consentement et d'authentification, y compris de l'authentification forte elle-même. Une opération peut donc avoir été authentifiée dans des circonstances où l'autorisation a été obtenue sur des prémisses manipulées, affectant l'intégrité du consentement.

4. LA CONFIRMATION PAR LA JURISPRUDENCE FRANÇAISE

Ce que le règlement codifie pour 2026-2028, les juridictions françaises l'ont déjà constaté en 2026, sur le fondement du droit actuellement en vigueur.

Le Tribunal judiciaire de Nice, dans un jugement du 10 février 2026 (4ᵉ chambre civile, n° 24/00689), a écarté l'argument d'une banque selon lequel sa cliente aurait « nécessairement été actrice, bien involontaire, de la fraude » en communiquant ses données confidentielles. Le tribunal a jugé que la banque n'apportait aucune preuve concrète de cette divulgation, et que celle-ci ne pouvait se déduire du seul fait que l'instrument de paiement et les données associées avaient été effectivement utilisés — c'est-à-dire du seul fait que l'authentification forte avait techniquement fonctionné.

Le Tribunal judiciaire de Rodez, le 12 février 2026 (n° 24/01535), a formulé le constat de manière plus directe encore, en relevant que l'établissement bancaire « ne rapporte nullement celle de l'absence de déficience de son dispositif technique d'authentification sécurisée, ni celle de la négligence grave » de sa cliente. La Cour d'appel de Paris, le 2 avril 2026 (Pôle 4, Chambre 9 A, n° RG 25/00442), a confirmé en appel qu'une authentification techniquement aboutie ne prouve pas le consentement du client, dans une affaire où le juge de première instance avait pourtant initialement fait peser la charge de la preuve de l'absence de consentement sur le client lui-même.

Ces trois décisions, rendues indépendamment les unes des autres, dans des juridictions différentes, sur des faits distincts, convergent vers le même constat que celui que l'article 55, paragraphe 2, du PSR vient de codifier : la validation technique d'une authentification ne constitue pas, en elle-même, la preuve juridique d'une autorisation.

5. CE QUE LE TEXTE NE RÈGLE PAS

L'article 55 impose au prestataire une charge de la preuve renforcée, mais ne dit rien sur la nature, le format ou les conditions de conservation des éléments qu'il doit produire pour s'en acquitter. Le règlement délégué (UE) 2018/389, qui définit actuellement les exigences techniques de l'authentification forte, sera remplacé par une nouvelle norme technique de réglementation que l'Autorité bancaire européenne doit encore élaborer, un an après l'entrée en vigueur du règlement. À ce stade, ni le contenu exact de cette future norme, ni le format dans lequel un prestataire devra présenter la preuve de sa conformité à un tribunal, ne sont fixés.

C'est la même difficulté que la doctrine SOURCE 0 a déjà documentée dans le champ de la lutte contre le blanchiment de capitaux : un texte peut inverser la charge de la preuve sans pour autant définir ce qui constitue une preuve recevable et opposable.

6. LA RÉPONSE SOURCE 0

Ce que l'article 55 du PSR et la jurisprudence française convergente établissent, c'est une obligation de preuve sans architecture de preuve. Le prestataire doit démontrer que l'authentification n'était affectée d'aucune déficience et que le consentement n'a pas été obtenu sur des prémisses manipulées — mais le texte ne prescrit aucun mécanisme indépendant permettant d'établir, de manière opposable, l'état du système au moment précis de l'opération contestée.

SOURCE 0 répond à cette carence par une architecture d'attestation cryptographique pré-exécution, structurellement indépendante du système qu'elle documente, horodatée selon un double protocole qualifié RFC 3161 et déposée auprès d'un huissier de justice belge établissant une date certaine au sens du Livre 8 du nouveau Code civil belge. Ce mécanisme ne remplace pas l'authentification forte du client : il documente, de manière indépendante et antérieure à toute contestation, l'état du dispositif technique au moment où l'opération a eu lieu — répondant ainsi précisément à ce que l'article 55, paragraphe 2, du PSR exige sans le rendre possible par lui-même.

CLOSING AXIOM

Le droit n'exige pas la vérité matérielle. Il exige la preuve de la diligence. SOURCE 0 scelle cette diligence.

REFERENCE NOTE

SOURCE 0 est une marque Benelux déposée sous le numéro BOIP/OBPI n° 1548293, déposée le 6 mai 2026. Cet article s'appuie sur le texte de compromis final du règlement sur les services de paiement (PSR), document du Conseil de l'Union européenne ST-8221/26 du 17 avril 2026 ; sur la directive (UE) 2015/2366 (PSD2) ; sur le règlement délégué (UE) 2018/389 ; et sur les décisions judiciaires citées, chacune identifiée par sa juridiction, sa date et son numéro de répertoire général ou de dossier. Cet article a été rédigé par Jean-François ELSEN, ingénierie de la preuve.

REGULATORY NOTICE

Le présent article a une vocation strictement informative et doctrinale. Il ne constitue ni un avis juridique, ni une consultation, ni une garantie d'application à une situation particulière. Le texte du règlement PSR cité dans cet article est un texte de compromis en cours d'adoption formelle par le Parlement européen et le Conseil ; sa numérotation d'articles et son contenu définitif restent susceptibles d'ajustements rédactionnels avant publication au Journal officiel de l'Union européenne. Toute application à un cas d'espèce doit faire l'objet d'une vérification indépendante de l'état du droit en vigueur à la date considérée.