Guide
Plateforme RegTech, KYC et AML aux EAU : règles d'externalisation
La réponse courte
Une plateforme RegTech, KYC ou AML n'est généralement pas licenciée en tant que telle. La société s'immatricule de la manière ordinaire, auprès du Dubai Department of Economy and Tourism (DET), d'une free zone ou d'une autorité de free zone financière. C'est le client qui change la donne. Dès lors qu'un établissement financier licencié s'appuie sur la plateforme pour ses contrôles AML/CFT, le régulateur de cet établissement qualifie le dispositif d'externalisation et tient l'établissement, et non le prestataire, pour responsable. Ce régulateur peut être la Central Bank of the UAE (CBUAE), la Dubai Financial Services Authority (DFSA, DIFC), la Financial Services Regulatory Authority (FSRA, ADGM), la Capital Market Authority (CMA, anciennement Securities and Commodities Authority) ou la Virtual Assets Regulatory Authority (VARA, Dubaï). La question qui détermine la voie à suivre est de savoir si la plateforme se contente de fournir un logiciel, ou si elle prend aussi la décision : clôturer une alerte, classer un dossier, déposer une déclaration.
Qui décide, et sur quoi repose le périmètre
Aucun régulateur des UAE ne délivre de « licence RegTech ». L'activité commerciale relève du DET ou d'une free zone. Le poids réglementaire relève de l'autorité qui supervise l'acheteur : une banque ou une maison de change dépend de la CBUAE, une société du DIFC de la DFSA, une société de l'ADGM de la FSRA, une société des marchés de capitaux de la CMA, un prestataire de services d'actifs virtuels de VARA. Chacune attend de son entité licenciée qu'elle exerce une diligence raisonnable sur toute fonction externalisée et qu'elle conserve des droits d'audit sur le prestataire. La plateforme est rarement la partie réglementée ; c'est le contrat qui rend le client responsable à son égard que ces régulateurs finiront par demander à voir.
Séparément, et quel que soit le régulateur financier applicable, la loi fédérale sur la protection des données personnelles (Personal Data Protection Law) couvre le traitement des données personnelles « en tout ou en partie par des systèmes électroniques, à l'intérieur ou à l'extérieur du pays ». Elle interdit le traitement sans le consentement du titulaire, sous réserve d'exceptions limitées, et donne aux personnes un droit de corriger ou de restreindre le traitement de leurs données. Une plateforme qui traite des passeports, des selfies ou des historiques de transactions traite des données personnelles au sens de cette loi, quelle que soit la façon dont elle est agréée.
Ce que l'équipe de conformité d'un acheteur vérifie réellement
C'est la diligence d'achat, et non la constitution de société, qui fait échouer les ventes RegTech. Un acheteur réglementé veut voir :
- D'où proviennent les données sous-jacentes et si la plateforme dispose de droits durables pour les utiliser
- Si une personne examine les dossiers contestés, ou si le modèle décide seul
- Où les données sont hébergées et où se trouve le personnel de support
- Comment les faux positifs et les modifications du modèle sont mesurés et consignés
- Ce qu'il advient d'un dossier lorsque le propre régulateur de l'acheteur le demande
Le UAE Cyber Security Council pilote une National Cybersecurity Strategy quinquennale, approuvée en 2025, ainsi qu'un National Cyber Security Accreditation Program, une filière de certification visant à normaliser la pratique de la cybersécurité. Ni l'un ni l'autre ne constitue un passage obligatoire pour chaque prestataire, mais la revue de sécurité d'un acheteur demande de plus en plus où se situe une plateforme par rapport à ce programme, en particulier pour tout ce qui touche aux données biométriques.
Comment l'argent et la responsabilité circulent dans le produit
Le compte bancaire propre d'une société RegTech est généralement la première question bancaire, et la plus simple : l'entreprise a besoin d'un compte d'exploitation comme n'importe quelle société de logiciels, et le dossier que demande une banque est identique (actionnariat, origine des fonds des fondateurs et description claire de ce que le produit fait des données des clients). Travailler tôt sur la préparation du compte bancaire évite que le compte soit le dernier point réglé avant le lancement.
Cela change dès que le produit cesse d'être un pur logiciel. Les mêmes questions qui déterminent qui reçoit ou contrôle les fonds dans une fintech s'appliquent ici : un outil qui détient des fonds de clients, initie un paiement ou octroie du crédit relève d'une autre activité réglementée, et aucune préparation du compte bancaire ne transforme une licence commerciale en autorisation d'exercer cette activité. Gardez les deux questions séparées : cette société peut-elle ouvrir un compte bancaire, et est-ce elle, plutôt que son client, qui touche un jour aux fonds des clients. La seconde, lorsqu'elle se pose, requiert sa propre autorisation ou un sponsor.
Détention, substance et rôles vérifiés par un acheteur
La structure de groupe peut placer la technologie, la propriété intellectuelle et toute fonction agréée dans des entités distinctes, à condition que chacune ait un rôle réel. L'équipe juridique d'un acheteur demandera qui détient le modèle et le pipeline de données, qui est nommé sur le contrat, et qui est responsable si un résultat de contrôle est erroné. Lorsque la détention s'étend sur plusieurs juridictions, traitez la question au titre de la détention réglementée et complexe avant qu'une équipe de diligence ne la teste. L'argumentaire écrit relève du plan d'affaires de soutien, et ne doit pas être assemblé après que la question a été posée.
Les erreurs les plus fréquentes
- Collecter ou acheter des données sans droit durable de les utiliser à des fins de contrôle
- Décrire l'outil comme rendant un client « conforme », plutôt que comme soutenant une décision que le client continue de détenir
- Utiliser des données biométriques sans avoir au préalable traité les exigences de consentement et de finalité de la loi sur la protection des données
- Laisser une équipe d'examen offshore ou un sous-traitant hors du contrat et hors du dossier de diligence de l'acheteur
Comparer les frais de constitution est l'erreur initiale la plus courante. Le coût qui compte est le parcours complet : l'entité, toute licence de données et assurance de sécurité exigée par un acheteur, et ce que coûte l'ajout ultérieur d'une couche d'examen géré si le logiciel seul s'avère insuffisant. Velarozone tarife cet ensemble complet plutôt qu'un chiffre de constitution isolé, et expose ses propres honoraires de la façon décrite par comment fonctionne Velarozone.
