- Le règlement MiCA (UE) 2023/1114 exclut de son champ les services fournis de manière totalement décentralisée, sans intermédiaire identifiable (considérant 22), ce qui laisse la **finance décentralisée** hors de la supervision européenne des crypto-actifs en tant que telle.
- Cette exclusion est étroite : une décentralisation partielle, où un acteur continue d'exercer un contrôle sur une partie du protocole, ne suffit pas à en bénéficier, selon le même considérant 22.
- Le GAFI applique depuis octobre 2021 un test distinct, fondé sur le contrôle ou l'influence suffisante (owner/operator) : un développeur, une fondation ou un exploitant de protocole peut être qualifié de prestataire de services sur actifs virtuels, indépendamment de l'étiquette « DeFi » revendiquée.
- En Belgique, l'absence de régime DeFi dédié ne dispense aucune entité assujettie : un CASP autorisé par la FSMA reste soumis au travel rule du règlement (UE) 2023/1113 pour les transferts vers des adresses non hébergées, et l'article 35 de la loi du 18 septembre 2017 impose une vigilance continue sur l'origine des fonds, avec refus ou fin de la relation d'affaires si elle ne peut être établie.
- La Commission européenne a ouvert en mai 2026 une consultation ciblée sur la portée de l'exclusion DeFi de MiCA (articles 140 et 142) : l'issue n'est pas connue, mais le périmètre actuel fait l'objet d'un réexamen.
- La bonne pratique pour un AMLCO belge n'est pas d'attendre un cadre dédié, mais de documenter une analyse cas par cas de chaque protocole DeFi rencontré : qui en tire profit, qui peut en modifier les paramètres, et quel point de contact identifiable existe dans la chaîne de transaction.
La finance décentralisée (DeFi) désigne un ensemble de protocoles, le plus souvent construits sur Ethereum ou des blockchains comparables, qui reproduisent des services financiers (prêt, emprunt, échange, gestion de liquidité) sans passer par un intermédiaire bancaire classique. Le risque de blanchiment de capitaux qui y est associé n'est pas une hypothèse d'école : pour un AMLCO belge, la question n'est plus théorique : des clients reçoivent des virements dont l'origine remonte à un protocole de prêt décentralisé, des CASP doivent décider s'ils acceptent des fonds sortis d'une plateforme d'échange automatisée (automated market maker), et aucun texte belge ne nomme explicitement la DeFi comme catégorie à part. Ce silence n'est pas une tolérance : c'est un vide juridique que ce guide analyse pour déterminer ce qui s'applique réellement.
Le problème ne vient pas d'une lacune du législateur européen, mais d'un choix assumé. MiCA a été conçu pour encadrer des prestataires identifiables, pas une technologie. Un protocole qui ne compte aucune personne physique ou morale à superviser échappe mécaniquement à un texte construit autour de la notion de prestataire de services sur crypto-actifs (CASP). Mais cette architecture crée une zone grise que les entités belges assujetties ne peuvent pas ignorer : la question n'est pas de savoir si la DeFi est réglementée en tant que telle, mais qui, dans la chaîne de transaction, reste identifiable et donc soumis aux obligations AML.
Pourquoi MiCA exclut la finance décentralisée, en principe
Le règlement (UE) 2023/1114 sur les marchés de crypto-actifs (MiCA) ne couvre pas tout ce qui circule sur une blockchain. Son considérant 22 indique que les services fournis de manière totalement décentralisée, sans aucun intermédiaire, devraient rester hors du champ d'application du règlement. L'intention du législateur est claire : un texte qui organise l'agrément et la supervision de prestataires suppose l'existence d'une personne identifiable à agréer et à superviser. Un protocole open source, déployé une fois pour toutes et ne pouvant plus être modifié par personne, ne remplit pas cette condition.
Le même considérant ajoute une précision qui intéresse directement les CASP belges : les crypto-actifs émis par la finance décentralisée, sans émetteur identifiable, échappent eux-mêmes à certaines obligations propres aux émetteurs. Mais un CASP qui fournit des services portant sur ces crypto-actifs, par exemple en permettant leur achat ou leur conservation, reste pleinement soumis à MiCA pour cette activité, quelle que soit la nature décentralisée de l'émission sous-jacente.
| Critère | Caractéristique | Protocole exclu de MiCA | Protocole dans le champ de MiCA |
|---|---|---|---|
| Acteur capable de modifier le protocole | |||
| Personne percevant des frais ou des revenus | |||
| Interface (front-end) exploitée par une entité identifiable | |||
| Gouvernance effective par un token sans contrôle réel | |||
| Qualification MiCA probable | Hors champ (considérant 22) | CASP ou service sur crypto-actifs |
Le test du GAFI : le contrôle prime sur l'étiquette
Le cadre européen n'épuise pas l'analyse. Les lignes directrices actualisées du Groupe d'action financière (GAFI) d'octobre 2021 consacrent un développement spécifique à la DeFi. Le GAFI y introduit un test dit de l'opérateur ou propriétaire (owner/operator) : une personne qui conserve un contrôle ou une influence suffisante sur les actifs sous-jacents ou sur des aspects du protocole, et qui entretient à ce titre une relation d'affaires continue avec les utilisateurs, peut être qualifiée de prestataire de services sur actifs virtuels (VASP), même lorsque l'arrangement se présente comme décentralisé.
Ce test produit un résultat parfois contre-intuitif : deux protocoles qui semblent identiques du point de vue de l'utilisateur peuvent recevoir une qualification différente selon que l'un dispose d'un administrateur capable de mettre à jour le contrat intelligent (et donc d'un point de contrôle identifiable), tandis que l'autre a définitivement renoncé à toute clé d'administration. Le GAFI précise aussi que la technologie ou le logiciel sous-jacent n'est, en lui-même, jamais un VASP : ce sont les personnes qui le développent, l'exploitent ou en tirent profit qui peuvent l'être, jamais le code lui-même.
Les DAO et la gouvernance par jeton : un contrôle diffus, pas absent
Une partie des protocoles DeFi confie formellement ses décisions à une organisation autonome décentralisée (DAO), où les détenteurs d'un jeton de gouvernance votent les paramètres du protocole, les évolutions du code ou l'affectation d'une trésorerie commune. Cette architecture est souvent présentée comme la preuve ultime de décentralisation : aucune société ne dirigerait le protocole, seule une communauté diffuse de détenteurs de jetons déciderait collectivement.
Le GAFI ne s'y arrête pas à ce stade de l'analyse. Ses lignes directrices précisent qu'un détenteur ordinaire de jeton de gouvernance, sans capacité réelle d'influencer seul les décisions, n'est pas un prestataire de services sur actifs virtuels. Mais la question change de nature lorsque la distribution des jetons reste concentrée entre les mains d'une équipe fondatrice, d'un fonds d'investissement ou d'une fondation qui conserve, de fait, une minorité de blocage ou une majorité suffisante pour orienter les votes. Dans ce cas, la DAO ne supprime pas le contrôle : elle l'habille d'un vernis procédural qui ne change rien à la réalité économique du pouvoir exercé.
Pour une entité belge qui envisage d'intégrer un protocole gouverné par DAO dans son offre, qu'il s'agisse d'un CASP qui référence un jeton ou d'une banque qui accepte des fonds en provenance d'une trésorerie de DAO, cette analyse de concentration n'est pas un exercice académique : elle détermine directement si le protocole doit être traité comme un tiers décentralisé au sens du considérant 22 de MiCA, ou comme un prestataire de facto dont l'entité fondatrice reste identifiable et interrogeable.
Ce que cela signifie pour une entité belge assujettie
Pour un CASP autorisé par la FSMA, une banque ou tout autre établissement assujetti à la loi du 18 septembre 2017, l'absence de régime DeFi dédié ne change rien à l'obligation de vigilance qui pèse sur l'entité elle-même. Trois situations reviennent le plus souvent dans la pratique d'un AMLCO belge :
Situations pratiques où la DeFi engage la vigilance AML d'une entité belge
Réception de fonds en provenance d'une adresse non hébergée
Un client reçoit des crypto-actifs depuis un portefeuille auto-hébergé ayant interagi avec un protocole de prêt ou d'échange décentralisé : le travel rule du règlement (UE) 2023/1113 impose au CASP de recueillir les informations sur l'expéditeur, sans seuil de minimis.
Origine des fonds impossible à documenter au-delà du protocole
Lorsque l'historique de la transaction se perd dans une succession de contrats décentralisés sans KYC, l'article 35 de la loi du 18 septembre 2017 impose une vigilance continue sur cette origine et, si elle ne peut être établie, interdit de nouer la relation d'affaires ou impose d'y mettre un terme.
Interaction directe avec un protocole ayant un opérateur identifiable
Un établissement qui permet à ses clients d'accéder à un protocole via sa propre interface, ou qui perçoit une commission sur ce flux, s'expose lui-même à une analyse au regard du test du GAFI et peut devenir le point de contrôle que le protocole sous-jacent n'offre pas.
Notre guide des obligations AML des CASP en Belgique détaille le régime d'autorisation FSMA applicable aux prestataires de services sur crypto-actifs : il s'applique sans changement à un CASP qui sert d'intermédiaire entre un client et un protocole DeFi, même si le protocole lui-même reste hors du champ de MiCA. La DeFi ne crée pas un statut dérogatoire : elle déplace simplement le point où l'analyse de risque doit se concentrer, du protocole vers les entités identifiables qui l'entourent.
Stablecoins, travel rule et DeFi : des frontières qui se croisent
La plupart des protocoles DeFi utilisent des stablecoins comme unité de compte principale, ce qui rapproche directement ce sujet du régime applicable aux émetteurs de jetons de monnaie électronique (EMT) et de jetons se référant à des actifs (ART), détaillé dans notre guide sur les obligations AML des émetteurs de stablecoins. Un stablecoin émis par une entité identifiable reste pleinement soumis à MiCA du côté de l'émission, même lorsqu'il circule ensuite dans des protocoles DeFi qui, eux, échappent à la supervision directe.
Le règlement (UE) 2023/1113, qui instaure le travel rule pour les transferts de fonds et de crypto-actifs, s'applique dès le premier euro transféré entre CASP, sans seuil de minimis, depuis le 30 décembre 2024. Un transfert sortant d'un protocole DeFi vers un CASP belge reste soumis à cette obligation du côté du CASP récepteur, qui doit alors documenter ce qu'il peut de l'origine du flux, même si l'expéditeur formel n'est qu'une adresse de contrat intelligent sans identité déclarée.
Oct. 2021
Guidance GAFI
Introduction du test owner/operator pour les arrangements DeFi.
0 €
Seuil travel rule
Aucun minimis pour un transfert de crypto-actifs entre CASP.
Mai 2026
Consultation CE
Réexamen ciblé de la portée de l'exclusion DeFi des art. 140 et 142 de MiCA.
Dans la pratique, peu d'entités belges disposent en interne des moyens de retracer manuellement une chaîne de transactions sur plusieurs protocoles décentralisés. Les outils d'analyse de blockchain utilisés par les CASP et les banques pour objectiver un niveau de risque reposent sur des heuristiques de regroupement d'adresses et sur des bases de données d'adresses déjà associées à des activités illicites connues : ils permettent d'estimer, sans jamais le garantir totalement, la part d'un flux qui provient d'un mélangeur de crypto-actifs, d'une plateforme sanctionnée ou d'un protocole DeFi déjà documenté comme vecteur de blanchiment. Un programme de conformité qui s'appuie sur ces outils doit néanmoins documenter leurs limites : une adresse non encore signalée n'est pas, par construction, une adresse sans risque, et l'absence d'alerte ne dispense jamais l'AMLCO de son appréciation propre du dossier.
Une chronologie construite par ajustements successifs
Le traitement de la DeFi n'a jamais fait l'objet d'un texte autonome : il résulte d'une accumulation de clarifications, chacune précisant un peu plus les contours d'un cadre qui reste, par construction, une exclusion plutôt qu'un régime positif.
Lignes directrices actualisées du GAFI
Octobre 2021Le GAFI introduit le test owner/operator pour les arrangements DeFi et précise que le logiciel sous-jacent n'est, en lui-même, jamais un prestataire de services sur actifs virtuels.
Adoption du règlement MiCA
31 mai 2023Le règlement (UE) 2023/1114 est publié avec son considérant 22, qui exclut les services totalement décentralisés et sans intermédiaire de son champ d'application.
Application de MiCA, du travel rule et du statut CASP
30 décembre 2024Les prestataires sur crypto-actifs entrent dans le champ de l'autorisation CASP et du règlement (UE) 2023/1113, ce qui renforce la vigilance attendue sur les flux en provenance de protocoles décentralisés.
Loi belge de mise en œuvre de MiCA
11 décembre 2025La Belgique répartit la compétence entre la FSMA (conduite et autorisation) et la BNB (prudentiel), sans régime spécifique à la DeFi.
Consultation ciblée de la Commission européenne
Mai 2026La Commission ouvre une consultation sur le fonctionnement des articles 140 et 142 de MiCA, portant notamment sur la portée de l'exclusion des services totalement décentralisés.
Application de l'AMLR
10 juillet 2027Le règlement (UE) 2024/1624 intègre les CASP autorisés sous MiCA dans la liste des entités assujetties (art. 3), sans créer de catégorie distincte pour les acteurs interagissant avec la DeFi.
Documenter l'analyse, faute de cadre dédié
En l'absence d'un régime DeFi explicite, la meilleure défense d'une entité belge n'est pas d'attendre une clarification réglementaire qui pourrait ne jamais prendre la forme d'un texte autonome, mais de documenter activement l'analyse que les cadres existants permettent déjà de conduire.
Démarche de conformité recommandée face à un protocole DeFi
Identifier qui perçoit un revenu du protocole
Frais de protocole, commissions, ou rémunération d'une fondation associée : la perception de revenus est un indice fort de contrôle au sens du test du GAFI.
Vérifier qui peut modifier le contrat intelligent
L'existence d'une clé d'administration, d'un multisignature non entièrement contrôlé par les utilisateurs, ou d'un mécanisme de mise à jour signale un point de contrôle identifiable.
Repérer l'exploitant de l'interface (front-end)
Une interface web exploitée par une société identifiable, même si le protocole sous-jacent est décentralisé, peut constituer le point de contact soumis à l'analyse CASP.
Documenter l'origine des fonds au-delà du dernier protocole
Remonter autant que possible la chaîne de transactions pour objectiver le niveau de risque, plutôt que de s'arrêter à la dernière adresse non hébergée.
Appliquer le travel rule sans attendre une contrepartie identifiée
Le règlement (UE) 2023/1113 s'applique au CASP récepteur indépendamment de la capacité du protocole DeFi à fournir les informations habituelles sur l'expéditeur.
Conserver une trace écrite de chaque analyse
En cas de contrôle de la FSMA ou de la BNB, la démonstration d'une analyse cas par cas documentée vaut mieux qu'une absence de position sur un sujet que le régulateur sait complexe.
Cette démarche ne remplace pas une future clarification de la FSMA, de la BNB ou de la Commission européenne sur le périmètre exact de l'exclusion DeFi. Mais elle constitue, dans l'intervalle, la seule ligne de défense sérieuse d'une entité belge qui doit pouvoir justifier sa position si un régulateur venait à l'interroger sur un flux donné.
Pour aller plus loin
- Obligations AML des CASP en Belgique : MiCA, travel rule et AMLR 2027 : le régime complet applicable aux prestataires sur crypto-actifs, y compris ceux qui servent de point d'entrée ou de sortie vers des protocoles DeFi.
- NFT et blanchiment d'argent en Belgique : ce que MiCA ne couvre pas : un autre exemple de zone grise née de la construction de MiCA par exclusion plutôt que par inclusion.
- Stablecoins en Belgique : obligations AML des émetteurs d'EMT et d'ART sous MiCA : le régime applicable à l'unité de compte que la plupart des protocoles DeFi utilisent.
- Vigilance renforcée (EDD) : facteurs de risque AML en Belgique : le cadre général de vigilance renforcée applicable lorsque l'origine des fonds reste incertaine.
Questions fréquentes
La finance décentralisée (DeFi) est-elle soumise aux obligations AML en Belgique ?
Pas directement, et c'est précisément le problème. Le règlement MiCA (UE) 2023/1114 exclut de son champ les services fournis de manière totalement décentralisée, sans aucun intermédiaire (considérant 22). Mais cette exclusion ne protège ni les entités belges qui reçoivent des fonds transitant par un protocole DeFi, ni les acteurs qui exercent un contrôle ou une influence suffisante sur ce protocole : dans les deux cas, des obligations AML s'appliquent, par un autre biais que MiCA.
Pourquoi MiCA exclut-il la DeFi de son champ d'application ?
Le considérant 22 du règlement (UE) 2023/1114 explique que la réglementation vise les prestataires de services sur crypto-actifs identifiables, et non une technologie en tant que telle. Un protocole qui fonctionne sans aucun intermédiaire ne laisse pas de personne morale à superviser. Mais le même considérant précise qu'une décentralisation partielle, où une partie de l'activité reste assurée par un acteur identifiable, ne suffit pas à bénéficier de l'exclusion.
Qu'est-ce que le test du GAFI pour qualifier un acteur DeFi de prestataire de services sur actifs virtuels ?
Les lignes directrices actualisées du GAFI d'octobre 2021 posent un test dit de l'opérateur ou propriétaire (owner/operator) : une personne qui conserve un contrôle ou une influence suffisante sur les actifs ou sur des aspects du protocole, et qui entretient une relation d'affaires continue avec les utilisateurs, peut être qualifiée de prestataire de services sur actifs virtuels, même si l'arrangement se présente comme décentralisé. Le simple fait de se qualifier de projet DeFi n'est pas déterminant pour le GAFI.
Une banque ou un CASP belge doit-elle appliquer une vigilance renforcée aux fonds provenant d'un protocole DeFi ?
Oui, dans la plupart des cas pratiques. Un CASP autorisé par la FSMA reste soumis au travel rule du règlement (UE) 2023/1113 pour tout transfert vers ou depuis une adresse non hébergée, et l'article 35 de la loi du 18 septembre 2017 impose une vigilance continue sur l'origine des fonds qui, si elle ne peut être menée à son terme, interdit de nouer ou de poursuivre la relation d'affaires : une situation fréquente pour des fonds ayant transité par plusieurs protocoles DeFi sans KYC.
Qui porte la responsabilité AML quand un protocole DeFi n'a pas d'opérateur identifiable ?
Dans ce cas, la responsabilité se déplace vers les points de contact identifiables du parcours de la transaction : le CASP belge qui reçoit ou envoie les fonds, la fondation ou l'entreprise de développement qui perçoit des frais ou conserve un contrôle sur le protocole, ou l'interface (front-end) qui donne accès au protocole si elle est exploitée par une entité identifiable. L'absence d'opérateur central ne supprime pas l'obligation de vigilance : elle la déplace vers l'entité belge assujettie qui interagit avec ces fonds.
Une consultation européenne va-t-elle modifier l'exclusion DeFi de MiCA ?
La Commission européenne a ouvert, en mai 2026, une consultation ciblée sur le fonctionnement des articles 140 et 142 de MiCA, qui porte notamment sur la portée de l'exclusion des services totalement décentralisés. À la date de publication de cet article, cette consultation n'a pas débouché sur une modification du texte : l'exclusion de principe reste en vigueur, mais son périmètre fait l'objet d'un réexamen dont l'issue n'est pas connue.
Articles liés
NFT et blanchiment d'argent en Belgique : ce que MiCA ne couvre pas
Les NFT échappent en grande partie à MiCA mais pas toujours au risque de blanchiment : seuil CASP, travel rule et obligations AML en Belgique passés en revue.
Stablecoins en Belgique : obligations AML des émetteurs d'EMT et d'ART sous MiCA
Émettre un stablecoin en Belgique suppose un agrément distinct de celui d'un CASP. Obligations AML stablecoin Belgique, régime EMT/ART, FSMA et BNB : le guide pour les émetteurs.
MiCA CASP Belgique : la période transitoire est close et le registre FSMA reste vide
Depuis le 1er juillet 2026, servir des clients belges suppose un agrément MiCA. La FSMA n'en a délivré aucun : ce que cela impose aux opérateurs et à leurs banques.