Fraude documentaire as-a-service : le risque pour la Belgique

La fraude documentaire as-a-service désigne des services payants, vendus sur des sites dédiés ou via Telegram, qui génèrent en quelques minutes de faux documents personnalisés — fiches de paie, extraits de compte, cartes d'identité, factures — grâce à l'IA générative. Contrairement au montage manuel sous Photoshop, ce modèle repose sur des templates prêts à l'emploi, ne demande aucune compétence graphique et coûte quelques euros par document. Pour une entité assujettie belge, cela transforme un acte de fraude autrefois artisanal en produit industriel, reproductible à grande échelle contre les contrôles d'onboarding.

Cet article est fourni à titre informatif. Les exigences réglementaires évoluent — consultez la FSMA ou un juriste spécialisé pour votre situation spécifique.

Qu'est-ce que la fraude documentaire as-a-service ?

La fraude documentaire as-a-service est un modèle économique où des opérateurs proposent la fabrication de faux documents comme un service standardisé, au même titre qu'un logiciel en SaaS classique. Le client choisit un type de document dans un catalogue, renseigne quelques champs — nom, employeur, montant, adresse — et reçoit un PDF généré automatiquement, souvent livré en moins d'une heure.

Ce marché s'organise autour de deux canaux : des sites web accessibles publiquement, qui affichent tarifs et délais comme n'importe quel e-commerce, et des groupes Telegram plus discrets qui vendent des kits complets — templates, logiciels de contournement, parfois un support client. Pour une banque, un assureur ou une agence immobilière belge, l'exposition est directe : location d'un bien, ouverture de compte, crédit ou embauche reposent toujours sur des documents que ce marché sait désormais falsifier à la chaîne.

Ce qui distingue ce modèle d'une fraude isolée, c'est sa reproductibilité : un même template produit des centaines de faux documents différents, personnalisés mais structurellement identiques, ce qui change la manière dont il faut les détecter.

Comment fonctionnent les générateurs IA et les kits Telegram

Ces services combinent plusieurs briques d'IA. Un modèle de langage génère du texte cohérent — nom d'entreprise plausible, numéro BCE bien formaté, intitulé de poste réaliste — et calcule des montants arithmétiquement cohérents (brut, net, cotisations ONSS), plus difficiles à repérer qu'un copier-coller mal ajusté. En parallèle, des réseaux génératifs de type GAN ou diffusion produisent les visuels : photos, signatures, logos ou tampons bancaires, générés plutôt que copiés d'un vrai document.

Le cas le plus documenté est celui d'OnlyFake, un générateur qui vendait notamment des cartes d'identité et permis de conduire falsifiés, fermé par les autorités américaines en février 2026 avec des poursuites contre son opérateur présumé, Yurii Nazarenko (resistant.ai). Un service quasi identique, « MacDoc », a rouvert quelques semaines plus tard : la barrière technique est si basse que les opérateurs se recréent presque immédiatement, y compris pour des gabarits belges (eID, extraits BCE).

La distribution passe largement par Telegram. Des chercheurs ont identifié 22 canaux et groupes publics qui font ouvertement la promotion d'outils pour contourner le KYC de grandes institutions comme Binance, BBVA ou Revolut : webcams virtuelles, templates biométriques volés, deepfakes vidéo pour les contrôles de vivacité, selon tech-insider.org. La fraude ne cible donc plus seulement le fichier envoyé, mais aussi la vérification d'identité elle-même. Notre article sur la fabrication de faux documents par IA détaille les modèles utilisés.

Panorama par type de document

Chaque type de document présente une technique, un coût et des signaux de détection différents.

Les prix restent bas car la production est automatisée de bout en bout : l'opérateur configure un moteur de génération plutôt que de fabriquer chaque pièce manuellement.

Pourquoi le contrôle visuel ne suffit plus

Le contrôle humain reste la première ligne de défense dans beaucoup d'organisations, mais son efficacité décline face à des faux générés par IA. Selon le rapport ACFE 2024, seules 37 % des fraudes documentaires sont détectées par un contrôle humain direct.

Ce chiffre s'explique par la nature même des documents produits : ils ne comportent plus les erreurs grossières qui trahissaient les faux artisanaux — polices incohérentes, alignement approximatif, logo pixelisé. Un générateur IA calibré sur des milliers de vrais documents reproduit la mise en page, la typographie et la structure logique d'un document authentique.

L'ENISA Threat Landscape 2024 classe d'ailleurs la fraude documentaire assistée par IA parmi les menaces émergentes majeures pour l'écosystème numérique européen — un constat que partage la CTIF-CFI dans son évaluation nationale des risques 2023, qui identifie la falsification documentaire comme un vecteur récurrent de blanchiment en Belgique.

Ce que demandent les responsables de conformité belges

Sur les forums professionnels et lors des échanges entre pairs, les mêmes préoccupations reviennent chez les responsables conformité belges confrontés à ce sujet. Peut-on encore faire confiance à un document reçu par email sans vérification complémentaire, alors qu'un PDF généré par IA peut reproduire fidèlement la mise en page d'une banque ou d'un employeur connu ? Faut-il revoir l'onboarding client quand une eID falsifiée passe un contrôle visuel standard sans déclencher d'alerte ?

Vient ensuite l'arbitrage entre formation des équipes et outillage technique : la formation humaine plafonne face à des faux de plus en plus réalistes, tandis qu'un outil mal calibré génère des faux positifs qui ralentissent l'activité commerciale. Une dernière interrogation récurrente porte sur la traçabilité : comment documenter, en cas de contrôle conjoint FSMA/BNB, une vigilance raisonnable face à un risque qui évolue plus vite que les procédures internes. Ces questions convergent vers un même constat : le contrôle documentaire ne peut plus reposer sur une seule couche de vérification.

Détection multicouche : au-delà du contrôle visuel

Face à des faux structurellement cohérents, la détection efficace combine plusieurs signaux plutôt qu'un seul indicateur. L'analyse des métadonnées constitue une première couche : un PDF prétendument généré par un logiciel bancaire mais dont les métadonnées indiquent un éditeur générique est un signal fort, même quand le contenu visuel semble irréprochable.

La validation croisée entre documents apporte une deuxième couche : comparer l'adresse d'un justificatif de domicile avec celle d'une eID, ou la cohérence entre le net d'une fiche de paie et les mouvements d'un extrait de compte, révèle des incohérences qu'un examen isolé ne détecte pas.

Enfin, l'analyse forensique par apprentissage automatique cible les artefacts de génération invisibles à l'œil nu — motifs statistiques laissés par un GAN, incohérences de compression propres à une image de synthèse. Chez CheckFile, cette couche additionnelle de signaux de génération IA est déployée selon la configuration du client, en complément des contrôles structurels existants. C'est une couche supplémentaire dans une chaîne de vérification, pas une solution unique. Notre checklist des signes d'un document généré par IA détaille les indices à surveiller au quotidien.

Cadre légal et réglementaire en Belgique

En Belgique, les entités assujetties relèvent de la loi du 18 septembre 2017 relative à la prévention du blanchiment de capitaux et du financement du terrorisme, qui transpose la 4e directive AML de l'UE. Cette loi impose une obligation de vigilance qui s'étend à la qualité des documents collectés lors de l'identification du client, la conservation des documents de vérification pendant dix ans après la fin de la relation d'affaires, et la déclaration de toute opération suspecte à la CTIF-CFI — pas seulement recueillir une pièce, mais en vérifier la cohérence.

Le secteur financier belge est soumis au contrôle prudentiel conjoint de la BNB et de la FSMA, qui peuvent sanctionner un manquement caractérisé aux obligations de vigilance, de l'avertissement à des sanctions pécuniaires. Sur le plan pénal, la fabrication et l'usage de faux documents restent couverts par le Code pénal belge (faux en écritures et usage de faux) : l'origine technique du document, produit à la main ou par un générateur IA, ne modifie pas la qualification de l'infraction, ni pour celui qui le fabrique ni pour celui qui l'utilise sciemment.

Au niveau européen, le règlement sur l'intelligence artificielle (Règlement UE 2024/1689, dit AI Act) impose des obligations de marquage pour les contenus synthétiques générés par IA, ce qui pourrait faciliter leur identification technique — à condition que les opérateurs illégaux s'y conforment, ce qui reste hypothétique pour un marché déjà clandestin. Les textes de référence sont consultables sur ejustice.fgov.be.

Renforcer sa vigilance documentaire

Face à un marché qui produit des faux à la chaîne, la vigilance documentaire ne peut plus reposer uniquement sur la relecture manuelle. Ajouter des signaux de génération IA en complément de vos contrôles existants permet de repérer des incohérences que l'œil humain ne perçoit plus. La page dédiée à la détection deepfake et IA de CheckFile présente les modalités d'intégration de cette couche de vérification dans un onboarding existant, pour un établissement bancaire soumis au KYC comme pour un acteur de l'immobilier confronté à des dossiers de location falsifiés. Les tarifs et les mesures de sécurité sont détaillés sur les pages correspondantes.

Questions fréquemment posées

Qu'est-ce que la fraude documentaire as-a-service exactement ?

C'est un modèle où des opérateurs vendent, via des sites web ou Telegram, la génération à la demande de faux documents (fiches de paie, cartes d'identité, extraits de compte) grâce à l'IA générative, pour quelques euros et en quelques minutes.

Comment les générateurs IA rendent-ils les faux documents plus difficiles à détecter ?

Ils combinent des modèles de langage pour produire texte et montants cohérents, et des réseaux génératifs (GAN, diffusion) pour créer des visuels réalistes — photos, signatures, tampons — ce qui neutralise les erreurs grossières qu'un examen visuel repérait auparavant.

Le contrôle humain est-il devenu inutile ?

Non, mais il ne suffit plus seul. Le rapport ACFE 2024 indique que seules 37 % des fraudes documentaires sont détectées par un contrôle humain direct. Il reste utile en complément d'une détection technique multicouche.

Quelles sont les obligations légales des entreprises belges face à ce risque ?

Elles doivent vérifier la cohérence des documents collectés et les conserver dix ans, sous peine de sanctions FSMA ou BNB, et déclarer tout soupçon à la CTIF-CFI. L'usage sciemment d'un faux document engage aussi la responsabilité pénale de son auteur au titre du Code pénal belge.

CheckFile peut-il garantir la détection de tous les faux documents générés par IA ?

Non, aucun outil ne peut garantir une détection exhaustive face à un marché en évolution constante. CheckFile ajoute une couche de signaux de génération IA en complément des contrôles existants, sans remplacer une vigilance raisonnable et documentée.

---

Cet article est fourni à titre informatif et ne constitue pas un conseil juridique ou réglementaire. Pour une vue d'ensemble des enjeux de fraude documentaire et des solutions associées, consultez notre guide complet sur la fraude et les données.