Fraude au Kbis : pourquoi les outils KYB ne suffisent pas

À retenir

• Un extrait Kbis peut être authentique à 100 % tout en reposant sur un mensonge : les greffes français délivrent de vrais Kbis à partir de procès-verbaux d'assemblée falsifiés ou de fausses cessions de parts, si bien que le registre lui-même est corrompu avant même qu'un outil de KYB ne le contrôle.
• Infogreffe a signalé que la fraude au Kbis a bondi de plus de 100 % en 2024 par rapport aux deux années précédentes réunies, plus de 30 % des entreprises victimes ayant perdu plus de 10 000 €.
• L'API de l'INPI n'expose qu'un jeu de données défini, mis à jour quotidiennement ; elle ne reproduit pas tous les champs visibles par un lecteur humain, ce qui laisse des angles morts structurels pour les contrôles croisés automatisés.
• L'IA générative a fait passer la fraude du simple copier-coller grossier à des faux quasi parfaits, et l'INPI/Infogreffe ajoutent déjà un nouvel identifiant EUID sur le Kbis spécifiquement pour renforcer les contrôles d'authenticité.

Que vérifie réellement un outil de KYB automatisé sur un Kbis ?

La plupart des outils de KYB automatisés vérifient trois choses sur un Kbis : l'intégrité visuelle et structurelle du document, une signature ou un code de vérification, et une correspondance des données avec un registre public. Aucun de ces trois contrôles, pris isolément ou même combinés, ne prouve que les faits juridiques sous-jacents sont vrais.

En pratique, un outil applique une OCR ou un modèle de vision au PDF pour en extraire le SIREN, la dénomination sociale, la forme juridique, le capital social et le nom du dirigeant. Il peut ensuite interroger le code de vérification Infogreffe, une chaîne alphanumérique de 10 caractères imprimée sur chaque Kbis, ou scanner le QR code qui l'accompagne, lequel redirige vers une page Infogreffe confirmant l'authenticité du document au moment de sa délivrance. Les outils les plus avancés interrogent également l'API RNE de l'INPI pour comparer les champs extraits avec le registre en direct. C'est un premier filtre solide contre les faux grossiers : PDF avec logos copiés-collés, polices erronées ou numéros SIREN incohérents. Il est en revanche beaucoup plus faible face à une fraude qui ne touche jamais à la couche visuelle du document.

Pourquoi un Kbis peut-il être « valide » et pourtant frauduleux ?

Parce que la fraude se joue le plus souvent en amont, à l'intérieur même du registre, et non sur le PDF que scanne l'outil de KYB. Les avocats parlent du problème du « vrai faux Kbis » : un document authentiquement délivré, mais construit sur des éléments falsifiés.

Comme le résume un avocat d'affaires français, il ne s'agit pas d'un faux document fabriqué de toutes pièces : c'est un vrai Kbis, délivré par un greffe, mais fondé sur un faux procès-verbal d'assemblée générale ou une fausse cession de titres. Le numéro SIRET est exact, les comptes sont réels, seul le contenu juridique est faux. Les fraudeurs déposent au greffe des procès-verbaux d'AG falsifiés, de fausses cessions de parts ou des statuts modifiés, et le greffe met alors légalement à jour le nom du dirigeant, le siège social ou la structure de l'actionnariat. Les cabinets d'expertise comptable décrivent le même mécanisme : une fois les modifications enregistrées, un « vrai faux » Kbis est délivré, avec un numéro SIRET correct mais des informations falsifiées. Comme le registre a déjà été mis à jour, tout outil de KYB qui recoupe le Kbis avec les données en direct de l'INPI ou d'Infogreffe trouvera une correspondance parfaite. Le contrôle passe précisément parce que la source de vérité a été empoisonnée en amont.

Un Kbis peut être authentiquement délivré par un greffe français tout en reposant entièrement sur une résolution d'actionnaires falsifiée.

Cela a aussi une portée juridique : une fois la nomination d'un dirigeant régulièrement publiée au RCS, la société ne peut généralement pas opposer aux tiers de bonne foi l'irrégularité de cette nomination. En d'autres termes, la correspondance avec le registre suffit souvent juridiquement pour la contrepartie, même lorsqu'elle est factuellement fausse.

La correspondance avec les données INPI/RNE en direct garantit-elle l'authenticité ?

Non. La correspondance avec le registre prouve seulement qu'un document est cohérent avec ce que le registre indique actuellement, pas que cette information est vraie, à jour pour votre usage, ou complète.

Depuis le 1er janvier 2023, l'INPI gère le Registre National des Entreprises (RNE), le registre dématérialisé créé par la loi Pacte qui fusionne l'ancien RCS, le répertoire des métiers et le registre des actifs agricoles. Les données sont alimentées automatiquement par les déclarants via le guichet unique et mises à disposition gratuitement sur data.inpi.fr au format JSON, avec des données de registre mises à jour quotidiennement. Cette actualisation quotidienne semble rassurante, mais elle crée sa propre faille : un Kbis téléchargé le matin peut déjà être obsolète lorsqu'un workflow d'onboarding l'examine quelques heures ou quelques jours plus tard, en particulier si une modification frauduleuse a été déposée dans l'intervalle.

Il existe aussi un problème de couverture. L'Annuaire des Entreprises lui-même prévient que son API « ne donne pas accès à toutes les données affichées sur l'Annuaire des Entreprises », ce qui signifie que des systèmes automatisés reposant uniquement sur les réponses de l'API peuvent manquer des champs visibles par un humain consultant la même fiche d'entreprise, en particulier pour les entités en diffusion partielle. Un outil peut donc afficher une correspondance API « propre » tout en passant silencieusement à côté de points de données qui auraient dû déclencher une alerte.

Comment l'IA générative change-t-elle la nature de la menace ?

L'IA générative a fait passer la fraude documentaire du faux grossier à la reproduction quasi industrielle, ce qui invalide le postulat selon lequel un document visuellement correct est un document authentique. C'est la première raison pour laquelle les contrôles purement visuels et OCR perdent du terrain.

Des sites français de prévention de la fraude décrivent désormais des escrocs qui exploitent le caractère public des données du RNE pour générer des faux ultra-personnalisés, l'IA produisant des faux visuellement irréprochables. Certains de ces faux Kbis comportent même un QR code, sauf qu'il renvoie vers une page de paiement au lieu d'Infogreffe. Cette évolution est mesurable au-delà de la France : au premier trimestre 2025, la fraude aux documents d'identité synthétiques a bondi de 311 % en Amérique du Nord par rapport à la même période en 2024. Les données de Sumsub montrent une accélération rapide de la tendance : les faux documents entièrement générés par des outils d'IA sont passés de 0 % en avril 2025 à 2 % en août 2025. Une récente enquête Forrester-Experian a révélé que 69 % des organisations jugeaient leur infrastructure KYC inadaptée face aux documents d'identité générés par IA. Le même raisonnement s'applique directement au KYB et aux documents d'immatriculation d'entreprise : les modèles génératifs modernes peuvent produire de faux statuts constitutifs, licences commerciales et documents fiscaux avec des cachets, polices et signatures d'un réalisme quasiment indiscernable des originaux.

Comparatif des méthodes de vérification : ce que chacune détecte vraiment

Chaque niveau de vérification couvre un mode de défaillance différent, et aucun d'entre eux, pris isolément, ne couvre l'ensemble de la surface d'attaque décrite plus haut.

C'est sur cette dernière ligne que la plupart des dispositifs de KYB sont les plus faibles. Vérifier un Kbis isolément, même face à une API en direct parfaite, ne permet pas de détecter que le procès-verbal d'AG déposé six semaines plus tôt était lui-même falsifié.

Que doit ajouter un workflow de KYB au-delà des contrôles automatisés ?

Un workflow robuste superpose une couche d'intelligence documentaire aux contrôles de registre : il recoupe le Kbis avec d'autres documents déposés (statuts, procès-verbaux d'AG, déclarations de bénéficiaires effectifs) au lieu de faire du Kbis une source de vérité autonome.

Concrètement, cela signifie extraire des données structurées non seulement du Kbis mais de l'ensemble du dossier d'onboarding, et signaler les incohérences entre documents plutôt que les seules incohérences avec le registre. Les régulateurs vont dans le même sens : la France ajoute un identifiant EUID au Kbis précisément parce que, jusqu'à présent, l'authenticité n'était vérifiée que par la cohérence du SIREN, la confirmation de l'immatriculation au RCS ou la présence des mentions légales obligatoires, et ce nouvel identifiant vise à renforcer ce contrôle et à simplifier les procédures KYC. Depuis 2024, les données de bénéficiaires effectifs (RBE) sont également détenues par l'INPI, ajoutant un registre supplémentaire à croiser, et non plus seulement le Kbis.

C'est là que la distinction entre OCR et modèle de vision prend tout son sens : les équipes qui comparent les approches d'extraction peuvent examiner les arbitrages OCR vs VLM, tandis que des pipelines plus larges d'Intelligent Document Processing sont conçus pour réconcilier plusieurs types de documents à la fois plutôt que de valider un seul PDF isolément. Les équipes qui conçoivent leurs parcours d'onboarding autour de cette problématique peuvent s'appuyer sur des approches dédiées de KYC onboarding combinant recherches au registre et contrôles de cohérence au niveau documentaire, et utiliser la classification de documents pour orienter chaque pièce justificative vers la bonne logique de vérification avant qu'elle n'atteigne un relecteur humain.

FAQ

Un faux Kbis peut-il passer un contrôle du code de vérification Infogreffe ?

Pas si le code est réellement erroné ou expiré, mais le cas le plus dangereux est différent : un vrai Kbis, avec un code valide, délivré par un vrai greffe sur la base d'une résolution d'actionnaires falsifiée. Le code de vérification confirme que le document a été délivré tel que présenté ; il ne dit rien sur la légitimité du dépôt qui en est à l'origine.

L'API de l'INPI fournit-elle des données en temps réel sur toutes les entreprises ?

Elle fournit des données mises à jour quotidiennement pour les entreprises immatriculées au RNE, mais l'API n'expose pas tous les champs visibles sur les pages publiques de l'Annuaire des Entreprises, si bien que les contrôles croisés automatisés peuvent manquer des informations qu'un relecteur humain verrait.

La fraude au Kbis est-elle fréquente en France actuellement ?

Infogreffe a enregistré une hausse de plus de 100 % de la fraude liée au Kbis en 2024 par rapport aux deux années précédentes réunies, plus de 30 % des entreprises touchées subissant des pertes supérieures à 10 000 € et 15 % supérieures à 100 000 €.

Quelle est la meilleure défense contre la fraude au « vrai faux » Kbis ?

Recouper le Kbis avec les autres documents déposés, procès-verbaux d'AG, actes de cession de parts, déclarations de bénéficiaires effectifs, plutôt que de faire confiance au Kbis pris isolément, puisque la fraude prend généralement racine dans ces dépôts amont avant que le registre, et donc le Kbis, ne la reflète.