La DFAL de Californie est désormais en vigueur : Votre petite entreprise a-t-elle besoin d'une licence crypto ?

Disons que vous gérez une petite boutique en ligne et que vous avez commencé à accepter les paiements en Bitcoin l'année dernière. Ou vous êtes le fondateur d'une fintech qui a ajouté un bouton « envoyer des cryptos à un ami » à votre application. Ou vous exploitez un kiosque de paiement qui permet aux gens d'échanger des espèces contre des stablecoins. Depuis le 1er juillet 2026, vous devez tous les trois vous poser la même question : la Californie considère-t-elle que j'exploite une entreprise crypto non agréée ?

Pour la majeure partie du pays, la réglementation des crypto-monnaies ressemble encore à un patchwork de lettres d'orientation et de mesures coercitives par procès. La Californie vient de mettre fin à cette ambiguïté pour quiconque touche aux actifs numériques de ses résidents. La loi sur les actifs financiers numériques (DFAL) de l'État est désormais pleinement en vigueur, administrée par le Département de la protection et de l'innovation financières (DFPI), et la pénalité pour avoir opéré sans licence — ou sans demande en cours — peut atteindre 100 000 $ par jour. Ce guide détaille qui est réellement concerné, qui est exempté, et ce qu'une petite entreprise manipulant des actifs numériques devrait faire dès maintenant.

Ce que la DFAL exige réellement​

La DFAL interdit à toute personne ou entité de se livrer à une « activité commerciale liée aux actifs financiers numériques » avec, ou pour le compte d'un résident de Californie, à moins que cette entité ne détienne une licence du DFPI ou ne soit éligible à une exemption. Il est essentiel de noter que cela s'applique indépendamment de l'emplacement physique de votre entreprise. Si vous avez des clients en Californie, les règles californiennes vous atteignent — une leçon que de nombreuses entreprises fintech hors de l'État apprennent à leurs dépens.

La loi définit « l'activité commerciale liée aux actifs financiers numériques » autour de trois fonctions principales :

• Échange — conversion d'actifs financiers numériques en monnaie légale, crédit bancaire ou autres actifs numériques.
• Transfert — déplacement d'actifs financiers numériques d'une personne à une autre.
• Détention et stockage — détenir, maintenir ou contrôler des actifs numériques pour le compte d'autrui.

Le point commun à ces trois fonctions est le contrôle — le pouvoir juridique d'exécuter unilatéralement ou de bloquer indéfiniment une transaction impliquant l'actif. Si votre entreprise ne prend jamais le contrôle des actifs numériques d'un client, vous êtes probablement hors du champ d'application de la loi. Si c'est le cas — même brièvement, en tant que simple intermédiaire — vous devez probablement y prêter attention.

Le fait de détenir une licence dans un autre État ne vous dispense pas de cette obligation. Le DFPI a été explicite sur le fait qu'une BitLicense de New York ou une licence californienne de transmetteur de fonds existante ne satisfait pas automatiquement aux exigences de la DFAL. Chaque licence couvre un ensemble distinct d'activités, et le DFPI attend sa propre demande, quel que soit ce que vous êtes déjà autorisé à faire ailleurs.

Qui est réellement exempté​

Avant de paniquer, vérifiez si vous relevez de l'une des exceptions prévues par la loi. La plus utile pour les petites entreprises est l'exemption pour commerçant : une entreprise qui accepte un actif financier numérique comme paiement pour des biens ou services — lorsque ces biens ou services ne sont pas eux-mêmes des actifs financiers numériques — n'est pas tenue de détenir une licence DFAL. En termes simples : si vous êtes une boulangerie, un cabinet de conseil ou une entreprise SaaS qui permet aux clients de payer avec du Bitcoin via un processeur de paiement, et que vous n'échangez, ne transférez ou ne stockez pas de cryptos pour le compte d'autrui, vous êtes probablement exempté.

Il existe également une exemption de minimis pour toute personne qui s'attend raisonnablement à gagner moins de 50 000 $ par an provenant d'activités qui nécessiteraient autrement une licence DFAL. C'est une marge de manœuvre significative pour les projets secondaires, les produits en phase de démarrage ou les plateformes de loisirs qui cherchent encore leur adéquation produit-marché — mais c'est un plafond strict, pas une suggestion. Une fois que vous le dépassez, vous êtes dans le champ d'application.

D'autres exemptions catégorielles incluent :

• Les entités gouvernementales (agences fédérales, étatiques et locales)
• Les banques assurées par la FDIC
• Les coopératives de crédit agréées au niveau fédéral ou étatique avec des bureaux en Californie
• Les sociétés de fiducie agréées en Californie

Remarquez ce qui n'est pas sur cette liste : les processeurs de paiement, les fournisseurs de portefeuilles, les applications fintech activées par les cryptos, les émetteurs de stablecoins et les opérateurs de distributeurs automatiques de Bitcoin (kiosques). Si votre produit fait plus que permettre aux clients de dépenser des cryptos pour des choses qui ne sont pas des cryptos, lisez attentivement le texte de loi — ou faites-le lire par un avocat — avant de supposer que vous êtes couvert par une exemption.

Les entreprises les plus susceptibles d'être prises au dépourvu​

La DFAL a été rédigée en pensant aux échanges de cryptos et aux chaînes de distributeurs automatiques de Bitcoin, mais sa portée, exprimée en langage simple, englobe un ensemble d'entreprises beaucoup plus large qui ne se considèrent pas du tout comme des « entreprises crypto ». Voici quelques exemples qui méritent d'être testés par rapport à vos propres opérations :

• Les places de marché et les plateformes de travail à la demande qui détiennent des soldes de cryptos pour les utilisateurs. Si votre plateforme permet aux vendeurs ou aux sous-traitants d'accumuler un solde d'actifs numériques avant de retirer des fonds — plutôt que de payer immédiatement via un processeur externe — vous pourriez détenir des actifs pour leur compte, ce qui est clairement dans la définition de la DFAL.
• Les outils de paie ou de paiement des sous-traitants qui offrent des options de paiement en cryptos. Convertir la rémunération d'un sous-traitant en un actif numérique et le détenir ou l'acheminer pour lui est une activité d'échange et de transfert, et non une acceptation de paiement marchand.
• Les programmes de fidélité et de récompenses construits sur la blockchain. Émettre ou échanger des points de récompense libellés en cryptos peut fortement ressembler à l'exploitation d'une entreprise d'actifs numériques, même si le produit principal n'est pas lié à la finance.
• Les plateformes SaaS ou applications avec une fonctionnalité de portefeuille intégrée. Ajouter une fonctionnalité « stockez vos cryptos ici » à un produit par ailleurs ordinaire n'hérite pas de l'exemption pour commerçant — la fonctionnalité du portefeuille est évaluée pour elle-même.

Aucun de ces exemples ne signifie automatiquement que vous avez besoin d'une licence ; chacun dépend des spécificités de la circulation des fonds et de qui les contrôle à chaque étape. Mais ils illustrent pourquoi « nous ne sommes pas une entreprise crypto » n'est pas une réponse suffisamment sûre en soi — la DFAL s'intéresse à ce que votre produit fait, pas au secteur dans lequel vous vous classeriez dans un pitch deck.

Le coût d'une erreur​

Le pouvoir de sanction du DFPI n'est pas théorique. En juin 2025, le département a conclu un accord de consentement avec Coinme Inc., un opérateur de distributeurs automatiques de Bitcoin basé à Seattle, entraînant une pénalité de 300 000 $plus 51 700$ de restitution à une résidente âgée de Californie — un signal précoce de l'agressivité avec laquelle l'État entend policer ce secteur, avant même la date limite d'obtention des licences.

Maintenant que la DFAL est en vigueur, la structure des pénalités est explicite :

• Jusqu'à 100 000 $ par jour pour avoir opéré sans licence ou sans demande en cours.
• Jusqu'à 20 000 $ par jour, ou par incident, pour les violations commises par des entreprises déjà agréées.

Ces chiffres s'accumulent rapidement. Une entreprise qui découvre une lacune en matière de conformité et met même quelques semaines à la résoudre pourrait encourir une pénalité de plusieurs millions de dollars avant même que le DFPI ait besoin de prouver une intention de frauder quiconque. Il s'agit d'un régime d'agrément strict, basé sur l'activité, et non d'une posture d'application du type « on finira par vous attraper » — la date limite du 1er juillet était une ligne dure, pas un objectif flexible.

Ce qu'implique réellement la demande​

Si votre entreprise est concernée, la demande s'effectue via le système national d'agrément multistate (NMLS), que le DFPI a ouvert pour les demandes DFAL le 9 mars 2026. Attendez-vous à fournir :

• Des états financiers audités ou non consolidés
• Une documentation sur les flux de fonds montrant comment les actifs des clients circulent dans vos systèmes
• Des informations sur la direction et la propriété, y compris des vérifications des antécédents du personnel clé
• Un examen indépendant de votre programme de lutte contre le blanchiment d'argent et de respect de la loi sur le secret bancaire (BSA/AML)
• Un programme documenté de sécurité de l'information et de sécurité opérationnelle

Une bonne nouvelle : le DFPI a supprimé l'exigence initialement proposée d'un cautionnement de 500 000 $ de la demande, abaissant ainsi la barre du capital initial pour les petits candidats. Cela dit, tout le reste de la liste exige toujours une véritable infrastructure de conformité — le genre qui prend des semaines ou des mois à construire si vous ne l'avez pas déjà, pas quelque chose que vous assemblez la semaine avant une échéance.

Pour les entreprises exploitant des distributeurs automatiques de Bitcoin ou des kiosques crypto similaires, il existe une couche supplémentaire de règles qui précèdent le déploiement complet de la DFAL : les emplacements des kiosques doivent être enregistrés auprès du DFPI, les transactions par client sont plafonnées à 1 000 $par jour, les frais de transaction ne peuvent pas dépasser le plus élevé de 5$ ou 15 % de la valeur échangée, et les opérateurs doivent fournir des informations préalables à la transaction et des reçus imprimés.

Que faire si vous n'êtes pas sûr d'être concerné​

La réponse honnête pour beaucoup de petites entreprises est : ce n'est vraiment pas clair. La frontière entre « commerçant acceptant les paiements en crypto » et « entreprise gérant des transferts d'actifs financiers numériques » devient rapidement floue dès que vous ajoutez des fonctionnalités comme des portefeuilles intégrés à l'application, des transferts de pair à pair, du staking ou des programmes de récompenses en cryptos. Voici quelques mesures pratiques :

1. Cartographiez exactement ce que votre produit fait avec les actifs numériques d'un client. Prenez-vous jamais possession, même momentanément ? Facilitez-vous des transferts entre deux de vos utilisateurs, ou seulement entre un utilisateur et un processeur externe non affilié ?
2. Estimez vos revenus provenant de Californie liés à toute activité connexe à la DFAL. Si vous êtes confortablement en dessous de 50 000 $ par an et que vous prévoyez d'y rester, documentez ce raisonnement — vous pourriez en avoir besoin si le DFPI vous interroge un jour.
3. N'attendez pas qu'un audit de conformité vous apprenne que vous aviez tort. Compte tenu de la structure des pénalités par jour, le coût de la confirmation de votre statut maintenant est trivial par rapport au coût d'avoir tort ne serait-ce qu'un mois.
4. Si vous êtes concerné, commencez immédiatement la demande NMLS — une demande complète mais en cours est ce qui vous maintient du bon côté de la date limite du 1er juillet, pas un examen terminé.

Tenez vos registres en ordre, quelle que soit votre décision​

Que vous finissiez par déposer une demande de licence DFAL ou que vous confirmiez que vous êtes exempté, la discipline sous-jacente est la même : sachez exactement ce qui circule dans votre entreprise et soyez en mesure de le prouver. Les transactions en actifs numériques — échanges, transferts, même les paiements crypto de routine acceptés dans le cadre de l'exemption pour commerçant — nécessitent la même piste d'audit claire et vérifiable que toute autre transaction dans vos livres comptables, surtout si un régulateur ou un comptable vous demande un jour de reconstituer votre flux de fonds.

C'est précisément le type de tenue de registres pour lequel la comptabilité en texte brut est conçue. Beancount.io vous offre des registres financiers transparents et versionnés — y compris pour les activités en actifs numériques — sans boîtes noires et sans dépendance vis-à-vis d'un fournisseur. Commencez gratuitement et gardez vos livres prêts pour un audit, quel que soit le côté de la ligne réglementaire où se trouve votre entreprise.