Nous avons audité 8 plateformes bancaires françaises : les 5 patterns d'échec RGAA que la finance ne peut plus ignorer

TL;DR

8 plateformes bancaires françaises auditées par Scrutia sur leur page publique + parcours de connexion + simulateur / tarifs
Aucune n'atteint 75 % de conformité RGAA 4.1 — meilleure : 72 % ; pire : 51 %
5 patterns d'échec récurrents identiques sur les 8 : formulaires KYC, authentification 2FA, tableaux tarifs, modales cookies, chatbots
Les services financiers sont explicitement listés dans la directive EAA + le champ ARCOM — sanctions cumulables 50 K€ + 25 K€ annexes, réitérables tous les 6 mois

Depuis le 28 juin 2025, l'European Accessibility Act cite explicitement les services bancaires électroniques parmi les services numériques soumis à obligation. Et depuis janvier 2026, l'ARCOM applique en France le régime de sanctions (voir RGAA 5 + sanctions ARCOM 2026). Nous avons voulu chiffrer l'exposition réelle du secteur bancaire français.

Nous avons audité 8 plateformes bancaires représentatives, sur trois surfaces :

Page publique institutionnelle (home)
Formulaire de connexion / première étape KYC
Page simulateur ou grille tarifaire

Cet article présente les scores confirmés Scrutia, les 5 patterns d'échec récurrents, et ce que la finance devrait engager dans les 90 jours.

Disclaimer : cet article rapporte des scans automatisés sur pages publiques, non des audits certifiés. Il ne certifie pas un risque juridique et ne constitue pas un conseil légal. Les scores sont datés (audit juillet 2026) et les plateformes évoluent fréquemment.

Panel audité

#	Banque	Type	Home publique	Parcours audité
1	BNP Paribas	Réseau	mabanque.bnpparibas	Espace connexion + simulateur prêt
2	Crédit Agricole	Réseau	credit-agricole.fr	Portail régional + simulateur
3	LCL	Réseau	lcl.fr	Connexion + tarifs
4	Société Générale	Réseau	societegenerale.fr	Particuliers + tarifs
5	La Banque Postale	Réseau	labanquepostale.fr	Espace client + tarifs
6	ING France	100 % en ligne	ing.com/fr	Ouverture compte + tarifs
7	Boursorama Banque	100 % en ligne	boursorama-banque.com	Ouverture compte + connexion
8	Fortuneo	100 % en ligne	fortuneo.fr	Ouverture compte + tarifs

Résultats consolidés

Banque	Score confirmé RGAA	Score estimé	Bande de risque
Rennes.fr (référence secteur public)	80 %	89 %	—
BNP Paribas	72 %	82 %	🟡 Moyen-Bas
Boursorama Banque	68 %	79 %	🟡 Moyen
Fortuneo	65 %	77 %	🟡 Moyen
Société Générale	63 %	76 %	🟡 Moyen
ING France	62 %	75 %	🟠 Moyen-Haut
Crédit Agricole	58 %	72 %	🟠 Moyen-Haut
La Banque Postale	55 %	69 %	🔴 Haut
LCL	51 %	66 %	🔴 Haut

Aucune banque du panel n'atteint 75 %, seuil informel généralement considéré comme "acceptable" par les cabinets d'audit humain. La moyenne du panel est 61,75 %, contre 67,5 % pour un panel équivalent de collectivités françaises publié dans Top 11 sites .gouv.fr.

Les 5 patterns d'échec récurrents

Pattern 1 — Formulaires KYC (Know Your Customer) sans labels programmatiques

Fréquence : 8/8 banques (100 %)

Les formulaires d'ouverture de compte ou de première connexion demandent de nombreux champs : nom, prénom, adresse, IBAN, pièce d'identité, statut fiscal. Sur les 8 plateformes, chacune présente au moins un formulaire où :

Les labels sont visuellement présents mais non associés aux champs (pas de <label for> ni d'aria-labelledby)
Les instructions techniques (format IBAN, longueur téléphone) sont dans un texte adjacent non lié au champ
Les messages d'erreur apparaissent en rouge mais sans référence programmatique au champ concerné (aria-describedby absent)

Critère RGAA impacté : 11.1 (étiquettes de champs), 11.10 (contrôle de saisie), 11.11 (erreurs de saisie)

Enjeu métier : un utilisateur malvoyant abandonnera l'ouverture de compte à l'étape 2/6.

Pattern 2 — Authentification 2FA visuellement dépendante

Fréquence : 7/8 banques

La double authentification (2FA) est désormais standard sur les services bancaires. Sur 7 des 8 plateformes auditées, le mécanisme 2FA présentait au moins l'un des problèmes suivants :

Compte à rebours du code SMS/mail affiché visuellement uniquement (pas d'annonce lecteur d'écran, pas de role="timer")
Champ de saisie du code à 6 chiffres composé de 6 inputs séparés sans labels individuels ("chiffre 1 sur 6", etc.)
Boutons "Renvoyer un code" masqués tant que le timer n'a pas expiré, avec un état aria-disabled sans annonce

Critère RGAA impacté : 11.1, 11.13 (autocomplétion), 7.1 (scripts compatibles AT)

Enjeu métier : la 2FA est le point d'échec le plus commun signalé dans les remontées d'utilisateurs sourds et aveugles.

Pattern 3 — Tableaux tarifaires sans en-têtes de colonne / ligne

Fréquence : 6/8 banques

Les grilles tarifaires (frais de tenue de compte, virements SEPA, retrait à l'étranger, découvert autorisé) sont présentées sous forme de tableaux HTML. Six banques présentent des tableaux :

Sans <th scope="col"> pour distinguer les en-têtes de colonne (utilisation de <td> "gras" par CSS uniquement)
Sans <caption> décrivant le contenu global du tableau
Avec des cellules fusionnées (colspan, rowspan) sans headers explicites vers les en-têtes concernés

Critère RGAA impacté : 5.1 à 5.8 (tableaux de données)

Enjeu métier : impossible pour un lecteur d'écran de dire "Virement SEPA sortant standard : gratuit" — l'utilisateur entend une suite de chiffres sans contexte.

Pattern 4 — Modales cookies non conformes

Fréquence : 8/8 banques

Toutes les banques du panel affichent une bannière ou modale cookies dès la première visite. Sur chacune :

La modale reçoit le focus mais ne le piège pas — un utilisateur au clavier peut Tab-er "derrière" la modale
Les boutons "Accepter", "Refuser", "Paramétrer" sont présents mais le "Paramétrer" cache souvent le "Refuser" en le déplaçant hors du parcours clavier immédiat (dark pattern accessibilité)
La modale est ré-affichée à chaque visite pour un utilisateur qui a refusé — pas de mémorisation propre du refus (RGPD + accessibilité liés)

Critère RGAA impacté : 12.9 (piège au clavier), 12.10 (raccourcis clavier), 11.13 (autocomplete), 8.9 (balises de présentation)

Enjeu métier : selon les recommandations CNIL 2024, refuser doit être aussi simple qu'accepter — 7/8 banques ne le respectent pas côté accessibilité même quand elles le respectent côté visuel.

Pattern 5 — Chatbots et assistants IA sans support lecteur d'écran

Fréquence : 5/8 banques

Cinq banques du panel intègrent un chatbot (souvent en bas à droite : "Besoin d'aide ?"). Sur chacun :

Le bouton d'ouverture du chatbot est un <div> avec onclick — pas focusable au clavier, pas de role="button"
La conversation elle-même utilise <div> empilés au lieu d'un role="log" avec aria-live="polite" — les réponses de l'agent ne sont pas annoncées au lecteur d'écran
Les boutons de suggestion rapide ("Voir mes tarifs", "Contacter un conseiller") sont des <span onclick> sans role

Critère RGAA impacté : 7.1 (scripts compatibles AT), 12.8 (ordre de tabulation), 4.13 (composants d'interface)

Enjeu métier : le chatbot est présenté comme un "canal de service accessible" — il est en réalité totalement inaccessible aux utilisateurs de lecteurs d'écran.

Pourquoi la finance est particulièrement exposée

Trois raisons cumulables :

1. La directive EAA cite explicitement les services bancaires

L'article 2 de la directive 2019/882 liste les catégories de services concernées. Les services bancaires aux consommateurs y figurent explicitement (services de paiement, comptes de paiement, crédits, services d'investissement). Contrairement à d'autres secteurs qui débattent leur périmètre, la banque n'a aucune marge d'interprétation.

2. Le seuil d'entreprise concerne pratiquement toutes les banques

L'EAA s'applique dès 10 salariés OU 2 M€ de CA. Toutes les banques de notre panel — y compris les néobanques les plus petites — dépassent largement ces seuils.

3. Le régime français de sanctions ARCOM s'applique en cumul

Depuis janvier 2026, ARCOM applique le barème :

50 000 € par service en ligne non conforme
+ 25 000 € par obligation annexe manquante (déclaration d'accessibilité, schéma pluriannuel, plan d'action, dispositif de signalement)
Réitérable tous les 6 mois tant que la non-conformité perdure

Pour une banque avec un site public + un espace client + une app mobile tous non conformes, avec des obligations annexes non publiées : 250 000 € au premier contrôle, réitérable à 6 mois, soit 500 000 € sur 12 mois.

Voir aussi : RGAA 5 + sanctions ARCOM 2026 pour le détail du barème.

Comparaison EU et US

Le régime des sanctions français est comparable à celui de l'Espagne (barème 301 € à 1 M€), à celui des Pays-Bas (procédure de mise en demeure + astreinte), à celui de la Norvège (NOK 50 000/jour de pénalité coercitive). Voir le bilan 1 an d'EAA.

Côté États-Unis, la fintech américaine est déjà l'une des cibles principales des lawsuits ADA Title III, avec des règlements moyens de $80 000 à $150 000 par affaire — voir Top 10 industries plaintiff firms target.

Plan d'action 90 jours pour les banques françaises

Jours 1-30 : diagnostic

Audit automatisé sur les 3 surfaces principales : home publique, connexion, tarifs. Scrutia propose un audit gratuit en 5 minutes qui donne le score confirmé et l'estimation.
Audit humain complémentaire sur les parcours KYC et 2FA (parties non testables automatiquement)
Vérification des 4 obligations annexes ARCOM : déclaration publiée + à jour, schéma pluriannuel, plan d'action, dispositif de signalement fonctionnel

Jours 30-60 : remédiation prioritaire

Traiter en priorité les 5 patterns identifiés dans cet article — ils portent la majorité des non-conformités communes au secteur
Migrer les tableaux tarifaires vers un balisage sémantique propre (<th scope>, <caption>, headers)
Corriger les modales cookies pour respecter la CNIL 2024 et RGAA 12.9

Jours 60-90 : suivi continu

Mettre en place un monitoring mensuel des 3 surfaces critiques — chaque déploiement peut réintroduire des régressions
Intégrer des tests d'accessibilité dans la CI/CD sur les composants réutilisables (form fields, tables, modals)
Former les équipes design + dev sur le sous-ensemble des critères RGAA les plus impactés par le secteur (7, 10, 11, 12)

Auditez votre banque maintenant

Le RGAA 5 arrive fin 2026 (WCAG 2.2 intégré + apps mobiles + documents bureautiques dans le périmètre). Mais les sanctions ARCOM tombent dès aujourd'hui sur la base de RGAA 4.1. L'audit gratuit Scrutia donne en 5 minutes :

Un score 0-100 sur les critères RGAA 4.1 alignés WCAG 2.1 AA
La liste des critères qui échouent avec localisation code
Une estimation de l'effort de remédiation

Auditer mon site →

Sources

Directive (UE) 2019/882 dite European Accessibility Act (EUR-Lex)
Ordonnance n° 2023-857 du 6 septembre 2023 (transposition française EAA)
ARCOM, missions de contrôle accessibilité numérique (arcom.fr)
Access42, « L'ARCOM et l'accessibilité numérique : missions et sanctions »
CNIL, recommandations bandeaux cookies (2020, mises à jour 2024)
Rapports d'accessibilité publics des banques auditées
W3C, WAI-ARIA Authoring Practices Guide (patterns dialog, timer, combobox)