Identité numérique, contrôle des accès et réaction technologique

Il ne s’agit pas seulement d’une carte d’identité dans un téléphone

Une lecture superficielle pourrait laisser penser que l’Union européenne prépare simplement une version numérique de la carte d’identité, plus pratique et plus sûre. Ce serait incomplet.

Ce qui se construit est une infrastructure permettant à une personne de présenter, depuis un portefeuille numérique, des preuves certifiées : identité, âge, permis, diplôme, qualité professionnelle, droit d’accès ou autre attribut reconnu.

La question n’est donc pas seulement : « Mes données seront-elles bien protégées ? » Elle devient aussi : « Dans combien de situations devrai-je désormais prouver quelque chose avant de pouvoir entrer, lire, parler, acheter, échanger ou participer ? »

Une identité numérique utilisable dans la plupart des secteurs

Chaque État membre doit proposer au moins un portefeuille européen d’identité numérique, appelé EUDI Wallet, avant la fin de 2026. Il pourra contenir ou présenter une identité officielle, un permis de conduire, des diplômes, des données professionnelles, bancaires ou d’autres attributs certifiés.

Son utilisation est présentée comme volontaire. Mais l’infrastructure est conçue pour être acceptée par les administrations et, progressivement, par de nombreux acteurs privés : banques, télécommunications, transports, santé, éducation et grandes plateformes.

Un outil peut être volontaire dans la loi tout en devenant presque indispensable dans la vie quotidienne.

C’est le premier point essentiel : il ne s’agit pas seulement d’une carte d’identité dématérialisée, mais d’un système transversal de présentation de droits et d’attributs.

Le contrôle d’âge comme porte d’entrée

La Commission européenne a présenté en juillet 2025 un prototype d’application de vérification d’âge, puis a annoncé en avril 2026 que la solution était prête à être adaptée et déployée. Elle est conçue pour fonctionner avec les futures normes du portefeuille européen d’identité.

L’objectif officiel est de permettre à un utilisateur de prouver qu’il a plus de 18 ans sans révéler son identité complète.

Le contrôle d’âge n’est donc pas nécessairement une mesure isolée. Il introduit une architecture capable de vérifier :

• avoir plus de 15, 16, 18 ou 21 ans ;
• résider dans un territoire ;
• posséder une qualification ou un permis ;
• bénéficier d’un droit particulier ;
• appartenir à une catégorie autorisée ;
• présenter un statut requis avant d’accéder à un service.

Une preuve limitée à l’âge peut respecter la vie privée. Mais l’infrastructure qui sait vérifier l’âge sait aussi, techniquement, vérifier d’autres attributs.

De la pornographie aux réseaux sociaux, puis potentiellement au Web ordinaire

En France, la vérification d’âge contraignante existe déjà pour l’accès aux sites pornographiques. L’Arcom peut contrôler les dispositifs utilisés, mettre en demeure les sites et prononcer des sanctions en cas de manquement.

Le déplacement suivant est engagé politiquement : interdire les réseaux sociaux aux moins de 15 ans suppose qu’une plateforme puisse distinguer les moins de 15 ans des autres utilisateurs. Une proposition française adoptée à l’Assemblée nationale en janvier 2026 prévoit cette interdiction et des mesures concernant également les 15–18 ans.

Même lorsqu’un site ne reçoit qu’une réponse minimale — par exemple « oui, cette personne est majeure » — l’accès anonyme change de nature. L’utilisateur ne révèle pas forcément son nom, mais il doit présenter une preuve issue d’une chaîne de confiance reconnue.

L’anonymat civil peut être préservé tout en faisant disparaître l’accès sans autorisation préalable.

Une identité théoriquement cachée, mais une navigation davantage conditionnée

Les autorités européennes insistent sur la divulgation sélective : le site pourrait apprendre qu’une personne est majeure sans recevoir son nom ni sa date de naissance. Cette protection est réelle et préférable à l’envoi d’une copie de carte d’identité à chaque plateforme.

Mais elle ne résout pas toutes les questions.

• Qui délivre la preuve ?
• Qui peut la révoquer ou la rendre invalide ?
• Quels services seront autorisés à la demander ?
• Peut-on relier plusieurs utilisations d’une même preuve ?
• Quelles métadonnées restent visibles ?
• Que devient la liberté de refuser lorsqu’un service essentiel exige cette preuve ?
• Quels nouveaux attributs pourront être ajoutés ultérieurement ?

Le Comité européen de la protection des données reconnaît que les mécanismes de garantie de l’âge peuvent affecter non seulement la protection des données, mais aussi d’autres droits fondamentaux, notamment la non-discrimination et l’intégrité de la personne.

Le risque principal n’est donc pas seulement la fuite d’un nom ou d’une date de naissance. Il réside dans la transformation progressive d’un Internet ouvert en un ensemble d’espaces auxquels on accède après présentation d’un statut certifié.

Le contrôle des accès converge avec celui des communications

En parallèle, l’Union européenne poursuit un projet de règlement destiné à lutter contre les contenus pédocriminels en ligne. La position du Conseil adoptée en novembre 2025 prévoit notamment une classification des services selon leur niveau de risque, des obligations de réduction des risques et la création d’un futur centre européen spécialisé.

Le Conseil souhaite également rendre permanente la possibilité actuellement temporaire permettant à des fournisseurs de services de communication d’analyser volontairement leurs services afin de détecter, signaler et retirer certains contenus pédocriminels.

• vérification ou qualification de l’utilisateur ;
• classification des services et de leurs risques ;
• analyse ou détection de contenus ;
• transmission de signalements ;
• création d’autorités et d’intermédiaires techniques spécialisés.

Il faut rester précis : ces dispositifs sont officiellement justifiés par la protection des mineurs et la lutte contre des crimes graves. Mais ils installent aussi des capacités techniques qui, une fois généralisées, peuvent transformer durablement la relation entre l’utilisateur, les plateformes et les pouvoirs publics.

Chaque architecture de contrôle produit son architecture d’évasion

L’intuition centrale n’est pas seulement que les contrôles favoriseront les identités dites « souveraines ». Elle est plus profonde :

En construisant un Internet dans lequel l’accès dépend de preuves d’identité ou d’attributs certifiés, les pouvoirs publics vont probablement accélérer le développement de technologies destinées à rendre les individus, leurs communications et leurs réseaux moins contrôlables.

Ces technologies ne seront pas uniquement de paisibles assistants protégeant les données. Elles pourront comprendre :

Le paradoxe est donc beaucoup plus fort qu’une simple opposition entre surveillance et vie privée :

En voulant rendre l’espace numérique plus identifiable, les États risquent d’accélérer l’invention d’espaces numériques beaucoup moins visibles et beaucoup moins gouvernables.

Ce qui peut être affirmé — et ce qui ne doit pas l’être

Il serait excessif d’affirmer qu’un « crédit social européen » est officiellement programmé. Les textes comportent des garanties sérieuses : usage annoncé comme volontaire, minimisation des données, divulgation sélective et volonté déclarée d’empêcher le suivi des usages.

Mais il serait tout aussi naïf de réduire ces projets à de simples outils pratiques de protection des mineurs.

L’infrastructure qui se construit possède une portée bien plus grande que ses premiers usages. Elle crée la possibilité technique de conditionner l’accès à des services numériques à la présentation d’attributs certifiés.

La question politique essentielle n’est donc pas uniquement :

Les preuves seront-elles anonymes ?

Elle est :

Une personne pourra-t-elle encore accéder, lire, parler, échanger et participer sans devoir préalablement démontrer à une infrastructure autorisée qu’elle possède les attributs requis ?

C’est probablement à cela que les responsables politiques devront être rappelés : chaque architecture de contrôle produit son architecture d’évasion. Et la seconde est souvent plus opaque, plus radicale et moins gouvernable que le monde ouvert que l’on voulait réglementer.

Glossaire

Attribut certifié

Information confirmée par une autorité ou un organisme reconnu : âge, diplôme, permis, statut professionnel, résidence.

Divulgation sélective

Technique permettant de révéler seulement l’information nécessaire. Par exemple, prouver que l’on est majeur sans transmettre sa date de naissance.

EUDI Wallet

Portefeuille européen d’identité numérique destiné à stocker ou présenter des documents et preuves numériques.

Identité contextuelle

Identité différente selon la situation. On peut vouloir être connu comme client, patient ou membre d’une communauté sans révéler partout son identité civile complète.

Pair-à-pair

Architecture dans laquelle les appareils communiquent directement entre eux au lieu de passer par un serveur central unique.

Routage

Choix du chemin emprunté par une information pour aller d’un appareil à un autre.

Preuve cryptographique

Mécanisme mathématique permettant de démontrer qu’une information est vraie sans nécessairement révéler l’information elle-même.

Chaîne de confiance

Ensemble d’acteurs et de règles permettant à un service de croire qu’une preuve présentée est authentique.

Métadonnées

Informations autour d’une communication : qui contacte quel service, quand, depuis quel appareil ou quel réseau, sans forcément connaître le contenu échangé.