Portefeuilles d’identité numérique : EU eIDAS 2.0, Apple Wallet ID et ce qui vient

Votre passeport, votre permis de conduire, votre carte bancaire, votre numéro d’assurance maladie et votre diplôme universitaire vivent dans un tiroir ou dans un portefeuille en cuir. Le monde consacre l’année 2026 à trouver comment déplacer chacun de ces documents dans une application mobile — et à déterminer qui contrôle l’infrastructure qui rend cela possible.

Deux forces propulsent ce mouvement simultanément : les mandats réglementaires de Bruxelles et les déploiements discrets de fonctionnalités depuis Cupertino. Il en résulte un réalignement mondial de la façon dont l’identité est stockée, partagée et vérifiée — avec des conséquences profondes pour la vie privée, la souveraineté et l’architecture des services numériques dans le monde entier.

Qu’est-ce qu’un portefeuille d’identité numérique ?

Un portefeuille d’identité numérique est une application qui contient des justificatifs signés cryptographiquement. Contrairement à un identifiant/mot de passe ou à une simple photo de votre carte d’identité, un justificatif vérifiable est un objet de données structuré émis par une autorité de confiance — un gouvernement, une université, un employeur — et signé avec la clé privée de cette autorité. Le titulaire le stocke localement sur son appareil. Lorsqu’un service demande une preuve, le portefeuille présente le justificatif (ou une divulgation sélective de celui-ci), et le service vérifie la signature sans rappeler l’émetteur d’origine.

La distinction critique est la divulgation sélective. Une vérification d’âge classique dans un magasin exige de montrer son permis de conduire complet — nom, adresse, date de naissance, numéro de permis. Un portefeuille numérique bien conçu peut prouver « cette personne a plus de 21 ans » en ne révélant qu’un seul booléen dérivé de la date de naissance, rien de plus. L’émetteur ne sait jamais où ni quand vous avez utilisé le justificatif. C’est la promesse de confidentialité au cœur de la conception moderne des portefeuilles d’identité.

Trois couches font fonctionner ce système : l’application portefeuille (côté utilisateur, contient les justificatifs), l’infrastructure d’émission (gouvernements, banques, registres qui signent et émettent les justificatifs), et l’écosystème de vérification (les commerces, hôpitaux, sites web et postes frontières qui les acceptent). Faire interopérer ces trois couches entre juridictions et intérêts commerciaux est la partie difficile — et c’est exactement ce qu’eIDAS 2.0 cherche à résoudre.

EU eIDAS 2.0 : le levier réglementaire

Le règlement révisé de l’UE sur l’identification électronique et les services de confiance — eIDAS 2.0 — est entré en vigueur en mai 2024. Il donne aux États membres jusqu’à mi-2026 pour fournir au moins un portefeuille d’identité numérique européen (EUDIW) à tout citoyen qui en fait la demande. D’ici 2030, la Commission européenne s’attend à ce que les portefeuilles couvrent 80 % des citoyens de l’UE.

Le mandat est techniquement sans précédent dans sa portée. eIDAS 2.0 exige que les États membres non seulement émettent des portefeuilles, mais s’assurent qu’ils soient acceptés par tout service qui exige actuellement une authentification forte — services bancaires en ligne, services publics, professions réglementées et grandes plateformes classées en vertu du Digital Services Act. Pour la première fois, les grandes entreprises technologiques ne peuvent pas se soustraire : les plateformes comptant plus de 45 millions d’utilisateurs mensuels dans l’UE doivent accepter l’EUDIW comme méthode de connexion aux côtés (et éventuellement à la place) de leurs propres systèmes d’identité.

Le Cadre de référence d’architecture (ARF) de la Commission définit le noyau technique. Les justificatifs doivent être conformes au modèle de données W3C Verifiable Credentials. La présentation utilise ISO/IEC 18013-5 — la norme du permis de conduire mobile — adaptée à un ensemble de documents plus large. La liaison cryptographique garantit qu’un portefeuille ne peut pas être cloné : un justificatif est lié à une paire de clés détenue par l’appareil, de sorte que sa présentation prouve la possession de l’appareil, pas seulement la connaissance d’un mot de passe.

Les États membres adoptent différentes voies de mise en œuvre. Le pilote du portefeuille EUDI de l’Allemagne, géré par l’agence gouvernementale SPRIND, est open-source et utilise le protocole OpenID for Verifiable Credentials (OID4VC). L’Italie et l’Espagne ont lancé leurs propres pilotes. Le programme Large-Scale Pilots — quatre consortiums financés par la Commission — teste des portefeuilles pour les voyages, la conformité KYC bancaire, les justificatifs d’éducation et les données de santé depuis 2023.

La pression du calendrier est réelle. Avec l’échéance de mi-2026 qui approche, plusieurs États membres sont en retard. Les critiques soutiennent que la Commission a sous-estimé la complexité des migrations des systèmes d’identité nationaux. Les partisans rétorquent que les pilotes ont déjà démontré une vérification transfrontalière fonctionnant en production — un EUDIW allemand reconnu par une pharmacie espagnole, par exemple — rendant l’échéance réglementaire crédible plutôt qu’aspirationnelle.

Apple Wallet ID : la couche grand public

Tandis que Bruxelles travaille à travers la machinerie législative, Apple a discrètement construit l’adoption grand public via un canal différent : le permis de conduire mobile (mDL).

Apple Wallet prend en charge les cartes d’identité conformes à ISO 18013-5 dans un nombre croissant d’États américains. L’Arizona, le Colorado, la Géorgie, le Maryland et Hawaï figuraient parmi les premiers adoptants ; la liste s’est régulièrement allongée à mesure que les DMV des États signent des accords d’intégration. La fonctionnalité permet aux utilisateurs de présenter leur pièce d’identité aux points de contrôle TSA dans les aéroports participants et dans les commerces participants pour la vérification de l’âge — le tout sans remettre de carte physique.

L’implémentation d’Apple comporte des limitations notables. L’acceptation reste inégale : la plupart des commerces physiques, des contrôles de police et des bureaux gouvernementaux exigent toujours le permis physique. Le portefeuille est cloisonné dans l’écosystème d’Apple, sans protocole d’interopérabilité ouvert publié pour l’intégration d’applications tierces. Des défenseurs de la vie privée ont noté que l’architecture d’Apple achemine les demandes de présentation via les serveurs d’Apple dans certains flux, créant un point d’observation potentiel qui contredit la promesse décentralisée de la norme ISO.

Google suit une voie similaire. Google Wallet a ajouté la prise en charge des mDL sur Android, et Google a travaillé avec plusieurs DMV d’États sur une intégration directe. La dynamique concurrentielle entre Apple et Google dans ce domaine reflète leur rivalité de plateforme plus large — les deux veulent posséder la couche d’identité qui s’intercale entre les citoyens et les services.

Justificatifs vérifiables et DID : la couche standards ouverts

Sous les portefeuilles propriétaires et les mandats gouvernementaux se trouve un ensemble de standards ouverts qui pourraient, en principe, permettre à n’importe quel portefeuille d’interopérer avec n’importe quel émetteur et n’importe quel vérificateur.

Le modèle de données W3C Verifiable Credentials (VC Data Model 2.0, finalisé en 2023) définit comment les justificatifs sont structurés et signés. Un justificatif est un document JSON-LD contenant des affirmations sur un sujet, signé par un émetteur à l’aide d’une clé cryptographique. La clé est résolue via un Decentralised Identifier (DID) — un identifiant auto-souverain qui pointe vers une clé publique sans s’appuyer sur un registre central.

Le débat pratique en 2026 ne porte pas sur la pertinence des VCs — il y a un accord quasi universel sur le modèle de données — mais sur le protocole de présentation à standardiser. OID4VC a le soutien industriel le plus large. ISO 18013-5 domine l’espace gouvernemental des mDL. SD-JWT VC gagne du terrain pour sa simplicité. Le risque de fragmentation est réel : un écosystème de vérification construit autour d’un protocole ne peut pas facilement accepter des justificatifs présentés via un autre sans couches de traduction supplémentaires.

Préoccupations relatives à la vie privée et compromis réels

La promesse de divulgation sélective des portefeuilles d’identité numérique est techniquement réalisable mais pratiquement compliquée. Plusieurs déploiements en production sont restés en deçà de l’idéal.

Le problème du corrélateur est le plus difficile. Même si un justificatif ne révèle que « âge supérieur à 21 ans », si le format de présentation cryptographique n’est pas soigneusement conçu, le vérificateur peut corréler plusieurs présentations du même portefeuille — en construisant un profil indiquant où et quand une personne utilise sa pièce d’identité, même sans connaître son nom. Des techniques cryptographiques comme les signatures BBS+ (qui permettent des présentations non reliables) traitent ce problème, mais elles sont plus lourdes en calcul et pas encore largement déployées.

L’accès gouvernemental est une deuxième préoccupation. eIDAS 2.0 inclut des dispositions pour l’accès des forces de l’ordre aux données du portefeuille dans le cadre des cadres juridiques nationaux existants. Des organisations de défense des libertés civiles, dont European Digital Rights (EDRi), ont critiqué le portefeuille comme une infrastructure de surveillance potentielle — non pas à cause de ce que dit la spécification technique, mais à cause de ce que les lois nationales de mise en œuvre peuvent permettre.

Le risque d’exclusion complète le tableau des préoccupations. Tout système exigeant un smartphone pour accéder aux services gouvernementaux exclut implicitement les 15 à 20 % de la population adulte dans les pays à revenus élevés qui n’en possèdent pas, un pourcentage qui augmente fortement dans les contextes à revenus plus faibles.

Le panorama mondial

Les programmes de portefeuilles d’identité numérique se multiplient bien au-delà de l’UE.

DigiLocker en Inde — qui précède eIDAS 2.0 de près d’une décennie — compte plus de 300 millions d’utilisateurs enregistrés et stocke des documents allant des permis de conduire aux certificats universitaires. Le système d’identité biométrique Aadhaar le sous-tend, permettant une liaison d’identité forte. L’ouverture de DigiLocker à l’intégration d’applications tierces a créé un écosystème de développeurs absent de la plupart des déploiements gouvernementaux de portefeuilles.

UAE Pass, lancé par la Telecommunications and Digital Government Regulatory Authority (TDRA) des Émirats arabes unis, sert désormais d’identité numérique nationale pour l’accès aux services gouvernementaux. Il a été étendu au KYC bancaire et est accepté pour la vérification d’identité physique dans plusieurs points du secteur privé.

Le système d’identification numérique de la NIMC (National Identity Management Commission) du Nigeria couvre plus de 100 millions de citoyens enregistrés et a été intégré à l’enregistrement des cartes SIM et aux programmes d’inclusion financière. L’intégration mobile pour la présentation de justificatifs est à un stade plus précoce que les modèles européen ou du Golfe, mais progresse rapidement.

Ce qui émerge à l’échelle mondiale n’est pas une norme unique mais un ensemble d’approches compatibles convergeant autour des VC W3C, d’ISO 18013-5 et d’OID4VC — avec des couches de souveraineté nationale déterminant quelles données d’identité vivent où et qui peut y accéder.

Sources et lectures complémentaires

• Portefeuille d’identité numérique européen — Commission européenne
• Modèle de données Verifiable Credentials 2.0 — W3C
• Utiliser votre permis de conduire dans Apple Wallet — Apple Support
• ISO/IEC 18013-5:2021 — Permis de conduire mobile — ISO
• OpenID for Verifiable Credential Issuance (OID4VCI) — OpenID Foundation
• DigiLocker — Gouvernement de l’Inde