L’identité numérique que la plupart des gens utilisent aujourd’hui ne leur appartient pas. Il appartient à Google, Facebook, gov.br ou à la banque qui l'a émis. Lorsque vous vous connectez avec votre compte Google à un service, vous ne présentez pas votre identité : vous empruntez l'identité que Google gère pour vous, dans des conditions définies par Google et révocables lorsque Google le décide. L’identité numérique auto-souveraine part d’un principe différent : et si l’individu contrôlait ses propres informations d’identification, sans dépendre d’une autorité centrale pour les valider ?
L'architecture technique derrière le concept
SSI – Self-Sovereign Identity – n’est pas une idée abstraite. Il dispose d'une pile technique concrète, standardisée par le W3C, avec deux éléments centraux : les DID (Decentralized Identifiers) et les Verifiable Credentials.
Un DID est un identifiant unique que son titulaire crée et contrôle, sans avoir besoin de s'enregistrer auprès d'une autorité centrale. Sa structure suit le format did:método:identificador-específico, où la méthode définit dans quelle infrastructure (une blockchain, un registre distribué, voire un serveur contrôlé par l'utilisateur) le DID est ancré. Le titulaire conserve les clés cryptographiques prouvant la maîtrise de cet identifiant. Si les clés appartiennent à l'individu, l'identité appartient à l'individu.
Les informations d'identification vérifiables constituent le deuxième bloc. Un titre vérifiable est un document numérique — il peut s'agir d'un permis de conduire, d'un diplôme universitaire, d'un certificat médical, d'un certificat professionnel — délivré par une autorité compétente (l'émetteur), conservé par le titulaire dans le portefeuille numérique lui-même, et présentable à tout vérificateur sans que l'émetteur ait besoin d'être impliqué dans la transaction. Le cryptage garantit que les informations d'identification n'ont pas été falsifiées et qu'elles proviennent réellement de l'émetteur dont elles prétendent provenir. Le vérificateur n'a pas besoin de consulter la [base de données] de l'université chaque fois qu'une personne présente un diplôme : la signature cryptographique fait ce travail.
Qu'est-ce que cela permet en pratique
Le premier gain évident est la portabilité. Aujourd’hui, les identifiants numériques sont prisonniers des systèmes qui les délivrent. Vos antécédents médicaux sont dans le système hospitalier. Votre CV vérifié est sur LinkedIn. Vos qualifications professionnelles sont sur des plateformes de certification. Avec SSI, ces informations d'identification résident dans le portefeuille de l'individu et peuvent être présentées dans n'importe quel contexte, à n'importe quel vérificateur, sans avoir besoin d'un intermédiaire.
Le deuxième gain est la confidentialité par architecture, et non par politique. Un mécanisme appelé preuve sans connaissance permet au titulaire de prouver les attributs d'un titre sans révéler l'intégralité du titre. Exemple concret : pour justifier que vous avez plus de 18 ans, vous n'avez pas besoin de présenter votre carte d'identité avec votre nom, CPF et adresse. Vous pouvez prouver uniquement l'attribut "plus de 18 ans" d'une manière cryptographiquement vérifiable sans rien révéler d'autre. Cela élimine catégoriquement les fuites de données dues à une collecte excessive – un problème systémique dans l’infrastructure d’identité actuelle.
Le troisième gain est l’interopérabilité transfrontalière. Un titre délivré par le gouvernement brésilien, s'il respecte les normes du W3C, peut être reconnu par un employeur européen ou une université américaine sans accord bilatéral spécifique, car la vérification a lieu au niveau cryptographique et non au niveau diplomatique.
Là où SSI est déjà implémenté
L'Union européenne a pris les devants avec le portefeuille d'identité numérique de l'UE, un élément central du règlement eIDAS 2.0, entré en vigueur en 2024. L'objectif est que chaque citoyen européen ait accès d'ici 2026 à une carte d'identité numérique permettant d'accéder aux services publics et privés dans n'importe quel pays membre. La conception suit les principes SSI : les citoyens contrôlent ce qu'ils partagent et avec qui.
Au Brésil, gov.br a continuellement évolué, mais fonctionne toujours sur un modèle centralisé : la plateforme est le fournisseur d'identité et les services en dépendent pour la vérification. Des discussions sur une carte d'identité numérique souveraine existent au sein des groupes techniques gouvernementaux, mais n'ont pas encore été traduites en une architecture publiée avec un délai défini.
Dans le secteur privé, les initiatives d’identité pour les chaînes d’approvisionnement, l’accès aux services financiers pour les populations sans papiers formels et la vérification des diplômes universitaires ont déjà de véritables pilotes dans plusieurs pays. La Finlande a expérimenté l'identité SSI pour les réfugiés. Le Canada a élaboré un modèle de titres de compétences vérifiables pour le secteur de la santé. Ce ne sont pas des prototypes de laboratoire, ce sont des systèmes avec de vrais utilisateurs.
Les points de friction qui ralentissent l'adoption
La friction la plus évidente est l’expérience utilisateur. Les cartes d'identité numériques exigent que leur titulaire gère ses propres clés cryptographiques, et la perte de ces clés signifie la perte de l'accès aux informations d'identification. Ce problème – appelé gestion des clés – n’a pas de solution triviale qui soit à la fois sécurisée et accessible à l’utilisateur moyen. Les alternatives (clés détenues par des tiers, récupération sociale) introduisent des dépendances qui contredisent en partie le principe de souveraineté.
La deuxième friction est la fragmentation des normes. Il existe des dizaines de méthodes DID enregistrées auprès du W3C, chacune avec des caractéristiques techniques différentes, et l'interopérabilité entre elles est encore imparfaite. Un vérificateur qui accepte les informations d'identification dans la méthode did:web peut ne pas accepter celles utilisant did:ion ou did:key. La convergence se produit, mais lentement.
La troisième friction est d’ordre réglementaire et juridique. Pour qu’un titre vérifiable ait une valeur juridique, il a besoin d’une reconnaissance normative – une loi ou un règlement qui détermine que cette forme de présentation est équivalente à un document physique. Cette reconnaissance arrive en Europe via eIDAS 2.0, mais dans la plupart des pays, elle est encore manquante ou incomplète.
Ce que cela signifie pour les organisations qui collectent des identités aujourd'hui
Pour les entreprises qui collectent et stockent aujourd’hui les données d’identité des clients – nom, CPF, adresse, documents, selfies – le modèle SSI représente un changement de rôle : de collecteur à vérificateur. Au lieu de conserver une copie des données de l'utilisateur, l'organisation vérifie les informations d'identification présentées, confirme sa validité cryptographique et les supprime. Les données ne restent pas dans la base de données de l'entreprise. Une fuite n’est pas possible car il n’y a rien à fuir.
Ce changement architectural réduit radicalement le risque réglementaire, le coût de la conformité LGPD et l'impact d'un incident de sécurité. Cela change également le discours sur le consentement : au lieu de demander l’autorisation de conserver les données, l’entreprise ne les conserve tout simplement pas. L’adoption du SSI, à grande échelle, obligera à réévaluer les modèles commerciaux qui dépendent des données d’identité accumulées – et cette réévaluation sera inconfortable pour ceux qui monétisent ces données d’une manière dont le détenteur n’est pas conscient.
A lire aussi
- Dignité des données : la prochaine étape après la vie privée
- Consentement réel ou théâtre réglementaire : comment différencier
- Certificats vérifiables : un portefeuille qui prouve, de la carrière à la confiance institutionnelle -L'inférence à la périphérie : lorsque l'exécution de l'IA sur l'appareil a plus de sens que dans le cloud
- LGPD en 2026 : ce qui a changé, ce qui n'est pas encore respecté et ce qui s'en vient
- LGPD deux ans après : ce qui a vraiment changé dans les entreprises brésiliennes