EUDI Wallet : l’identité numérique européenne arrive, et elle change les règles

Dans un peu plus de trois mois, le 24 décembre 2026, chaque État membre de l’Union européenne devra proposer à ses citoyens au moins un portefeuille d’identité numérique. Un an plus tard, jour pour jour, une large partie des entreprises devront l’accepter. Derrière l’acronyme EUDI Wallet se cache la réforme la plus structurante de l’identité en ligne depuis l’invention du mot de passe — et, pour une fois, une réforme qui pourrait rendre du pouvoir aux utilisateurs plutôt qu’en retirer.

Un coffre-fort d’attestations, pas un fichier central

Le portefeuille européen d’identité numérique, institué par le règlement eIDAS 2, est une application installée sur le téléphone qui contient des attestations vérifiables : pièce d’identité, permis de conduire, diplômes, attestations professionnelles, cartes d’assurance. Sa particularité tient dans un mécanisme appelé divulgation sélective. Pour prouver que l’on est majeur, le portefeuille transmet une seule information — oui, cette personne a plus de dix-huit ans — sans livrer la date de naissance, le nom ou l’adresse. Le commerçant obtient la certitude dont il a besoin, et rien de plus.

C’est l’inverse de la logique actuelle, où l’on photocopie une carte d’identité entière pour prouver un seul attribut, laissant à un prestataire un document qui permettrait d’ouvrir un compte bancaire. Le dispositif prévoit aussi un tableau de bord dans lequel l’utilisateur voit qui lui a demandé quoi, peut exercer ses droits d’accès et de suppression, et signaler directement au régulateur une demande de données excessive. Sur le papier, c’est une application concrète du principe de minimisation du RGPD, enfin outillée.

Le calendrier, et qui est vraiment concerné

Deux échéances structurent la réforme. Au 24 décembre 2026, les États doivent mettre un portefeuille conforme à disposition de leurs citoyens — l’usage reste volontaire, et des moyens d’authentification alternatifs devront rester disponibles. Au 24 décembre 2027, l’obligation d’acceptation s’impose : aux organismes publics, aux très grandes plateformes en ligne au sens du DSA, et aux entreprises privées qui exigent une authentification forte de leurs utilisateurs.

Ce dernier point mérite une lecture attentive, car il détermine qui doit s’en préoccuper. Le seuil retenu exclut les micro et petites entreprises : sont visées les structures d’au moins cinquante salariés ou réalisant plus de dix millions d’euros de chiffre d’affaires, et encore, uniquement lorsqu’elles requièrent une authentification forte. Autrement dit, l’immense majorité des TPE du Jura n’aura aucune obligation — banques, opérateurs, assureurs, plateformes et services publics, eux, devront s’y plier.

Une contrainte mérite d’être signalée aux entreprises concernées : pour accepter un portefeuille, il faudra s’enregistrer auprès de son État membre comme « partie utilisatrice », en déclarant précisément quelles données on entend demander et pour quel usage. Il deviendra impossible de réclamer davantage que ce qui a été déclaré, et cette déclaration sera publique. C’est un renversement discret mais considérable : la minimisation des données cesse d’être une promesse dans une politique de confidentialité pour devenir une contrainte technique opposable.

Entre l’annonce politique et le terrain

Les professionnels réunis à l’ID Forum cette année invitaient à se méfier d’une lecture trop linéaire du calendrier européen. Les obstacles sont réels : certification des solutions, sécurisation des clés cryptographiques, interopérabilité entre États membres, et surtout absence d’incitation claire pour les fournisseurs de services à se brancher au dispositif. Une infrastructure d’identité ne vaut que par le nombre de portes qu’elle ouvre ; tant que les usages quotidiens manquent, l’adoption citoyenne restera théorique.

La France part avec des atouts : FranceConnect dépasse les cinquante millions d’utilisateurs, et France Identité mène des expérimentations concrètes sur le permis de conduire dématérialisé, la vérification d’identité et le transport aérien. Le premier usage de masse attendu est la vérification d’âge par divulgation sélective, dont le déploiement s’amorce cette rentrée — un cas d’école, puisqu’il démontre l’intérêt du mécanisme en une phrase compréhensible par tous.

Les réserves exprimées ne sont pas négligeables pour autant. Le risque de concentration autour de quelques grands acteurs commerciaux du portefeuille est réel. Les projets de portefeuilles professionnels — les European Business Wallets — pourraient ajouter de la complexité aux PME plutôt que leur en retirer. Et l’arrivée d’agents autonomes effectuant des transactions au nom de leur utilisateur ouvre des questions non tranchées de responsabilité, de limites d’autorisation et de révocation.

Ce qu’une petite structure peut en retirer

Même non soumise à l’obligation, une petite entreprise a intérêt à regarder de ce côté, pour trois raisons. La première est l’allègement des vérifications : là où l’ouverture d’un compte client, la signature d’un contrat ou la souscription d’un abonnement suppose aujourd’hui des scans de documents et des contrôles manuels, une attestation vérifiable réglera la question en quelques secondes, avec une fiabilité supérieure. La deuxième est la réduction du risque : ne plus détenir de copies de pièces d’identité, c’est supprimer un stock de données sensibles dont la fuite serait coûteuse. La troisième est plus stratégique : le portefeuille normalise l’idée qu’une donnée peut être prouvée sans être livrée — une logique que nous appliquons déjà, à notre échelle, dans les outils que nous concevons.

Concrètement, rien n’est à faire dans l’immédiat pour une TPE. Il s’agit surtout de ne pas engager, dans les deux ans qui viennent, des développements d’identification maison ou des contrats longs avec des prestataires de vérification d’identité sans vérifier leur trajectoire de compatibilité. Cette réforme rejoint les autres échéances que nous suivons dans notre panorama des échéances numériques 2026-2028 : prises isolément, elles paraissent lointaines ; cumulées, elles redessinent la manière dont une entreprise prouve qui elle est et qui sont ses clients.

Sources

• Données personnelles — Portefeuille européen d’identité numérique : guide 2026
• Docaposte — Comment les entreprises se préparent au portefeuille européen d’identité numérique
• InCyber — ID Forum 2026 : la promesse des portefeuilles numériques à l’épreuve des usages
• Deloitte France — EUDI Wallet et eIDAS 2.0

Cet article fait partie de notre dossier TPE-PME : les échéances numériques de 2026 à 2028.