Que sont les “Electronic Attestations of Attributes” (EAAs) ?

L’essentiel en bref

• Définition : les EAA sont des preuves numériques légalement valables de caractéristiques (par exemple l’âge, le diplôme professionnel, le permis de conduire) certifiées par des sources fiables.
  
• Avantage stratégique : Ils permettent de vérifier des faits spécifiques sans avoir à révéler toute l’identité (Selective Disclosure – par exemple “majeur” au lieu de la date de naissance exacte).
  
• Intégration du portefeuille EUDI : les EAA sont au cœur du prochain portefeuille numérique européen.

• Interopérabilité : les EAA fonctionnent de manière transfrontalière dans toute l’UE, qu’il s’agisse d’administrations ou d’entreprises privées.

_______________________________________________________________

Avec l’introduction du règlement eIDAS 2.0 et de l’EUDI Wallet (European Digital Identity Wallet), la manière dont nous prouvons notre identité change. Jusqu’à présent, la question principale était “qui êtes-vous ? Désormais, l’accent sera mis sur : “Que pouvez-vous faire ?”, “Quelles sont vos qualifications ?” ou “Qu’est-ce qui vous distingue ?

Les attestations électroniques d’attributs (EAA) sont la réponse numérique à ces questions. Elles sont la traduction de nos attestations analogiques – du permis de conduire au diplôme – dans le monde numérique.

Qu’est-ce qu’un attribut ?

Avant de parler de la technique, clarifions le terme : un attribut est une propriété ou une caractéristique qui décrit une personne ou une organisation (Entity). On peut l’imaginer comme une pièce de puzzle qui dessine une image globale d’une identité.

Les attributs englobent un énorme éventail d’informations :

• Données d’identification personnelle (PID) : Comme votre nom, votre lieu de naissance ou votre nationalité.
  
• Caractéristiques professionnelles : Titres académiques, titres professionnels ou licences officielles.
  
• Droits et pouvoirs : Autorisations spécifiques, telles qu’un pouvoir de signature dans une entreprise ou un permis de conduire.

Le saut dans le monde numérique

Dans le contexte de l’identité numérique, les attributs permettent d’établir des caractéristiques en ligne sans aucun doute possible, sans être physiquement présent. On distingue deux catégories :

1. Les attributs statiques : Informations qui ne changent (presque) jamais, comme par exemple votre date de naissance.
   
2. Attributs dynamiques : Caractéristiques qui évoluent, comme votre adresse de résidence actuelle, votre statut professionnel actuel ou votre âge.

Pour que ces attributs soient considérés comme fiables en ligne, ils doivent provenir d’une source sécurisée, comme des registres gouvernementaux, des établissements d’enseignement ou des autorités certifiées. Ce n’est qu’après cette confirmation numérique qu’un simple attribut devient une preuve infalsifiable (EAA) qui vous permet de vous identifier auprès des services en ligne.

Qu’est-ce que les attestations électroniques d’attributs (Electronic Attestations of Attributes) ?

Un EAA est donc un enregistrement numérique qui confirme un ou plusieurs attributs d’une personne et qui a été signé ou scellé électroniquement par un prestataire de services de confiance (TSP) qualifié ou non.

La différence essentielle : alors qu’une eID classique transmet souvent l’ensemble des données, une EAA fournit des informations ponctuelles. Une Attestation Electronique Qualifiée d’Attributs (AQEA) bénéficie à cet égard de la plus grande force probante, car elle est délivrée par des fournisseurs contrôlés par l’Etat.

Les 3 types d’attestations selon eIDAS 2.0

Toutes les preuves numériques n’ont pas la même force juridique. Afin de garantir l’interopérabilité dans toute l’Europe, l’UE définit trois catégories spécifiques de preuves d’attributs. Celles-ci se distinguent principalement par l’éditeur et la force juridique:

1. Attributs auto-définis (self-asserted) : Informations que vous fournissez vous-même (par exemple, une adresse de livraison). Ils sont pratiques pour les formulaires, mais n’ont pas de valeur probante officielle.
   
2. Attestations électroniques (EAA) : elles sont délivrées par des sources vérifiées. Elles sont signées numériquement et sont beaucoup plus sûres que les documents traditionnels. (Les EAA comprennent les EAA et les PuB-EAA).
   
3. Attestations électroniques qualifiées (QEAA) : le niveau le plus élevé. Ils sont délivrés par des prestataires de services de confiance qualifiés (QTSP) contrôlés par l’État. Un QEAA a la même valeur juridique qu’un document papier avec sceau officiel et est reconnu dans toute l’UE.

Type	Focus & Editeurs	Niveau de confiance & force probante	Source des données	Exemple pratique
Q-EAA (Qualifié)	Contrôlé par le gouvernement : Délivré par des services de confiance qualifiés (QTSP).	Maximum : obligation de reconnaissance dans toute l’UE et force probante maximale devant les tribunaux.	Documents officiels ou données souveraines.	Diplômes universitaires, autorisations médicales ou actes notariés.
EAA (non qualifié)	Secteur privé : Délivré par des entreprises ou des organisations.	Flexible : l’acceptation juridique dépend du contexte (par exemple, les conditions générales).	N’importe quelle source (en fonction des besoins de l’entreprise).	Identifiants numériques des employés, cartes de fidélité ou tickets d’événements.
PuB-EAA (Public)	Administratif : directement par des organismes publics (Public Sector Bodies).	Très élevé : s’appuie sur l’intégrité des registres gouvernementaux ; reconnu dans toute l’UE.	Registres officiels du gouvernement (par exemple, registres de la population).	Actes de naissance, justificatifs de domicile ou permis de conduire.

Analyse de marché : quelle sera la diffusion de ces preuves ?

Il est important de comprendre que tous les types d’EAA n’inonderont pas le marché en même temps. En se basant sur la feuille de route eIDAS 2.0, on peut estimer la diffusion dans les wallets comme suit :

• Q-EAA & PuB-EAA (Très élevé) : Ils constitueront la base de l’EUDI Wallet. Étant donné que les États membres sont tenus de fournir des pièces d’identité souveraines (comme les cartes d’identité et les permis de conduire) sous forme numérique, chaque utilisateur de portefeuille disposera automatiquement de ces attributs hautement sécurisés.

• EAA (moyen à croissant) : La balle est dans le camp du secteur privé. La diffusion dépend de la rapidité avec laquelle les entreprises (telles que les compagnies aériennes, les chaînes de fitness ou les employeurs) reconnaissent la valeur ajoutée et émettent leurs propres preuves numériques.

Importance stratégique pour les entreprises et les pouvoirs publics

L’intégration des EAA est bien plus qu’un gadget technique – c’est un levier massif pour les processus d’entreprise. Différents types d’EAA sont utilisés en fonction de l’application et de la force juridique requise :

1. Onboarding & KYC sans faille (Q-EAA)
   Les secteurs fortement réglementés tels que les banques et les assurances peuvent vérifier les données d’identité et les preuves (par exemple le revenu ou le diplôme professionnel) en temps réel. Au lieu d’examiner manuellement les documents, le système valide immédiatement le Q-EAA – ce qui réduit considérablement les taux d’abandon lors de l’onboarding.
   
2. Gestion des autorisations numériques (EAA & Q-EAA)
   Dans la logistique ou l’industrie, les licences, l’appartenance à une entreprise ou les instructions de sécurité peuvent être vérifiées directement dans le portefeuille EUDI.
   Exemple : un centre de fitness accorde des réductions grâce à une simple EAA (carte d’employé), tandis qu’un conducteur de marchandises dangereuses présente une Q-EAA pour son permis de conduire.
   
3. Automatisation des autorités (PuB-EAA)
   Grâce au principe “Once-Only”, les administrations en ligne acceptent les PuB-EAA directement à partir d’autres registres gouvernementaux. Il n’est plus nécessaire de se procurer un justificatif de domicile ou un statut de retraite sous forme papier, ce qui minimise la bureaucratie pour les citoyens et les administrations.
   
4. Protection des données grâce à la “Selective Disclosure”
   Les EAA permettent de ne divulguer que ce qui est absolument nécessaire.
   Le principe : un système confirme simplement “plus de 18 ans” lors de la vérification de l’âge, sans avoir à transmettre la date de naissance exacte ou le nom.
   
5. Interopérabilité sans frontières
   Grâce à la norme européenne, un attribut délivré en Allemagne (par exemple un certificat de maîtrise artisanale) est immédiatement reconnu numériquement en Espagne ou en Pologne. Cela facilite grandement la mobilité transfrontalière des professionnels et des services.

Important pour les utilisateurs privés

• Zero Tracking : contrairement aux identifiants Big Tech, les émetteurs ne savent pas où ni quand vous utilisez votre attribut. Votre trace numérique reste invisible.

• Volontariat : l’utilisation du portefeuille et des EAA est totalement volontaire. Vous décidez des données que vous déposez numériquement et à qui vous les montrez.

Conclusion : pourquoi les EAA sont l’avenir de l’identité

Les EAA sont bien plus que de simples copies numériques de documents papier. Ils sont la clé d’une société économe en données. Grâce à des fonctions telles que la divulgation sélective, les utilisateurs conservent la pleine souveraineté sur leurs données, tandis que les entreprises bénéficient de processus automatisés et infalsifiables.

Un avantage stratégique pour votre entreprise : Les entreprises qui se positionnent rapidement comme points d’acceptation (Relying Parties) ou émetteurs (Issuer) réduisent massivement leurs efforts de vérification manuelle et augmentent la sécurité juridique dans les canaux numériques.

FAQ sur le sujet

• Un EAA est-il la même chose qu’une signature numérique ? Non. Une signature confirme la déclaration d’intention relative à un document. Une EAA confirme une caractéristique ou une qualité d’une personne.
  
• Quand les EAA seront-ils généralisés ? Avec le déploiement des portefeuilles nationaux EUDI (à partir de 2027/2028), les EAA deviendront la norme pour les justificatifs numériques dans l’UE.
  
• Les entreprises peuvent-elles émettre elles-mêmes des EAA ? Oui, les entreprises peuvent agir en tant qu'”émetteurs” pour des caractéristiques professionnelles ou d’entreprise spécifiques.
  
• Un EAA est-il plus sûr qu’un certificat PDF ?
  Définitivement. Un PDF peut être facilement falsifié. Un EAA est scellé de manière cryptographique. Toute modification ultérieure invalide immédiatement la preuve. De plus, la validité (par exemple pour les licences retirées) peut être vérifiée en temps réel.

• Quelle est la différence entre EAA et QEAA ?
  Un EAA est une confirmation électronique d’un attribut (par exemple l’âge, la formation ou l’autorisation) signée par un émetteur. Un QEAA (Qualified Electronic Attestation of Attributes) est une forme spécifique de celui-ci, délivré par un prestataire de services de confiance qualifié conformément au règlement eIDAS. Les QEAA répondent à des exigences légales et techniques plus strictes et ont donc une plus grande force légale et une reconnaissance paneuropéenne.
  
• L’émetteur (Issuer) voit-il où je présente mon attribut ?
  Non. Les systèmes EAA modernes sont conçus de manière à ce que l’émetteur ne puisse pas suivre où ou quand vous présentez votre attribut. La vérification se fait directement entre vous et le bénéficiaire. Votre vie privée est ainsi protégée et il n’y a pas de suivi centralisé de votre utilisation.
  
• Puis-je révoquer une EAA ?
  Oui. Les EAA peuvent être révoqués par l’émetteur, par exemple si un attribut change ou devient invalide. Les destinataires peuvent vérifier le statut de révocation lors de la vérification afin de s’assurer que l’attribut est toujours valide.
  
• Les EAA remplacent-ils l’examen KYC classique ?
  Les EAA peuvent considérablement simplifier ou remplacer partiellement la vérification KYC, en particulier lorsqu’ils proviennent d’émetteurs de confiance ou qualifiés. Dans de nombreux cas, les attributs vérifiés peuvent être utilisés directement, sans avoir à refaire tout le processus KYC. Toutefois, le fait que les EAA remplacent entièrement le KYC dépend des exigences réglementaires et du cas d’utilisation.

• Mes données sont-elles stockées de manière centralisée ?
  Non, le contrôle est entre vos mains. Les EAA sont cryptés en toute sécurité dans votre portefeuille personnel EUDI sur votre smartphone, et non dans une base de données centrale en nuage du gouvernement.