La vérification d'identité (KYC) protège-t-elle vraiment ses utilisateurs ?

La vérification d’identité, aussi appelée KYC — Know Your Customer — désigne l’obligation faite aux plateformes financières de vérifier l’identité de leurs clients avant de leur ouvrir un compte.

Ce dispositif lutte contre le blanchiment d’argent et le financement du terrorisme. Mais les fuites de données récentes rappellent qu’il peut aussi devenir un risque : les documents d’identité se retrouvent dupliqués chez des dizaines de prestataires dont on ne contrôle pas la sécurité.

Des technologies permettant de vérifier une identité sans la collecter sortent désormais des laboratoires. Il est temps de se demander si le KYC protège vraiment ses utilisateurs.

Pourquoi le KYC est remis en question

Plus il y a de gardiens, moins un secret est gardé

Chaque vérification produit une copie de nos documents. Ouvrir un compte sur cinq plateformes revient à confier cinq fois ses documents à cinq organisations différentes, chacune présentant un risque d’exposition de sa base de données.

Des incidents se produisent chaque année : AU10TIX en 2024, 5CA en 2025 et IDMerit en 2026 illustrent les conséquences possibles de la compromission de prestataires d’identité.

Tous les acteurs du KYC ne sont pas condamnés à être compromis. Mais le fait de conserver des documents d’identité chez de multiples intermédiaires reste un risque structurel.

Un poids pour les entreprises

La plupart des entreprises exigent ces vérifications pour satisfaire à des obligations légales, et non pour atteindre une sécurité absolue. Le KYC a un coût visible — la facturation logicielle — et un coût invisible : l’abandon des utilisateurs au moment de l’inscription.

Obsolescence du modèle

Le modèle consistant à envoyer une photo de sa pièce d’identité et un selfie suppose qu’un faux crédible est cher à produire. Avec l’IA générative, créer de faux documents convaincants devient plus facile.

Les paiements agentiques ajoutent un autre défi : un agent d’IA peut initier une transaction pour un utilisateur, mais ne peut pas suivre le parcours KYC classique.

Les alternatives

La vérification d’identité n’est pas condamnée à devenir inappropriée. Certains services resteront suffisamment sensibles pour exiger de savoir qui veut les utiliser. C’est la méthode actuelle qui est inadaptée.

Retirer la base de données

Stockage mal configuré, code source exposé, attaque via un tiers, identifiants obsolètes ou présence prolongée d’un attaquant : conserver une base de données expose à tous ces risques. Retirer la base, c’est retirer ce qu’il y a à voler.

L’enjeu est donc de prouver l’information nécessaire sans transmettre le document concerné. Les preuves de divulgation nulle de connaissance, ou preuves ZK, le permettent.

Pour prouver qu’une personne est majeure, la méthode actuelle révèle aussi son nom, son adresse, sa nationalité et sa date de naissance. Une preuve ZK ne transmet que l’information « cette personne a plus de 18 ans », de façon cryptographique, sans envoyer le document. Le vérificateur contrôle alors une attestation plutôt que de stocker une pièce d’identité.

Ce qui fonctionne déjà

Des systèmes exploitant les preuves ZK sont déjà en production : Reclaim Protocol pour vérifier notamment des diplômes, Bring ID pour des identités vérifiées non reliables à une adresse blockchain, ou Stormbit Labs pour prouver ses revenus sans révéler son identité. Hors blockchain, le dispositif indien DigiYatra illustre aussi une vérification de voyageurs sans révéler la pièce d’identité ni le billet.

La solution miracle n’existe pas

La cryptographie ne règle pas tous les problèmes. Une preuve parfaite n’améliore pas une règle injuste : la question devient aussi « qui décide de ce que je dois prouver ? ». Techniquement, un tiers de confiance reste généralement nécessaire ; juridiquement, le modèle doit aussi répondre aux obligations de réquisition et de contrôle.

Le verdict sur le KYC

Dans sa forme actuelle, le KYC transfère une part du risque à l’utilisateur, obligé d’envoyer ses données dans un système qu’il ne maîtrise pas. Pour autant, supprimer toute vérification n’est pas la solution.

La question n’est pas d’être pour ou contre le KYC : il s’agit de savoir qui détient la donnée, sous quelle forme et pendant combien de temps. C’est là que se joue l’avenir de la vérification d’identité.

L’identité n’est pas une fonctionnalité. C’est un métier.

L’identité recouvre de nombreux enjeux : nommage, authentification, attestation, réputation, révocation, portabilité ou récupération. Comprendre les systèmes de preuve et de vérification fait partie des compétences nécessaires pour construire les services de demain.