Renforcer la confiance dans l'authentification biométrique

Les normes d'authentification biométrique doivent inclure des aspects éthiques, essentiels pour instaurer la confiance des utilisateurs.

L'authentification biométrique s'impose rapidement comme la nouvelle norme numérique : un moyen de vérifier l'identité non plus par un mot de passe ou une carte, mais grâce à la reconnaissance faciale, vocale et digitale. Les systèmes de reconnaissance faciale et d'empreintes digitales sont désormais intégrés aux contrôles aux frontières, aux transports et aux services financiers.

L'Administration américaine de la sécurité des transports (TSA) teste des portiques de reconnaissance faciale dans les principaux aéroports, tandis que le système d'entrée et de sortie de l'Union européenne ( EES ), déployé à partir de fin 2025, exigera des voyageurs non européens qu'ils fournissent leurs données faciales et d'empreintes digitales au lieu de recevoir un tampon sur leur passeport.

Ces déploiements visent à accélérer les déplacements et à renforcer la sécurité, mais ils reposent sur d'immenses bases de données biométriques sensibles – des données qui, en cas de compromission, ne peuvent être simplement remplacées comme un mot de passe. Les normes internationales telles que l'ISO/IEC 27001 , qui définit les systèmes de gestion de la sécurité de l'information, et la série ISO/IEC 30107 , qui couvre les performances des dispositifs biométriques et les mesures anti-usurpation, constituent le socle de la garantie technique.

Sécurité renforcée grâce à la reconnaissance faciale

Mike Gillespie, fondateur d'un cabinet de conseil en sécurité britannique, affirme que la biométrie offre une vérification concrète plus robuste que les systèmes précédents basés sur des mots de passe ou des objets physiques comme les cartes. « La technologie biométrique est de plus en plus utilisée pour renforcer le contrôle d'accès physique », explique-t-il. « Auparavant, les systèmes d'accès utilisaient des cartes magnétiques ou des jetons, ce qui prouvait seulement que la personne possédait la carte adéquate. La reconnaissance faciale, en revanche, confirme la présence de la personne autorisée. »

Correctement stockées et traitées, les données biométriques peuvent être plus sûres que de nombreuses autres formes d'authentification. De nombreux systèmes modernes intègrent la détection de présence, garantissant ainsi la présence physique de la personne, et non une simple photo ou un enregistrement vidéo. Cependant, même les systèmes les plus performants reposent sur un stockage sécurisé et un chiffrement robuste pour empêcher tout accès non autorisé et garantir l'illisibilité des données biométriques en cas de faille de sécurité.

Les faiblesses des données biométriques

Lorsqu'une donnée biométrique est divulguée, les conséquences sont considérables car elle est permanente. Contrairement aux mots de passe, les empreintes digitales sont immuables. La fuite de données en Afghanistan en 2021 illustre ce danger : lors de l'effondrement du gouvernement, des bases de données biométriques et des appareils portables contenant les empreintes digitales, les scans de l'iris et les données personnelles de milliers d'Afghans sont tombés entre de mauvaises mains. Certains de ces appareils ont ensuite été retrouvés en vente sur le marché noir, les données étant encore intactes. Cette fuite a exposé des personnes liées à l'ancien gouvernement ou aux forces de sécurité à des risques mortels et a démontré comment des identifiants permanents peuvent être détournés une fois le contrôle perdu.

Parallèlement à ces violations de données, on s'inquiète de plus en plus du fait que les pirates informatiques apprennent à tromper les systèmes biométriques ou de vérification d'identité, notamment la reconnaissance faciale. Dans une affaire très médiatisée, une entreprise d'ingénierie britannique a été escroquée d'environ 23 millions d'euros (20 millions de livres sterling) après qu'un employé a participé à une visioconférence où des fraudeurs se sont fait passer pour de hauts responsables de l'entreprise grâce à des manipulations vidéo et audio effectuées par intelligence artificielle.

Utiliser la technologie de manière responsable

Pour Mike Gillespie, ces violations démontrent précisément que la technologie seule ne suffit pas. « La plupart des normes internationales en matière de biométrie se concentrent encore sur le fonctionnement de la technologie, et non sur son utilisation responsable », affirme-t-il.

Il reconnaît que des cadres techniques comme l'ISO/IEC 30107 sont essentiels, même si, selon lui, ils négligent encore la plupart des dimensions humaines et éthiques. Bien que la question des biais soit abordée dans l'ISO/IEC 19795-10 , il souligne l'importance de l'ISO 42001 , la nouvelle norme de management pour une intelligence artificielle (IA) digne de confiance, comme une avancée majeure à l'échelle mondiale pour combler cet écart. « Appliqués à la biométrie, ses principes incitent les organisations à évaluer les risques liés aux biais, à la discrimination, au traitement des données et à l'impact sociétal », explique-t-il. « Mais la gouvernance est loin d'être à la hauteur du rythme de développement ; nous sommes encore en train de rattraper notre retard. »

Comment les normes évoluent

Le dernier plan d'affaires du comité ISO/CEI chargé de l'élaboration des normes biométriques ( ISO/CEI JTC 1/SC 37 ) illustre la rapidité des évolutions dans ce domaine et l'urgence de nouvelles réglementations. Face à l'imbrication croissante de la biométrie et de l'intelligence artificielle, le SC 37 travaille à l'amélioration de la qualité des images faciales pour les passeports et les contrôles aux frontières ( ISO/CEI 29794-5) et soutient la nouvelle loi européenne sur l'IA par le biais d'une procédure d'adoption accélérée d'une norme pour les systèmes d'identification biométrique à distance ( ISO/CEI 9868 ).

Ce plan souligne également l'intensification des travaux sur la protection contre l'usurpation d'identité et les deepfakes, l'amélioration des techniques de sécurité des données et la mise à jour des formats de base utilisés pour le stockage des données biométriques à l'échelle mondiale.

Mike Gillespie s'inquiète toujours du fait que les normes relatives à la biométrie restent « hautement techniques – axées sur le fonctionnement efficace de la technologie – plutôt que sur la garantie de son utilisation correcte par ceux qui l'adoptent ». Transparence, explicabilité et responsabilité, affirme-t-il, doivent être au cœur de la gouvernance. « Sans ces trois éléments, nous en sommes arrivés à la situation actuelle avec la reconnaissance faciale publique au Royaume-Uni : peur, méfiance et manque d'engagement. Nous devons être honnêtes quant à l'utilisation que nous faisons de cette technologie, au lieu de craindre que la transparence n'affaiblisse la sécurité nationale. » L'une des clés pour instaurer la confiance est que les utilisateurs, consommateurs ou citoyens acceptent de partager leurs données biométriques.

Éthique dès la conception, avec le consentement humain

Pour Clive Bourke, directeur d'une entreprise irlandaise internationale de vérification d'identité qui fournit des services de biométrie aux banques, aux opérateurs télécoms et aux administrations, le choix doit toujours revenir aux utilisateurs. « Il faut proposer une option non biométrique », affirme-t-il. « Nous conseillons à nos clients de fournir des alternatives sécurisées à toute personne ne souhaitant pas utiliser la biométrie pour s'identifier. Dans certaines régions, c'est obligatoire ; mais même là où ça ne l'est pas, c'est la bonne chose à faire. »

L'entreprise irlandaise affirme que son approche est « éthique par nature ». Les données utilisées pour entraîner ses algorithmes proviennent de sources éthiques et avec consentement, garantissant ainsi la diversité mondiale et une équité mesurable. « Nous testons les performances afin de détecter tout biais lié au genre, à l'origine ethnique et à la couleur de peau, et nous partageons ces résultats avec les clients qui souhaitent avoir la certitude que nos systèmes ne sont pas discriminatoires », explique Clive Bourke.

L'entreprise détient de nombreuses certifications internationales, allant du cadre britannique relatif aux identités et attributs numériques (Digital Identities and Attributes Framework) et du règlement européen eIDAS à la norme ISO/IEC 27001 pour la gestion de la sécurité de l'information. Elle a été parmi les premières à obtenir la certification selon la version révisée du règlement eIDAS de l’UE, qui inclut des exigences plus strictes en matière de détection des deepfakes. L'entreprise travaille également à l'obtention de la certification ISO 42001 pour une intelligence artificielle de confiance.

Selon Clive Bourke, la protection des données biométriques exige bien plus que le simple chiffrement. « Nous appliquons un cadre strict de protection des données dès la conception, conformément au RGPD, qui considère les données biométriques comme des données personnelles sensibles », explique-t-il. « Les données sont chiffrées en transit et au repos, grâce à des clés principales stockées dans des modules de sécurité matériels. Nous nous protégeons contre les attaques par injection au niveau de l'appareil et faisons l'objet d'audits réguliers afin de garantir un niveau de sécurité identique, que les données soient hébergées dans notre cloud ou sur le serveur d'un client. »

Clive Bourke entrevoit également un potentiel de collaboration intersectorielle en matière de prévention de la fraude. « Nous pensons qu'il est possible de créer une base de données partagée des acteurs malveillants numériques – un moyen de signaler les fraudeurs connus dans les banques, voire dans différents secteurs », explique-t-il. « La technologie existe, mais la gouvernance fait défaut. »

La biométrie comportementale dans le futur

Pour l'avenir, Clive Bourke prédit l'essor de la biométrie comportementale : l'analyse de la façon dont les utilisateurs tiennent leur téléphone, tapent ou déplacent leur curseur permettra de distinguer les interactions authentiques des robots ou des sessions falsifiées. « Ces signaux comportementaux subtils pourraient devenir aussi importants qu'un visage ou une empreinte digitale », affirme-t-il. Il anticipe également l'intégration de la biométrie aux agents d'IA pour agir au nom de l'utilisateur. « Votre assistant numérique pourrait bientôt effectuer automatiquement de petits achats, mais pour toute transaction importante, une confirmation biométrique vous sera demandée, comme pour l'autorisation d'un paiement aujourd'hui. »

Clive Bourke et Mike Gillespie s'accordent à dire que l'avenir de la biométrie dépend non seulement des progrès technologiques, mais aussi de la gouvernance, de l'éthique et de la confiance du public. Comme le souligne Mike Gillespie : « Il ne s'agit pas seulement de savoir si la technologie fonctionne. Il s'agit de savoir si elle peut être déployée de manière équitable, légale et éthique. Car une pratique peut être légale sans pour autant être éthique. »

https://etech.iec.ch/issue/2025-06/strengthening-trust-in-biometric-authentication