La Global Digital Collaboration (GDC) Conference 2026 a réuni début septembre la communauté de l’identité numérique et de la confiance numérique au Palexpo de Genève. La conférence était organisée par la Confédération suisse, co-organisée par une quarantaine d’organisations, et s’est déployée sur plus de 140 sessions réparties en huit tracks parallèles.
En octobre dernier, nous avons publié dix enseignements de l’ENISA Trust Services and eID Forum. Ce forum est l’endroit où l’Europe traite en détail son propre agenda. Genève est un cadre différent : le postulat de départ y est que les identifiants numériques (passeports, permis de conduire, preuves de paiement, qualifications professionnelles…) devront fonctionner entre différents systèmes juridiques, et pas seulement entre frontières au sein d’un même système.
La liste des co-organisateurs en dit déjà long sur la nature de l’événement : organismes intergouvernementaux (Commission européenne, UIT, CEE-ONU, Banque mondiale, OMS), organismes de normalisation (ISO, IEC, ETSI, CEN-CENELEC, W3C, FIDO Alliance, OpenID Foundation, GlobalPlatform, EMVCo, GSMA, Cloud Signature Consortium) et fondations open source (Linux Foundation, OpenWallet Foundation, LF Decentralized Trust, MOSIP, Eclipse Foundation), tous réunis dans la même salle.
La première journée a donné le ton. L’Office fédéral suisse de la justice a ouvert les travaux aux côtés de la ministre brésilienne de la Gestion et de l’Innovation dans les services publics et d’intervenants issus des secteurs aérien et des plateformes numériques. Un panel du Global Digital Collaboration Council (avec Smart Africa, le gouvernement canadien et des représentants de la finance et de la technologie) a soutenu qu’un leadership public-privé est désormais un prérequis pour ce type d’infrastructure, et non plus une option. Les sessions ont couvert des projets pilotes de wallets transfrontaliers à grande échelle, le modèle de gouvernance « Sovereign Trust » de Smart Africa, la mise en relation entre Singapour et Shanghai pour les identifiants d’enregistrement des entreprises, ainsi qu’une session CEE-ONU/OMC chiffrant à six mille milliards de dollars par an le coût des frictions commerciales.
Namirial a participé au panel « The invisible partners that are indispensable to drive adoption », aux côtés d’autres fournisseurs de la communauté des intermédiaires (diapositives et notes disponibles sur demande).
La position propre de la Suisse mérite d’être notée car elle donne le cadre de l’ensemble de l’événement : sa loi sur l’E-ID a été adoptée par référendum en septembre 2025 à une très courte majorité ; le wallet swiyu est en bêta publique depuis mars 2025, désormais accompagné d’un bac à sable distinct permettant aux émetteurs et aux vérificateurs de faire leurs tests ; et le lancement en production a été reporté à 2027. La Suisse entend par ailleurs créer à Genève une fondation destinée à devenir le siège permanent de la GDC : un terrain neutre pour un dialogue véritablement mondial.
Voici les dix points qui nous paraissent importants, et ce que chacun d’eux signifie pour les organisations qui devront évoluer dans ce paysage.
1 – L’identité numérique n’est plus seulement une affaire réglementaire européenne
Permis de conduire mobiles, identifiants de voyage numériques, certificats de santé reliant désormais plus de quatre-vingts pays via l’OMS, documents commerciaux vérifiables, identifiants d’apprentissage et systèmes d’identité à l’échelle des populations dans les pays du Sud ont tous été traités comme des sujets importants, et non comme des cas marginaux.
Une session conjointe UE-Inde a mis ce point en évidence de manière précise. Le Digital Identity Wallet européen, imposé par le règlement (UE) 2024/1183, et l’infrastructure numérique nationale indienne ont été construits de manière totalement indépendante, mais reposent tous deux sur la même logique sous-jacente : un émetteur, un détenteur, un vérificateur, un registre lisible par machine indiquant qui est autorisé à délivrer quoi, et la divulgation du seul attribut nécessaire. Les formats techniques – SD-JWT VC et ISO mdoc – deviennent un véritable standard mondial, mais les règles déterminant qui est responsable en cas de problème ne sont absolument pas mondiales. Cet écart, plus que le débat sur les formats, constitue la véritable question stratégique des trois prochaines années.
Ce que cela signifie : une organisation qui développe aujourd’hui une solution pour une seule juridiction construit en réalité sur un format qui voyagera très probablement entre plusieurs pays. Le cadre réglementaire ne suivra pas automatiquement, d’où la nécessité d’une planification distincte. C’est précisément pour cette raison que notre plateforme de wallet est construite autour d’un socle commun d’émission et de vérification, afin qu’un client ne soit pas enfermé dans les hypothèses propres à une seule région.
2 – Les standards garantissent l’interopérabilité. Ils ne garantissent pas la responsabilité.
Deux systèmes peuvent s’accorder parfaitement sur la manière de formater et de vérifier un identifiant, tout en laissant totalement ouverte la question de savoir qui indemnise une banque, un commerçant ou un citoyen qui s’y est fié et a perdu de l’argent. Au sein de l’UE, eIDAS 2.0 répond à cette question pour les identifiants délivrés comme « qualifiés » : responsabilité définie, organismes de supervision désignés, audits obligatoires. En dehors de ce périmètre, la réponse reste largement absente.
La conférence de Genève a permis de réaliser un travail important sur la conformité – à savoir si un identifiant respecte une spécification technique – à travers des sessions co-organisées avec l’OpenID Foundation, le Cloud Signature Consortium et la Commission. Conformité et responsabilité sont toutefois deux questions distinctes. Un trust registry peut confirmer qu’un émetteur est autorisé, mais il ne peut pas dire qui paie lorsque le processus échoue.
Ce que cela signifie : si votre modèle économique dépend d’une acceptation transfrontalière, demandez-vous dès le départ qui supporte la perte, et pas seulement si l’identifiant sera techniquement lisible. En tant que prestataire de services de confiance qualifié, la responsabilité est déjà quelque chose que nous assumons dans le cadre de la chaîne supervisée : elle est intégrée à ce qu’un client achète chez nous, et non ajoutée après coup.
3 – Le véritable sujet de cette année a été les trust registries, et non les formats d’identifiants
Chaque identifiant, qu’il s’agisse d’un passeport, d’un diplôme, d’un formulaire douanier ou d’un agrément professionnel, dépend d’une question à laquelle aucun format ne peut répondre à lui seul : cet émetteur est-il réellement autorisé, en ce moment même, à le délivrer ? Un Trust Registries Task Force (codirigé en partie par un grand fournisseur de plateformes et un programme national d’identité) a proposé un modèle fédéré : les plateformes de wallet mettent en œuvre la confiance, mais les registres nationaux et sectoriels existants conservent leur autorité.
Des sessions parallèles ont montré ce schéma se répéter partout : identité, éducation, voyage, commerce, immatriculation des entreprises ; et ont montré des autorités automobiles d’Amérique du Nord et d’Australasie négociant en direct un cadre de reconnaissance mutuelle des permis de conduire, l’un des rares précédents fonctionnels de reconnaissance entre régions entières. La task force a conclu en admettant que la question la plus difficile reste ouverte : qui gère un trust registry mondial, et sur quelle autorité ?
Ce que cela signifie : la fédération est la bonne architecture, mais quelqu’un doit toujours constituer la racine de confiance pour un secteur donné. Nous opérons déjà aujourd’hui au sein d’une infrastructure de trust lists (publication, supervision, révocation), si bien que pour nous, il s’agit de la structure opérationnelle sur laquelle nous fonctionnons au quotidien, et non d’une question de recherche future.
4 – Disposer de la passerelle wallet n’équivaut pas à gérer l’ensemble du parcours KYC
Ce sont les échéances qui rendent tout cela concret. Les États membres de l’UE doivent rendre les wallets disponibles d’ici le 24 décembre 2026. À compter du 10 juillet 2027, de nouvelles règles de lutte contre le blanchiment d’argent (règlement (UE) 2024/1624) renforcent les vérifications d’identité. À compter du 24 décembre 2027, les banques, les opérateurs télécoms, les services publics et les très grandes plateformes devront accepter le wallet partout où une authentification forte est légalement exigée, avec un registre des parties utilisatrices en place à la même date.
Le résultat est un système extrêmement complexe : 27 wallets nationaux, plusieurs wallets privés, quatre manières différentes de présenter un identifiant, trois formats de données, un catalogue unique de types d’identifiants et, dans les seuls services financiers, de l’ordre de cinq mille parties utilisatrices devant toutes s’y connecter.
Un simple connecteur suppose que l’identifiant se trouve déjà dans le wallet, prêt à être présenté. Tout ce qui précède ce moment (prouver l’identité d’une personne au bon niveau d’assurance, se connecter à des sources faisant autorité, lier l’identifiant à un téléphone, gérer un appareil perdu, procéder à une nouvelle vérification en cas de changement…) constitue un problème de cycle de vie, qui n’est que très partiellement résolu à l’échelle du secteur. La signature ou le cachet qui rend une transaction juridiquement contraignante se situe à l’autre bout de cette même chaîne, suivi de l’audit et du traitement des litiges.
Ce que cela signifie : celui qui possède l’ensemble du parcours, de l’onboarding jusqu’à la signature, porte le niveau d’assurance que la partie utilisatrice paie réellement. C’est précisément autour de cela que notre plateforme est structurée : Namirial Onboarding établit l’identité au niveau d’assurance requis, le Wallet Gateway absorbe la complexité des protocoles, et nos services de signature concluent la transaction. Une seule chaîne responsable, et non cinq fournisseurs à réconcilier après un incident.
5 – Business wallet : imposé en Europe, motivé par l’incitation ailleurs
Une session a établi un contraste très net : en Europe, le business wallet arrive parce que la réglementation l’impose. Aux États-Unis, en l’absence d’obligation comparable, le secteur privé développe la même capacité parce qu’elle est commercialement utile. Les deux approches remplacent la paperasserie manuelle du « know your business » par des registres numériques instantanément vérifiables. La question de savoir si les deux approches seront réellement interopérables reste, elle, véritablement non résolue.
Les problèmes difficiles sont clairement identifiés : qui peut déléguer l’autorité à qui au sein d’une entreprise, jusqu’à quel niveau en dessous du conseil d’administration cette chaîne de délégation s’étend, comment elle s’intègre aux systèmes de gestion des accès existants, et comment elle se connecte à des registres faisant autorité tels que les registres nationaux des entreprises. L’identifiant d’entité juridique vérifiable de GLEIF est revenu à plusieurs reprises comme point d’ancrage mondial pour l’identité des entreprises.
Ce que cela signifie : quelle que soit la voie empruntée, obligation ou incitation, c’est dans la chaîne de délégation que la responsabilité devient la plus difficile à répartir, car quelqu’un doit répondre de ce que fait un agent autorisé mais outrepassant son mandat. C’est un élément central de ce que nous intégrons dans les attestations de mandat et de délégation destinées aux entreprises, et pas seulement aux particuliers.
6 – La signature depuis un wallet arrive sur le devant de la scène
Deux sessions se sont particulièrement distinguées : l’une sur l’exécution de signatures électroniques qualifiées directement depuis un wallet, supprimant l’étape distincte d’achat d’un certificat autonome ; l’autre, organisée avec le Cloud Signature Consortium et TeleTrusT, sur une architecture de signature à distance et dans le cloud alignée à la fois sur les règles de l’UE et sur la propre loi suisse relative à la signature, un exemple concret, et non hypothétique, de reconnaissance allant au-delà du droit de l’UE.
Présenter un identifiant prouve un fait. Signer crée une obligation juridique. Contrats, ouvertures de compte, mandats et démarches administratives se concluent tous par une signature, et les citoyens sont censés obtenir cette capacité via leurs wallets. Une grande partie du débat public sur les wallets s’arrête à la question « l’identifiant est-il valide », alors que la transaction elle-même ne s’arrête pas là.
Ce que cela signifie : une stratégie de wallet qui s’arrête à la vérification est incomplète. Nos services de signature sont conçus précisément pour combler cet écart : transformer un attribut vérifié en une signature juridiquement contraignante et vérifiable, au sein de la même chaîne.
7 – La demande est là, y compris de la part d’agents logiciels
La vérification de l’âge a fait l’objet d’un sujet à part entière, y compris des sessions se demandant d’abord si un contrôle d’âge est même justifié avant de le présumer. Des démonstrations en direct ont montré des identifiants d’âge délivrés par des banques permettant de finaliser un paiement en ligne, ainsi qu’un identifiant gouvernemental accepté sur un terminal de paiement physique : des transactions réelles, et non de simples présentations.
Le développement le plus marquant a concerné les agents d’IA agissant pour le compte de personnes. Plusieurs sessions ont convergé vers un même cadre à retenir : Know Your Agent (KYA). Il prolonge le « know your business » de la même manière que celui-ci avait prolongé le « know your customer » : lorsqu’un agent logiciel effectue une transaction, il faut établir qui est l’agent, sous quelle autorité il agit et dans quelles limites : identité organisationnelle vérifiée, mandat borné et vérifiable, et preuve d’intention qui tienne également a posteriori. Un agent peut agir entièrement dans le cadre d’un mandat valide et causer malgré tout une perte, ce qui explique précisément pourquoi il s’agit autant d’une question de responsabilité que d’une question technique.
Ce que cela signifie : toute entreprise envisageant de laisser des agents effectuer des transactions en son nom, ou d’accepter des transactions provenant d’agents appartenant à d’autres personnes, a besoin dès maintenant de cette couche d’identité et de mandat, et non une fois que les agents seront déjà en production. Il s’agit d’une extension naturelle du travail sur le mandat et la délégation décrit plus haut, et de quelque chose vers quoi nous travaillons déjà.
8 – Reconnaissance mutuelle, et non harmonisation, et une « Europe » plus large que l’UE
Le résultat le plus lourd de conséquences de la conférence n’a pas été une spécification technique. Une déclaration d’intention en faveur d’un cadre de confiance paneuropéen a établi un groupe de collaboration permanent, explicitement un forum de concertation, et non un nouveau régulateur ou organisme de normalisation.
Son périmètre est plus large que l’UE : l’UE et l’Espace économique européen, la Suisse, le Royaume-Uni, l’Ukraine et d’autres pays candidats à l’adhésion, et en principe les quarante-six États membres du Conseil de l’Europe. Ce qu’ils partagent n’est pas une réglementation unique, mais un socle commun de droits : la Convention européenne des droits de l’homme et les normes du Conseil de l’Europe en matière de protection des données. Les principes de conception énoncés privilégient la reconnaissance mutuelle plutôt que le contrôle centralisé, la protection de la vie privée dès la conception, les standards ouverts, et un modèle conçu pour pouvoir être exporté ailleurs. Les données à l’origine de cette initiative sont sans détour : une cartographie de l’OCDE portant sur les pays du G7 n’a trouvé aucun standard international unique partagé par tous, et une enquête britannique a révélé que près de quatre fournisseurs de vérification numérique sur cinq citent la diversité réglementaire comme un obstacle à l’exercice de leurs activités à l’international.
Ce que cela signifie : le groupe est, par conception, non contraignant, si bien que ses idées ne pèseront que si les institutions et le secteur s’en emparent réellement. Nous y voyons le lieu naturel pour définir les règles de responsabilité interjuridictionnelle qui manquent au point deux, et nous entendons continuer à nous y engager plutôt que d’attendre un standard finalisé à mettre en œuvre.
9 – Paiements : le wallet devient un outil d’authentification, mais la question de la responsabilité reste ouverte
Les paiements ont traversé presque toutes les discussions : réseaux de cartes et infrastructures de paiement nationales dans les mêmes panels, cadres de compte à compte, et identifiants de paiement numériques abordés sous plusieurs angles.
L’orientation réglementaire est claire : la Commission européenne souhaite que le wallet de l’UE soit traité comme équivalent à l’authentification forte du client au titre des règles de paiement, et la voie technique pour y parvenir se met en place. Ce qui n’est pas encore réglé, c’est qui supporte la perte en cas d’échec. Le Parlement et le Conseil sont parvenus à un accord politique sur les nouvelles règles relatives aux services de paiement fin novembre 2025, les textes ayant été publiés en avril 2026 ; la publication formelle est attendue au second semestre 2026, après quoi les règles s’appliqueront environ 21 mois plus tard, soit, de manière réaliste, en 2028, les détails précis étant définis ensuite par les régulateurs bancaires.
Dans l’intervalle, le secteur n’attend pas : EMVCo développe une spécification de Digital Payment Credential avec les contributions de la FIDO Alliance, de l’OpenID Foundation, de l’OpenWallet Foundation et du W3C. L’initiative EPI a dépassé les cinquante millions d’utilisateurs enregistrés et est passée des virements de personne à personne aux commerces et au paiement en ligne, tandis qu’un projet pilote d’euro numérique associant une trentaine de prestataires de services de paiement doit se dérouler tout au long du second semestre 2027.
Ce que cela signifie : un identifiant de paiement ne fonctionne que si émetteurs, wallets, réseaux et régulateurs convergent vers un modèle unique partagé plutôt que vers plusieurs modèles concurrents : c’est un domaine où le secteur peut avancer plus vite que la réglementation sans la fragiliser. Ce que nous apportons, c’est la partie qu’un dispositif de paiement ne peut pas générer par lui-même : une chaîne supervisée et porteuse de responsabilité, de la vérification d’identité jusqu’à la signature.
10 – L’European Business Wallet : une opportunité réelle, encore en cours de définition
L’European Business Wallet (EBW) constitue un défi véritablement nouveau, et non une extension du wallet personnel. Proposée par la Commission le 19 novembre 2025 dans le cadre d’un paquet plus large de simplification numérique, elle vise à permettre à une entreprise de gérer qui peut la représenter, d’échanger des documents officiels via un canal de remise sécurisé qualifié, et d’être répertoriée dans un annuaire géré par la Commission, le tout ancré à l’identifiant UE existant de l’entreprise. Les actions effectuées via le wallet auraient la même valeur juridique que des actions effectuées sur papier. Point essentiel, elle n’impose aucune obligation aux entreprises elles-mêmes : les organismes publics doivent la prendre en charge, mais les entreprises choisissent de l’utiliser ou non, ce qui explique précisément pourquoi son adoption dépendra de la démonstration de sa valeur, et non d’une obligation.
Ce que cela signifie plus précisément pour nous : nous n’avons pas attendu que la spécification se stabilise. Nous travaillons sur les capacités de business wallet depuis les premières étapes : onboarding organisationnel, attestations de mandat et de délégation, cachets et signatures qualifiées pour les personnes morales et pas seulement pour les particuliers. Un détail de la position du Conseil mérite d’être souligné : son orientation vers l’exigence d’une autorisation préalable et d’un niveau élevé d’assurance pour les prestataires favorise les organisations déjà opérationnelles sous supervision aujourd’hui, plutôt que les nouveaux entrants partant de zéro.
Le point de vue de Namirial, en résumé
Posséder l’ensemble du parcours, de l’onboarding, de l’émission et de la vérification des identifiants, jusqu’à la signature finale, à la piste d’audit et à l’archivage, compte davantage que de posséder un seul maillon de la chaîne. La conformité est proche d’être résolue, mais la responsabilité transfrontalière ne l’est pas, et les paiements en seront le premier enjeu sensible. Notre propre cadre de référence est eIDAS et l’UE, mais ceux-ci ne marquent pas la limite de là où nous entendons opérer.
La prochaine Global Digital Collaboration Conference est prévue du 7 au 9 septembre 2027, à Genève. Nous avons hâte d’y participer et d’y contribuer à nouveau.
