La vérification d'identité a cessé depuis longtemps d'être un simple contrôle de documents. Aujourd’hui, il peut très bien s’agir d’une décision pilotée par l’IA, élaborée à partir de dizaines de signaux – données biométriques, empreintes numériques des appareils, modèles comportementaux, scores de risque fournis par des tiers – synthétisés en une seule validation automatisée. Cette évolution a permis d’affiner la détection des fraudes. Elle a également créé un problème d’auditabilité que la plupart des équipes de sécurité n’ont pas encore pleinement pris en compte.
La plupart des organisations sont en mesure d'expliquer comment leurs systèmes d'identification fonctionnent. Ils sont bien moins nombreux à pouvoir prouver ce que le système a traité au moment de la décision, comment il a pondéré ces éléments de preuve, et si ce record est resté inchangé depuis. Cet article explique pourquoi les infrastructures d'identité fragmentées et basées sur l'IA ont créé cette lacune, pourquoi la journalisation à elle seule ne suffit pas à la combler, et à quoi ressemble une couche de preuves — une couche qui vient s'ajouter à vos contrôles existants, sans les remplacer.
L'IA a révolutionné la vérification d'identité, mais elle a également modifié ce que vous devez prouver
Autrefois, les décisions en matière d'identité étaient binaires : un document était soit authentique, soit falsifié, et c'était un expert qualifié qui se prononçait. Ce modèle ne correspond plus à la manière dont fonctionne la vérification aujourd'hui. Les systèmes modernes calculent un score de confiance à partir d'un ensemble de signaux probabilistes — contrôles de présence, niveau de confiance de la reconnaissance faciale, contexte de l'appareil, durée de la session, données biométriques comportementales —, dont aucun ne permet à lui seul de prouver l'identité. Ces signaux s'accumulent, et le système approuve ou refuse l'accès en fonction du résultat global par rapport à un seuil défini.
Étude de Gartner sur les « deepfakes » générés par l'IA montre pourquoi cela revêt une importance considérable à grande échelle. L'entreprise prévoit que d'ici quelques années, Environ trois entreprises sur dix cesseront de se fier à la vérification biométrique faciale comme mesure de contrôle autonome, car les attaques par " deepfake " ne permettent plus de s'assurer que le « visage » à l'autre bout est bien celui d'une personne en chair et en os. Gartner a également signalé une forte augmentation des attaques de type « injection » : des contenus synthétiques injectés directement dans le processus de vérification plutôt que présentés devant une caméra. L'impact concret ne se limite pas au fait que la fraude devient plus difficile à détecter. C’est que chaque validation automatisée repose désormais sur un combinaison de signaux, ce qui rend beaucoup plus difficile, plusieurs mois plus tard, de comprendre exactement pourquoi une décision a été prise de cette manière.
Plus il y a de signaux et de systèmes impliqués dans la prise d'une décision donnée, plus il devient difficile de déterminer – avec certitude, a posteriori – ce qui s'est exactement passé.
La lacune en matière d'auditabilité cachée au sein des piles d'identité modernes
Rares sont désormais les organisations qui confient la vérification d'identité à un seul prestataire. Une architecture type associe un prestataire de vérification de documents, un moteur biométrique et de détection de présence, un flux d'informations sur les appareils, une plateforme d'évaluation de la fraude et une couche d'orchestration interne qui synthétise les résultats pour aboutir à une décision d'acceptation ou de refus. Chaque composant produit son propre résultat, son propre format et son propre calendrier de conservation. La responsabilité s'étend tout au long de cette chaîne, tout comme les preuves.
Étude de Deloitte Le rapport « Digital Trust » le souligne clairement : à mesure que les écosystèmes numériques sont devenus de plus en plus interconnectés, la responsabilité de préserver la confiance s’est répartie entre de nombreuses équipes internes et des prestataires externes, au lieu d’incomber à un seul responsable. Dans une pile d'identités, cela signifie qu’aucun journal d’un prestataire pris isolément ne donne une vue d’ensemble de la situation — et que le rapprochement de cinq journaux partiels après un incident est une tâche très différente de l’extraction d’un seul enregistrement complet.
C'est là que la journalisation opérationnelle ne répond pas pleinement, sans que l'on s'en rende compte, aux attentes des autorités de régulation. Les journaux sont conçus pour le dépannage : ils indiquent à votre équipe ce que le système a fait. Ils ne prouvent pas, à eux seuls, qu'un enregistrement stocké n'a pas été modifié depuis sa création – et c'est précisément sur cette distinction que reposent les règles en matière de conservation des documents. Le Règle 17a-4 modifiée de la SEC, qui régit la conservation des documents par les courtiers-négociants, impose aux entreprises d’utiliser soit un système de stockage WORM immuable, soit un système de piste d’audit — et la piste d’audit n’est valable que si l’entreprise est en mesure de reconstituer la version originale de tout document ayant été modifié ou supprimé par la suite. L’autorité de régulation ne se contente pas de demander ce que dit l’enregistrement, mais si vous pouvez prouver qu’il n’a pas été modifié.
Cadre de gestion des risques liés à l'IA du NIST souligne cette même lacune du point de vue de la gouvernance de l'IA, en citant responsable et transparent comme caractéristiques essentielles d’un système d’IA digne de confiance — non seulement explicables en principe, mais aussi vérifiables de manière tangible dans la pratique.
C'est lorsque les choses tournent mal que l'on se rend compte du coût de l'absence de cette preuve. Étude d'IBM sur l'horizon 2025 estiment que le temps moyen nécessaire aux entreprises pour identifier et contenir une violation s'élève à environ huit mois — la durée la plus courte enregistrée en neuf ans de suivi, mais néanmoins suffisamment longue pour que chaque autorisation accordée par votre infrastructure d'identité pendant cette période se retrouve dans une zone d'ombre : est-elle valide ou a-t-elle été exploitée ? En l’absence d’un historique vérifiable de manière indépendante, il peut falloir des mois pour répondre à cette question, si tant est qu’il soit possible d’y répondre.
C'est la question qui devrait vous empêcher de dormir la nuit – non pas " nos contrôles ont-ils échoué ? ", mais : Pouvez-vous prouver que ce compte rendu de décision n'a pas été modifié depuis son approbation ? Pour la plupart des organisations, la réponse honnête est « non ».
Combler le fossé grâce à des traces de décision vérifiables
La prévention de la fraude et l'intégrité des preuves répondent à deux problèmes distincts. Votre pile de solutions IDV et de notation de la fraude répond à la question " cette identité est-elle légitime ? " au moment de la transaction. Presque aucun de ces éléments ne permet de répondre, six mois plus tard, à la question " pouvez-vous prouver que l'enregistrement de cette décision n'a pas été modifié depuis ? ". C'est précisément pour répondre à cette deuxième question qu'existe une couche de preuve.
Voici le poste Truth Enforcer fonctionne ainsi. Il s'agit d'un système d'intégrité des données s'appuyant sur la blockchain et fondé sur un modèle « créer, sceller et vérifier » : il génère une empreinte cryptographique (hachage) d’un fichier ou d’un enregistrement, ancre cette empreinte sur une blockchain publique à un moment précis, puis permet à quiconque de vérifier de manière indépendante si l’enregistrement a été modifié depuis — sans jamais stocker ni exposer son contenu réel. Il s’intègre à n’importe quelle plateforme d’identité ou moteur de détection de fraude à l’origine de la décision, et n’affecte en rien la précision de la détection. Il ne rend pas votre modèle de détection de fraude plus intelligent. Cela rend le enregistrement ce que vos systèmes ont décidé, et à quel moment, de manière vérifiable de manière indépendante - une piste d'audit « zéro connaissance » qui tient la route tant devant un auditeur interne qu'un organisme de contrôle ou l'avocat de la partie adverse.
Avant votre prochain cycle d'audit, évaluez votre propre infrastructure en vous posant les trois questions suivantes :
- Pouvez-vous reconstituer l'ensemble des éléments ayant servi de base à une validation d'identité datant d'il y a six mois ?
- Pouvez-vous prouver que cet enregistrement n'a pas été modifié depuis sa création ?
- Un auditeur ou une autorité de régulation accepterait-il que vos éléments probants soient considérés comme vérifiables de manière indépendante – et pas seulement cohérents en eux-mêmes ?
Si une réponse vous semble incertaine, la faille ne réside pas dans vos contrôles de détection, mais dans votre capacité à justifier les décisions que ces contrôles ont déjà prises.
.
Vous souhaitez découvrir à quoi ressemble concrètement une vérification indépendante de l'intégrité ?
Essayez-le gratuitement, sans engagement :
Vérificateur de vérité pour les créateurs de propriété intellectuelle : https://truth-verifier.com/landing
Vérificateur de vérité pour les journalistes : https://truthverifier.news/landing
Contactez-nous pour discuter du déploiement de Truth Enforcer en entreprise : https://www.connecting-software.com/truth-enforcer-sign-up/
Par Francisco RodriguesChef de produit
"J'écris sur la façon dont les intégrations logicielles peuvent s'adapter aux environnements commerciaux et répondre aux demandes spécifiques de l'industrie. Je veux montrer aux entreprises la voie à suivre pour rationaliser les processus, éliminer les goulets d'étranglement et garantir la conformité en dotant les équipes et les dirigeants des bons outils."
Lectures connexes
Lorsque les agents d’IA agissent, les preuves comptent : mettre en place la couche d’intégrité pour la conformité de l’IA à la réglementation de l’UE
La prochaine crise liée à la conformité ne commencera pas par une cyberattaque, mais par un fichier PDF
Le deuxième pilier de la confiance numérique : pourquoi l'intégrité des preuves doit faire partie intégrante du portefeuille EUDI