Portefeuille EUDI : ce que votre entreprise doit faire avant l'arrivée du portefeuille européen

Ce qu'est le portefeuille EUDI (et ce qu'il n'est pas)

Le portefeuille européen d'identité numérique est une application que chaque État membre doit mettre à disposition de ses citoyens, résidents et entreprises. Il contient deux choses : l'identité vérifiée de la personne, délivrée à un niveau de garantie élevé, et un ensemble d'attestations vérifiables — attestations électroniques d'attributs, dans le langage du règlement — certifiées par un autre organisme : un diplôme, une inscription ordinale, une autorisation, un pouvoir de représentation de l'entreprise.

Ce que cela apporte à celui qui se trouve de l'autre côté du guichet numérique est une différence de nature, pas de degré. Aujourd'hui, pour savoir si quelqu'un est bien qui il prétend être, on demande une photocopie de pièce d'identité et on lance une vidéo-identification, ou on exige un certificat électronique que la moitié des gens n'a pas installé. Avec le portefeuille, la personne présente l'attribut concerné et votre système le vérifie cryptographiquement auprès de son émetteur. Sans photocopie à archiver, sans appel de contrôle.

Et il y a un second élément facile à négliger : le portefeuille intègre la capacité de signer électroniquement avec une signature qualifiée, gratuite pour un usage non professionnel. Cela élargit d'un coup le nombre de personnes pouvant signer un contrat avec la validité juridique maximale sans être passées par une autorité de certification.

Ce qu'il n'est pas : ce n'est pas un dispositif obligatoire pour le citoyen — son usage est volontaire —, il ne remplace pas ce que vous avez déjà, et ce n'est pas un registre central où quelqu'un observerait vos opérations. Le règlement est explicite : la personne contrôle ce qu'elle partage et avec qui.

Le calendrier réel : deux dates à ne pas confondre

Presque toute la confusion autour du portefeuille EUDI vient du mélange de deux échéances distinctes. L'horloge a démarré avec les actes d'exécution adoptés par la Commission le 28 novembre 2024, entrés en vigueur le 24 décembre 2024. À partir de là :

Traduit en planification : 2027 est la date de conformité, mais 2026 est la date de décision. Lorsque le portefeuille sera sur des millions de téléphones, les clients tenteront de l'utiliser à l'entrée en relation avant qu'aucune loi ne vous oblige à l'admettre — et l'expérience de celui qui essaie et n'y arrive pas est la même que celle d'un formulaire qui plante. Pour le détail réglementaire, voir notre guide eIDAS2.

Votre entreprise est-elle tenue de l'accepter ?

L'article 5f du règlement (UE) 2024/1183 dessine un périmètre assez précis. Vous êtes concerné si les trois conditions sont réunies :

• Taille : vous êtes une grande ou moyenne partie utilisatrice privée. Les micro et petites entreprises sont expressément exclues.
• Exigence d'authentification forte : une norme ou un contrat vous oblige à authentifier fortement l'utilisateur pour fournir votre service en ligne.
• Secteur : vous opérez dans les transports, l'énergie, la banque et les services financiers, la sécurité sociale, la santé, l'eau potable, les services postaux, l'infrastructure numérique, l'éducation ou les télécommunications.

S'y ajoutent, par leur propre voie, le secteur public — tenu de l'accepter lorsqu'il exige une identification électronique pour accéder à ses services en ligne — et les très grandes plateformes en ligne désignées au titre de la réglementation sur les services numériques.

Et reste l'argument qui ne figure dans aucun article : celui qui acceptera le portefeuille le premier réduira sa friction d'entrée en relation. Un onboarding qui se règle en présentant une attestation vérifiée, sans téléverser de photos de pièce d'identité ni attendre une revue manuelle, convertit mieux.

Ce que presque personne ne regarde : l'enregistrement comme partie utilisatrice

La conversation sur le portefeuille s'arrête souvent à « quand devrai-je l'accepter ». Mais le règlement comporte une exigence préalable aux conséquences opérationnelles plus lourdes : pour demander des données à un portefeuille, il faut être enregistré comme partie utilisatrice dans l'État membre où l'entreprise est établie.

Cet enregistrement n'est pas une simple formalité. Il faut déclarer :

• Qui vous êtes, avec les données officielles permettant aux portefeuilles de vous identifier et de vous authentifier.
• Comment vous contacter, pour que l'utilisateur et l'autorité sachent à qui s'adresser.
• Quelles données vous allez demander et pour quel usage prévu. Et voici l'essentiel : vous ne pouvez pas demander à l'utilisateur des données autres que celles déclarées.

L'information enregistrée est publiée dans un format lisible par machine et signé électroniquement, de sorte que le portefeuille lui-même puisse vérifier, avant de livrer quoi que ce soit, si celui qui demande a le droit de demander. C'est de la minimisation des données appliquée automatiquement : la vieille habitude de demander la pièce d'identité complète « au cas où », alors qu'il suffit de savoir si la personne est majeure, devient impossible.

Conséquence pratique : avant toute intégration, il faut un inventaire — quelle donnée demande chacun de vos formulaires, à quoi elle sert réellement et laquelle est superflue. Le même exercice que le RGPD, sauf qu'il est désormais déclaré publiquement et vérifié techniquement.

Les trois processus où le portefeuille apparaîtra d'abord

Si vous cherchez par où commencer, regardez où votre entreprise passe aujourd'hui le plus de temps à vérifier qui est quelqu'un :

1. Entrée en relation client et KYC. Le cas d'usage phare. Une attestation d'identité vérifiée remplace le téléversement de documents, la vidéo-identification et la revue manuelle qui suit. Le processus passe d'heures ou de jours à quelques secondes, et le dossier conserve une preuve meilleure qu'une photocopie.
2. Contractualisation et signature de documents. Avec une signature qualifiée disponible dans le portefeuille, l'univers des personnes pouvant signer avec la garantie maximale s'élargit sans démarche préalable.
3. Accès, représentation et attributs professionnels. La partie la plus sous-estimée : prouver qu'une personne est mandataire d'une entreprise, titulaire d'un diplôme ou membre d'un ordre professionnel. Aujourd'hui cela se règle avec des extraits et des courriels ; avec le portefeuille, c'est une attestation vérifiable dans l'instant.

Notez qu'aucun des trois n'est « un projet d'identité ». Les trois sont des processus métier dont une étape change. C'est pourquoi la bonne question n'est pas « quel fournisseur d'identité choisir ? » mais « mes processus acceptent-ils de changer de méthode d'identité sans toucher au reste ? ».

Comment Dokuflex le résout : identité et signature comme étapes du processus

Arriver en 2027 avec un changement de configuration ou avec un projet dépend d'une décision d'architecture prise aujourd'hui : l'identification vit-elle à l'intérieur de chaque application, ou est-elle une étape du workflow ?

Chez Dokuflex, les processus d'entrée en relation, de contractualisation ou d'autorisation sont modélisés en BPM low-code, et à l'intérieur :

• La méthode d'identification et de signature est configurable. Certificat électronique, signature biométrique, signature avancée ou qualifiée coexistent dans le même flux ; ajouter une méthode revient à changer la configuration d'une étape, pas à réécrire le processus.
• La preuve est archivée avec le dossier. Qui a identifié qui, avec quelle méthode, quand et sur quel document reste dans l'historique du processus — exactement ce qu'un audit ou une réclamation vous demandera.
• Les données demandées sont déclarées dans le formulaire du processus, pas dispersées dans les intégrations. L'inventaire « ce que je demande et pourquoi » — celui dont vous avez besoin pour vous enregistrer — devient une requête, pas une fouille archéologique.
• L'accès de vos propres équipes est aussi de l'identité. Le SSO d'entreprise et les passkeys couvrent l'intérieur pendant que le portefeuille couvre l'extérieur.

Sans détour : préparer l'entreprise au portefeuille EUDI ne consiste pas à acheter un portefeuille EUDI. Cela consiste à cesser d'avoir l'identité soudée aux processus — et cela rapporte dès le premier jour, bien avant décembre 2027.

Demandez une démo et nous parcourons votre processus d'entrée en relation étape par étape →

Check-list : six actions pour ce trimestre

1. Déterminez si vous êtes concerné — et écrivez-le. Taille, secteur et exigence d'authentification forte. Si la réponse est « non », vérifiez tout de même si vos clients concernés vous l'imposeront par contrat.
2. Inventoriez ce que vous demandez à chaque entrée en relation. Champ par champ, avec sa finalité. C'est la matière première de l'enregistrement comme partie utilisatrice — et, au passage, trois ou quatre champs inutilisés depuis des années apparaissent presque toujours.
3. Repérez où l'identité est câblée. Combien de systèmes différents identifient aujourd'hui un client ? Chacun est un endroit où il faudra intégrer le portefeuille si vous ne centralisez pas.
4. Mesurez votre onboarding actuel. Délai jusqu'à l'activation, part des dossiers en revue manuelle, abandon à l'étape d'identification. Sans cet « avant », impossible de démontrer l'« après ».
5. Parlez à votre prestataire de signature et d'identité. Demandez sa feuille de route portefeuille européen et si son intégration vous oblige à changer le processus ou seulement la configuration. La réponse en dit long.
6. Testez sur un petit processus. Une entrée en relation interne, une autorisation fournisseur. L'objectif n'est pas d'être prêt pour le portefeuille : c'est de vérifier que vous pouvez changer la méthode d'identité d'un processus sans ouvrir un projet.

Questions fréquentes

Sources officielles

• Règlement (UE) 2024/1183 — modifie le règlement (UE) n° 910/2014 en ce qui concerne l'établissement du cadre européen relatif à une identité numérique (articles 5 bis, 5 ter et 5 septies).
• EU Digital Identity Wallet — espace technique de la Commission européenne : architecture de référence et programme des parties utilisatrices.