Biométrie et identité : précision, biais et protection
- Toute comparaison biométrique repose sur un seuil qui arbitre entre fausses acceptations et faux rejets
- L'identification dans une grande base (1:N) n'a pas les mêmes exigences que la vérification (1:1)
- Les évaluations du NIST montrent des écarts de performance entre groupes démographiques, très variables selon les algorithmes
- Une donnée biométrique ne se change pas : sa protection se décide dans l'architecture, dès la conception
Au guichet d’enrôlement d’un programme d’identité, un agriculteur pose les doigts sur le capteur. Une fois, deux fois, trois fois : la qualité de l’empreinte reste insuffisante, la peau est usée par des années de travail manuel. L’agent finit par passer à l’iris. La scène est banale pour quiconque a travaillé sur ces programmes, et elle résume le sujet de cet article. La biométrie et l’identité se rencontrent sur une promesse, reconnaître chacun de façon unique et sans document, qui se heurte à trois réalités : une précision qui n’est jamais parfaite, des performances qui varient selon les personnes, et une donnée qu’on ne peut pas renouveler si elle est compromise.
Trois questions qu’on mélange souvent
Les débats publics sur la biométrie confondent volontiers trois questions distinctes. La précision : le système se trompe-t-il, et dans quelle proportion ? Le biais : se trompe-t-il davantage pour certaines catégories de personnes ? La protection : que se passe-t-il si les données sont détournées, volées ou réutilisées à d’autres fins ? Un système peut être très précis en moyenne et biaisé ; précis et non biaisé mais mal protégé. Chaque question appelle ses propres mesures.
La précision est un réglage
Un système biométrique ne compare pas des images : il compare des gabarits, c’est-à-dire des représentations mathématiques des caractéristiques extraites. La comparaison produit un score de similarité. Au-delà d’un seuil, le système déclare une correspondance ; en deçà, il la refuse. Deux personnes différentes produisent parfois des scores élevés, et une même personne parfois des scores faibles (éclairage, blessure, vieillissement, capteur sale).
Les normes d’évaluation, notamment la série ISO/IEC 19795, fixent le vocabulaire : taux de fausse correspondance (FMR) et taux de non-correspondance à tort (FNMR) au niveau de l’algorithme, taux de fausse acceptation et de faux rejet au niveau du système, et taux d’échec à l’enrôlement (FTE) pour les personnes dont on ne parvient pas à capturer une donnée exploitable. Ce dernier taux est souvent oublié : il désigne précisément les personnes qui risquent d’être exclues du système.
Le choix du seuil est une décision politique autant que technique. Pour l’accès à un bâtiment sensible, on préfère rejeter à tort plutôt qu’admettre un intrus. Pour le versement d’une prestation sociale, un faux rejet prive une personne de ses droits ; il faut alors prévoir une voie de recours rapide et non biométrique.
Vérifier ou identifier
La vérification (1:1) compare une personne au gabarit de l’identité qu’elle revendique. L’identification (1:N) la recherche dans toute une base, par exemple pour détecter qu’une même personne tente de s’enrôler deux fois. La différence est considérable : à seuil égal, le nombre de comparaisons, donc le risque de fausse correspondance, croît avec la taille de la base. Un algorithme satisfaisant pour vérifier un passeport peut être insuffisant pour dédoublonner une population nationale. C’est pourquoi les programmes d’identité à grande échelle combinent souvent plusieurs modalités (empreintes, iris, visage).
Les biais : ce que montrent les évaluations du NIST
L’institut américain des normes et de la technologie (NIST) évalue depuis des années les algorithmes de reconnaissance faciale soumis par les fournisseurs, dans un programme aujourd’hui appelé FRTE. En décembre 2019, il a publié un rapport consacré aux effets démographiques, portant sur près de deux cents algorithmes et plusieurs millions d’images. Ses conclusions principales sont nuancées, et c’est ce qui les rend utiles.
Le rapport mesure, pour une majorité d’algorithmes, des différences de taux d’erreur selon le sexe, l’âge et la région d’origine des personnes. Les écarts sont généralement plus marqués pour les fausses correspondances que pour les faux rejets. Mais l’ampleur de ces écarts varie fortement d’un algorithme à l’autre : certains présentent des différences importantes, d’autres beaucoup plus faibles. Le rapport note aussi que des algorithmes développés dans différentes régions du monde ne se comportent pas de la même façon selon les populations.
Un travail souvent cité dans ce débat, celui de Joy Buolamwini et Timnit Gebru en 2018 (« Gender Shades »), portait sur une autre tâche : la classification du genre par des services commerciaux d’analyse de visages, et non l’identification. Il a montré des écarts de performance importants selon le genre et la couleur de peau, et contribué à faire de la question un sujet public. Il ne faut pas pour autant transposer directement ses chiffres à l’identification.
Le biais n’est pas une propriété de « la » biométrie, mais d’un algorithme, d’un seuil, d’une qualité de capture et d’une population. Il se mesure sur la population réellement concernée, avec ses âges, ses origines et ses conditions de capture, et pas seulement sur les jeux d’essai du fournisseur.
Les empreintes digitales posent des difficultés comparables, moins médiatisées. Les personnes âgées et les travailleurs manuels ont souvent des empreintes moins lisibles ; les très jeunes enfants des empreintes trop petites et changeantes. Ces personnes se retrouvent dans le taux d’échec à l’enrôlement ou dans les faux rejets, ce qui crée un risque d’exclusion précisément chez celles qui ont le plus besoin d’une identité reconnue.
La protection : une donnée qu’on ne change pas
Un mot de passe compromis se change. Un visage ou une empreinte, non. Cette différence commande toute l’architecture de protection.
Le cadre juridique européen en tire les conséquences. Le RGPD range les données biométriques traitées pour identifier une personne de manière unique parmi les catégories particulières de données (article 9), dont le traitement est interdit sauf exception. Le règlement sur l’intelligence artificielle interdit, depuis le 2 février 2025, plusieurs pratiques : la constitution de bases de reconnaissance faciale par moissonnage non ciblé d’images, la catégorisation biométrique visant à déduire des caractéristiques sensibles, la reconnaissance des émotions sur le lieu de travail et dans l’enseignement, et, sauf exceptions strictes, l’identification biométrique à distance en temps réel dans l’espace public à des fins répressives. Les autres systèmes d’identification biométrique à distance relèvent de la catégorie à haut risque ; la simple vérification d’identité en est exclue.
Sur le plan technique, plusieurs choix réduisent l’exposition. Stocker le gabarit sur un support détenu par la personne (une carte, un téléphone) plutôt que dans une base centrale, lorsque l’usage le permet. Ne conserver que les gabarits, pas les images brutes, quand ces dernières ne sont pas nécessaires. Appliquer des techniques de protection des gabarits qui les rendent révocables et non reliables entre systèmes, selon les principes de la norme ISO/IEC 24745. Et protéger les capteurs contre la fraude par présentation (photo, masque, faux doigt), évaluée selon la série ISO/IEC 30107.
Les principes sur l’identification pour le développement durable, portés par l’initiative ID4D de la Banque mondiale et signés par de nombreuses organisations, rappellent que ces choix ne sont pas seulement techniques : inclusion universelle, protection de la vie privée dès la conception, et gouvernance responsable du système.
Une grille pour évaluer un projet biométrique
| Question | Ce qu’il faut obtenir |
|---|---|
| Pourquoi la biométrie ? | La démonstration qu’un moyen moins intrusif ne suffit pas pour l’usage visé |
| Vérification ou identification ? | Le mode exact, la taille de la base et le seuil prévu |
| Performance | Les résultats d’évaluations indépendantes, et des essais sur un échantillon représentatif de votre population |
| Écarts entre groupes | Les taux d’erreur ventilés par âge, sexe et autres caractéristiques pertinentes |
| Exclusion | Le taux d’échec à l’enrôlement et la procédure de repli pour les personnes concernées |
| Stockage | Le lieu de conservation, la forme (image ou gabarit), la durée et les accès |
| Fraude | Les tests de détection des attaques par présentation |
| Recours | La voie non biométrique offerte à une personne rejetée à tort |
Limites
Les évaluations du NIST portent sur les algorithmes soumis volontairement, dans des conditions de test qui ne reproduisent pas toutes les situations de terrain ; les performances évoluent vite et un résultat ancien ne vaut pas pour une version récente. Les données de terrain sur les taux d’échec à l’enrôlement et les faux rejets dans les grands programmes nationaux restent rarement publiées. Et la recherche sur les biais se concentre sur le visage, beaucoup moins sur les empreintes et l’iris.
Pour un ministère ou une collectivité, la biométrie n’a de sens qu’adossée à un registre d’identité fiable : elle relie une personne à un enregistrement, elle ne dit rien de la qualité de cet enregistrement. C’est la logique de notre produit État civil, et de notre dossier de référence sur l’identité numérique.
- Patrick Grother, Mei Ngan et Kayee Hanaoka, « Face Recognition Vendor Test (FRVT) Part 3: Demographic Effects », NISTIR 8280, NIST, décembre 2019.
- Joy Buolamwini et Timnit Gebru, « Gender Shades: Intersectional Accuracy Disparities in Commercial Gender Classification », Proceedings of Machine Learning Research, 2018.
- ISO/IEC 19795 (évaluation des performances biométriques), ISO/IEC 30107 (détection des attaques par présentation), ISO/IEC 24745 (protection des informations biométriques).
- Règlement (UE) 2016/679 (RGPD), articles 4 et 9 ; règlement (UE) 2024/1689 sur l’intelligence artificielle, article 5 et annexe III.
- Banque mondiale, initiative ID4D, « Principles on Identification for Sustainable Development ».
Pour approfondir : État civil · Identité numérique
Questions fréquentes
Les systèmes de reconnaissance faciale sont-ils biaisés ?
Les évaluations indépendantes du NIST ont mesuré, pour de nombreux algorithmes, des taux d'erreur différents selon l'âge, le sexe ou l'origine des personnes, en particulier pour les fausses correspondances. Elles montrent aussi que l'ampleur de ces écarts varie fortement d'un algorithme à l'autre, et que certains en présentent peu. La question utile n'est donc pas « la reconnaissance faciale est-elle biaisée ? », mais « cet algorithme, avec ces réglages, sur cette population, l'est-il ? ».
Quelle différence entre vérification et identification biométrique ?
La vérification (1:1) compare une personne à un seul gabarit, celui de l'identité qu'elle déclare : c'est le cas d'un passeport à puce ou du déverrouillage d'un téléphone. L'identification (1:N) cherche une personne dans une base entière, par exemple pour éviter les doublons lors d'un enrôlement. Plus la base est grande, plus le risque de fausse correspondance augmente, ce qui impose des algorithmes et des seuils plus exigeants.
La biométrie est-elle autorisée par le RGPD ?
Les données biométriques traitées pour identifier une personne de manière unique font partie des catégories particulières de données dont le traitement est interdit par principe, sauf exceptions prévues par l'article 9 du RGPD (consentement explicite, motif d'intérêt public important prévu par la loi, notamment). Il faut donc une base juridique solide, une analyse d'impact et des mesures de protection renforcées.
Peut-on enrôler les enfants avec leurs empreintes digitales ?
C'est techniquement difficile pour les très jeunes enfants, dont les empreintes sont petites et évoluent avec la croissance, et la qualité des captures est souvent insuffisante. De nombreux programmes fixent un âge minimal pour la capture des empreintes ou prévoient un réenrôlement. Les précautions juridiques sont par ailleurs renforcées pour les mineurs.