Une technologie qui reconnaît, pas qui devine
La biométrie permet d'identifier ou d'authentifier une personne à partir de ses caractéristiques physiques ou comportementales : empreinte digitale, visage, voix, iris, parfois la façon de taper sur un clavier ou de marcher. Contrairement à un mot de passe, ces caractéristiques ne se changent pas : c'est leur force, et aussi leur fragilité. C'est pourquoi la loi les classe comme des données sensibles, strictement encadrées par le RGPD et par l'AI Act.
Comment ça marche, concrètement
Le processus se déroule toujours en deux temps. D'abord, un capteur (caméra, lecteur d'empreinte, microphone) enregistre la caractéristique choisie. Cette information n'est jamais stockée telle quelle : elle est transformée en un gabarit, une empreinte numérique chiffrée et propre au système qui l'a créée. Ensuite, lors de chaque vérification, une nouvelle capture est comparée à ce gabarit. Si la correspondance dépasse un seuil défini, l'accès est accordé.
Exemple très concret : quand vous déverrouillez votre téléphone avec votre visage, l'appareil ne « voit » pas une photo stockée quelque part ; il compare un gabarit chiffré créé localement à une nouvelle capture, et accorde ou refuse l'accès très rapidement.
Un usage déjà industrialisé, un usage collectif très encadré
Sur les appareils personnels, la biométrie est une technologie mature et largement répandue : déverrouillage de smartphone, validation de paiement. En revanche, dès qu'on sort du cadre individuel pour des usages collectifs en entreprise ou dans l'espace public, la réglementation devient beaucoup plus stricte, notamment lorsqu'il s'agit de repérer une personne dans une foule ou une base de données.
Cas d'usage en entreprise
- Déverrouillage des appareils professionnels (ordinateurs, smartphones).
- Contrôle d'accès à des sites ou des zones sensibles (data center, laboratoire, zone de production).
- Authentification forte pour accéder à des applications critiques.
Limites et pièges à éviter
Premier piège : croire que la biométrie est infaillible. Un capteur mal calibré, une mauvaise luminosité, une blessure au doigt peuvent générer des erreurs. Deuxième piège : confondre « reconnaître quelqu'un » (identification) et « vérifier qu'une personne est bien celle qu'elle prétend être » (authentification) — nous détaillerons cette distinction essentielle dans la séance suivante. Troisième piège : déployer la technologie par effet de mode, sans avoir vérifié qu'elle résout un vrai problème.
💡 Conseil de pro : avant même de penser au fournisseur ou au capteur, demandez-vous toujours où sera stocké le gabarit. Un stockage local, sur l'appareil de l'utilisateur, réduit considérablement les risques par rapport à une base centralisée.
Mini-exercice
Listez trois usages biométriques que vous croisez dans votre vie professionnelle ou personnelle. Pour chacun, identifiez quel capteur est utilisé, et selon vous, où est stocké le gabarit (sur l'appareil ou sur un serveur) ?