Le futur PCI n'est pas un livret. C'est une couche de présentation préservant la vie privée.

Le permis de conduire international (PCI) de demain ne devrait pas être un autre document à transporter. Il devrait être une façon gouvernée et cryptographiquement vérifiable de présenter des privilèges de conduite nationaux à travers les frontières — en ligne et hors ligne, avec une divulgation minimale et sans transformer chaque vérification en surveillance.

Tout le monde dit que l’avenir du permis de conduire international est numérique. Ce n’est pas faux — mais ce n’est pas assez précis non plus.

Un livret PDF sur un téléphone n’est pas l’avenir. Un QR code plus esthétique n’est pas l’avenir. Un jeton blockchain avec le mot « conduite » dans les supports marketing n’est pas l’avenir.

Le vrai problème est plus profond qu’une question de format. Tout se ramène à une question centrale : comment un droit de conduire légal, délivré par une autorité, devient-il compréhensible, fiable et utilisable dans un autre pays, auprès d’un autre vérificateur, sous pression, parfois sans réseau, et sans exposer plus de données personnelles que nécessaire ?

C’est la question à laquelle le PCI papier n’a jamais pleinement répondu. Et c’est la question à laquelle le système de nouvelle génération doit répondre.

Pourquoi le PCI papier a résolu la lisibilité mais pas la confiance

Le PCI papier avait du sens dans un monde où le papier était le support principal. Il servait de couche de compatibilité — une connexion lisible par l’humain entre un système de délivrance de permis et un autre. C’était utile, et dans une certaine mesure, ça l’est encore.

Mais la partie difficile de la mobilité transfrontalière moderne n’est plus seulement la lisibilité. C’est la confiance.

Les vérificateurs d’aujourd’hui font face à une série de questions plus difficiles :

• Peuvent-ils déterminer si le document est authentique ?
• Peuvent-ils confirmer qu’il est toujours valide ?
• Peuvent-ils ne vérifier que les champs dont ils ont réellement besoin ?
• Peuvent-ils le faire sans contacter l’autorité émettrice à chaque fois ?
• Peuvent-ils vérifier en ligne, en personne et au bord de la route ?
• Peuvent-ils le faire sans transformer les déplacements en un système de surveillance mondial ?

C’est pourquoi le futur PCI ne devrait pas être perçu comme un projet de livret numérique. Il devrait être compris comme un problème d’architecture de présentation.

Les normes qui pointent déjà vers un PCI numérique

Ce n’est plus théorique. La communauté des normes s’est déjà engagée dans cette direction :

• ISO/IEC 18013-1:2018 a établi un modèle dans lequel un seul permis sécurisé peut servir à la fois à des fins nationales et internationalement reconnues, anticipant les technologies lisibles par machine ainsi que l’intégration de la biométrie, de la cryptographie et de la compression.
• ISO/IEC 18013-3 couvre le contrôle d’accès, l’authentification et la validation de l’intégrité.
• ISO/IEC 18013-5 définit les interfaces entre le permis de conduire mobile, le lecteur et l’infrastructure de l’autorité émettrice, y compris l’utilisation par des vérificateurs dans d’autres pays.
• ISO/IEC 18013-7 ajoute la présentation d’un permis de conduire mobile via Internet.
• Les travaux de la CEE-ONU sur les permis de conduire électroniques relient les exigences techniques et de sécurité à la conformité avec ISO/IEC 18013-5.

La mauvaise approche pour numériser le PCI

La mauvaise approche consiste à prendre le PCI actuel, à le convertir dans un format numérique et à le placer dans une application. Cela semble efficace, mais cela perpétue le mauvais angle — cela maintient le système centré sur le document en tant qu’objet physique.

La meilleure approche consiste à traiter la conduite internationale comme une présentation contrôlée des droits de conduite délivrés au niveau national.

Ce changement est important, car dès lors qu’on pense en termes de présentation, les questions de conception deviennent plus précises :

• Qui a délivré le droit de conduire sous-jacent ?
• Comment le titulaire reçoit-il et stocke-t-il le document d’identité numérique ?
• Comment un vérificateur demande-t-il uniquement les données dont il a légitimement besoin ?
• Comment les clés de l’émetteur sont-elles distribuées et approuvées ?
• Comment la révocation est-elle vérifiée sans traçage en direct par l’émetteur ?
• Qu’est-ce qui fonctionne hors ligne, et qu’est-ce qui nécessite encore le papier comme solution de secours ?
• Quel vérificateur est autorisé à consulter quelles données, et pourquoi ?

C’est une approche bien plus sérieuse pour concevoir le remplacement du PCI papier.

Une meilleure définition du futur PCI

Voici une définition proposée :

Un futur PCI est un document transfrontalier dérivé et fondé sur des normes, qui présente à un vérificateur les privilèges de conduite délivrés au niveau national de manière adaptée au contexte, sous le contrôle du titulaire, avec vérification cryptographique, divulgation basée sur les rôles, flux de présentation en ligne et hors ligne, et vérification du statut préservant la vie privée.

Cette définition est délibérément restrictive. Elle ne :

• fait pas du futur PCI un droit de conduire autonome ;
• le transforme pas en une base de données universelle d’identité ;
• nécessite pas de connexion en direct à l’émetteur pour chaque transaction ;
• suppose pas qu’un comptoir de location, un agent de police et un assureur doivent tous voir les mêmes champs ;
• impose pas la blockchain comme cœur du système.

C’est une réponse disciplinée à un problème de confiance.

Les sept composantes d’un futur PCI fonctionnel

Sans le jargon marketing, un futur PCI fonctionnel nécessite sept composantes :

1. Une source nationale de vérité faisant autorité. Le droit légal de conduire provient de l’autorité nationale de délivrance des permis. La couche internationale ne doit jamais créer des droits de conduire — seulement les présenter.
2. Un émetteur. Une autorité publique de confiance, ou un émetteur autorisé et strictement encadré agissant en son nom, délivre le document d’identité numérique reflétant le privilège de conduite en vigueur.
3. Un portefeuille numérique pour le titulaire. Le conducteur a besoin d’un portefeuille sécurisé qui stocke le document, protège les clés privées, authentifie le titulaire et présente le document aux vérificateurs.
4. Un vérificateur ou lecteur. Il peut s’agir d’un dispositif de police, d’un lecteur de comptoir de location, d’un système en ligne ou d’un autre vérificateur autorisé.
5. Un registre de confiance. Les vérificateurs ont besoin d’un moyen fiable d’obtenir les clés publiques et les métadonnées de confiance des émetteurs légitimes.
6. Une couche de statut. Il doit exister un moyen préservant la vie privée d’exprimer la suspension, la révocation, l’expiration ou un changement de statut.
7. Une solution de secours physique. Les batteries déchargées, la mauvaise connectivité, les appareils endommagés, les juridictions conservatrices et les environnements politiques en transition sont une réalité normale — pas des cas exceptionnels.

Divulgation basée sur les rôles : un seul document, des audiences différentes

L’un des plus grands échecs de conception dans les systèmes d’identité est de supposer qu’un seul document signifie une seule divulgation. C’est le contraire d’une bonne conception.

Un agent de police lors d’un contrôle routier n’a pas le même besoin légitime qu’un comptoir de location. Un comptoir de location n’a pas le même besoin qu’un employeur. Un employeur n’a pas le même besoin qu’un système de pré-vérification en ligne.

Un futur PCI devrait prendre en charge différents ensembles de divulgation pour différentes catégories de vérificateurs :

• Contrôle routier : Identité, photo, catégories et droits, restrictions, statut de validité. Rien de plus par défaut.
• Comptoir de location : Identité, photo, catégories de conduite, dates de délivrance et d’expiration, éventuellement des informations sur l’âge — mais pas tous les champs du document.
• Pré-vérification en ligne : Preuve d’identité, preuve du droit de conduite pertinent, preuve de validité en cours, éventuellement une confirmation liée à une réservation.
• Employeur ou conformité de flotte : Un flux de travail distinct, avec consentement explicite, et non le même profil de divulgation que pour la vérification lors des déplacements.

Les normes soutiennent déjà ce modèle. Le projet mDL actuel du NIST décrit des requêtes permettant aux vérificateurs de spécifier les attributs qu’ils demandent. Les directives de mise en œuvre de l’AAMVA exigent que l’application affiche clairement les données demandées et donne au titulaire un contrôle total sur les éléments de données partagés.

Un futur PCI ne devrait pas être une carte numérique. Il devrait être un instrument de divulgation contrôlée.

La vérification instantanée ne doit pas devenir une surveillance instantanée

C’est là que de nombreux projets d’identité numérique échouent. Ils décrivent la « vérification en temps réel » comme si cela signifiait automatiquement un progrès. Ce n’est pas le cas.

Un vérificateur a besoin d’une confiance rapide. Mais l’émetteur n’a pas besoin de savoir chaque endroit et chaque moment où le titulaire présente le document. Cette distinction est essentielle.

Le Cadre d’architecture et de référence de l’UE est clair sur ce point. Les instances des parties utilisatrices ne devraient pas demander la liste de statut pertinente à chaque fois qu’un document est présenté. Au lieu de cela :

• Les listes mises à jour devraient être téléchargées séparément, à des moments et depuis des emplacements sans rapport avec une présentation spécifique d’un utilisateur.
• Les positions dans la liste de statut devraient être randomisées, avec suffisamment d’entrées pour garantir une confidentialité collective.
• Les demandes de liste ne doivent pas devenir des signaux de traçage pour des titulaires spécifiques.

Le projet mDL actuel du NIST décrit la validation par le vérificateur sur la base des signatures et des clés publiques de l’émetteur sans avoir besoin de contacter directement l’émetteur. Les directives de l’AAMVA interdisent la récupération côté serveur dans ses recommandations de mise en œuvre et privilégient la récupération sur l’appareil ainsi que la distribution des clés publiques via un service de confiance.

Un futur PCI devrait prendre en charge la vérification instantanée — sans créer un enregistrement mondial de l’endroit et du moment où un conducteur a prouvé son identité.

Distribution de la confiance : la gouvernance sous forme lisible par machine

Beaucoup de gens discutent de portefeuilles numériques et de cryptographie. Beaucoup moins discutent de l’infrastructure qui fait réellement fonctionner la confiance — mais l’infrastructure est la partie qui compte.

Un vérificateur ne peut faire confiance à un document que s’il peut découvrir et approuver de manière fiable les clés publiques et les métadonnées associées de l’émetteur. Un écosystème de futur PCI a besoin d’une réponse lisible par machine et gouvernable aux questions telles que :

• Quels émetteurs sont légitimes ?
• Quelles clés publiques sont à jour ?
• Quels émetteurs sont autorisés pour quelles juridictions ?
• Quelles catégories de vérificateurs sont enregistrées ou accréditées ?
• Que se passe-t-il lorsqu’un émetteur renouvelle ses clés ou modifie sa politique ?

Le service de confiance numérique de l’AAMVA en est un exemple concret : une façon unique, sécurisée et résiliente pour les parties utilisatrices d’obtenir les clés publiques des autorités émettrices, délivrées via une liste d’autorités de certification d’émetteurs vérifiés. Le manuel mDL de l’UE décrit les États membres notifiant à la Commission les émetteurs de mDL autorisés, la Commission publiant cette liste à des fins de vérification, et l’enregistrement des parties utilisatrices dans le cadre de confiance du portefeuille.

C’est la direction dont a besoin un futur PCI — non pas un système où tout le monde scanne un QR code et fait confiance au résultat sans validation, mais un système où la confiance est distribuée, versionnée et vérifiable par machine.

En ligne et au bord de la route : un seul système unifié

Un futur PCI sérieux ne peut pas se fragmenter en systèmes distincts : un pour les contrôles routiers, un pour la location de voitures, un pour l’intégration à distance, un pour la vérification d’identité, et un autre pour la vérification de la conduite. Cette fragmentation est précisément ce dont souffrent déjà les utilisateurs.

Les normes techniques existent maintenant pour l’éviter :

• ISO/IEC 18013-5 définit les interfaces pour la présentation du permis de conduire mobile en personne.
• ISO/IEC 18013-7 étend cela à la présentation via Internet.
• Le manuel du permis de conduire mobile de l’UE liste à la fois les locations de voitures et les contrôles routiers comme scénarios de vérification, et décrit le partage à distance ainsi que les contrôles de proximité utilisant des flux déclenchés par QR code, Bluetooth, Wi-Fi Aware et NFC.

Le futur système doit gérer à la fois les scénarios en ligne et en personne, car les déplacements incluent les deux. La mobilité inclut les deux. La confiance exige les deux.

La couche de protocole web natif est maintenant mature

Pendant des années, l’une des raisons pour lesquelles les discussions sur l’identité semblaient imprécises était que la couche de protocole était encore incomplète. C’est beaucoup moins vrai aujourd’hui :

• OpenID for Verifiable Credential Issuance 1.0 définit une API protégée par OAuth pour la délivrance de documents d’identité, prenant explicitement en charge plusieurs formats de documents, notamment ISO mdoc, SD-JWT VC et les documents W3C VCDM.
• OpenID for Verifiable Presentations 1.0 définit un mécanisme permettant aux vérificateurs de demander et de recevoir des présentations de documents.
• Le modèle de données des justificatifs vérifiables 2.0 du W3C formalise l’écosystème tripartite des émetteurs, des titulaires et des vérificateurs.

Cela change la conversation. Le futur PCI n’a plus besoin d’être imaginé comme une application gouvernementale unique avec des processus développés sur mesure. Il peut être conçu comme un profil de document d’identité gouverné, s’appuyant sur un écosystème interopérable plus large.

Cela ne supprime pas la nécessité d’une gouvernance publique. Cela supprime le prétexte qu’il n’existe pas de pile de protocoles moderne sur laquelle s’appuyer.

Pourquoi la blockchain est optionnelle — mais la reconnaissance ne l’est pas

Un futur PCI n’a pas besoin de la blockchain comme fondation. Cela ne signifie pas que la technologie des registres distribués est inutile — elle peut être précieuse dans des rôles spécifiques de transparence ou de registre — mais elle ne devrait pas être traitée comme le cœur du système de permis de conduire.

Le modèle de données VC 2.0 du W3C est explicite : les registres de données vérifiables peuvent prendre de nombreuses formes — bases de données de confiance, bases de données décentralisées, bases de données d’identité gouvernementales ou registres distribués. DID Core est tout aussi explicite : de nombreuses méthodes DID, mais pas toutes, utilisent des registres distribués. Les normes n’imposent pas une architecture axée sur la blockchain.

C’est la bonne position, car la partie la plus difficile d’un futur PCI n’est pas la technologie. La partie la plus difficile est :

• La reconnaissance juridique
• La gouvernance des émetteurs
• Le déploiement des lecteurs
• L’accréditation des vérificateurs
• Les opérations des listes de confiance
• La logique de révocation
• L’alignement des politiques transfrontalières

L’AAMVA a construit un service de confiance. Le manuel de l’UE inclut la publication des émetteurs et l’enregistrement des parties utilisatrices. Les projets de la CEE-ONU relient les permis électroniques à ISO/IEC 18013-5. Le vrai défi n’est pas l’absence de cryptographie — c’est le défi de l’interopérabilité gouvernée.

Un flux de futur PCI réaliste en pratique

Un futur PCI devrait être simple en pratique. Voici comment il fonctionne dans trois scénarios courants :

1. Délivrance ou renouvellement

L’autorité nationale vérifie le dossier du permis sous-jacent et délivre un document dans le portefeuille du titulaire. Le portefeuille le stocke de manière sécurisée, protège les clés et peut ultérieurement actualiser le statut ou recevoir des attestations mises à jour via un flux de délivrance gouverné. OpenID4VCI fournit une couche de délivrance web native viable, tandis que les directives de l’AAMVA exigent le chiffrement au repos, le stockage sécurisé des clés et l’authentification du titulaire lors de l’accès ou de la transmission des données.

2. Pré-vérification à distance pour la location de voiture

Une plateforme de location envoie une demande authentifiée pour un ensemble minimal de droits de conduite. Le portefeuille affiche la demande au titulaire, qui l’approuve. Le vérificateur reçoit la présentation via un flux compatible avec Internet, valide la signature de l’émetteur et les éléments de clé, vérifie localement les informations de confiance et de statut disponibles, et pré-approuve la réservation. Le manuel mDL de l’UE décrit déjà le partage à distance pour la location de voitures ; le projet du NIST décrit les demandes d’attributs pilotées par requêtes ; OpenID4VP et ISO/IEC 18013-7 fournissent l’orientation générale de présentation pour les flux basés sur Internet.

3. Contrôle routier

Un agent demande l’ensemble de divulgation pour le contrôle routier. Le titulaire présente via un flux de proximité. Le lecteur valide le document localement, vérifie les droits de conduite et la validité, et ne voit que ce qui est nécessaire. L’émetteur n’est pas contacté par défaut. Le manuel de l’UE décrit la vérification routière déclenchée par QR code, Bluetooth, Wi-Fi Aware et NFC, tandis qu’ISO/IEC 18013-5 et les directives de l’AAMVA privilégient la proximité et la récupération sur l’appareil plutôt que le contact en temps réel avec l’émetteur.

C’est la bonne expérience utilisateur : rapide, vérifiable, peu intrusive et simple.

Ce que le futur PCI n’est pas

Pour être clair, le futur PCI n’est pas :

• Un permis de conduire autonome
• Une photo d’une carte
• Une collection universelle de données d’identité
• Un canal de surveillance contrôlé par le vérificateur
• Du papier dans un format numérique
• Un système de confiance dépendant de la blockchain

C’est une couche de présentation soigneusement gouvernée sur les privilèges de conduite délivrés au niveau national. C’est moins spectaculaire — et bien plus susceptible de fonctionner.

Pourquoi la voie de migration est aussi importante que l’architecture

La meilleure architecture est inutile si la voie de migration n’est pas réaliste. Les gouvernements ne remplaceront pas chaque flux de travail papier du jour au lendemain — et ils ne le devraient pas.

Une voie réaliste ressemble à ceci :

1. Phase 1 : Conserver le papier. Ajouter un accompagnement numérique sécurisé.
2. Phase 2 : Standardiser les listes de confiance des émetteurs et les catégories de vérificateurs.
3. Phase 3 : Prendre en charge à la fois la présentation de proximité et à distance.
4. Phase 4 : Faire migrer les contrôles routiniers et les locations vers des flux privilégiant le numérique.
5. Phase 5 : Réduire le livret papier à un statut de solution de secours plutôt que de support principal.

Cette voie correspond à la direction que prennent déjà les normes et les travaux officiels de l’écosystème : la logique du document unique de l’ISO, l’infrastructure de service de confiance de l’AAMVA, les cas d’utilisation mDL basés sur le portefeuille de l’EUDI, et l’évolution de la CEE-ONU vers des modèles de permis électroniques alignés sur ISO/IEC 18013-5.

L’argument central en une phrase

Voici l’argument condensé : Le futur PCI n’est pas un livret numérique. C’est une réponse gouvernée à un problème de confiance transfrontalière.

Pas une version plus esthétique de l’ancien document — un meilleur système. Un système dans lequel :

• Le droit légal provient toujours de l’autorité nationale
• Le titulaire contrôle la présentation
• Le vérificateur obtient uniquement ce dont il a besoin
• La confiance peut être vérifiée sans surveillance par défaut
• L’utilisation à distance et en personne partagent une même architecture
• Le papier ne subsiste que là où il conserve une valeur pratique

Voilà la norme à viser.

Une fois qu’on voit le problème ainsi, la question intéressante n’est plus de savoir si le PCI devrait devenir numérique. La question intéressante devient : qui est prêt à concevoir la couche d’identité transfrontalière du conducteur avec suffisamment de sérieux pour remplacer le papier sans en reproduire les faiblesses — ni en ajouter de nouvelles ?

Rien de tout cela n’est spéculatif. Les travaux actuels du NIST sur le mDL décrivent un portefeuille contrôlé par l’utilisateur, un vérificateur qui valide l’authenticité sans avoir besoin de contacter directement l’émetteur, et un écosystème de documents construit autour des émetteurs, des portefeuilles et des vérificateurs. Le service de confiance numérique de l’AAMVA existe déjà pour distribuer les clés publiques des autorités émettrices. Le manuel du permis de conduire mobile de l’UE décrit des listes d’émetteurs autorisés et l’enregistrement des parties utilisatrices dans un cadre de confiance plus large.