Identité numérique : Alicem a le seum

L'application de reconnaissance faciale biométrique fonctionne mal. L'identité numérique n'aura pas pour « coeur de cible » les usages « régaliens », mais l'accès aux services municipaux, au DMP et aux livrets scolaires, ainsi qu'aux sites de rencontre et de jeux en ligne. Une campagne d'« e-influence » est par ailleurs d'ores et déjà prévue.

Contrairement à ce que nous écrivions en juillet dernier, sur la foi des préconisations de la mission d’information de l’Assemblée sur l’identité numérique, le projet d'application de reconnaissance faciale Alicem (pour « Authentification en ligne certifiée sur mobile »), censé permettre de s’identifier sur un service en ligne officiel avec une application biométrique, est tout sauf « fini ».

L'Agence Nationale des Titres Sécurisés (ANTS) a en effet lancé, début août, un appel d'offres (le .zip, 20Mo) relatif à son futur Système de Gestion de l’Identité Numérique (SGIN), « qui permettra notamment d’étendre les fonctionnalités et la couverture de la solution Alicem à d’autres terminaux et d’autres moyens d’authentification ». Son objectif est de « proposer un système d’information complet, robuste et enrichissant Alicem, permettant de couvrir tous les cas d’usage de l’identité numérique ».

La date prévisionnelle de notification de l’accord-cadre, d'un montant estimatif situé entre 26 et 42 millions d'euros, a été fixée au 1er janvier 2021, pour une ouverture des premiers services prévue en mai 2022... si tout se passe bien. Les centaines de pages du cahier des charges recèlent en effet de (très) nombreuses fonctionnalités à développer, et problèmes à régler. Sans compter les éventuelles oppositions politiques et citoyennes que le projet pourraient susciter, et dont l'appel d'offres se fait aussi l'écho.

En attendant la future carte nationale d’identité électronique CNIe 

L'ANTS justifie l'expression de besoin de ce SGIN au motif qu'Alicem avait été « développée à partir de 2016 (...) en tirant parti des technologies existantes à l’époque », et limitée aux seuls titulaires d'un appareil Android muni d'un lecteur NFC.

A contrario, le SGIN offrira également une application iOS, ainsi qu'un client web pour pouvoir s'enrôler depuis un navigateur « dans un premier temps, sur des ordinateurs maitrisés dans le cadre des "maisons France Services", puis les ordinateurs des usagers, avec l’aide d’un lecteur de carte ».

Le SGIN supportera également « de nouveaux titres tels que la future carte nationale d’identité électronique CNIe ». Il proposera en outre « une panoplie de services d’aide à l’authentification pour des tiers (ex : divulgation sélective d’information comme une preuve de majorité certifiée, etc.) », ainsi que des « processus enrichis et adaptés pour une meilleure inclusivité : gestion de l’identité numérique pour les mineurs, accessibilité renforcée pour les publics souffrant de handicaps ou éloignés du numérique, etc. »

La feuille de route, établie proposée dans l'appel d'offres, donne une petite idée de l'ampleur des missions à accomplir et des tâches à réaliser d'ici la v2, prévue pour 2023, et une v3 en 2024.

Jusqu'à 0,9 % de « faux positifs », et 20 % de « faux négatifs »

Le cahier des charges, très fourni, évoque notamment le développement d'un système d'« acquisition de photos et de vidéos utilisées afin de réaliser une vérification d’identité et reconnaissance du vivant en comparaison avec l’image stockée dans un titre sécurisé afin de permettre une authentification de l’usager ». Ce dernier est censé lui offrir « un niveau de confiance similaire à une reconnaissance en face à face ».

Voire : en termes d'acceptabilité, le cahier des clauses techniques particulières (CCTP) précise en effet qu'« afin de permettre un fonctionnement optimal en termes d’expérience utilisateur et de sécurité, il est indispensable que la solution offre le meilleur compromis au regard :

• Du taux de faux refus qui devra être suffisamment faible pour garantir l’adhésion des utilisateurs et la bonne utilisation du service. L’exigence est fixée à moins de 20% de TFR (taux de faux refus).
• Du taux de fausse acceptation (que ce soit lors d’une utilisation conforme ou d’une tentative de fraude) qui devra être suffisamment bas pour garantir une sécurité optimale et limiter le risque d’usurpation. L’exigence est fixée à moins de 0,9% de TFA (taux de fausse acceptation). »

L'appel d'offres admet donc d'emblée qu'un utilisateur sur cinq pourra se voir refuser, à tort, l'enrôlement, mais également qu'un sur cent pourra, a contrario, faire valider à tort la délivrance de son identité numérique. La biométrie repose en effet sur des algorithmes statistiques, et ne peut donc être fiable à 100 %. D'un point de vue pratique, et sécuritaire, ces pourcentages de faux refus ou acceptations, rapportés à l'échelle de la population, pourraient dès lors concerner des millions de citoyens...

En 2017, le sénateur socialiste Claude Raynal avait interpellé le ministère de l'Intérieur à ce sujet. Évoquant le fait qu'avec un taux de rejet de 3 %, « c'est plus de 1,8 million de personnes qui seront alors considérées soit comme des fraudeurs (en cas de faux négatif), soit comme bénéficiant de l'identité d'autrui (en cas de faux positif) », il voulait « connaître les modifications envisagées, tant pour assurer l'efficacité de ce fichier que pour éviter ces désagréments à nos concitoyens ». Las : la question est devenue caduque.

Contactée, l'ANTS nous répond être « dans l'attente des propositions que nous ferons les industriels sur ce point, attendues à partir du 12 octobre prochain », se refusant à nous en dire plus au motif que « le délai prévu pour les questions relatives aux différentes dispositions du CCTP [cahier des clauses techniques particulières, ndlr], faisant l'objet de réponses publiques, est aujourd'hui expiré. Il ne nous est donc plus, à ce stade de la procédure, possible de les commenter dans le cadre d'un article précédant de quelques jours la réception des offres ou intervenant au cours de leur analyse ».

Détecter les « deep fakes » en basse déf'

Les challenges proposés en matière de « reconnaissance du vivant », qui « doit permettre en complément de s’assurer que la personne est bien vivante et volontaire », devront par ailleurs être « complètement aléatoires et suffisamment variés pour empêcher un utilisateur mal intentionné de les prévoir ou les anticiper ».

Le SGIN devra ainsi être en mesure de « détecter les principales attaques connues sur la vérification d’identité, telles que la présentation d’une photographie ou d’une séquence vidéo pré-enregistrée ou la substitution d’une photographie ou d’une vidéo, l'utilisation de masque ou de moulage, de "deep fakes", etc. ».

Le cahier des charges évoque également le « risque que la comparaison ultérieure ne soit faussée par une mauvaise acquisition due à l’utilisateur ou à l’environnement extérieur (ex : variabilité trop forte de la luminosité, bougé trop important etc.) ». L'appel d'offres ne mentionne nullement, cela dit, que les personnes de couleur ont souvent plus de mal à être reconnues et identifiées que les visages pâles, la reconnaissance faciale ayant été majoritairement pensée par des blancs, à partir de base de données de photos elles aussi majoritairement caucasiennes.

Le système devra au surplus « pouvoir s’exécuter suffisamment rapidement pour ne pas pénaliser le parcours des utilisateurs. Ainsi, un processus complet de vérification d’identité et reconnaissance du vivant ne dépasse pas 10 secondes (temps de traitement une fois les données photos et vidéos nécessaires acquises) », y compris « dans une zone où la couverture réseau 3G ou 4G est moyenne ». De quoi, là encore, compliquer l'enrôlement, faute d'images et de bande passante permettant un traitement en haute définition.

« Alicem n’a pas fait l’objet d’une approche centrée utilisateur »

Une des premières tâches consistera par ailleurs à améliorer l'application Android existante. En effet, « ayant été initialement pensée comme une démonstration technique, la conception d’Alicem n’a pas fait l’objet d’une approche centrée utilisateur », déplore une annexe intitulée « Recommandations d’ergonomie pour Alicem ». « Son parcours et son scope fonctionnel doivent être interrogés pour la rendre plus inclusive et favoriser son adoption ».

« Titre tronqué, icône pas clair, bouton retour non nécessaire, texte trop long, titre pas assez identifiable, watermark inutile, bouton pas assez visible »... résume une capture d'écran, signée d'un « designer d'intérêt général » du programme interministériel France Indentité Numérique, qui a pour objectif de permettre à chacun de s’identifier en ligne de manière simple et sécurisée avec la garantie de l'État.  « L'application Alicem actuelle manque parfois de clarté, les objectifs de chaque étape n’étant pas nécessairement mis en avant ».

Le document a pour but de « lister les problèmes identifiés quant au processus actuel de création d’un compte sur l’application Alicem, ainsi que de revenir sur les recommandations faites en matière d’expérience utilisateur et d’ergonomie ». En terme d'acceptabilité, le volet précédemment intitulé « Reconnaissance faciale » pourrait ainsi être sobrement réintitulé « Instructions », moins anxiogène :

On y apprend également qu'« en termes d’interface, Alicem ne respecte pas les guidelines d’Android :

• Absence notoire de niveaux de lecture ;
• Mauvaise architecture de l’information (rapport texte / action parfois difficile à identifier) amplifiée par un manque de contraste entre les types d’éléments ;
• Ce manque de structuration entraine des déficiences en termes d’accessibilité ;
• La mauvaise utilisation des composants Material Design [du nom donné par Google à un ensemble de règles de design censées améliorer l'expérience utilisateur, ndlr] est un frein à la prise en main rapide de l’utilisateur et pourrait causer des problèmes de compatibilité sur certains téléphones ou versions d’Android (parc très hétéroclite).

Nous recommandons donc une mise en conformité de l’interface actuelle accompagnée d’une révision des textes et de la hiérarchie d’information afin d’améliorer significativement l’utilisabilité et l’accessibilité d’Alicem. »

Enrôlement : « une testeuse a dû s’y reprendre à plus de 20 fois »

Si l'annexe précise que « cet audit n’est pas exhaustif et le travail sur l’ergonomie et l’accessibilité doit être poursuivi », il préconise la mise en place d'un « cycle de conception centrée sur l’utilisateur ». Il s'agirait dès lors de « concevoir avec des data scientists une stratégie de captation du comportement des utilisateurs sur le service », afin d'« améliorer significativement l’utilisabilité et l’accessibilité d’Alicem ».

En réponse à un soumissionnaire qui voulait en savoir plus sur les anomalies de l'application Android, l'ANTS a répondu avoir identifié 2 anomalies « bloquantes », 14 « majeures » et 72 « mineures » dans les 95 633 lignes de code du client mobile et du serveur Alicem.

Une autre annexe ébauche la liste des tâches à accomplir (« backlog ») telle qu'envisagée au moment de la rédaction de l'accord-cadre. Il y est notamment question de « proposer une interface plus ergonomique lors de la création du compte » afin d'« augmenter le nombre d'utilisateurs qui vont jusqu'à la fin du processus d'enrôlement », et de « ne pas perdre d'utilisateurs à cause de la complexité d'utilisation de l'application ».

Un rapport rédigé par la promotion 2018-2019 Molière de l'ENA afin de faire état de « propositions de conduite du changement lié à l’identité numérique », qui figure lui aussi en annexe de l'appel d'offres, illustre les difficultés rencontrées en la matière. Un focus groupe organisé pour « tester la fluidité du parcours utilisateur » de l’application ALICEM a en effet fait ressortir « les enseignements suivants :

• les étapes de lecture de la puce par le lecteur utilisant la technologie Near Field Communication (NFC) et de reconnaissance faciale restent peu intuitives et conduisent à des décrochages des usagers dans leur parcours d’activation de l’identité numérique (une testeuse a dû s’y reprendre à plus de 20 fois avant de réussir l’étape de reconnaissance faciale) ;
• le parcours d’activation et d’utilisation, testé en niveau élevé, demeure long et implique de passer successivement par de trop nombreux applicatifs qui risquent de perdre l’utilisateur (la première activation réussie a nécessité 22 minutes, une utilisatrice n’a pas réussi à activer son compte). »

Pour l'ENA, ce constat implique que « l’ergonomie des interfaces de l’identité numérique soit la plus intuitive possible, car elle est au cœur de l’adhésion au dispositif, notamment pour les publics les plus fragiles ».

4 projets « avortés » du fait de « la peur d’un fichage généralisé »

Cet impératif se fait d'autant plus catégorique que, dans son introduction, le rapport de l'ENA rappelait que « le projet d’identité numérique s’inscrit dans une histoire empreinte de défiance et marquée par des échecs successifs. Historiquement, le concept d’identité, qui trouve ses origines dans une société de la surveillance, est ambivalent en ce qu’il est à la fois un instrument de protection et de contrôle des citoyens. En effet, c’est bien la recherche des criminels et la supervision des flux de population qui justifient sa création au XVIIIe siècle ».

Ainsi, et « alors que la première carte d’identité devient obligatoire pour les étrangers en 1917, elle est généralisée à l’ensemble de la population sous le gouvernement de Vichy avec la loi du 27 octobre 1940 ». Cette référence historique, « parfois évoquée au cours de nos entretiens, explique que les initiatives en ce domaine puissent être interprétées comme des tentatives de fichage ou soient, a minima, jugées suspectes ».

Or, « depuis les années 2000, la question de la biométrie et la peur d’un fichage généralisé ont constitué des freins importants aux projets d’identité numérique successivement avortés :

• Le premier projet d’identité numérique français, lancé en 2001 sous l’intitulé de « Titre fondateur », visait la création d’une carte d’identité électronique, mais n’a pas dépassé le stade expérimental.
• Le projet d’Identité nationale électronique sécurisée (INES) porté par le ministère de l’Intérieur en 2005, intégrant des données d’état civil et des données biométriques (a) cristallisé les oppositions face à un risque perçu de généralisation des contrôles d’identité et de création d’un fichier de population unique, entraînant le retrait du projet.
• En 2012, il est à nouveau envisagé de lancer une carte d’identité électronique. Alors que (...) plusieurs opposants ont dénoncé le risque de fichage généralisé et une atteinte aux libertés publiques. Le Conseil constitutionnel, reconnaissant que le législateur n’avait pas suffisamment entouré de garanties la création de ce traitement de données d’identité, a censuré les dispositions correspondantes (...), mettant un nouveau coup d’arrêt au projet.
• Plus récemment, en 2016, une vive polémique a entouré la constitution du fichier des Titres électroniques sécurisés (TES), critiqué (...) en raison de l’existence d’un fichier unique rassemblant les données biométriques de l’ensemble des Français. »

Ficher 60 millions de Français pour... économiser 1 300 postes

Le rapport de l'ENA élude cela dit le tour (et coup) de force qui avait permis en 2016 à Bernard Cazeneuve, alors ministre de l'Intérieur, de généraliser la prise d'empreintes biométriques des demandeurs de carte nationale d'identité au sein du fichier TES.

Cette proposition, issue du projet de carte nationale d’identité électronique (CNIE) qu'avaient porté Nicolas Sarkozy et Claude Guéant, reposait sur un « fichier des gens honnêtes » (sic). Ce dernier, censé permettre de lutter contre l'usurpation d'identité, avait finalement été censuré par le Conseil constitutionnel en 2012, au motif qu'il avait « porté au droit au respect de la vie privée une atteinte qui ne peut être regardée comme proportionnée au but poursuivi », et qu’il était donc « contraire à la Constitution ».

Pour contourner le Conseil constitutionnel, il avait alors suffit au ministère de passer par un décret (plutôt qu'une proposition de loi), sous couvert d'une « modernisation des procédures de délivrance des titres et la lutte contre la fraude documentaire ». Objectif inavoué : supprimer 1 300 équivalents temps plein travaillés (ETPT) dans l'administration préfectorale.

Jusque-là, les cartes d'identité étaient en effet instruites avec une application appelée FNG ou Fichier national de gestion, écrite en langage cobol, mise en service en 1987 et qualifiée d'« obsolète » par le ministère, à mesure que sa maintenance informatique était devenue « délicate ». De plus, elle ne permettait pas une transmission numérisée, mais uniquement papier entre les mairies et les services préfectoraux.

Le ministère avait saisi la CNIL après avoir annoncé sa décision

Ce tour de passe-passe avait finalement été acté par le Conseil d'État eu égard au fait que, soulignait Roseline Letteron, professeur de droit public à Sorbonne Université, « la grosse différence entre la proposition de loi et le décret est que la première permettait aussi l’exploitation de cette base pour identifier une personne à partir de ses données biométriques » alors que « le décret précise, cette fois très nettement, que le TES ne pourra être utilisé pour identifier une personne à partir de ses données biométriques, mais seulement pour vérifier que les données contenues sur la pièce d'identité correspondent à celles figurant dans le fichier ».

Signe supplémentaire du peu de considération, voire du mépris, envers ces questions de droit informatique et libertés, on avait également découvert que la CNIL n'avait été saisie, pour avis, que deux jours seulement après que la décision fut présentée aux syndicats de fonctionnaires par le ministère de l'Intérieur... et donc que son avis, rendu deux mois plus tard, n'aurait de toute façon servi à rien.

« Dans la perspective du déploiement de l’identité numérique, poursuit le rapport, il est ainsi probable qu’émergent de nouveaux débats sur l’interconnexion entre l’identité numérique et le fichier TES ». Il est dès lors « hautement probable que le projet d’identité numérique suscite des réactions similaires ».

L'ENA remarque à ce titre qu'« alors que plusieurs acteurs et opposants identifiés – Ligue des droits de l’Homme, Quadrature du Net, etc. – s’appuient davantage sur des actions médiatiques et légales, d’autres groupuscules, d’inspiration libertaire, sont prompts à relayer de fausses informations et rumeurs afin d’alimenter leur combat » sans que, pour autant, le rapport ne mentionne les « désinfox » que les projets d'identité numérique auraient contribué à générer.

Les usages régaliens ne sont pas le « coeur de cible »

L'annexe technique consacrée aux « cas d'usage » est étonnante à plus d'un titre. Le déploiement de l'identité numérique sont en effet généralement justifiés aux motifs de questions de « souveraineté » et de « cybersécurité », Alicem étant même présentée par le ministère de l'Intérieur comme « la première solution d’identité numérique régalienne sécurisée ».

Or, dans la cartographie des cas d'usage du SGIN, les demandes de CNI, de passeport, de RSA et de procuration, le vote en ligne et l'inscription sur les listes électorales ou au permis de conduire, sont qualifiés d'« usages symboliques (faible volumétrie mais valeur d'image) ».

A contrario, les déclarations d'impôt et RSA, l'accès aux services municipaux, au DMP, à Ameli, au livret scolaire, les contestations de contravention, le recensement et les demandes de CMU, tout comme les virements élevés, sont qualifiés d'usages « coeur de cible » du fait de leur « forte volumétrie avec maturité a priori suffisante ».

Les achats en ligne et de cartes de transport, paiements instantanés et accès à des lieux sécurisés (« travail, école, hôpital, etc. ») sont, de leur côté, qualifiés d'usages « prospectifs » en raison de leur « forte volumétrie », matinée d'une « maturité incertaine ».

Ces figures, précise l'annexe, « sont issues d’une étude menée par la Direction Interministérielle de la Transformation Publique (DITP) et basée sur une "méthode d’analyse et de remontée de la valeur" (MAREVA) ». « Conçue à l’échelon interministériel pour analyser l’intérêt financier des projets de système d’information », et « systématiquement appliquée aux chantiers de numérisation », elle « prévoit une évaluation des coûts et des gains d’efficience, sous réserve de bonne fin de la conduite du projet ».

En l'espèce, elle estime également que l'identité numérique faciliterait ainsi de nombreux autres usages, bien loin des activités « régaliennes ». Outre l'ouverture de comptes bancaires et la réalisation de paiements instantanés, sa « cartographie des acteurs économiques intéressés » répertorie de nombreuses autres potentialités.

Sont ainsi envisagés la création de comptes sur des sites de rencontre « afin d'assurer la traçabilité des membres et accroître la confiance des membres », ou encore la « transmission de résultats d'analyse entre professionnels » dans le domaine de la santé. L'identité numérique pourrait également améliorer les « délais de validation des inscriptions » sur les sites de jeux en ligne, de sorte de pouvoir débloquer « la possibilité de jouer avec de l'argent réel », la démonstration de possession d'un diplôme, ainsi que les entretiens par visioconférence et examens en ligne.

Contactée, l'ANTS nous répond que « les usages cibles sont ceux à fort potentiel de création de valeur et les usages dit "coeur de cible" par rapport au volume de transactions. On y retrouve des usages dits "régaliens", à symbolique forte mais très occasionnels, mais aussi des usages fréquents, relatifs à la sphère sociale, éducative ou de santé, pouvant être quasi quotidiens pour les usagers. »

Alicem est un « bon exemple » de « controverse publique »

Co-titulaires de la Chaire Identité Numérique Responsable, consacrée aux « vecteurs de confiance d’une identité numérique », Laura Draetta, maître de conférences en sociologie, et Valérie Fernandez, professeur d'économie, qualifient à ce titre Alicem de « bon exemple » de « controverse publique portant sur ses qualités technologiques, ses dérives potentielles et sa régulation, ce qui lui a valu une mise en pause temporaire pour dissiper les incertitudes ».

Dans un article intitulé « Application Alicem : un système d’authentification numérique controversé », elles estiment que la méthode française, consistant à « "éduquer" le public, dont la défiance face à certaines innovations serait liée à un manque d’(in)formation », a « toute sa place pour cadrer les décisions en situation d’absence de controverse ou de faible mobilisation des opposants », mais qu'« elle perd sa pertinence lorsque la technologie est controversée : une évaluation technologique focalisée exclusivement sur l’expertise savante risque de ne pas intégrer l’ensemble des préoccupations sociales, éthiques ou politiques liées à l’innovation, et donc de ne pas arriver à « rationaliser » le débat public » :

« Une lecture de l’affaire Alicem au prisme de ce paradigme amène à rappeler que les processus d’innovation technologique qui se déroulent de manière confinée – d’abord par le développement des dispositifs dans l’écosystème des prescripteurs et des concepteurs, puis par l’expérimentation d’usage d’artefacts considérés comme déjà stabilisés – débouchent presque inévitablement sur des problèmes d’acceptabilité.

S’aventurer dans une innovation technologique sans implémenter la participation des publics en amont du développement rendrait sans doute le processus plus rapide, mais au prix de sa légitimation voire d’une perte de crédit de confiance pour ses promoteurs ».

L'expérimentation d'Alicem s'étant « focalisée plus sur l’amélioration des qualités techniques de l’application que sur la prise en compte de ses dimensions à portée sociopolitique (risque d’atteinte aux libertés et de perte d’anonymat, etc.), lorsque l’affaire est arrivée dans les médias, c’est par un amalgame des cas d’usage de technologies de reconnaissance faciale et sur un registre argumentatif anxiogène (« surveillance », « technologie liberticide », « Chine », « crédit social »…) qu’elle a été présentée ».

Pour elles, « l'"inacceptabilité" de cette technologie émergente représente certes une menace pour ses promoteurs ou un frein à son adoption et diffusion, mais elle est surtout révélatrice d’un déficit de confiance en l’État, par-delà la réalité des qualités intrinsèques de l’innovation elle-même ».

« Cette identité numérique ne sera pas obligatoire »

Le ministère de l'Intérieur vient à ce titre de lancer un second appel d'offres de « prestations de conseil stratégique en communication dans le cadre de la consultation et du déploiement par l’État d’une solution d’identité numérique sécurisée ».

Il commence par rappeler que FranceConnect, lancé en 2016, « permet aujourd’hui à 16 millions d’utilisateurs de s’authentifier à près de 500 services publics en ligne en utilisant un moyen d’identification électronique proposé par des fournisseurs d’identité publics ou privés ». Mais ce n'était qu'un début, et il s'agit désormais « d’aller plus loin et de permettre aux Français de disposer d’une identité numérique sécurisée » : 

« La solution d'identité numérique proposée par l’État à partir de l’été 2021, facultative, gratuite et universelle, s'appuiera sur les titres d'identité délivrés par l'État (passeport, carte nationale d'identité électronique, titre de séjour pour les résidents étrangers). L’identité sera ainsi garantie par les titres d'identité délivrés par l'État, comme c’est déjà le cas pour le monde physique. Il est à noter que cette identité numérique ne sera pas obligatoire. Chacun aura la liberté d'activer ou non son identité numérique à partir de sa CNIe, de son passeport ou de son titre de séjour.

Dans ce contexte particulier, caractérisé par de multiples acteurs (ministère de l’Intérieur, secrétariat d’État chargé du numérique, DINUM, France Connect, autres fournisseurs d’identité...), il est nécessaire de mettre en œuvre une communication permettant de faire œuvre de pédagogie et de valoriser les bénéfices pour les Français de la solution d’identité numérique sécurisée proposée par l’État, notamment son niveau de sécurité inédit, son universalité, son caractère non commercial et très protecteur des données ».

« Rassurer en dédramatisant les appréhensions »

« La réussite de la communication se mesurera à l’aune de plusieurs objectifs », précise le cahier des charges :

• convaincre de l’intérêt de la solution d’identité numérique proposée par l’État grâce à un message intelligible et mobilisateur pour l’ensemble des parties prenantes, comme pour l’ensemble des Français ;
• rassurer en dédramatisant les appréhensions, en insistant sur le caractère non obligatoire de cette offre et le rôle de garantie de l’identité et de protection des données assuré par l’État ;
• assurer une cohérence de la prise de parole de la puissance publique sur l’identité numérique en créant un espace de prise de parole propre à la solution d’identité numérique, au programme interministériel France identité numérique et à ses ministères de tutelle. 

« Cette prestation comprend, si nécessaire, un appui à la communication de crise », précise l'appel d'offres, qui prévoit également « la construction d'une stratégie de marque bien identifiée qui pourra être connue et reconnue par le grand public » ainsi que la « conception d’une campagne d’e-influence sur Internet et les réseaux sociaux ».

Le montant estimatif du marché, 160 000 euros HT, d'une durée prévisionnelle estimée entre 13 et 24 mois, laisse cela dit présager une campagne de com' a minima.

Un cahier des charges techniques rédigé par des consultants juniors

Les méta-données des documents techniques annexés à l'appel d'offre du SGIN révèlent par ailleurs qu'ils ont été majoritairement rédigés par une jeune « analyste cybersécurité et confiance numérique » du cabinet de conseil en transformation des entreprises Wavestone, qui propose de « dessiner les services publics de demain ».

Titulaire d'un master 2 à Sciences Po obtenu l'an passé, elle avait par la suite, pendant six mois, été « stagiaire LaREM » à la Commission de la défense nationale et des forces armées de l'Assemblée, avant d'être recrutée, il y a un an, par le cabinet de conseil.

Les noms de deux autres consultants de Wavestone qui, de même, ne semblent pourtant disposer d'aucune expertise particulière en matière d'identité numérique, figurent eux aussi dans les méta-données des annexes techniques.

Le premier, titulaire d'un double diplôme en ingénierie électrique, ne s'en présente pas moins comme « consultant en gestion du risque et sécurité de l'information » dans la « Business Line Identité & Confiance Numérique » de Wavestone. Le second se présente quant à lui comme « consultant senior », quand bien même il n'a obtenu son diplôme d'ingénieur qu'en 2016, avant d'être recruté dans la foulée par le cabinet de conseil.

Contactés, Wavestone n'a pas répondu à nos demandes de précision à ce sujet. L'ANTS nous a de son côté expliqué que « la définition des spécifications fonctionnelles et techniques et de façon plus générale du cahier des charges du SGIN relève de la seule responsabilité de la direction de programme France Identité Numérique, en liaison avec l'ANTS, pouvoir adjudicateur du futur marché SGIN ».

L'agence précise également que « le déploiement de l'identité numérique sécurisée a par ailleurs fait l'objet, comme tout projet d'importance, d'un examen par la DINUM », et que « Wavestone a contribué à la constitution du dossier de projet » qui lui a été présenté.

Enfin, et « s'agissant de l'appel d'offres SGIN, Wavestone, ne répondant d'ailleurs pas à l'appel d'offres SGIN, a été seulement mobilisé, de façon classique, pour la mise en forme finale du DCE [le Dossier de consultation des entreprises, qui réunit les différentes pièces du marché, ndlr] et non pour sa rédaction sur le fond. Il ne s'agit donc aucunement d'une "co-rédaction" de l'appel d'offres. »