Juliette Delanoe (Ubble) : “La certification par l’ANSSI des prestataires de vérification d’identité à distance fait de la France un pionnier”

Modifier la réglementation française du KYC à distance est un enjeu majeur pour Ubble. Aujourd’hui, les acteurs bancaires ne peuvent pas se contenter de la solution pour authentifier leur client et doivent, en plus de la vérification de la pièce d’identité et du selfie par vidéo, recourir à une autre mesure de vigilance comme un virement depuis un compte bancaire existant. Où en sont les travaux sur le sujet ?

En avril 2019, l’ACPR a créé un groupe de travail sur l’identification à distance d’un client pour l’ouverture d’un compte bancaire, avec des méthodes très consultatives en impliquant une trentaine de membres – à la fois des banques traditionnelles, des néobanques, des grands groupes de cybersécurité et des start-up innovantes sur l’authentification à distance, avec des instances gouvernementales : l’ANSSI [Agence nationale de la sécurité des systèmes d’information, ndlr], la Cnil, la direction générale du Trésor, Tracfin… L’objectif fixé par l’ACPR était d’améliorer la compétitivité des fintech françaises en leur permettant de mettre en place d’excellents parcours d’acquisition client sans pour autant faire de compromis du point de vue de la sécurité. 

Ce groupe a travaillé d’avril à octobre puis a publié une liste de recommandations. L’une des premières conclusions est que l’entrée en relation à distance, à partir du moment où elle est bien faite et étant donné le stade des technologies à disposition sur le marché, peut être aussi sécurisée qu’une entrée en relation en face à face [selon l’ANSSI, “la vérification d’identité embarquée dans un moyen d’identification électronique de niveau substantiel apporterait un niveau de sécurité équivalent à la vérification d’identité effectuée par un agent d’établissement financier en agence”, ndlr]. Par contre, l’ACPR a conclu que décider quelle technologie d’authentification à distance est assez sécurisée pour devenir un moyen d’authentification avec niveau de garantie substantiel, qui n’a besoin d’aucune autre mesure de vigilance, relève d’un métier d’expert, et a décidé de déléguer le rôle de certification. 

La  5ème directive européenne LBC-FT (lutte contre le blanchiment de capitaux et le financement du terrorisme), transposée en droit français en février 2020, indique que c’est l’ANSSI qui s’en chargera [voir le décret n°2020-118 du 12 février 2020, ndlr]. Mais avec le contexte du Covid et du confinement, ce sujet a pris une importance toute particulière et même si le mandat de l’ANSSI est bancaire, la confiance numérique touche énormément de secteurs. L’agence a donc décidé de réévaluer le sujet et de stopper les certifications pour réévaluer les niveaux de sécurité. Les acteurs déjà certifiés “identité électronique au niveau de garantie substantiel selon les exigences du règlement européen eIDAS” [comme l’Identité Numérique La Poste, ndlr] gardent leur droit d’opérer mais ils devront de nouveau se faire certifier, si de la vérification d’identité à distance est intégrée dans le service rendu ou l’entrée en relation, quand le nouveau référentiel sera publié.

Pourquoi Ubble n’avait pas décroché cette certification avant la réévaluation des critères ?

Car jusqu’à présent, trois services de confiance intégrant très souvent de la vérification d’identité à distance pouvaient être certifiés :  signature électronique, recommandé électronique et schéma d’identité digitale (qui comprend d’abord la vérification de l’identité puis la réutilisation de l’identité digitale) – c’est le cas de L’Identité Numérique La Poste. Dans ce contexte, Ubble était fournisseur d’une brique de vérification d’identité qui n’était pas prévue pour certification auparavant. La nouvelle loi prévoit d’ouvrir une certification pour la brique de vérification d’identité à distance en tant que telle.

Quel sera le nouveau référentiel ?

L’ANSSI a publié le 19 novembre une première version de son référentiel d’exigences pour les prestataires de vérification d’identité à distance. C’est une excellente nouvelle ! A notre connaissance, la France est le premier pays européen à publier un référentiel aussi précis sur la manière de réaliser une bonne vérification d’identité au sens eIDAS. Nous avons un vrai cahier des charges qui va permettre aux acteurs de se faire auditer et qui va créer un standard et des preuves de sérieux pour les prestataires. Par ailleurs, cela devrait être une première pierre en vue d’un standard européen reconnu par les 27. 

Que pensez-vous des exigences ? 

Nous sommes en train d’analyser le cahier des charges et l’appel à commentaires de l’ANSSI est ouvert jusqu’au 31 janvier. Ce qui est sûr, c’est que nous sommes alignés avec la doctrine communiquée en amont : d’abord, la nécessité d’une capture dynamique et donc de recourir à la vidéo à la fois pour le document d’identité et le visage, et un recours systématique à l’œil humain pour vérification. Ensuite, le respect absolu du RGPD – nous avons par exemple quitté AWS pour Outscale, un cloud européen. Dans le détail, certaines exigences nous semblent aller trop loin et il faudra trouver l’équilibre pour permettre à des acteurs certifiés d’émerger rapidement. 

Quel sera le calendrier ?

Nous avons compris qu’une version officielle du référentiel devrait être publiée par l’ANSSI en mars 2021 puis un arrêté conjoint du Premier ministre et du ministre chargé de l’Économie devrait créer la nouvelle certification sur cette base (alinéas 5 du R561-5-2). La demande de certification pour devenir prestataire de vérification d’identité à distance devrait être ouverte à partir d’avril prochain, mais pour apporter un dossier complet, il faudra avoir été audité en amont. Ce qui signifie que les prestataires qui ne seront pas audités d’ici mars seront en retard pour obtenir la certification – un critère intéressant à observer pour leurs clients. 

Vous vous présentez désormais comme une solution de vérification d’identité vidéo de bout en bout avec intervention humaine systématique, alors que vous vous êtes lancés en annonçant une solution 100 % automatisée. Pourquoi ?

Nous sommes une société technologique et nous utilisons beaucoup d’IA pour extraire du texte, reconnaître des images, pour la reconnaissance faciale, détecter des hologrammes, détecter des attaques à répétition… Mais nous avons constaté que même avec une intelligence artificielle entraînée, il reste risqué de valider des identités équivalentes au face-à-face sans vérification humaine. L’humain est nécessaire car il permet de détecter des fraudes créatives et rares, de valider les recommandations d’algorithmes, de corriger du texte en cas d’erreurs d’extraction, de valider les algorithmes de reconnaissance faciale en s’assurant qu’il n’y a pas eu de biais, par exemple au niveau de l’âge. Il peut aussi détecter des photocopies de documents d’identité au lieu des originaux ou repérer un contexte étrange comme un utilisateur qui n’a pas l’air consentant. Nous avons donc décidé d’ajouter à notre algorithme une intervention humaine – pas forcément via un chat vidéo, cela peut être une vérification asynchrone. 

Et le débats d’experts sur la nécessité ou non de l’intervention humaine a de toute façon été tranché par la réglementation : pour entrer dans les niveaux d’exigence requis par le référentiel de l’ANSSI et pour que la sécurité soit aussi forte qu’en face à face, il faudra qu’un humain intervienne systématiquement de façon traçable.

En quoi ce revirement impacte votre positionnement et stratégie ?

L’objectif d’Ubble est de proposer une alternative aux appels vidéos avec un agent en call center [comme IDnow, ndlr] pour l’authentification à distance. Nous voulons proposer une solution plus abordable et aussi une meilleure expérience client, pour démocratiser la vérification d’identité en ligne et la rendre aussi simple que celle en face à face. Même si nous avons dû abandonner l’idée initiale de le rendre 100 % automatique, nous avons trouvé le moyen de rendre l’expérience utilisateur extrêmement agréable et rapide et de donner une place moins visible à la vérification humaine pour l’utilisateur final.

Dans l’attente d’une certification vous permettant d’être utilisé comme seule mesure de vigilance par des acteurs financiers pour l’entrée en relation, comment opérez-vous ?

Certains acteurs nous utilisent pour l’ouverture de comptes bancaires avec des mesures complémentaires de vigilance, qui ne devraient pas être nécessaires et alourdissent les parcours. C’est le cas de la plateforme de Banking-as-a-Service Treezor, de la néobanque Kard… 

Mais en attendant, nous avons aussi beaucoup de succès sur d’autres segments, très sensibles à la fraude, comme l’octroi de crédit par exemple, la location de voiture, le leasing de smartphone… Dans ce cas, nous n’opérons pas dans une logique réglementaire mais de réduction de la fraude. Notre ambition est de servir tous les secteurs qui ont besoin de vérifier l’identité des utilisateurs, et cela ruissellera en dehors des secteurs régulés eIDAS et de la banque. Par exemple, une société d’intérim en ligne peut avoir besoin de certifier à distance les personnes qu’elle embauche.

Une fois la certification obtenue, en 2021, nous voulons nous attaquer en priorité au secteur bancaire pour l’onboarding mais aussi au secteur eIDAS. Nous pourrons devenir fournisseur pour des services de signature électronique qualifiée, de recommandé électronique qualifiée et de schéma d’identité digitale [comme Yousign ou DocuSign par exemple, ndlr], qui ont besoin d’un composant de vérification d’identité à distance et recourent parfois actuellement aux solutions de call center vidéo qui coûtent plus cher. 

Combien de clients comptez-vous ?

Nous avons multiplié par quatre notre base de clients en moins de douze mois en passant d’une dizaine à 50 clients, parmi lesquels Bpifrance, Sofinco, Treezor, Carrefour Banque, Younited Credit, Alma, Kard, Vybe, Swan, Sloan, Bankable… Nous sommes en train d’en signer d’autres. Plusieurs prestataires de signature électronique nous intègrent et des déploiements sont en cours sur des canaux d’onboarding. Nous vérifions des milliers d’identités chaque jour, avec des pics à 10 000 vérifications par jour. Et la société compte une cinquantaine de collaborateurs.

Lors de votre levée de 10 millions d’euros, en juin, vous indiquiez vouloir rapidement vous lancer en Europe…

Absolument. La certification de l’ANSSI ne sera pas valable dans l’Union européenne au départ mais l’agence construit son cahier des charges en consultant plusieurs agences européennes et nous comprenons qu’elle a l’intention de porter ce standard au niveau européen. Pour notre activité sur l’entrée en relation à distance dans le secteur bancaire, nous nous concentrerons donc d’abord sur la France.

Mais pour le volet eIDAS, avec le nouveau référentiel d’exigence de l’ANSSI, les acteurs auront la possibilité de faire certifier leurs services en France et la certification aura valeur partout en Europe du fait de la réglementation eIDAS. Pour nous, ce sera une porte ouverte sur l’Europe car nous sommes une brique importante pour ce type de service. Certains acteurs anticipent cela et des projets de développement européens sont déjà en préparation, pour démarrer mi-2021.

Quels sont vos KPIs ?

Nous les mesurons sur trois aspects : l’UX, la fiabilité, et le coût. Concernant l’UX, filmer le document d’identité et son visage de manière assistée grâce à notre technologie est plus simple que de prendre la photo soi-même, et ensuite, la vidéo fournit davantage d’informations pour la validation finale qu’une photo. Le taux de succès de la vérification est donc plus important, ce qui évite d’avoir à redemander l’information à l’utilisateur. Ce taux dépend de nombreux paramètres, et notamment de la population du service qui utilise la solution, mais certains de nos clients ont fait des AB tests pour évaluer son efficacité. Par exemple, un client qui propose de l’envoi de devises à l’étranger a constaté qu’avec Ubble, 25 % d’utilisateurs en plus terminaient le parcours par rapport à un parcours avec prise de photos. Quant à la perception du parcours par ses utilisateurs, Bpifrance a testé sur un panel de plus de 100 personnes Ubble et une solution concurrente de prise en photo des documents puis selfie vidéo. Ubble obtient une note de 4,6 sur 5, contre 3,2 pour la solution concurrente.

Le deuxième KPI est la fiabilité, c’est-à-dire le taux de personnes acceptées à tort et le taux de personnes refusées à tort. Les résultats dépendent des protocoles d’audit mais l’ANSSI imposera désormais des standards et un cahier des charges précis. Chez Ubble, nous avons déjà mis en place des process d’audit continus : des équipes rejouent les vérifications d’identité de façon indépendante de ceux qui les ont validées et traitées. Nous devons systématiquement être à moins de 0,5 % d’identité acceptées à tort et moins de 1 % d’identité rejetées à tort – en deçà même des seuils du référentiel ANSSI, même si cela dépendra aussi de son protocole d’audit.

Enfin, nous avons pour ambition d’être moins cher qu’un call center vidéo, dont une authentification coûte environ 10 euros. Nous voulons diviser ce prix par au moins trois, voire au-delà mais cela dépendra aussi du cahier des charges final de l’ANSSI. Notre objectif est d’améliorer l’UX du call center mais d’être plus proche des prix des solutions de prise en photo de documents et de selfie [Ubble ne se compare pas aux solutions d’OCR de documents, qui peuvent facturer quelques dizaines de centimes pour scanner un document, mais aux solutions d’authentification de documents d’identité et du visage par photo, ndlr]. 

Lire notre dossier “Vidéo et automatisation, l’avenir de l’onboarding à distance ?”