eIDAS 2.0 : les obligations des entreprises face à l'EUDI Wallet d'ici 2027

En bref : le règlement eIDAS 2.0 (Règlement (UE) 2024/1183) crée un portefeuille d'identité numérique européen, l'EUDI Wallet.

‍

Chaque État membre doit en proposer au moins un à ses citoyens d'ici le 24 décembre 2026. Ensuite, à partir du 24 décembre 2027, un grand nombre d'entreprises régulées seront obligées d'accepter ce portefeuille quand un utilisateur souhaite l'utiliser pour prouver son identité.

‍

Cette obligation n'est pas optionnelle, elle ne se limite pas à un seul canal, et elle n'est pas satisfaite en acceptant une autre identité numérique à la place.

‍

Voici ce que cela veut dire concrètement pour votre entreprise, et comment vous y préparer sans tout reconstruire.

‍

Ce que dit eIDAS 2.0

‍

eIDAS 2.0 est le nom courant du Règlement (UE) 2024/1183, qui révise le cadre européen sur l'identification électronique et les services de confiance. Son apport central : le portefeuille européen d'identité numérique (European Digital Identity Wallet, ou EUDI Wallet).

‍

L'idée est simple à énoncer. Chaque citoyen, résident et entreprise de l'Union pourra disposer d'un portefeuille numérique, gratuit et interopérable dans toute l'UE, pour stocker et présenter des preuves d'identité et des attributs vérifiés (nom, date de naissance, diplôme, permis, mandat professionnel, etc.). L'utilisateur garde la main : c'est lui qui décide quelles informations il partage, avec qui, et pour quelle finalité.

‍

Pour bien comprendre le fonctionnement du portefeuille lui-même, ses cas d'usage et son architecture, vous pouvez consulter notre article pilier : eIDAS 2.0 : le portefeuille d'identité numérique européen, ce qu'il faut savoir.

‍

Le point qui intéresse directement les entreprises est ailleurs : le règlement ne se contente pas de créer un outil, il impose à certains acteurs de l'accepter.

‍

Qui est concerné (et à partir de quand)

‍

C'est la question qui revient le plus souvent : mon entreprise doit-elle accepter le portefeuille européen, et quand ?

‍

Les secteurs régulés visés directement

‍

L'obligation d'acceptation vise en priorité les acteurs de secteurs jugés essentiels, où prouver son identité de façon fiable est un enjeu quotidien. Sont concernés :

‍

• la banque et les services financiers ;
• la santé ;
• les télécoms ;
• l'énergie ;
• les transports ;
• l'éducation.

‍

À cette liste s'ajoutent les très grandes plateformes en ligne, c'est-à-dire celles qui comptent plus de 45 millions d'utilisateurs dans l'Union.

‍

Les acteurs soumis à une authentification forte

‍

Le périmètre ne s'arrête pas aux secteurs listés. Tout acteur privé tenu à une authentification forte du client (SCA), que ce soit par une obligation légale ou par une obligation contractuelle, entre également dans le champ de l'acceptation obligatoire. Autrement dit, si votre activité impose déjà une vérification robuste de l'identité de vos clients, vous devez vous poser la question dès aujourd'hui.

‍

La date qui compte : le 24 décembre 2027

‍

Le calendrier repose sur deux jalons.

D'abord, chaque État membre doit proposer au moins un portefeuille interopérable à ses citoyens d'ici le 24 décembre 2026. C'est la phase de mise à disposition de l'outil.

‍

Ensuite, l'acceptation devient obligatoire pour les acteurs régulés d'ici le 24 décembre 2027, soit 36 mois après l'entrée en vigueur des actes d'exécution. C'est à cette échéance que l'entreprise concernée doit être capable de recevoir et de vérifier un portefeuille présenté par un utilisateur.

‍

Trois précisions importantes, car ce sont les malentendus les plus fréquents :

• l'obligation n'est pas optionnelle ;
• elle ne se limite pas aux canaux clients (elle peut concerner d'autres parcours que le simple parcours d'achat) ;
• elle n'est pas satisfaite en acceptant une autre identité numérique à la place. Proposer votre propre solution d'identification ne vous dispense pas d'accepter le portefeuille européen quand l'utilisateur choisit de l'utiliser.

‍

Ce que « accepter le wallet » veut dire concrètement

‍

Accepter le portefeuille, ce n'est pas cocher une case. C'est devenir ce que le règlement appelle une relying party (partie utilisatrice) et intégrer une nouvelle brique dans vos parcours. Voici les quatre volets à anticiper.

‍

1. Devenir relying party

‍

Votre entreprise doit être en mesure de demander une preuve d'identité ou un attribut via le portefeuille, et de recevoir la réponse de l'utilisateur. Techniquement, cela suppose d'intégrer les protocoles d'échange prévus par le cadre européen dans vos parcours d'onboarding, de connexion ou de signature.

‍

2. Recevoir et vérifier les attributs

‍

Recevoir une information ne suffit pas : il faut vérifier son authenticité et sa validité. Le portefeuille présente des attributs signés cryptographiquement par des émetteurs de confiance. Votre système doit être capable de contrôler ces signatures, de s'assurer que l'attribut n'a pas été révoqué, et de rejeter une présentation invalide. C'est le prolongement naturel d'une démarche de vérification d'identité déjà en place dans beaucoup d'entreprises : voir notre guide complet du KYC.

‍

3. Gérer le consentement

‍

Le portefeuille place l'utilisateur au centre. Chaque partage d'attribut repose sur son consentement explicite. Votre parcours doit donc afficher clairement quelles données vous demandez et pourquoi, recueillir l'accord de la personne, et conserver la trace de ce consentement de façon auditable.

‍

4. S'enregistrer dans son État membre

‍

Les relying parties privées doivent s'enregistrer dans leur État membre d'établissement. Cet enregistrement suppose de déclarer la finalité poursuivie et les données demandées. C'est une étape administrative à ne pas sous-estimer, car elle conditionne le droit d'interroger le portefeuille.

À cela s'ajoute un principe transversal : la minimisation. Vous ne devez demander que les attributs strictement nécessaires à votre finalité. Si une preuve de majorité suffit, il ne faut pas exiger la date de naissance complète. Ce principe protège l'utilisateur et réduit votre propre exposition en cas d'incident.

‍

Le calendrier à retenir

‍

Deux dates structurent votre feuille de route.

‍

2026 : la mise à disposition

‍

D'ici le 24 décembre 2026, chaque État membre met à disposition au moins un portefeuille interopérable. C'est la fenêtre pendant laquelle vous devez cadrer votre projet, identifier vos parcours concernés et lancer vos travaux d'intégration.

‍

2027 : l'acceptation obligatoire

‍

D'ici le 24 décembre 2027, l'acceptation devient obligatoire pour les acteurs régulés. À cette date, votre entreprise doit être opérationnelle : capable de recevoir, vérifier et traiter une présentation de portefeuille, avec un enregistrement en règle et une gestion du consentement conforme.

Entre les deux, il ne reste donc qu'une fenêtre d'environ douze mois pour passer de la mise à disposition de l'outil à une intégration réellement en production. C'est court pour une entreprise dont les cycles projet se comptent en trimestres.

‍

Comment se préparer sans tout casser

‍

La bonne nouvelle : accepter le portefeuille européen n'implique pas de jeter vos dispositifs existants. Cela consiste à ajouter un canal d'identité de confiance à côté de ce que vous faites déjà. Voici une trajectoire pragmatique.

‍

• Cartographier vos parcours. Identifiez où vous vérifiez aujourd'hui une identité : onboarding client, ouverture de compte, connexion, signature, opérations sensibles. Ce sont vos points d'intégration prioritaires.
• Confirmer votre statut. Déterminez si vous relevez d'un secteur régulé visé ou d'une obligation d'authentification forte. En cas de doute, traitez le sujet comme si vous étiez concerné.
• Préparer l'enregistrement. Anticipez la déclaration de vos finalités et des données demandées auprès de votre État membre, en appliquant dès maintenant le principe de minimisation.
• Renforcer votre socle de vérification. Le portefeuille apporte des attributs de confiance, mais il ne remplace pas l'analyse du risque de fraude, le contrôle des entreprises et de leurs bénéficiaires effectifs, ni l'évaluation de la solvabilité.

‍

C'est précisément là que le portefeuille et une plateforme comme Meelo se complètent. Le portefeuille prouve qui est la personne ; la détection de fraude et le KYB apprécient le risque associé à la transaction et à son contexte. Meelo s'appuie sur plus de 400 signaux, l'analyse comportementale et l'analyse de l'appareil pour produire une décision en 2 à 5 secondes, documentée et auditable : découvrez notre approche du score de fraude et de la vérification d'identité.

‍

Pour une feuille de route détaillée étape par étape, consultez également notre article eIDAS 2.0 : comment bien se préparer.

‍

En conclusion

‍

eIDAS 2.0 n'est pas une réforme lointaine. Le portefeuille européen arrive fin 2026, et son acceptation devient obligatoire pour de nombreux acteurs régulés dès le 24 décembre 2027.

‍

L'obligation est claire : elle n'est ni optionnelle, ni limitée à un canal, ni contournable en proposant une autre identité numérique. Les entreprises concernées ont tout intérêt à agir maintenant : cartographier leurs parcours, confirmer leur statut, préparer leur enregistrement et renforcer leur socle de vérification.

‍

Accepter le portefeuille, ce n'est pas tout reconstruire, c'est ajouter un canal d'identité de confiance et le compléter par une analyse de risque solide. Ceux qui s'y prennent tôt transformeront une contrainte réglementaire en avantage opérationnel.

‍

Sources : Règlement (UE) 2024/1183 (eIDAS 2.0) ; Commission européenne, European Digital Identity Wallet.

‍