World ID : le pouvoir de certifier les humains

Un badge peut paraître beaucoup plus précis qu’il ne l’est. Dans la documentation de World ID pour Zoom, l’entreprise choisit une durée de validité après authentification : vingt-quatre heures par défaut, ou sept, quinze, voire trente jours. Pendant cette fenêtre, le badge peut réapparaître dans les réunions sans nouvelle sollicitation de l’utilisateur. Le réglage est public. Il rappelle qu’un signe rassurant sur un écran possède une date, un périmètre et des conditions d’emploi. ⁴

Cette petite fenêtre de configuration éclaire le projet présenté par World le 18 octobre 2026, puis diffusé par communiqué le lendemain : proposer à la banque et à la finance une infrastructure capable d’attester la présence d’êtres humains dans des interactions envahies par les identités synthétiques. Le projet, conçu à l’origine par Sam Altman, Max Novendstern et Alex Blania, assemble une application d’identité, une intégration à Zoom et des outils pour agents logiciels. ^{1, 2}

L’offre répond à un problème réel. Sa valeur dépendra pourtant d’une question beaucoup plus exigeante que la reconnaissance d’un visage : comment une institution transforme-t-elle une preuve technique en décision financière, et qui répond de l’erreur lorsqu’elle se trompe ? Les notices d’administration et la documentation destinée aux développeurs donnent une réponse plus intéressante que les promesses générales d’un Internet débarrassé des imposteurs.

La finance est un marché de confiance, donc un marché de coûts

La demande de contrôles supplémentaires ne relève pas seulement du discours d’un fournisseur. Dès novembre 2024, FinCEN, le service américain de renseignement financier, signalait une hausse des déclarations d’activité suspecte faisant état de médias synthétiques, notamment de faux documents destinés à contourner la vérification d’identité. Ce constat porte sur des signalements ; il ne mesure ni l’ensemble des pertes ni la performance d’une solution particulière. ¹²

Pour une institution, l’attrait d’une vérification réutilisable est facile à comprendre. Répéter les contrôles à chaque prise de contact coûte du temps, décourage des clients légitimes et multiplie les endroits où circulent leurs justificatifs. Une attestation exploitable dans plusieurs applications pourrait réduire une partie de ces frictions. L’économie promise se situe dans ce déplacement : investir davantage dans l’établissement initial d’une preuve, puis rendre ses présentations ultérieures plus simples.

Il reste à savoir quel produit a réellement franchi la porte des établissements. Le communiqué cite Bain Capital, OpenExchange, Outtake, Pantera Capital et VanEck Funds comme partenaires de conception. Cette qualité indique un travail sur les usages, sans documenter à elle seule un contrat commercial, une population de clients contrôlés ou une baisse des fraudes. Aucune banque cliente n’est nommée dans cette annonce, qui ne publie pas davantage de tarif bancaire ni de résultat indépendant d’efficacité. ²

Une expérimentation peut être sérieuse sans constituer déjà une infrastructure de marché. Pour juger le passage à l’échelle, il faudrait connaître le nombre d’interactions effectivement sécurisées, les parcours abandonnés, les erreurs et le temps de recours. Un nombre de personnes inscrites dans l’écosystème ne fournirait pas ces réponses : la population accessible à un service et son utilisation dans les opérations financières sont deux mesures différentes.

L’humain, le document et le pouvoir de signer

World distingue des preuves d’humanité, de présence et d’attributs. L’idée générale est de fournir des réponses ciblées à des questions différentes, plutôt qu’un dossier personnel intégral chaque fois qu’un site demande une vérification. Cette séparation est essentielle pour comprendre le produit. ¹

L’enrôlement auprès d’un Orb, l’appareil biométrique du projet, vise à établir qu’une personne est humaine et distincte de celles déjà inscrites. Cela peut rendre plus coûteuse la multiplication artificielle des comptes. Une personne réellement distincte peut cependant être un fraudeur, agir sous contrainte ou travailler pour quelqu’un d’autre. L’unicité limite une forme d’abus ; l’honnêteté n’est pas un attribut biologique. ²⁰

Les attestations issues de documents répondent à une autre question. La documentation technique distingue même la vérification de la signature d’un document de contrôles portant sur sa puce. Elle précise qu’une authentification seulement passive ne garantit pas, à elle seule, que les données n’ont pas été copiées. La banque doit donc comprendre le niveau d’assurance derrière l’attestation reçue, au lieu de traiter toutes les preuves comme équivalentes. ¹⁷

Le cadre américain de connaissance du client aide à mesurer la distance restante. Pour les comptes concernés, le programme d’identification doit notamment obtenir des informations civiles et permettre à l’établissement de se former une conviction raisonnable sur l’identité réelle du client, selon le risque. La banque reste responsable de ces obligations lorsqu’elle confie des tâches à un prestataire. Le texte prévoit des exceptions et plusieurs méthodes ; il ne transforme aucune preuve d’humanité en dispense générale. ¹¹

L’autorisation d’un paiement ajoute encore une relation : cette personne a-t-elle le droit d’engager ce compte, pour ce bénéficiaire et ce montant ? Dans une entreprise, reconnaître un salarié n’établit pas son plafond de signature. La chaîne se poursuit donc après la reconnaissance. Les modèles d’identité du NIST séparent eux aussi l’établissement de l’identité, l’authentification et les échanges d’attestations entre services. ¹⁹

La durée du badge dépend du réglage choisi

World décrit son intégration vidéo comme une comparaison entre une référence signée lors de l’enrôlement Orb, un selfie effectué sur le téléphone et une image de la réunion. Le service s’appuie sur les flux vidéo de Zoom et annonce ne pas analyser l’audio ni les transcriptions. Selon le fournisseur, l’application fonctionne sur AWS ; cela ne démontre pas que les références biométriques y seraient stockées en clair. ³

La notice utilisateur situe la comparaison sur le téléphone. Elle prévoit une association entre World ID et un compte Zoom, ainsi que la transmission d’un statut. La présence d’un traitement biométrique local n’efface donc pas toutes les relations de compte nécessaires au service. L’application doit rester ouverte dans le panneau latéral et la caméra activée pour que le badge soit visible. ⁵

Le réglage de validité change alors la lecture du signal. Le guide administrateur décrit une réauthentification périodique et un badge réutilisé dans l’intervalle, tandis que le portail montre l’état courant et son expiration, sans historique individuel des authentifications passées. Ces limites sont celles de l’interface documentée ; elles ne prouvent pas l’absence de tout journal ailleurs dans le système. ⁴

Il serait excessif d’en déduire qu’un attaquant dispose automatiquement de trente jours pour usurper un participant. Aucun test d’intrusion n’a été réalisé pour cette enquête, et les documents consultés ne suffisent pas à reconstituer tous les contrôles appliqués à chaque connexion. Ils suffisent en revanche à montrer qu’un badge affiché n’exprime pas nécessairement une vérification biométrique fraîche à chaque réunion.

L’enjeu bancaire est l’usage du résultat. Une preuve de connexion récente peut convenir à une interaction ordinaire. Une instruction exceptionnelle, coûteuse ou irréversible appelle une confirmation attachée à l’acte concerné. Conserver la même apparence graphique pour des niveaux de fraîcheur différents risque de pousser l’utilisateur à prêter au badge une portée plus large que celle choisie par l’administrateur. C’est un problème de conception des procédures, avant d’être une démonstration de faiblesse cryptographique.

La confidentialité mérite mieux qu’un procès automatique

La critique la plus facile consisterait à imaginer une banque centrale des iris où World pourrait retrouver toutes les activités de chacun. L’architecture publiée décrit un effort réel pour éviter cette concentration. Les informations nécessaires à la recherche de doublons sont réparties en fragments de secret, comparés par plusieurs opérateurs au moyen d’un calcul multipartite. Le principe est de produire un résultat sans remettre à chaque intervenant la donnée complète. ^{8, 9}

Il faut distinguer ce contrôle d’unicité, effectué lors de l’enrôlement, de la présentation ultérieure d’une preuve à un service. Une preuve à divulgation nulle de connaissance permet de vérifier une propriété sans nécessairement révéler les données qui l’établissent. L’intérêt pratique est important : prouver une condition d’accès pourrait éviter de transmettre une nouvelle copie de document à chaque interlocuteur. C’est une possibilité technique, dont le bénéfice dépend du parcours effectivement déployé et des informations que le destinataire demande en plus. ^{8 18}

Cette protection ne dispense pas d’examiner les appareils, les logiciels, les opérateurs et leurs règles de mise à jour. Répartir les calculs réduit certaines concentrations de données ; la sécurité reste conditionnée au fonctionnement des composants et aux hypothèses du protocole. Notre schéma présente cette séparation logique, sans prétendre compter les opérateurs actifs d’octobre 2026 ni certifier leur indépendance opérationnelle.

Le débat réglementaire porte également sur la nécessité de la collecte. En février 2026, l’autorité espagnole de protection des données a adressé un avertissement préventif à Tools for Humanity, à propos d’une reprise envisagée en Espagne. Elle demandait notamment de justifier nécessité, proportionnalité et maîtrise des risques ; l’entreprise avait annoncé reporter son redémarrage. Cette pièce ne constitue ni une nouvelle amende ni une photographie de toutes les autorisations européennes en octobre. ¹⁴

Même lorsque la confidentialité technique progresse, une question demeure pour l’usager : peut-il accéder au service par un autre moyen ? Un traitement très protégé peut devenir contraignant s’il est imposé sans solution praticable. À l’inverse, prévoir une alternative sérieuse réduit le risque qu’un choix commercial de fournisseur se transforme en condition générale d’accès à la vie économique.

L’agent vérifié a encore besoin d’un mandat

La multiplication des agents logiciels donne à cette infrastructure un deuxième débouché. AgentKit, présenté en bêta, permet notamment de relier une adresse d’agent à une personne vérifiée via un registre sur World Chain. Dans l’intégration documentée, un service peut rattacher plusieurs agents à une même allocation d’usage, plutôt que distribuer de nouveaux avantages à chaque adresse. Le parcours s’articule avec x402, un mécanisme de paiement pour l’accès à des services numériques. ⁷

L’intérêt est de rendre une ressource rare à nouveau : une personne ne devrait pas recevoir autant de quotas gratuits qu’elle crée d’agents. Mais ce rattachement ne décrit pas encore les opérations autorisées. Un agent lié à un humain peut recevoir un mandat trop large, mal interpréter une demande ou agir sur un compte qu’il n’a pas le droit d’engager. La personne elle-même peut autoriser une opération frauduleuse. Le contrôle de l’origine et le contrôle de l’action doivent donc rester distincts.

World traite aussi ce second problème. Ses outils d’approbation humaine permettent de suspendre un agent avant une opération sensible. La documentation exige que le serveur lie la preuve à l’action et à ses paramètres, la vérifie et empêche sa réutilisation. Elle avertit qu’un simple champ nommé « approval », rempli par le modèle, ne suffit pas à autoriser l’exécution. C’est une réserve technique particulièrement utile, parce qu’elle situe la responsabilité de l’intégration. ⁶

Dans un paiement, l’adaptation de ce principe devrait porter sur le bénéficiaire, le montant, la devise et les limites applicables. Ce serait à l’institution de décider quels changements exigent une nouvelle validation et de conserver une trace exploitable. Le schéma ci-dessous illustre cette logique de contrôle ; il ne décrit aucun produit bancaire déployé ni les conditions d’un contrat client.

La cryptographie peut solidement attacher un accord à des paramètres. Elle ne vérifie pas, par magie, que l’écran les a expliqués correctement, que le signataire comprend l’opération ou qu’un fraudeur ne l’a pas convaincu de l’approuver. Ce déplacement du risque mérite d’être mesuré : bloquer des identités fictives peut laisser subsister les escroqueries qui exploitent de véritables personnes.

Les partenaires de conception ont parfois un intérêt financier

Le projet n’est pas seulement un ensemble de protocoles. Il doit financer des appareils, des applications, des opérateurs et leur maintenance. En juillet 2026, World Foundation a annoncé une première clôture de 52,5 millions de dollars par vente de jetons WLD bloqués douze mois, menée par Pantera Capital. Bain Capital Crypto figure également dans la liste des participants. Les jetons ne représentent pas des actions de la fondation. ¹³

Pantera réapparaît en octobre parmi les partenaires de conception. Ce chevauchement ne révèle aucune irrégularité, mais il interdit de traiter automatiquement la participation au lancement comme une validation économique indépendante. Il faut aussi conserver la précision des noms : le financement cite Bain Capital Crypto, tandis que le lancement cite Bain Capital, sans permettre de leur attribuer une même équipe ou un même engagement commercial. ^{2, 13}

La fondation décrit un objectif de financement du protocole par des frais payés par les applications. Les conditions de facturation de l’offre bancaire et les revenus correspondants ne sont pas publiés dans les pièces consultées. Le mécanisme économique reste néanmoins lisible : plus une attestation est acceptée, plus elle devient utile à ses détenteurs ; plus ils sont nombreux à pouvoir la présenter, plus son intégration intéresse les services. ¹³

Ce cercle peut faire émerger une infrastructure commode. Il peut aussi augmenter le coût de sortie. Une banque qui construit ses parcours et son assistance autour d’un fournisseur doit ensuite migrer les attestations, former de nouveau ses équipes et requalifier ses contrôles. Le caractère ouvert de certains composants peut faciliter cette opération, sans suffire à garantir qu’un autre réseau acceptera les mêmes personnes selon les mêmes critères.

Aucune pièce consultée n’établit une position monopolistique de World dans l’identité bancaire. L’enjeu est prospectif : négocier tôt les conditions de réversibilité, quand la dépendance est encore évitable, plutôt que découvrir ces coûts au moment d’un incident ou d’un changement de tarif.

Le pouvoir se partage entre plusieurs réglages

Parler de World comme d’un acteur unique ferait disparaître une partie du problème. La fondation se présente comme le dépositaire à but non lucratif du protocole ; Tools for Humanity contribue à construire les outils et à développer les intégrations. Cette répartition institutionnelle ne renseigne pas, à elle seule, sur tous les pouvoirs de modification, les garanties contractuelles ou les voies de contestation. ^{2, 13}

Dans le parcours Zoom documenté, l’employeur choisit la fréquence de réauthentification. Dans une intégration bancaire, ce serait l’établissement qui déciderait de la portée donnée au résultat et des opérations qui exigent un contrôle supplémentaire. Le fournisseur définit les possibilités du produit ; son client choisit parmi elles, puis traduit le signal dans ses procédures. Attribuer l’ensemble de ces décisions à Sam Altman masquerait la responsabilité de ceux qui les configurent. ⁴

Ce partage a une conséquence économique : un service peut être techniquement disponible tout en étant insuffisant pour un usage particulier. Un interlocuteur peut disposer d’une preuve valide sans avoir l’habilitation exigée par la banque. À l’inverse, une personne parfaitement habilitée peut ne pas posséder le téléphone, l’enrôlement ou la configuration nécessaires au parcours retenu. Le guide Zoom exige notamment une vérification Orb préalable et un appareil mobile associé. ⁵

Le contrat devrait donc distinguer la disponibilité du service, la qualité des contrôles et la possibilité effective pour les personnes concernées de les accomplir. Un engagement sur le temps de fonctionnement d’une API ne mesure pas ces trois choses. Cette distinction permettrait aussi d’éviter qu’un incident entre plusieurs prestataires se traduise, pour le client final, par une série de renvois entre supports sans responsable identifiable.

Le coût des personnes que la machine refuse

Le NIST rappelle que les comparaisons biométriques comportent des erreurs probabilistes et que la capture d’un visage ne manifeste pas toujours une intention d’authentification. Une preuve cryptographique valide ne rend donc pas infaillible la mesure qui l’a précédée. Cette distinction explique pourquoi la qualité d’un service doit aussi se juger sur les personnes légitimes qu’il peine à reconnaître. Elle ne constitue pas un verdict de conformité sur World. ¹⁰

Pour rendre ce coût visible, prenons un modèle entièrement hypothétique, sans taux emprunté à World : un million de parcours légitimes par mois, dont une fraction nécessite finalement un examen manuel. À huit minutes par dossier, une proportion de 0,1 % représente environ 133 heures ; 0,5 % demande 667 heures ; 1 % en exige 1 333. Le dénominateur est un nombre de parcours, pas de personnes uniques. La proportion modélisée n’est pas un taux de faux rejet biométrique mesuré.

Avec une capacité de 800 heures mensuelles, l’équipe peut traiter 6 000 dossiers. Le seuil se situe donc à 0,6 % des parcours. À 1 %, 4 000 dossiers supplémentaires restent à absorber dans le mois, en supposant chaque dossier indépendant et aucun stock initial. Ce calcul omet volontairement les autres tâches du support, les nouvelles tentatives et l’examen des fraudes : il montre une relation de capacité, pas un budget prévisionnel.

Le choix du recours devient décisif. Un contrôle trop difficile à franchir peut bloquer un client réel ; un dépannage trop permissif peut rouvrir l’accès aux imposteurs. La procédure alternative doit donc offrir un niveau de sécurité cohérent, tout en restant accessible et suffisamment dimensionnée. Son prix fait partie du coût du système, même lorsqu’il n’apparaît pas dans la facture de l’API.

La récupération de World ID illustre cette dépendance. Les guides prévoient des méthodes de connexion enregistrées à l’avance et indiquent que le support ne peut pas reconstituer l’accès à la place de l’usager. Perdre cet accès ne signifie pas automatiquement perdre son compte bancaire. Cela devient un risque bancaire si l’établissement a fait de cette preuve un passage obligé sans autre procédure de vérification. ^{5, 15}

La responsabilité survit à l’externalisation

Une infrastructure de preuve peut être utile précisément parce qu’elle prend en charge une opération difficile. Encore faut-il décrire ce qui lui est confié. Les orientations américaines de 2023 sur les prestataires couvrent la sélection, le contrat, la surveillance et la fin de la relation. Une révision publiée le 15 septembre 2026 propose une approche davantage proportionnée aux risques, avec une consultation jusqu’au 16 novembre. Ce projet, qui réaffirme la responsabilité de l’établissement, ne doit pas être présenté comme un nouveau texte définitif. Le programme d’identification de la clientèle conserve lui aussi la responsabilité de la banque. Acheter un service n’achète pas une disparition de cette responsabilité. ^{16, 22, 11}

Dans le cas de World, les points décisifs restent la performance en conditions réelles, la fraîcheur requise pour chaque usage, les données conservées et les modalités de recours. Un établissement aurait aussi besoin de savoir qui supporte le coût d’une indisponibilité, comment changer de fournisseur et quelles preuves de décision resteront accessibles après résiliation. Les documents publics permettent de formuler ces exigences ; ils ne permettent pas de reconstituer des contrats bancaires qui ne sont pas publiés.

La meilleure défense du projet est solide : une attestation réutilisable, suffisamment privée, pourrait réduire les copies de justificatifs et compliquer la production industrielle de faux comptes. Sa limite est tout aussi concrète. Entre un être humain reconnu et un paiement légitime subsistent des droits, des circonstances et une décision. La valeur de World ID se mesurera à sa contribution dans cette chaîne, en comptant aussi les erreurs qu’il déplace, le travail qu’il laisse à la banque et les recours qu’il préserve pour le client.

Cette distinction entre preuve d’identité, autorisation et recours prolonge notre enquête sur les achats délégués à des agents et le journal d’usage des portefeuilles d’identité. Les parcours de récupération après perte d’un téléphone montrent l’importance des voies de secours. Ces comparaisons portent sur des mécanismes ; elles ne supposent pas que World ID et le portefeuille EUDI relèvent des mêmes règles.

Périmètre de l’enquête

Documents publics consultés au 20 octobre 2026. Le lancement date des 18–19 octobre. Les garanties de fonctionnement issues de World sont attribuées au fournisseur ; elles n’ont pas fait l’objet d’un test d’intrusion ou d’un audit de code dans ce dossier.

Le modèle de recours est fictif et reproductible. Il ne décrit pas la performance de World. Les chiffres de financement concernent une vente de jetons, non une levée d’actions ou des recettes bancaires.

Aucun entretien, accès à un contrat privé ou contact avec les parties n’a été réalisé. Les documents externes sont liés, sans archivage intégral. Le dossier sépare annonces, paramètres documentés, raisonnements et inconnues.

L’illustration d’ouverture est une création conceptuelle générée avec une IA ; elle ne représente aucun appareil, établissement ou parcours World ID réel.

Sources et pièces consultées

1. S01 · World · 2026-10-18 · consulté le 20 octobre 2026World ID for banking and finance
2. S02 · World Foundation / PR Newswire · 2026-10-19 · consulté le 20 octobre 2026World Launches World ID for Banking and Finance
3. S03 · World · 2026-10-18 · consulté le 20 octobre 2026World ID for Zoom: Proof of Human for video meetings
4. S04 · World Enterprise Help Center · 2026-09-24 · consulté le 20 octobre 2026Setting your organization’s authentication frequency
5. S05 · World Enterprise Help Center · 2026-10-19 · consulté le 20 octobre 2026How do I use World ID for Zoom?
6. S06 · World Developer Docs · page non datée · consulté le 20 octobre 2026Human in the Loop: Integrate
7. S07 · World Developer Docs · page non datée · consulté le 20 octobre 2026AgentKit: Integrate
8. S08 · World · page non datée · consulté le 20 octobre 2026World is private by design
9. S09 · World · 2025-09-04 · consulté le 20 octobre 2026Introducing AMPC: another leap in privacy and performance
10. S10 · NIST · page non datée · consulté le 20 octobre 2026SP 800-63B-4: Authenticators
11. S11 · FFIEC · page non datée · consulté le 20 octobre 2026BSA/AML Manual: Customer Identification Program
12. S12 · FinCEN · 2024-11-13 · consulté le 20 octobre 2026Alert on Fraud Schemes Involving Deepfake Media Targeting Financial Institutions
13. S13 · World Foundation / Business Wire · 2026-07-24 · consulté le 20 octobre 2026World Foundation Raises $52.5 Million
14. S14 · AEPD, republication par le Réseau ibéro-américain de protection des données · 2026-02-16 · consulté le 20 octobre 2026Advertencia a la empresa del proyecto World · Original AEPD · Avertissement AEPD (PDF)
15. S15 · World Enterprise Help Center · 2026-09-22 · consulté le 20 octobre 2026How do I recover access to my account?
16. S16 · Federal Reserve, FDIC, OCC · 2023-06-06 · consulté le 20 octobre 2026Agencies issue final guidance on third-party risk management
17. S17 · World Developer Docs · page non datée · consulté le 20 octobre 2026Proof of Attributes
18. S18 · World · 2026-04-17 · consulté le 20 octobre 2026World ID for agents: Browserbase, Exa, Okta, and Vercel
19. S19 · NIST · page non datée · consulté le 20 octobre 2026SP 800-63-4: Digital Identity Model
20. S20 · World Developer Docs · page non datée · consulté le 20 octobre 2026Proof of Human
21. S21 · World Developer Docs · page non datée · consulté le 20 octobre 2026Proof of Presence
22. S22 · OCC, Federal Reserve, FDIC, NCUA / Federal Register · 2026-09-15 · consulté le 20 octobre 2026Proposed Third-Party Risk Management Guidance