Reconnaissance faciale en entreprise : les promesses face aux garde-fous

La reconnaissance faciale n’est plus réservée aux contrôles de frontières, aux smartphones ou aux récits de science-fiction. Dans les entreprises, elle progresse par des usages souvent très concrets : ouvrir une porte, vérifier qu’un candidat correspond bien à ses justificatifs, ou limiter une fraude lors d’une démarche effectuée à distance. Cette adoption est discrète, car elle s’intègre parfois à des outils déjà familiers, une application mobile ou un système de contrôle d’accès.

Cette apparente simplicité ne doit pourtant pas masquer la nature particulière de la technologie. Un visage n’est ni un mot de passe ni un badge que l’on peut remplacer en cas de fuite. Lorsqu’un système analyse les traits du visage pour distinguer une personne d’une autre, il traite des données biométriques, soumises à une protection renforcée par le Règlement général sur la protection des données, le RGPD. Pour les employeurs, l’enjeu ne consiste donc pas seulement à choisir un outil efficace : il faut prouver qu’il est justifié, en maîtriser les risques et expliquer clairement son fonctionnement.

De quoi parle-t-on exactement ?

L’expression « reconnaissance faciale » recouvre deux opérations différentes, dont les conséquences ne sont pas les mêmes.

La première est l’authentification : le système cherche à confirmer que la personne devant la caméra est bien celle qu’elle prétend être. Un selfie peut ainsi être comparé à la photographie figurant sur une pièce d’identité ou à un gabarit biométrique déjà associé au compte de l’utilisateur. C’est une comparaison dite « un à un ».

La seconde est l’identification : le système tente de retrouver une personne parmi un ensemble de visages enregistrés. Il s’agit d’une comparaison « un à plusieurs ». Elle est plus intrusive, car elle suppose l’existence d’une base de référence et peut conduire à rechercher une personne sans qu’elle se présente elle-même à un contrôle.

Dans les deux cas, un logiciel détecte le visage dans l’image, en extrait des caractéristiques et les transforme généralement en un modèle mathématique, parfois appelé gabarit biométrique. Ce modèle est ensuite comparé à une référence. Le résultat n’est pas une certitude absolue : il dépend notamment de la qualité de l’image, de l’éclairage, de l’angle du visage, de la performance du logiciel et des seuils de correspondance choisis.

Iziwork mise sur le selfie pour contrôler l’identité

L’un des exemples cités dans le monde du travail est celui d’Iziwork, une agence d’intérim numérique. L’entreprise a introduit dans son application une fonctionnalité de vérification par selfie pour ses 2 000 entreprises clientes. L’objectif est de s’assurer que l’utilisateur est bien la personne mentionnée sur ses documents.

Ce type de contrôle répond à une difficulté précise des services entièrement dématérialisés : à distance, un document peut être authentique tout en étant présenté par quelqu’un d’autre. La vérification faciale peut donc compléter le contrôle documentaire et rendre le parcours plus rapide qu’un échange manuel de pièces justificatives.

Le cofondateur d’Iziwork, Alexandre Dardy, souligne que les cas de fraude ne sont pas nécessairement massifs, mais qu’ils peuvent avoir des conséquences importantes. Dans l’intérim, où l’identité d’une personne conditionne notamment l’accès à une mission, à des droits et à une rémunération, réduire le risque d’usurpation répond à un enjeu opérationnel réel.

Pour autant, la promesse de fluidité ne dispense pas d’examiner la solution en détail. Une entreprise doit savoir quelles données sont collectées, si le selfie est conservé ou seulement analysé, où les informations sont hébergées, qui peut y accéder et pendant combien de temps. Elle doit aussi s’intéresser aux mécanismes destinés à vérifier que l’image provient d’une personne réellement présente, plutôt que d’une photo ou d’un écran présenté devant la caméra.

Le RGPD encadre fortement les données biométriques

En France, les entreprises ne peuvent pas invoquer la modernité ou le confort d’usage pour généraliser la reconnaissance faciale. Le RGPD classe les données biométriques utilisées pour identifier une personne de façon unique parmi les catégories particulières de données. Leur traitement est en principe interdit, sauf si une condition juridique précise le permet et si toutes les garanties nécessaires sont respectées.

Concrètement, un projet doit d’abord répondre à une finalité déterminée. Protéger un laboratoire, un centre de données ou des informations particulièrement sensibles ne présente pas le même niveau de nécessité que fluidifier l’entrée dans des bureaux ordinaires. L’employeur doit également respecter le principe de minimisation des données : ne collecter que ce qui est utile, ne pas réutiliser les données pour une finalité différente, et ne pas les conserver au-delà de la durée nécessaire.

Le rôle de la CNIL, l’autorité française chargée de veiller à la protection des données personnelles, est central dans ce domaine. Elle insiste sur la nécessité et la proportionnalité des dispositifs biométriques au travail. Dans de nombreux cas, une analyse d’impact relative à la protection des données, souvent désignée par l’acronyme AIPD, doit être menée avant le déploiement. Cet exercice oblige l’organisation à évaluer les risques pour les personnes et à documenter les mesures prises pour les réduire.

Parmi ces mesures figurent notamment :

• une information compréhensible sur le fonctionnement et la finalité du dispositif ;
• une sécurisation forte des données et une limitation stricte des accès ;
• une durée de conservation définie à l’avance ;
• des procédures permettant aux personnes d’exercer leurs droits ;
• un examen des solutions moins intrusives, telles qu’un badge, un code ou une authentification à plusieurs facteurs.

Le recours à des juristes ou à des spécialistes de la protection des données peut aider à cadrer un projet. Mais leur intervention ne transforme pas automatiquement une technologie intrusive en solution légitime. La question décisive reste toujours la même : pourquoi cette donnée biométrique est-elle indispensable ici, et pas une autre méthode ?

Les salariés peuvent-ils vraiment consentir ?

Le consentement est souvent présenté comme la réponse évidente aux enjeux de vie privée. Dans une relation de travail, la réalité est plus complexe. Un salarié peut craindre qu’un refus ait des conséquences sur son accès aux outils, son emploi du temps ou son regard hiérarchique. Le rapport de dépendance avec l’employeur rend donc difficile l’idée d’un consentement pleinement libre.

Cela ne signifie pas qu’aucun dispositif biométrique ne puisse être utilisé au travail. En revanche, l’entreprise ne peut pas se contenter d’une case à cocher ou d’une signature pour écarter toutes les obligations. Elle doit établir une base légale pertinente, démontrer la nécessité du traitement et veiller à ce que les personnes concernées disposent d’informations loyales et accessibles.

Lorsque le dispositif a une incidence sur l’organisation, les conditions de travail ou le contrôle de l’activité des salariés, le dialogue social est également important. Informer les équipes en amont, répondre aux questions et présenter les règles de conservation sont des conditions pratiques de l’acceptation. Le cas d’une salariée d’une grande banque française, évoqué dans le dossier d’origine, montre que certains utilisateurs perçoivent avant tout la commodité du système. Cette appréciation positive ne fait toutefois pas disparaître les interrogations collectives sur l’opacité des algorithmes et le devenir des données.

Sécurité, confort et vie privée : un équilibre difficile

Les bénéfices mis en avant par les entreprises sont faciles à comprendre. Un contrôle facial peut simplifier une démarche, éviter l’oubli d’un badge, accélérer une vérification ou réduire certains risques de fraude. Dans les environnements nécessitant une protection renforcée, il peut aussi apporter une couche de sécurité supplémentaire.

Mais un outil biométrique ne doit pas être confondu avec une solution magique. Un système peut commettre une erreur de correspondance, rejeter à tort une personne pourtant autorisée ou valider de manière erronée une tentative d’usurpation. Les performances techniques annoncées par un fournisseur ne dispensent pas de tester le dispositif dans ses conditions réelles d’utilisation.

La question des biais mérite aussi une attention particulière. Les résultats d’un système peuvent varier selon les groupes de personnes, les images utilisées lors de son développement ou les conditions de prise de vue. En entreprise, une erreur ne relève pas seulement d’un incident informatique : elle peut empêcher quelqu’un de travailler, compliquer son accès à une mission ou créer un sentiment de discrimination.

La transparence devient alors une exigence concrète. Les personnes doivent savoir qu’un traitement biométrique est en place, comprendre son objectif et connaître l’interlocuteur à contacter en cas de difficulté. Une organisation qui déploie un contrôle facial sans expliquer ses choix risque de créer de la défiance, y compris si sa finalité initiale est légitime.

Un marché en croissance, mais des promesses à remettre en contexte

Le développement de ces usages s’inscrit dans un marché plus large de la biométrie et de l’identité numérique. Une projection évoquée dans le dossier d’origine avançait des revenus pouvant atteindre 7 milliards de dollars en 2024 pour la reconnaissance faciale. En janvier 2025, cette date est déjà passée : ce chiffre doit donc être lu comme une estimation de marché formulée antérieurement, et non comme une prévision nouvelle.

Au-delà du montant, la tendance est claire : la vérification d’identité à distance intéresse les secteurs qui doivent concilier rapidité de traitement, lutte contre la fraude et exigences de sécurité. La finance, la santé, l’accueil ou les services numériques peuvent être concernés, mais leurs contraintes et leurs responsabilités ne sont pas identiques.

Des pistes présentées comme plus protectrices de la vie privée, telles que les « masques numériques », sont aussi explorées par certaines entreprises. Leur ambition est de permettre certaines interactions numériques sans exposer directement l’identité réelle d’une personne. Ces approches illustrent une idée essentielle : l’innovation ne se résume pas à collecter davantage de données. Elle peut aussi chercher à limiter ce qui est révélé et conservé.

Ce qu’il faut surveiller en 2025

Le cadre européen évolue avec le règlement sur l’intelligence artificielle, dit AI Act, entré en vigueur en août 2024. Son application est progressive. Au 22 janvier 2025, toutes ses obligations ne s’appliquent pas encore, mais les organisations ont intérêt à anticiper ses exigences, particulièrement lorsqu’elles utilisent des systèmes biométriques dans des contextes sensibles.

Il faut aussi distinguer les usages professionnels ordinaires des formes de surveillance à distance dans l’espace public. Le droit européen encadre très strictement certaines pratiques biométriques, notamment lorsqu’elles concernent les forces de l’ordre. Cela ne signifie pas que toute authentification faciale en entreprise est interdite, mais cela confirme la sensibilité politique et juridique du sujet.

Pour les décideurs, la bonne approche consiste à partir du besoin plutôt que de la technologie. Quel risque cherche-t-on à réduire ? Quel serait l’impact d’une erreur ? Une carte, un code, une clé de sécurité ou une vérification humaine pourraient-ils remplir la même fonction ? Si la biométrie apparaît réellement nécessaire, le projet doit être conçu autour de la protection des personnes dès le départ, et non corrigé après son lancement.

La reconnaissance faciale peut rendre certains parcours plus fluides et certains contrôles plus robustes. Son adoption durable dépendra toutefois moins de son caractère spectaculaire que de la confiance qu’elle saura inspirer : une confiance fondée sur la nécessité, la transparence, la sécurité et le respect effectif des droits des salariés comme des utilisateurs.