Une identité numérique mauritanienne, ce qui doit exister et comment la construire

Après avoir raconté la scène ordinaire d'une file d'attente bancaire un vendredi matin, puis analysé pourquoi la Mauritanie n'a toujours pas activé son potentiel d'identité numérique malgré une CNI d'excellente qualité, il reste à décrire ce qui doit exister. Non pas un catalogue théorique, mais un cahier des charges fonctionnel et technique, une liste de contraintes locales à respecter, et une image concrète de ce que cela changerait pour le pays.

Cet article s'adresse aux décideurs qui envisagent d'adopter la vérification d'identité en ligne, aux développeurs qui voudront intégrer ce type de service dans leur produit, et aux confrères de l'écosystème mauritanien qui construisent, eux aussi, des couches d'infrastructure pour notre pays.

Le principe fondamental : lire, comparer, prouver la vie

Une vérification d'identité solide, quand elle se fait à distance, repose toujours sur trois étapes qui se chaînent dans l'ordre.

La première étape est la lecture du document officiel. Cela suppose de capter les données inscrites sur la carte, de vérifier que ces données sont cohérentes entre elles grâce aux clés de contrôle prévues par la norme internationale, et d'extraire une photo de référence.

La deuxième étape est la comparaison. Il s'agit de mettre côte à côte la photo extraite du document et une capture en direct du visage de la personne, puis de calculer un score de correspondance. Si les deux visages appartiennent à la même personne, le score dépasse un seuil de confiance. Sinon, la vérification échoue.

La troisième étape est la preuve de vie. Elle vise à contrer une attaque classique dans laquelle un fraudeur présente à la caméra une photo, une vidéo enregistrée, un masque ou un visage numérique généré par ordinateur. Cette étape est particulièrement délicate parce qu'elle doit être à la fois exigeante et rapide, sans imposer à l'utilisateur des gestes complexes ou humiliants.

Ces trois étapes ne sont pas nouvelles. Elles existent depuis plusieurs années dans les grandes banques européennes et américaines. Ce qui n'existe pas encore vraiment en Mauritanie, c'est une implémentation adaptée à la carte nationale, à ses versions anciennes et récentes qui coexistent, à l'orthographe des noms entre arabe et français, à la qualité inégale des connexions 3G et 4G dans les régions éloignées.

Ce qui doit absolument être conçu localement

Certaines briques doivent être conçues et opérées à Nouakchott, par des équipes qui vivent les contraintes locales au quotidien. Elles ne peuvent pas être achetées sur étagère à un prestataire lointain.

La lecture de la CNI, à commencer par la MRZ, doit prendre en charge les deux formats actuellement en circulation. Elle doit intégrer une tolérance particulière aux noms mauritaniens : particules Ould, Mint, El, Ben, prénoms translittérés depuis l'arabe selon plusieurs conventions, patronymes composés. Ce détail, qui peut sembler mineur, est en réalité central. Un système qui rejette la moitié des noms mauritaniens parce qu'il ne comprend pas les particules ne sert à rien. Un système qui refuse de valider un dossier parce que Mohamed est écrit Mohammed sur un document et Mohamd sur un autre ne sert à rien non plus. Il faut donc consacrer un temps important à la gestion tolérante des variantes orthographiques, avec un algorithme de rapprochement qui reste transparent pour l'utilisateur final.

La logique de session doit aussi être écrite sur place : ouverture d'une vérification, suivi de son état, gestion des tentatives multiples, expiration, réutilisation d'une preuve déjà émise pour un même dossier client. Cette logique est simple sur le papier, mais elle est déterminante pour l'expérience utilisateur et pour la sécurité.

La documentation en français et en arabe, le support téléphonique en heure locale, la relation directe avec les banques et les administrations, la conformité scrupuleuse à la loi 2017-020 sur la protection des données personnelles, la formation des agents de première ligne : tout cela relève d'une équipe locale et ne se délègue pas.

Ce qui peut raisonnablement être délégué à des acteurs mondiaux

À l'inverse, certaines briques n'ont aucun intérêt à être refaites localement. La comparaison faciale et la détection de vie relèvent d'une science mûre, portée par une poignée d'acteurs mondiaux qui investissent des centaines de millions dans leurs modèles, entraînés sur des centaines de millions d'images. Reproduire à Nouakchott un moteur de reconnaissance faciale de niveau industriel demanderait des années de recherche appliquée, une équipe scientifique de plusieurs dizaines de personnes, et un investissement matériel considérable. Ce n'est pas un investissement raisonnable et surtout ce n'est pas là où une équipe locale apporte de la valeur.

Ce qui compte, c'est de bien paramétrer ces briques : un seuil de correspondance élevé (autour de 99 pour cent, plus strict que ce que font la plupart des banques), plusieurs couches complémentaires de détection anti-fraude autour du module de détection de vie, un ancrage géographique des données conforme aux exigences du client final. La valeur ajoutée est dans l'orchestration, pas dans la brique elle-même.

Cette approche n'est pas contradictoire avec l'idée de souveraineté numérique. Elle en est la version pragmatique : garder localement ce qui doit rester local (parcours utilisateur, données, relation client, conformité), déléguer ce qui n'a pas de raison technique d'être refait localement, tout en gardant la maîtrise complète de la chaîne.

Une intégration simple, quelques points d'appel

Une bonne couche d'identité numérique doit s'intégrer en quelques dizaines de lignes de code, pas en projet informatique de six mois. Quelques points d'appel suffisent : ouvrir une session de vérification et renvoyer un jeton unique, recevoir les images du document (recto, verso, éventuellement puce si le téléphone la lit), recevoir le résultat de la session de détection de vie chiffré et signé, renvoyer le résultat consolidé avec un score global, un statut clair (validé, à revoir, refusé), les données extraites du document, et une preuve horodatée exportable pour archivage.

Cette surface d'intégration minimale protège les intégrateurs. Les grandes offres internationales sont pléthoriques et effraient les développeurs locaux, qui doivent souvent faire quinze appels pour un cas simple. Un service documenté en français, testé en bac à sable, avec des exemples réels, se prête à une intégration en une matinée.

L'hébergement, une architecture légère et souveraine

Une architecture serverless est aujourd'hui le bon choix pour ce type de plateforme dans le contexte mauritanien : facturation à l'usage réel, capacité à absorber des pics de charge sans surdimensionner, équipe légère qui se concentre sur le code métier plutôt que sur l'administration système. Une base de données bien configurée avec des politiques d'isolation strictes par organisation cliente, un stockage sécurisé des preuves, une politique de sauvegarde et de reprise après incident testée régulièrement, suffisent pour tenir les exigences des banques et des administrations.

Ce choix est pragmatique pour une PME mauritanienne. Il n'y a aucune raison de vouloir gérer des serveurs à la main quand l'énergie doit aller à la connaissance du terrain.

Les contraintes locales qui doivent tout influencer

Trois contraintes doivent peser sur toutes les décisions techniques.

La première est la connectivité. Une part importante des utilisateurs finaux se trouvent dans les régions, avec des connexions 3G ou 4G instables. Envoyer une image de trois mégaoctets sans compression peut prendre plusieurs dizaines de secondes ou échouer complètement. Le principe doit être simple : compresser côté client, réduire à la taille minimale nécessaire pour la reconnaissance, tenter puis reprendre si la connexion casse. La lisibilité par l'algorithme prime sur la beauté esthétique.

La deuxième contrainte est le parc mixte de cartes. Il existe encore en circulation des CNI anciennes, de format légèrement différent, avec une MRZ moins bien imprimée. Il faut composer avec les deux formats et proposer un parcours de secours quand la lecture automatique échoue, plutôt que de bloquer purement et simplement l'utilisateur.

La troisième contrainte est l'orthographe des noms. Un même Mauritanien peut apparaître sous plusieurs graphies différentes selon les documents : en arabe littéraire sur son passeport, en arabe hassaniya dans certains actes anciens, en français avec ou sans particules dans son état civil, en anglais dans son visa étranger. Un moteur qui refuse un dossier parce que Ahmed Ould Mohamed figure sous la forme Ahmed O. Mohamed dans une base et sous la forme A. Ould Mohamed dans une autre est inutilisable. Il faut investir dans la tolérance de rapprochement, tout en gardant une transparence complète sur les écarts constatés.

Chaque fois qu'un choix technique se pose, la bonne question est : est-ce que cela fonctionnera pour une commerçante à Aioun, sur un smartphone d'entrée de gamme, avec la connexion mobile locale, un vendredi après-midi quand tout le monde est en ligne ? Si la réponse est non, il faut chercher une autre voie.

Les cas d'usage que cela ouvre immédiatement

Une couche d'identité numérique bien conçue ouvre immédiatement des cas d'usage qui restaient hors de portée.

L'ouverture de compte bancaire cent pour cent en ligne devient réaliste. Le client télécharge l'application de sa banque, présente sa CNI recto verso, fait un court test de vie devant sa caméra frontale. Le résultat consolidé arrive à la banque en quelques secondes. Le conseiller n'a plus qu'à valider. Le compte est ouvert le jour même, sans déplacement.

Le KYC pour un usage régulé (assurance, mobile money, crédit) devient enfin propre. La preuve archivée est plus robuste qu'une photocopie qui traîne dans un tiroir. Le responsable conformité peut expliquer à son autorité de tutelle non seulement qu'il a vérifié l'identité de son client, mais aussi comment, avec quel niveau de sécurité et pendant combien de temps il conserve la preuve.

L'embauche à distance d'un ingénieur de la diaspora se fait en moins d'une heure au lieu de plusieurs semaines. Le contrat de travail est signé le jour même. La personne peut commencer à travailler la semaine suivante.

L'inscription à un service télécom ou fintech ne suppose plus le déplacement en boutique. La qualité de la vérification est équivalente à celle du guichet, souvent supérieure. La friction pour l'utilisateur devient incomparable.

La vérification d'un vendeur particulier sur une plateforme de commerce en ligne devient réaliste. Le vendeur sérieux obtient un badge d'identité vérifiée. La plateforme, en cas de litige grave, dispose d'une preuve exportable qui rend les recours civils possibles. Le climat général de confiance s'améliore.

Les quatre expertises qui rendent ce type de plateforme possible

Construire ce type de couche d'identité numérique adaptée à la Mauritanie mobilise quatre expertises complémentaires, qui doivent être disponibles au sein d'une même équipe ou de partenaires étroitement coordonnés. La data permet d'orchestrer les vérifications croisées avec les registres existants, de structurer les preuves archivées, et de constituer les jeux de données nécessaires pour évaluer les taux de réussite en conditions réelles. La business intelligence outille les décideurs (banques, régulateurs, administrations) avec des tableaux de bord fiables sur les taux de réussite par région, par tranche d'âge, par type de document, ce qui permet d'ajuster les politiques d'usage. L'intelligence artificielle apporte la reconnaissance faciale, la détection de vivacité, l'extraction d'information visuelle et la tolérance aux variantes orthographiques des noms. L'automatisation orchestre l'ensemble du parcours utilisateur, gère les relances, génère les preuves, notifie les parties, et rend le service invisible pour ceux qui l'intègrent. C'est l'articulation de ces quatre savoir-faire qui fait la différence entre un jouet technologique et une infrastructure exploitable au quotidien.

Ce qui changerait à l'échelle du pays

Imaginez une commerçante à Aioun qui ouvre un compte bancaire depuis son téléphone en cinq minutes, sans faire trois heures de route jusqu'à la préfecture la plus proche. Imaginez un ingénieur mauritanien à Montréal qui signe son contrat de travail avec une entreprise de Nouakchott le jour même de l'offre. Imaginez un citoyen qui demande son extrait d'acte de naissance à trois heures du matin depuis chez lui, et qui le reçoit signé numériquement avant midi.

Ce n'est pas de la science-fiction. C'est ce que devient possible quand un pays décide que la vérification d'identité à distance est une infrastructure de base, au même titre que l'électricité ou la route.

L'inclusion financière des femmes rurales change de nature. Le compte devient accessible depuis un simple téléphone. La microfinance peut développer des offres légères et rapides. L'épargne prend forme dans un cadre formel. L'économie du village entre dans le circuit officiel, ce qui bénéficie à l'ensemble du pays.

L'administration en ligne cesse d'être un habillage numérique. L'usager fait vraiment sa démarche jusqu'au bout, sans quitter son domicile pour la partie identification. L'agent public se concentre sur l'instruction du dossier, la vérification de fond, la décision. L'État se libère d'une partie du coût du guichet pour investir dans le service.

La diaspora est enfin servie à distance. Chaque fois qu'elle veut agir depuis l'étranger, elle bute aujourd'hui sur une démarche qui exige une présence physique à Nouakchott. Une identité vérifiable à distance signifie qu'elle peut agir depuis Paris, Montréal, Dubaï, Djeddah, avec le même niveau de sécurité juridique qu'un résident de Nouakchott.

La confiance dans le commerce en ligne bascule. Le vendeur sérieux se distingue du fraudeur potentiel. L'acheteur qui hésite à envoyer un paiement de plusieurs dizaines de milliers d'ouguiyas dispose d'une garantie tangible. Les vendeurs sérieux gagnent en visibilité, les fraudeurs sont poussés à sortir.

Ce qu'une couche technique ne fera pas seule

Il faut être honnête. Une couche technique ne fera pas décoller tout cela seule. Elle a besoin, pour porter ses fruits, d'un environnement qui l'adopte, la réglemente, la vulgarise, la finance.

Il faut que les régulateurs sectoriels (banque centrale, autorité des télécommunications, autorité de contrôle des assurances) précisent leurs attentes en matière de vérification à distance, dans un cadre clair et prévisible. Il faut que les grandes institutions bancaires acceptent d'expérimenter, de mesurer, d'ajuster. Il faut que les administrations qui délivrent des actes s'ouvrent à des parcours numériques de bout en bout. Il faut que les investisseurs et les bailleurs qui financent le numérique mauritanien reconnaissent que la vérification d'identité est un pilier, pas un accessoire.

Une dernière question

Si votre organisation décidait dès demain de vérifier ses clients ou ses usagers en cinq secondes, à distance, en toute sécurité, avec une preuve archivable, qu'est-ce que cela vous permettrait de faire que vous ne faites pas encore aujourd'hui ?