Scanner une carte d’identité : ce que l’IA vérifie vraiment

Un lecteur me demande souvent la même chose : « si une appli reconnaît une carte Pokémon en une photo, pourquoi mon logiciel de contrôle d’accès met trois secondes à lire une carte d’identité ? ». La réponse tient en un mot : la donnée. J’ai déjà détaillé l’appli qui reconnaît une carte Pokémon, et le contraste avec un scan de pièce d’identité éclaire ce qu’on demande vraiment à une machine quand on lui confie un document officiel.

Scanner une carte d’identité, c’est quoi techniquement

Une carte Pokémon se reconnaît par sa mise en page : un cadre, un dessin, un numéro de série dans un coin. L’appli compare une image à une base fermée de quelques milliers de cartes connues. Elle cherche une correspondance visuelle.

Une carte d’identité, c’est tout autre chose. L’appareil doit lire du texte variable — nom, date de naissance, numéro de document —, vérifier que la mise en page correspond à un modèle officiel, et parfois croiser cette lecture avec un visage. Trois opérations distinctes, pas une seule photo comparée à un catalogue.

OCR et reconnaissance d’image : même famille, usages différents

La première brique s’appelle l’OCR, la reconnaissance optique de caractères. Elle transforme les lettres imprimées sur votre carte en texte exploitable par une base de données. Ce n’est pas de la reconnaissance faciale, et ce n’est pas non plus une classification d’image au sens où l’entend l’appli Pokémon.

La zone MRZ, la bande de caractères en bas de la carte, est pensée pour ça : une police standardisée, un format fixe, conçu pour qu’une machine ne se trompe pas. C’est elle que lisent la plupart des bornes d’enregistrement en aéroport ou les scanners RH à l’embauche.

Mon avis, et il ne bougera pas : un outil qui annonce « lecture de carte d’identité » sans préciser s’il lit la zone MRZ ou s’il tente un OCR sur le visuel complet de la carte doit être questionné avant tout déploiement. Les deux méthodes n’ont ni la même fiabilité, ni la même tolérance aux cartes abîmées.

Ce que la CNIL et le RGPD imposent avant d’installer un scan de pièce d’identité

Une carte d’identité contient des données personnelles au sens plein du RGPD, et leur scan en entreprise n’est pas un geste anodin. La CNIL rappelle qu’une copie de pièce d’identité ne doit être conservée que si une base légale précise le justifie — un contrôle d’accès à un site sensible, par exemple, pas une vérification « pour être tranquille ».

Un chiffre non daté est un chiffre mort, je le répète souvent : si votre prestataire vous dit « conforme RGPD » sans préciser depuis quand cette conformité a été vérifiée et sur quel périmètre, ce n’est pas une garantie, c’est une formule.

Les scopes d’accès : ce qu’une appli peut faire avec votre photo de CNI

C’est le point que je regarde toujours en premier, et que la plupart des fiches commerciales ignorent : une fois la photo de votre carte envoyée à un serveur, quelles sont les portées d’accès (scopes) de l’API qui la traite ? Peut-elle seulement lire, ou aussi stocker, croiser, réutiliser l’image pour entraîner un modèle ?

Pour comparer objectivement les options du marché sur ce point précis, j’ai déjà écrit sur la façon de choisir une api de reconnaissance d’image : la grille de lecture vaut aussi pour un scanner de pièce d’identité.

Authentification biométrique vs simple lecture de document

Deux usages se confondent souvent dans les discours commerciaux. Lire le texte d’une carte n’a rien à voir avec vérifier que le visage présenté correspond à la photo de la carte — cette seconde opération relève de l’authentification biométrique, avec un cadre légal plus strict.

Un badge d’accès qui se contente de lire un numéro n’est pas de la biométrie. Un portique qui compare votre visage en direct à la photo stockée en est. La différence n’est pas un détail technique, elle change entièrement les obligations déclaratives et le niveau de consentement à recueillir.

Ce qu’il faut vérifier avant de déployer un contrôle d’accès par carte d’identité

Avant de signer avec un fournisseur, trois points à poser sur la table, et pas après l’installation.

Premier point : demandez où sont stockées les images scannées, pendant combien de temps, et qui y a accès. Deuxième point : faites confirmer par écrit si le système fait de l’OCR seul ou s’il ajoute une reconnaissance faciale — ce sont deux déclarations CNIL différentes. Troisième point : vérifiez qu’un budget ou un volume de requêtes est plafonné côté fournisseur, pas seulement affiché dans une console qui n’arrête rien.

La question n’est pas si l’outil sait bien lire une carte, c’est ce qu’il peut faire de cette lecture une fois qu’elle est stockée.