Une signature répond à une question : qui. Un horodatage qualifié répond à une autre : quand. La plupart des litiges sur la paternité, la divulgation liée à l'IA, ou sur qui a créé quelque chose en premier, tiennent bien plus à la seconde question qu'à la première, et c'est pourquoi un horodatage pèse en général plus lourd qu'on ne l'imagine au départ.
Ce qu'est réellement un horodatage électronique qualifié
Un horodatage ne stocke pas votre fichier. Il stocke une empreinte cryptographique de votre fichier, une valeur de longueur fixe dérivée des octets eux-mêmes, et lie cette empreinte à un instant précis grâce à la signature d'un tiers de confiance. Le mécanisme utilisé par la plupart des systèmes est décrit dans la RFC 3161, le protocole d'horodatage, qui précise comment une autorité d'horodatage reçoit une empreinte, y attache l'heure courante, et renvoie un jeton signé que n'importe qui pourra vérifier plus tard sans recontacter cette autorité.
En vertu du règlement européen eIDAS, un horodatage ne devient qualifié que lorsqu'il est délivré par un prestataire de services de confiance qualifié, soumis à des exigences précises de supervision et d'audit. L'article 41 de ce règlement accorde à un horodatage électronique qualifié une présomption légale quant à la date et à l'heure qu'il indique et à l'intégrité des données auxquelles il est lié. Cette présomption est tout l'enjeu. Une date logée dans votre propre système de fichiers, votre propre espace cloud ou votre propre outil de projet est une date que vous avez produite vous-même, et une date qu'on pourra vous demander de justifier. Un horodatage qualifié est une date produite par un tiers agréé, selon des règles fixées par la réglementation et non par vous.
Pourquoi le quand tranche le plus souvent le débat
Prenez un litige de paternité classique. Les deux parties affirment avoir créé quelque chose en premier, ou l'une accuse l'autre d'avoir copié. L'identité du créateur est rarement le point contesté, les deux camps s'accordent en général sur qui a réalisé quelle version. Ce qui se dispute, c'est l'ordre : quelle version existait en premier, et à quel moment chaque partie a réellement eu accès au contenu en question.
Le même schéma apparaît dans la divulgation liée à l'IA. Qu'un texte soit généré par IA, assisté par IA, ou rédigé par une personne, c'est une affirmation faite au moment de la publication. Ce qui rend cette affirmation vérifiable plus tard n'est pas l'étiquette elle-même, mais la preuve du moment où elle a été apposée, car une étiquette ajoutée après coup, une fois qu'une question a déjà été soulevée, ne vaut pas grand-chose.
Le travail avec des clients suit la même logique. Un indépendant et un client sont en désaccord sur la date de livraison d'une version, ou sur le fait qu'une demande de modification soit arrivée avant ou après un jalon. Rien de tout cela ne dépend de qui a rédigé le document. Tout dépend d'une chronologie qu'aucune des deux parties ne contrôle seule.
Ce que les enregistrements que vous avez déjà ne vous donnent pas
La plupart des équipes pensent avoir déjà réglé cette question. Un e-mail daté, la date de dernière modification d'un fichier, un historique de commits dans un dépôt de code, une date d'enregistrement dans un espace cloud. Chacun porte une date, et chacun est détenu, stocké et modifiable par la partie même qui fait la déclaration. La date de modification d'un fichier change dès qu'il est copié ou rouvert sur une autre machine. Une date d'e-mail peut être vérifiée face à un journal serveur, mais ce serveur appartient au fournisseur que vous utilisez, et ce journal est rarement quelque chose qu'une contrepartie peut consulter directement. Aucun de ces enregistrements n'a été conçu pour résister à la mise en cause de quelqu'un ayant une raison de douter, parce qu'aucun ne sépare la date de la personne qui l'affirme.
Un horodatage qualifié est conçu précisément pour combler cet écart. La date provient d'une partie sans intérêt dans l'issue d'un éventuel litige, soumise à des exigences de supervision et d'audit fixées par la réglementation, et l'enregistrement peut être vérifié par un inconnu sans avoir besoin de votre coopération.
En quoi cela diffère d'une signature
Une signature, qualifiée ou non, est un acte d'identité et de consentement. Elle indique qu'une personne précise a examiné et accepté un document précis. Swisscom Trust Services opère comme prestataire de services de certification accrédité au titre du ZertES suisse, et une signature délivrée de cette façon indique au lecteur qui se porte garant du document.
Un horodatage ne vous dit pas qui. Il ne requiert aucune vérification d'identité de la personne qui le demande, et n'affirme rien quant au consentement ou à l'accord. Ce qu'il vous dit, c'est qu'une empreinte précise, donc un fichier exact, existait au plus tard à un instant donné, attesté par une partie indépendante sans enjeu dans le litige. Les deux mécanismes répondent à des questions différentes, et un enregistrement complet nécessite souvent les deux : une signature pour établir qui se porte garant du contenu, un horodatage pour établir quand ce contenu existait sous cette forme exacte.
C'est aussi la raison pour laquelle un horodatage accomplit ce qu'une signature ne peut pas. Vous pouvez horodater un brouillon que personne n'a encore signé, un document interne qui ne portera jamais de signature formelle, ou un texte assisté par IA où l'enjeu n'est pas le consentement mais la chronologie. C'est l'outil le plus léger, et celui qui s'applique au plus grand nombre de situations, ce qui explique en partie pourquoi il est moins utilisé qu'il ne serait réellement utile.
Ce que vaut la présomption légale en pratique
Il vaut la peine d'être précis sur ce que fait, et ne fait pas, la présomption d'eIDAS. Elle déplace le point de départ : un horodatage qualifié est présumé exact quant à la date, à l'heure et à l'intégrité des données, si bien que la partie qui le conteste porte la charge de le démontrer, plutôt que la partie qui s'en prévaut devant tout prouver depuis le début. Elle ne force aucun tribunal à accepter tout argument construit dessus, et elle ne remplace pas les autres preuves qu'une affaire pourrait encore exiger. Ce qu'elle élimine, c'est le maillon le plus faible de la plupart des enregistrements faits soi-même : une date provenant de la partie même qui l'affirme.
C'est aussi le test pratique pour savoir si une date donnée vaut quelque chose dans un litige. Un champ de date que vous pouvez modifier n'est pas une preuve, c'est une affirmation. Une date attestée par un prestataire de services de confiance qualifié au titre d'eIDAS, vérifiable par un inconnu sans vous contacter, est d'une autre nature. Notre page sur eIDAS détaille comment cette qualification fonctionne concrètement chez Swiss Trust Layer, y compris quel prestataire délivre l'horodatage et ce que voit un destinataire lorsqu'il en vérifie un.
Comment un destinataire vérifie réellement un horodatage
L'étape qui rend tout cela utile se déroule en dehors de votre organisation. Un horodatage qualifié n'a de valeur que si quelqu'un qui n'a aucune raison de vous faire confiance peut lui-même confirmer qu'il tient debout. Cela suppose une page de vérification publique, sans compte requis, sans logiciel à installer, et sans besoin de vous contacter pour demander si l'enregistrement est authentique. Envoyez le lien, et le destinataire vérifie l'empreinte face au fichier, l'horodatage face à l'enregistrement, et tire sa propre conclusion.
C'est précisément là que beaucoup de tenues de registres internes échouent en silence. Une chronologie stockée dans vos propres systèmes, aussi détaillée soit-elle, exige tout de même de l'autre partie qu'elle fasse confiance à vos systèmes. Un horodatage qualifié déplace cette confiance vers un tiers réglementé, et c'est précisément cette différence qui compte le jour où un désaccord devient assez sérieux pour que la confiance soit exactement ce qui manque.
Où cela s'articule avec le hachage de contenu
L'horodatage fixe le moment où un fichier précis a existé. Un autre mécanisme, une empreinte de contenu ISCC enregistrée dans une base de données publique, rend le contenu lui-même traçable plus tard sans exposer le fichier d'origine, ce qui compte pour les vérifications d'atteinte aux droits et les questions de licence d'entraînement de l'IA, qui ont peu à voir avec les litiges de paternité mais tout à voir avec le fait de savoir où un contenu a été utilisé depuis. Les deux fonctionnent ensemble plutôt qu'ils ne se remplacent. L'empreinte ISCC rend le contenu identifiable à grande échelle. L'horodatage qualifié fixe l'instant où une version précise de ce contenu a existé.
Rien de tout cela n'exige que le travail sous-jacent soit terminé, formellement enregistré quelque part, ou relu au préalable par un avocat. Un horodatage qualifié atteste d'un instant, pas de la valeur de ce qui existait à cet instant, ce qui explique exactement pourquoi il s'applique aussi bien à un brouillon qu'à un fichier terminé.
