Euro numérique offline : votre argent en location dans une puce

La BCE a trouvé son argument massue pour vendre l’euro numérique aux sceptiques : le mode hors ligne. Pas de réseau, pas de serveur, pas de banque dans la boucle. Vous approchez votre téléphone de celui du commerçant ou d’un ami, et l’argent change de main, « exactement comme du cash ». C’est la réponse officielle à tous ceux qui, comme moi, dénoncent depuis des années la surveillance et la programmabilité de ce projet. Vous craignez le traçage ? Voici votre billet de banque numérique, anonyme et résilient.

Sauf qu’un billet de banque n’a pas besoin de permission pour circuler. L’euro numérique offline, si. Et c’est précisément là que le masque tombe.

Le cash qui a besoin d’une puce pour exister

Pour qu’un « cash digital » fonctionne sans réseau, il faut résoudre un problème que le papier ne connaît pas : la copie. Un fichier se duplique à l’infini, un billet non. La seule parade connue consiste à enfermer les fonds dans une zone matérielle inviolable du téléphone, isolée du système d’exploitation.

Le rapport de clôture de la phase de préparation, publié par la BCE fin octobre 2025, détaille les trois candidats retenus pour jouer ce rôle : le secure element embarqué, cette puce dédiée qui héberge déjà vos cartes dans Apple Pay, sa variante intégrée au processeur, et l’eSIM. Les zones sécurisées logicielles du processeur principal, les fameux TEE, sont explicitement écartées : trop vulnérables. Il faut du silicium inviolable, certifié au niveau des cartes bancaires et des passeports.

Concrètement, l’Eurosystème fait installer son applet dans cette enclave. C’est elle qui stocke le solde offline, valide les transactions NFC et garantit qu’aucun euro n’est dépensé deux fois. Sans secure element ou eSIM compatible et certifié, pas d’euro numérique hors ligne. Point.

Relisez cette phrase. La monnaie publique européenne, présentée comme le successeur du billet, ne peut exister hors ligne qu’à l’intérieur d’un composant propriétaire dont l’accès est contrôlé par une poignée d’industriels. Le billet de banque fonctionne dans une poche trouée. Le cash numérique exige une chaîne de certification.

La BCE désigne d’ailleurs sa favorite parmi les trois options : l’eSIM, en raison de son adoption croissante dans les smartphones et les objets connectés. Avec un aveu en passant : il faudra des standards pour que votre portefeuille offline survive à un changement d’opérateur mobile. Votre argent hors ligne dépendra donc aussi de la normalisation télécom. Retenez ce détail.

L’article 33, ou l’aveu législatif

Le plus savoureux, c’est que le législateur européen a parfaitement identifié le problème. L’article 33 du projet de règlement impose aux fabricants d’équipements et aux fournisseurs de services de communications électroniques de garantir un « accès effectif » au secure element installé dans les appareils des utilisateurs. Traduction : Bruxelles sait que sans un texte de loi contraignant Apple, Samsung et Google à ouvrir leurs enclaves, l’euro numérique offline est mort-né.

On me dira que l’UE sait manier la contrainte : le DMA a déjà forcé Apple à ouvrir le NFC de l’iPhone aux applications tierces. C’est vrai, et l’article 33 s’inscrit dans cette lignée. Mais forcer l’accès à une puce n’est pas la même chose que contrôler sa fabrication, sa certification ou ses mises à jour firmware. Le jour où un OEM traîne des pieds, dégrade l’intégration ou conditionne l’accès à ses propres termes commerciaux, c’est devant les tribunaux que se jouera la circulation de la monnaie publique européenne. On a donc inventé une monnaie dont la circulation dépend juridiquement de la bonne volonté, arrachée par règlement, de trois entreprises américaines et coréennes. C’est le même schéma que Wero hébergé chez Amazon : une souveraineté monétaire européenne proclamée dans les discours, suspendue dans les faits à des infrastructures que nous ne contrôlons pas. Hier les serveurs de Bezos, aujourd’hui les puces de Cupertino. On ne bâtit pas une indépendance sur le silicium d’autrui.

La BCE anticipe d’ailleurs l’objection souverainiste. La solution offline a son prestataire depuis octobre 2025 : l’allemand Giesecke+Devrient, imprimeur historique de billets reconverti dans la monnaie numérique, avec equensWorldline en second rang. Et le rapport de clôture insiste : tous les prestataires du projet sont des entités européennes contrôlées par des Européens. Très bien. Mais cette souveraineté s’arrête à la couche logicielle. L’applet sera européenne, le rulebook sera européen, et tout cela tournera dans une enclave gravée par des fondeurs non européens, soudée dans un téléphone conçu à Cupertino ou Suwon, mis à jour selon le calendrier de son fabricant. On a européanisé le locataire, pas l’immeuble.

Et pour ceux qui n’ont pas de smartphone compatible, la BCE planche sur des cartes à puce, alimentées par batterie ou passant par un « bridge device ». Autrement dit, encore du matériel certifié, encore une chaîne d’homologation, encore des gardiens.

Locataire de son propre argent

Voilà le renversement conceptuel que personne ne veut nommer. Avec un billet, vous possédez un objet au porteur. Avec l’euro numérique offline, vous êtes locataire d’un espace mémoire sur une puce dont vous n’avez ni les clés ni le contrat. Le fabricant contrôle l’accès physique à l’enclave. L’Eurosystème contrôle l’applet qui y tourne. Vous, vous avez le droit d’utiliser le solde tant que ces deux gardiens sont d’accord.

Et ils gardent la main dans la durée. Le portefeuille offline est plafonné, comme le portefeuille en ligne : le montant que vous pouvez détenir hors ligne sera fixé par les autorités, la position du Parlement confiant même à la Commission le rôle principal dans la calibration des plafonds. Il est mis à jour par voie logicielle. Et chaque reconnexion, chaque chargement, chaque déchargement est un point de contact avec le système : c’est à ce moment que l’applet peut être limitée, actualisée ou désactivée. Le billet dans votre tiroir ne reçoit pas de mise à jour de firmware. Il ne peut pas être révoqué à distance au prochain passage en caisse.

On me répondra que c’est le prix de la sécurité, qu’il faut bien empêcher la double dépense. C’est vrai. Mais c’est exactement mon propos : un « cash » qui a structurellement besoin d’un tiers de confiance matériel n’est pas du cash. C’est un solde sous conditions.

Une confidentialité en pointillés

Reste l’argument de la vie privée, le seul qui donne à ce mode offline un vrai parfum de liberté. Et sur le papier, il est réel : lors d’un paiement hors ligne, les détails de la transaction ne sont connus que du payeur et du bénéficiaire, ni les prestataires de paiement ni l’Eurosystème ne les voient. La commission ECON du Parlement a même renforcé ce point en juin 2026, en veillant à ce que l’offline ne repose pas sur un règlement dans les livres de la BCE, pour mieux imiter l’anonymat des espèces.

Mais regardez où commence et où finit cette bulle. Elle ne couvre que la transaction elle-même. Pour charger votre portefeuille offline, il faut passer par votre banque, donc par l’identification et les contrôles anti-blanchiment. Pour reconvertir vos euros offline en euros classiques, rebelote. L’anonymat du cash numérique est un tunnel dont les deux extrémités sont éclairées au projecteur AML/KYC. Soyons précis sur ce que promet la BCE : son rapport de clôture affirme que les détails de la transaction restent sur les appareils et ne sont partagés ni pendant ni après le paiement. C’est la position officielle, et je la cite telle quelle. Mais les cryptographes indépendants qui ont étudié le problème pointent une tension structurelle : aucune puce n’étant incassable, tout système offline sérieux doit prévoir une détection de la double dépense après coup, donc une remontée d’informations au moment de la réconciliation, fût-elle minimale et pseudonymisée. Ou bien la BCE assume ce canal de détection, et l’anonymat total est une promesse commerciale. Ou bien elle y renonce vraiment, et le premier secure element cassé devient une planche à billets. Il faudra choisir, et l’histoire des systèmes de paiement suggère rarement le choix de l’anonymat.

Avec un billet, l’anonymat n’est pas une fonctionnalité paramétrée par un rulebook. C’est une propriété physique de l’objet.

Le calendrier avance, le débat recule

Pendant que l’on débat de tout sauf de l’essentiel, la machine roule. Conseil des gouverneurs passé à la phase suivante fin octobre 2025, position du Conseil en décembre 2025, position de la commission ECON en juin 2026, recueil de règles version 0.91 publié en juillet 2026, et 36 établissements sélectionnés le mois dernier pour un pilote qui débutera au second semestre 2027, en vue d’une première émission possible en 2029 si le règlement est adopté d’ici la fin de l’année. J’avais décrit la même méthode pour la version interbancaire : on pose les rails en silence, et le jour où la question politique se pose enfin, on répond que l’infrastructure existe déjà.

Le mode offline joue un rôle précis dans cette stratégie. Il sert de paratonnerre. À chaque objection sur la surveillance, la BCE brandit le hors ligne « comme le cash ». C’est l’argument qui permet de faire accepter tout le reste. Or ce paratonnerre, on vient de le voir, est lui-même un dispositif de supervision : matériel certifié, applet contrôlée, plafonds télécommandés, entrées et sorties fichées. L’offline ne limite pas le pouvoir de l’Eurosystème sur votre argent. Il l’étend jusque dans la poche où, précisément, ce pouvoir ne pénétrait pas.

Ce que le billet n’a jamais demandé

Je maintiens tout ce que j’ai écrit sur ce projet à refuser : coût pharaonique pour réinventer une roue carrée, programmabilité rampante, cheval de Troie d’un contrôle centralisé. Mais le mode offline mérite son procès à part, parce qu’il est le plus habile des faux-semblants.

Le cash physique n’est pas un absolu, je le sais. Des coupures ont été démonétisées, le billet de 500 euros a été retiré de l’émission, la fausse monnaie est traquée. Mais ces interventions sont rares, générales, publiques et débattues. Elles ne visent jamais un porteur en particulier. Le billet de banque, lui, n’a jamais eu besoin de la permission d’une puce, d’une certification d’OEM, d’un article 33 ni d’une mise à jour logicielle pour circuler. Il ne connaît ni plafond de détention, ni fenêtre de reconnexion, ni révocation à distance. Il fonctionne pendant une panne d’électricité, dans un téléphone cassé, dans la main d’un enfant, dans celle d’un vieillard sans smartphone. Il est à vous, bêtement, physiquement, sans contrat de licence.

L’euro numérique offline, lui, transforme votre téléphone en terminal monétaire sous supervision de l’Eurosystème et vous transforme, vous, en titulaire d’un droit d’usage. C’est toute la différence entre un argent que vous possédez et un solde que l’on vous laisse utiliser. Tant que les billets existent, cette différence a un nom : la liberté de payer sans demander. Défendons le cash, le vrai, celui qui n’a pas besoin qu’on lui accorde l’accès à une enclave sécurisée pour valoir quelque chose. Parce qu’une monnaie qui demande la permission n’est plus tout à fait la vôtre.