Si il a accès une fois au fichier décrypté sur une machine qu'il contrôle c'est pratiquement déjà foutu, au pire des cas il se prend une machine virtuelle, ouvre le fichier une fois dedans avec le certificat, puis sauvegarde la VM telle quelle avec le fichier ouvert et lisible.
Après ça dépend du niveau du mec, mais en pratique c'est faisable.
Les seules solutions que je vois sont, un peu selon les moyens et les circonstances particulières:
* ajouter un filigrane sur le document (si il contient des images, votre nom en grand et en transparent à travers).
* imprimer le tout et ne laisser l'accès qu'à ces impressions, bien sûr seulement dans un environnement qui ne permet pas la photocopie. Pas super coopératif, mais ça semble être l'atmosphère de toute façon.
* comme tu disais, une machine dédiée et sécurisée, sans possibilité de monter des clés USB, HDDs externes firewire, graver des CDs, ou accéder à un réseau quelconque (wifi, ethernet, bluetooth...).
* lui donner juste le fichier et faire appel aux moyens législatifs en cas de pépin.
Après j'ai peut-être raté quelque chose, si quelqu'un a une meilleure idée...