L’Union Européenne prépare une réglementation visant à limiter l’accès des mineurs aux réseaux sociaux, certains jeux vidéo et chatbots d’intelligence artificielle. L’objectif déclaré est de réduire les risques tels que les designs addictifs, les contacts nuisibles ou les relations émotionnelles problématiques avec des assistants IA. Mais le futur Kids Act soulève également un débat technologique et démocratique qui ne devrait pas être éclipsé par la protection de l’enfance : jusqu’où doit aller l’identification des citoyens pour accéder à Internet et quelles garanties empêcheront qu’une infrastructure conçue pour vérifier l’âge soit utilisée pour contrôler d’autres contenus ou services.
Les enjeux du Kids Act et la vérification d’âge en 20 secondes
- La Commission propose des restrictions différentes pour les moins de 13 ans et pour les adolescents de 13 à 15 ans.
- Les réseaux sociaux, certains jeux vidéo et chatbots IA auraient de nouvelles obligations.
- L’UE travaille sur un système de vérification d’âge visant à éviter de révéler l’identité.
- Protéger les mineurs n’élimine pas les risques pour la vie privée, l’anonymat et l’accès à l’information.
- Le débat portera également sur la proportionnalité et les limites à l’utilisation future de cette infrastructure.
La proposition connue prévoit que les mineurs de moins de 13 ans ne puissent accéder qu’à certains services sous supervision, tandis que ceux entre 13 et 15 ans auraient besoin d’une autorisation parentale pour créer des comptes soumis à des contrôles supplémentaires. Les entreprises devraient aussi intégrer des mécanismes pour vérifier l’âge et pourraient faire face à des sanctions pouvant atteindre 6 % de leurs revenus annuels globaux en cas de non-respect de certaines obligations.
Il est utile de distinguer deux débats souvent confondus. L’un concerne la nécessité pour les plateformes de mieux protéger les mineurs. L’autre concerne la proportionnalité de construire des systèmes conditionnant l’accès à des services numériques à une vérification d’âge.
Ce sont des problématiques liées, mais pas équivalentes.
Vérifier l’âge sans transformer Internet en contrôle d’identité
La première préoccupation technologique apparaît immédiatement : pour savoir si quelqu’un a 12, 14 ou 18 ans, il faut un mécanisme capable d’en apporter la preuve.
Jusqu’à présent, de nombreuses plateformes se contentaient de demander la date de naissance, un système facile à contourner. Une réglementation efficace doit donc recourir à quelque chose de plus fiable.
La Commission européenne travaille depuis un certain temps sur cette infrastructure. Sa solution de vérification permet d’obtenir une preuve à partir de documents officiels, d’identifications électroniques, d’applications connaissant déjà l’âge de l’utilisateur ou d’autres mécanismes admis. Ensuite, le service reçoit une crédentiale attestant que le seuil d’âge requis est dépassé.
L’architecture possède une caractéristique essentielle : la plateforme ne devrait pas connaître l’identité de l’utilisateur.
Selon la documentation technique de la Commission, après la génération de la preuve, le lien avec le fournisseur qui l’a émise est rompu. Le service reçoit une certification anonyme de l’âge, sans connaître le nom, le numéro de document ou la date exacte de naissance. La seconde version a également intégré la technologie des preuves à zero-knowledge (zero-knowledge proofs).
Sur le papier, c’est beaucoup mieux que d’envoyer une photo de la pièce d’identité à chaque réseau social.
Cela répond aussi aux recommandations du Comité Européen de Protection des Données (CEPD), qui soutient que la vérification doit être aussi peu intrusive que possible et limiter le traitement des données personnelles à ce qui est strictement nécessaire.
Le problème ne s’arrête pas là.
Une infrastructure peut être conçue correctement d’un point de vue cryptographique tout en soulevant des questions sur son champ d’utilisation.
La question technologique évolue alors de “est-il possible de préserver la vie privée ?” à une autre plus gênante : “à quelles fins les services demanderont-ils de prouver leur âge dans cinq ou dix ans ?”.
Le risque réside dans l’extension progressive de ses usages
Les outils de vérification d’âge ne sont pas en soi une censure. Il n’existe pas dans la proposition connue de preuve que Bruxelles a l’intention de les utiliser pour identifier les opinions politiques des citoyens ou pour contrôler de manière générale les pages consultées.
En le prétendant comme un fait, cela dépasserait les informations disponibles.
Mais une société démocratique a tout intérêt à débattre dès le départ des limites d’une infrastructure qui introduit des attestations comme condition d’accès aux services numériques.
La propre Commission explique que sa technologie peut s’adapter à différents seuils, comme attester d’avoir plus de 13 ou 18 ans. Elle est également bâtie sur des spécifications compatibles avec les futurs portefeuilles d’identité numérique européens.
Cela présente des avantages évidents d’interopérabilité.
Il est aussi essentiel d’établir des garanties juridiques empêchant d’étendre automatiquement son utilisation à des services pour lesquels une identification, même indirecte, n’est pas nécessaire.
Internet a permis de consulter l’information sans présenter de document au préalable. L’anonymat et le pseudonymat sont utiles pour bien plus que dissimuler des comportements illicites : journalistes, dénonciateurs, victimes, opposants politiques, salariés, chercheurs et citoyens ont souvent besoin de rechercher ou de communiquer des informations sans les associer publiquement à leur identité.
Le CEPD a justement mis en garde contre les systèmes invasifs. Son orientation indique que les plateformes devraient éviter les mécanismes permettant une identification évitable lorsqu’elle n’est pas nécessaire et, si connaître une tranche d’âge suffit, il ne devrait pas être nécessaire de vérifier la date exacte de naissance.
Ce principe de minimisation sera aussi crucial que la technologie utilisée.
Protéger un enfant ne signifie pas forcément lui interdire toute technologie
Le second débat concerne les services concernés.
Une réseau social, un jeu vidéo en ligne et ChatGPT peuvent partager certains risques, mais ce sont des produits très différents d’un point de vue technique.
Un chatbot peut générer du contenu nuisible pour un mineur ou favoriser des dépendances émotionnelles. Mais il peut aussi servir à apprendre les mathématiques, programmer, traduire un texte ou répondre à des questions scolaires.
Il en va de même pour les plateformes sociales.
Un algorithme de recommandation conçu pour maximiser l’utilisation peut poser un problème différent de celui d’un adolescent utilisant une plateforme pour communiquer avec ses camarades.
Une réglementation technologique peut choisir de limiter l’accès au service complet ou d’intervenir sur ses caractéristiques à risque.
La Loi sur les Services Numériques (DSA) suit déjà partiellement cette deuxième voie. Les lignes directrices européennes pour les mineurs prévoient des comptes privés par défaut, un meilleur contrôle des recommandations, le blocage des contacts non désirés et des restrictions sur les fonctionnalités liées à l’utilisation excessive, comme certaines notifications ou la confirmation de lecture.
Cette distinction est importante.
Plus une réglementation sur le comportement nuisible sera précise, moins il sera nécessaire de contrôler l’accès global à un outil.
L’IA complique encore davantage la délimitation des frontières
Les chatbots rendent particulièrement complexe l’application d’une règle traditionnelle basée uniquement sur l’âge.
Un système d’IA générative n’a pas un catalogue fixe de contenus comme un film ou un jeu vidéo. Il peut maintenir des millions de conversations différentes.
La réglementation peut exiger des filtres, des contrôles parentaux et des restrictions sur certains comportements sans nécessairement empêcher un adolescent d’utiliser le système pour étudier.
Elle peut aussi interdire certains schémas dans ce que l’on appelle les “compagnons IA”, par exemple des mécanismes délibérément conçus pour augmenter la dépendance émotionnelle de l’utilisateur.
Le défi consiste à définir ce qui constitue un comportement nuisible sans créer des catégories trop vastes, qui bloqueraient toute information légitime.
Il y a aussi une différence entre protéger un enfant contre du contenu illégal et décider des contenus légaux qui lui conviennent.
La première option admet généralement des limites juridiques relativement claires. La seconde implique des décisions éducatives, culturelles et familiales sur lesquelles le consensus n’est pas toujours évident.
Transférer toutes ces décisions à une plateforme ne résout pas le problème. Cela peut encourager les entreprises à trop bloquer pour limiter les risques réglementaires.
Ce sera également un sujet à étudier lors de l’adoption du Kids Act.
L’avantage du système européen : il peut encore être conçu avec des limites
Le projet ne part pas d’une architecture nécessairement basée sur la remise du DNI à Meta, TikTok, OpenAI ou toute autre entreprise.
C’est une nuance importante.
La Commission affirme que sa solution permet uniquement de démontrer qu’une exigence d’âge est respectée. La plateforme ne reçoit pas l’identité ni la date de naissance, et l’émetteur de la crédentiale ne connaît pas non plus le service consulté par l’usager par la suite.
Il est donc techniquement possible de construire un système de vérification d’âge beaucoup moins intrusif que les mécanismes traditionnels.
Mais la protection de la vie privée cryptographique ne résout pas à elle seule la question démocratique.
Le texte définitif devra préciser quand cette preuve peut être exigée, qui peut l’exiger, combien de temps les données peuvent être conservées, quelles alternatives existent et quels contrôles empêchent d’élargir sa finalité par la suite.
La proportionnalité sera particulièrement cruciale.
Le propre CEPD soutient que la vérification d’âge doit être utilisée lorsque c’est nécessaire et proportionné. Parmi les scénarios jugés adéquats figurent les contenus pour adultes, les produits soumis à une exigence d’âge minimum ou les situations où les risques pour les mineurs sont élevés et ne peuvent être atténués par des mesures moins intrusives.
Ce dernier critère est fondamental : qu’il n’existe pas d’alternative moins invasive.
La sécurité des enfants et un Internet ouvert ne doivent pas être des objectifs incompatibles
Le débat risque de devenir un choix binaire : soit on accepte une identification accrue sur Internet, soit on laisse les mineurs face à des algorithmes, contenus nocifs et services conçus pour capter leur attention.
La technologie offre davantage de possibilités.
Il est possible de limiter le profilage des mineurs, d’interdire la publicité basée sur certains données, de désactiver les recommandations compulsives, d’exiger des contrôles parentaux, d’empêcher les contacts avec des adultes inconnus, d’établir des paramètres de confidentialité par défaut et d’utiliser des preuves cryptographiques d’âge sans divulguer l’identité.
Il est aussi envisageable d’obliger les fournisseurs d’IA à mettre en œuvre des protections spécifiques pour les jeunes utilisateurs.
La Commission travaille déjà sur plusieurs de ces mesures via la DSA.
Le Kids Act devra désormais démontrer qu’il peut renforcer cette protection sans transformer la vérification en une identité universelle pour participer à Internet.
Une démocratie doit protéger ses mineurs. Elle doit aussi permettre à ses citoyens de s’informer, de s’exprimer et d’accéder à la technologie avec un contrôle minimal, compatible avec les droits des autres.
L’enjeu crucial ne sera pas seulement de savoir si l’Europe peut techniquement concevoir un système capable de prouver que quelqu’un a plus de 13 ou 15 ans sans connaître son nom. La technologie disponible montre que c’est possible.
Le véritable défi sera de déterminer quand il sera permis d’exiger cette preuve et où il sera interdit de la demander.
C’est là toute la différence entre un outil limité pour la protection des mineurs et une infrastructure qui, avec le temps, pourrait finir par conditionner inutilement l’accès à certaines parties d’Internet.