La Commission européenne a présenté les grandes lignes de l’EU Kids Act, un projet de règlement destiné à encadrer l’accès des mineurs aux services en ligne. Le texte, encore à l’état de proposition, doit désormais être examiné par le Parlement européen et le Conseil des ministres. En l’état, il soulève de nombreuses critiques de la part de spécialistes de la sécurité, qui pointent des imprécisions techniques et des conséquences potentiellement lourdes, y compris pour les adultes.
Un contrôle d’âge à plusieurs vitesses
Le projet ne prévoit pas de méthode unique de contrôle d’âge. Les modalités varieraient selon la nature de la plateforme. Parmi les solutions jugées efficaces figure l’application de vérification d’âge développée par l’Union européenne, qui s’appuie sur des données d’identité. Dans la pratique, les adultes devraient eux aussi se soumettre à ce contrôle, sauf pour les comptes anciens dont on peut raisonnablement exclure qu’ils appartiennent à des mineurs.
La Commission emploie la notion plus large d’« age assurance », qui couvre aussi bien la vérification stricte, obligatoire pour les réseaux sociaux comme Facebook, TikTok ou Instagram, que des estimations plus approximatives, par exemple par analyse du visage. Les services concernés devraient concilier deux exigences difficiles à tenir simultanément : une estimation fiable de l’âge et une atteinte minimale à la vie privée.
Un périmètre qui dépasse les réseaux sociaux
Le texte vise les services dits « sociaux », mais sans en donner de définition propre. Il est probable que la définition du DMA soit reprise : des services où les utilisateurs entrent en contact, communiquent, partagent des contenus et en découvrent d’autres. Une telle acception engloberait de petits forums, qui n’ont pas d’exemption prévue à ce stade.
Le contrôle ne s’arrêterait pas aux services nécessitant un compte. L’accès sans compte serait lui aussi régulé, ce qui va plus loin que l’interdiction australienne des réseaux sociaux pour les enfants. Sont citées les plateformes vidéo, les jeux en ligne, les chatbots d’IA et même les magasins d’applications : ceux-ci ne pourraient exposer publiquement que des contenus adaptés aux enfants, tout le reste exigeant un contrôle d’âge. Cela concernerait par exemple des jeux comme Fortnite ou Roblox, des chatbots comme ChatGPT ou Claude, ou des boutiques comme le Google Play Store ou Steam. Les plateformes logicielles devraient assortir les applications d’indications d’âge claires et vérifier, avant l’installation, que l’utilisateur n’est pas trop jeune. Des marchés d’applications alternatifs comme F-Droid seraient également susceptibles d’être touchés.
Des questions techniques et pratiques non résolues
Un passage du texte fait réagir les chercheurs en sécurité : « Any age assurance measure shall be zero knowledge proof ». La formulation est jugée incohérente, le « zero knowledge proof » étant employé comme adjectif alors qu’il désigne un nom. Cette méthode vise à préserver l’anonymat lors d’une preuve d’âge, mais l’application de contrôle d’âge de l’Union n’y recourt pas elle-même de façon obligatoire. Que toute estimation d’âge doive s’y conformer paraît donc contradictoire, et certains critiques en déduisent un manque d’expertise des responsables du dossier.
Pour les parents, les obligations seraient également lourdes. Pour créer un compte accompagné destiné à un enfant de 13 ans et plus sur un réseau social, il faudrait fournir trois éléments : un compte parental associé, sa propre preuve d’âge, celle de l’enfant et un justificatif d’autorité parentale. Les plateformes devraient mettre en place les infrastructures nécessaires, et les États membres prévoir des dispositifs délivrant ces attestations, au risque d’alourdir considérablement la démarche pour simplement utiliser une plateforme.
Des porte-parole du Chaos Computer Club critiquent sévèrement le projet en l’état. Selon eux, une telle mise en œuvre signifierait la fin d’un usage libre et anonyme d’internet. Ils estiment qu’elle créerait de nouveaux risques pour les enfants et adolescents, notamment une surveillance accrue par les responsables légaux, et qu’elle compliquerait la participation sociale des jeunes générations, tous les mineurs ne bénéficiant pas de relations familiales apaisées et ayant besoin de espaces de liberté. Ils contestent par ailleurs le choix de l’application de contrôle d’âge, jugée insuffisante au regard des exigences de confidentialité, et considèrent certaines mesures comme de la poudre aux yeux : un design nuisible pour un jeune de 13 ans ne devient pas sûr au seul motif qu’il a atteint 15 ans.
Ce qui est établi, ce qui reste ouvert
Le projet existe, ses orientations générales sont connues et il doit encore franchir les étapes législatives. En revanche, ni le périmètre exact des services visés, ni les méthodes de contrôle qui seront retenues, ni les modalités pratiques des justificatifs parentaux ne sont arrêtés. Les critiques techniques et les réserves sur la protection de la vie privée devraient alimenter les discussions à venir.
