Aujourd'hui, un réseau social s'ouvre dans sa version complète, et c'est au mineur de s'en voir retirer des morceaux. Le règlement européen sur la protection des enfants en ligne, proposé jeudi dernier par la Commission européenne, renverse cet ordre. Son article 8 pose que les services doivent être conçus sûrs par défaut, et qu'ils ne peuvent déroger à ces exigences qu'après avoir établi, par une vérification d'âge, que la personne en face est adulte.
La version protégée devient la règle, la version complète devient l'exception, et la preuve d'âge devient le prix du passage de l'une à l'autre. Ursula von der Leyen l'avait annoncé la veille, dans son discours sur l'état de l'Union : « So we are reversing the burden of proof. Platforms will have to prove to us that they are safe. » (« Nous renversons la charge de la preuve. Les plateformes devront nous prouver qu'elles sont sûres. ») En février, sur le plateau de BX1, je regrettais qu'on fasse reposer toute la responsabilité sur les parents. C'est précisément ce point que le texte déplace.
Le changement se mesure à partir du droit actuel. Le règlement sur les services numériques demande aux plateformes de protéger les mineurs, mais précise qu'il ne leur impose pas de traiter des données supplémentaires pour savoir si un utilisateur est mineur. Aucun texte européen n'interdit aujourd'hui le défilement infini ni la lecture automatique. Les lignes directrices et la recommandation de la Commission sur la vérification d'âge restent non contraignantes.
Trois paliers d'âge, un critère : les fonctionnalités
Le texte vise sept familles de services : réseaux sociaux, plateformes de partage de vidéos, magasins d'applications, jeux en ligne, systèmes d'exploitation, compagnons artificiels et agents conversationnels. Sur ce périmètre, trois paliers s'empilent.
Avant 13 ans, pas de compte personnel. Un enfant peut utiliser des services vidéo conçus pour lui, par le compte de son parent, sans personnalisation ni recommandation, une heure par jour au maximum.
À 13 et 14 ans, un mini-compte, ouvert par le parent, plafonné à une heure par jour, avec des contacts approuvés à l'avance.
À partir de 15 ans, le compte autonome devient possible, et la conception sûre reste due jusqu'à 18 ans.
L'interdiction avant 15 ans ne frappe pas un nom de marque. Elle frappe les services qui présentent au moins une de cinq caractéristiques : la diffusion en direct, la mise en contact avec des inconnus, la recommandation fondée sur le profilage, les suggestions venues d'ailleurs que de ses propres abonnements, et la consommation ininterrompue doublée de notifications. Un service qui retire ces fonctionnalités sort de l'interdiction. C'est la mécanique centrale du texte : l'âge ne décide pas seul, le design aussi.
Pour les plateformes, la charge change de camp
Jusqu'ici, une plateforme pouvait se contenter de demander une date de naissance. La Commission a d'ailleurs reproché à Meta, dans ses conclusions préliminaires d'avril, que des enfants de moins de 13 ans puissent entrer une fausse date de naissance sans contrôle effectif. Le règlement remplace cette déclaration par une preuve.
Pour les mineurs, les plateformes doivent démonter une partie de leur architecture : plus de lecture automatique sans interruption, plus de notifications que le mineur n'a pas déclenchées, plus de récompenses d'assiduité, ces séries de jours consécutifs qui transforment l'usage en obligation. Les mesures doivent protéger explicitement le temps scolaire et les heures de sommeil. Les compagnons artificiels sont désactivés par défaut et ne peuvent pas simuler une relation qui crée une dépendance affective.
Elles doivent ensuite prouver leur conformité, et pas seulement l'affirmer : un plan notifié à la Commission, audité par un tiers indépendant. Pour appliquer les paliers d'âge des comptes, elles ne choisissent pas leur méthode de vérification : le texte impose de passer exclusivement par une solution européenne, fournie par un tiers et certifiée conforme au schéma européen de vérification d'âge. La plateforme reçoit une réponse, pas un document d'identité.
Dans son document d'accompagnement, la Commission reconnaît que la vérification d'âge représentera le coût de conformité le plus lourd pour certains acteurs. Pour une petite entreprise, elle l'estime à quelques centaines ou quelques milliers d'euros, en précisant que la base de preuves reste limitée. Le secteur, lui, se dispute déjà sur le point d'entrée : Meta et Snap veulent que la vérification se fasse au niveau du magasin d'applications ou du système d'exploitation, Apple répond que ce ne serait pas de la minimisation des données.
Pour les parents et les enfants, un compte qui s'ouvre à deux
Un parent d'un enfant de 13 ou 14 ans ouvre le mini-compte et approuve les contacts, et l'usage est plafonné à une heure par jour. Pour prouver qu'il exerce l'autorité parentale, chaque État devra mettre à disposition au moins un moyen électronique fondé sur ses registres officiels. En attendant l'acte qui en fixera les modalités, une simple déclaration sur l'honneur suffira.
Pour un enfant de moins de 13 ans, le réseau social disparaît du paysage, mais pas la vidéo : des services conçus pour son âge, par le compte du parent, une heure par jour.
Pour un adulte, l'ouverture d'un compte sur les services concernés passera par une preuve d'âge. La Commission promet qu'elle ne dira rien d'autre que le franchissement du seuil. Henna Virkkunen, vice-présidente exécutive, l'a formulé le jour de l'adoption : « Proving your age online should be easy - and it should reveal nothing else about you. » (« Prouver son âge en ligne devrait être simple, et ne rien révéler d'autre sur vous. ») Chaque État devra garantir au moins une solution certifiée gratuite. La preuve pourra être réutilisée pour éviter les contrôles à répétition.
Les comptes existants ne sont pas épargnés. Dans un délai de six mois, les fournisseurs devront établir l'âge de leurs titulaires, et désactiver les comptes des moins de 15 ans ainsi que ceux dont l'âge ne peut pas être établi. Une dérogation existe quand la plateforme peut conclure, avec un haut degré de confiance et à partir de ce qu'elle sait déjà, que la personne est majeure. Le communiqué de presse de la Commission présente cette dérogation comme la règle. Le texte juridique pose l'obligation d'abord.
Ce que le texte réussit
Il déplace la question du « qui a le droit d'entrer » vers le « qu'est-ce qu'on trouve en entrant ». En liant l'interdiction aux fonctionnalités plutôt qu'au nom des services, il donne aux plateformes une porte de sortie légale : concevoir une version sans profilage ni défilement sans fin.
Il inscrit la protection de la vie privée dans la loi, pas seulement dans les discours. L'article 28 pose que toute mesure de vérification d'âge doit être une preuve à divulgation nulle de connaissance, un mécanisme cryptographique qui répond oui ou non sans rien révéler d'autre, et interdit que la solution permette d'identifier, de localiser, de suivre ou de profiler.
Il donne un rôle aux parents sans leur faire porter tout le poids. Le 14 août, le Conseil constitutionnel français a censuré l'interdiction des réseaux sociaux aux moins de 15 ans votée en France, en relevant notamment l'absence de toute place pour les parents, l'absence de condition liée aux fonctionnalités, et l'absence de garanties légales encadrant la preuve d'âge exigée de tous, majeurs compris. Le texte européen semble avoir été écrit en tenant compte de ces trois griefs. La Commission cite d'ailleurs cette censure dans sa communication.
Ce que le texte laisse ouvert
Le cœur technique n'est pas écrit. L'article 30 renvoie le schéma européen de vérification d'âge à des actes d'exécution que la Commission adoptera plus tard. Ce sont eux qui décideront si la preuve d'âge est légère ou pesante.
La solution existante ne tient pas encore la promesse du texte. La spécification technique de l'application européenne fait de la preuve à divulgation nulle la méthode préférée, mais impose aussi aux services d'accepter un mode de repli qui n'a pas cette propriété, parce que les téléphones plus anciens ne savent pas générer ces preuves. Une partie des vérifications se fera donc sans la garantie que l'article 28 présente comme obligatoire. Mi-septembre, l'application était encore en phase pilote.
Le contournement est admis. Le modèle de menaces officiel de cette même solution classe en risque résiduel accepté le cas d'un adulte qui passe le contrôle à la place d'un enfant, et celui d'un mineur qui utilise le téléphone d'un adulte. La Commission écrit elle-même qu'aucun système de vérification d'âge n'est totalement à l'abri du contournement.
Le lien parent-enfant est le maillon faible. Prouver un âge sans rien révéler d'autre, la cryptographie sait faire. Prouver qu'un adulte donné exerce l'autorité parentale sur un enfant donné, c'est un autre problème, que le texte renvoie aux registres nationaux et, en attendant, à la parole de l'adulte.
Une partie de la population risque de rester dehors. Le document d'impact reconnaît, au conditionnel, que les personnes sans passeport ni carte d'identité, sans téléphone capable de lire une puce sans contact, ou en situation de neurodivergence ou de déclin cognitif pourraient être exclues. Il renvoie la réponse aux États, qui devront prévoir des guichets physiques.
Les chiffres qui permettraient de juger manquent. Ni le nombre d'entreprises concernées, ni le nombre de comptes de mineurs à fermer ou à convertir, ni le taux d'erreur attendu de la vérification ne sont estimés. L'étude externe qui fonde le raisonnement économique est annoncée pour le dernier trimestre 2026, après la proposition qu'elle est censée étayer. Et le contrôleur européen de la protection des données n'avait pas rendu son avis au moment de l'adoption.
Le seuil a glissé. Le groupe d'experts mandaté par la présidente de la Commission recommandait 13 ans. Le texte retient 15, au nom de la vulnérabilité des adolescents et de l'harmonisation du marché intérieur, qui est sa base juridique. L'étude longitudinale citée dans le document d'impact valide pourtant le seuil de 13 ans.
Une proposition, pas encore une loi
Rien de tout cela ne s'applique aujourd'hui. Le texte est une proposition de règlement, soumise à la procédure législative ordinaire : le Parlement européen et le Conseil, qui réunit les États membres, doivent chacun arrêter leur position, puis s'accorder sur une version commune. Tout peut encore bouger, à commencer par le seuil : le Parlement demandait 16 ans dans sa résolution de novembre 2025, et le groupe des Conservateurs et réformistes européens conteste déjà que Bruxelles impose le même modèle à toutes les familles.
L'harmonisation est totale. Un État membre ne pourra pas fixer d'âge plus élevé. Or dix-sept États préparent ou négocient un texte national. Leur marge de manœuvre sera l'un des enjeux de la négociation.
Une fois le règlement adopté et entré en vigueur, l'essentiel s'appliquera six mois plus tard, certaines dispositions après douze mois. Dans la version publiée, ces délais figurent encore entre crochets. D'ici là, la vérification d'âge reste, en droit européen, affaire de lignes directrices et de recommandations non contraignantes.
Une question aux abonnés, en commentaire : à qui accepteriez-vous de prouver votre âge en ligne ? Un tiers public, votre banque, votre opérateur, votre État, personne ? Les réponses orienteront ce que j'irai vérifier pour la suite.
Pour vérifier
La proposition de règlement, la communication qui l'accompagne et le document d'analyse d'impact sont publics sur le site de la Commission. La spécification technique et le modèle de menaces de l'application européenne de vérification d'âge sont sur le dépôt public du portefeuille d'identité européen. La décision du Conseil constitutionnel du 14 août 2026 permet de comparer avec l'approche française censurée.
Je m'appelle Damien Van Achter, Je suis journaliste, prof et consultant. Je coordonne les programmes d'innovation et le lab entrepreneurial de l'IHECS, à Bruxelles. Depuis 2005, j'analyse comment fonctionnent nos systèmes informationnels et les enjeux démocratiques qu'ils engendrent.
Au cours du temps, j'ai développé des outils d'analyse qui repèrent les pièges tendus par les entreprises de la tech et certains états, et j'explore des pistes pour en sortir, de manière constructive et avec discernement.
J'explique ici ma démarche, inspirée notamment des travaux de l'historien Timothy Snyder, comment ces analyses sont produites techniquement et humainement, ainsi que leurs limites.
On t'a transféré ce mail ? Tu peux t'abonner en 1 clic pour recevoir mes prochains articles. L'accès est gratuit, je te demande juste ton mail pour pouvoir commenter et poursuivre la conversation.
Tu as des remarques, des suggestions, ou tu veux discuter d'une idée pour avancer dans tes propres projets ?
Jette un oeil à mon agenda 📆
Tu peux aussi te connecter sur LinkedIn, Instagram, Bluesky, Mastodon ou Facebook.
@davanac