En interdisant les réseaux sociaux aux mineurs de 15 ans, la France cède l'âge à Apple et Google
L'interdiction française des réseaux sociaux aux moins de 15 ans ressemble à une mesure de protection de l'enfance. Suivez le mécanisme : elle installe la vérification d'âge comme couche horizontale fournie par Apple et Google, et chaque acteur du numérique grand public en héritera.
La France est en train de faire quelque chose de plus radical qu'interdire Instagram aux enfants. Elle déplace l'endroit où réside l'âge.
Jusqu'ici, la vérification d'âge était une fonctionnalité greffée sur des services précis : un casino en ligne, un caviste en ligne, un portail de contenus pour adultes, chacun gérait son propre sas, et le reste du web ne présumait rien de votre âge. La décision française d'interdire les réseaux sociaux aux moins de 15 ans brise cette hypothèse. Dès lors qu'une catégorie entière de services grand public doit connaître l'âge de ses utilisateurs, l'âge devient un attribut de la personne plutôt qu'une caractéristique du service à risque. C'est un changement de catégorie, et la plupart des équipes produit ne l'ont pas encore intégré.
Suivez le mécanisme, car il raconte toute l'histoire. Le texte a été adopté par l'Assemblée nationale puis par le Sénat ; il ne reste que la promulgation, puis le délai de statu quo pendant lequel la France notifie le dispositif à la Commission européenne, l'examen qui a déjà ralenti ses précédentes lois de contrôle d'âge. Le calendrier fixé par le législateur bloque la création de nouveaux comptes pour les moins de 15 ans dès la rentrée scolaire, ferme les comptes existants au 1er janvier 2027, et étend l'interdiction du téléphone à l'école jusqu'au lycée. L'adoption n'est plus la question ouverte ; l'entrée en vigueur, si. Les autorités françaises ont déjà légiféré sur des sas d'âge par le passé et vu l'application traîner pendant que Bruxelles examinait les mécanismes. Mais ce qui survit, quel que soit le calendrier, est structurel. Si chaque réseau social doit confirmer qu'un utilisateur a 15 ans ou plus, et que la même logique s'étend ensuite à la loi suivante puis à celle d'après, aucune application ne peut porter seule le coût du contrôle. Le contrôle doit remonter vers une couche à laquelle chaque application fait déjà confiance. Sur un téléphone, il n'en existe qu'une seule : le système d'exploitation.
Ce n'est pas une expérience de pensée propre à la France, et le précédent figure déjà dans les textes de loi ailleurs. Les États-Unis légifèrent directement sur ce verrou : l'App Store Accountability Act de l'Utah et son équivalent texan imposent tous deux la vérification d'âge aux boutiques d'applications d'Apple et de Google et obligent la boutique à transmettre un signal d'âge aux développeurs. L'interdiction australienne des réseaux sociaux aux moins de 16 ans emprunte la voie de la demande que la France reprend à son compte, en excluant purement les jeunes adolescents. Et au Royaume-Uni, les lignes directrices de l'Ofcom sur la vérification d'âge au titre de l'Online Safety Act exigent déjà des contrôles d'âge « hautement efficaces » sur une liste croissante de services. Le signal se déplace de la même manière partout : vers le bas, jusqu'à une couche que chaque application peut lire.
Qui possède désormais l'âge de vos utilisateurs ?
Voici la réponse qui dérange. Si le signal d'âge est attesté par la plateforme et simplement lu par l'application, les deux entreprises qui fournissent les systèmes d'exploitation mobiles du monde entier deviennent l'autorité émettrice d'un nouvel attribut d'identité. Votre parcours d'inscription cesse de mesurer l'âge et se met à lire une valeur transmise depuis Cupertino ou Mountain View. L'âge devient héréditaire, comme une langue système ou une police par défaut, et votre produit en hérite, que vous l'ayez demandé ou non.
La commodité est réelle. Une API de tranche d'âge bien conçue peut confirmer une fourchette, ce compte a moins de 15 ans, celui-là plus de 18, sans faire transiter un scan de pièce d'identité vers chaque développeur qui la demande. L'attestation respectueuse de la vie privée fonctionne : les techniques permettant de prouver un seul fait sur soi sans exposer le document source sont bien maîtrisées, et les régulateurs, la CNIL en tête, les attendent de plus en plus. Toute entreprise pour qui l'identité est un enjeu central de son produit devrait mener ce travail de stratégie technique avant que la règle ne s'impose à elle, pas après.
C'est la dépendance qu'il faut regarder en face. Un verrou est un point de passage obligé pour chaque transaction, et l'attestation d'âge au niveau du système d'exploitation en crée un nouveau. Quand un signal dont votre activité dépend est émis par un acteur qui contrôle l'accès, c'est lui qui fixe les conditions : la forme de l'API, les tranches d'âge, la procédure d'appel, les cas qu'il refuse tout simplement d'attester. Les entreprises qui ont passé une décennie à apprendre ce que coûtent les commissions des boutiques d'applications sont sur le point d'apprendre la même leçon à propos de l'identité.
Apple et Google accepteront-ils vraiment ce rôle ?
C'est là que mon propre raisonnement mérite d'être bousculé. Une émission propre au niveau du système suppose que les plateformes veuillent endosser ce rôle, et elles ont construit l'inverse. Le dispositif d'Apple transmet aux applications une tranche d'âge déclarée et laisse la décision sur le contenu à l'application plutôt que de vérifier l'identité au niveau de la boutique. Examinez l'architecture, et le motif saute aux yeux : collecter la date de naissance de chaque utilisateur constitue précisément le risque pour la vie privée que les régulateurs prétendent combattre, et aucune des deux entreprises ne veut être celle qui détient cette base de données. Cette réticence est une gestion du risque juridique déguisée en principe. Quiconque atteste l'âge assume les faux négatifs, l'adolescent de 14 ans qui passe entre les mailles et la mise en cause qui suit. Le scénario réaliste à court terme est donc plus confus qu'un signal transmis proprement depuis le système. Attendez-vous à une bataille sur le partage de responsabilité : la boutique atteste une fourchette large, l'application reste sommée de vérifier, le régulateur tient les deux pour responsables, et les tribunaux passeront des années à trancher qui a été négligent le jour où un mineur sera passé au travers. Le verrou se forme quand même. Simplement, il se forme par le contentieux et le renvoi de responsabilité plutôt que par une architecture propre, ce qui est pire pour tout le monde en aval, car l'ambiguïté coûte plus cher à contourner qu'une règle claire n'aurait jamais coûté.
Qu'est-ce que l'attestation de tranche d'âge, et pourquoi une entreprise étrangère aux réseaux sociaux devrait-elle s'en soucier ?
L'attestation de tranche d'âge est un signal qui confirme la fourchette d'âge d'un utilisateur sans révéler son identité ni sa date de naissance. Le sujet dépasse largement les réseaux sociaux, car dès que la plomberie existe, le législateur s'en saisit. Le schéma est déjà visible : une fois qu'une juridiction accepte le contrôle d'âge pour une catégorie de service, la pression politique et juridique pour l'étendre, portée par une inquiétude publique croissante sur ce à quoi les enfants sont exposés en ligne, ne reste pas cantonnée à ce secteur. Elle transpose en ligne, dans son intégralité, les normes de contrôle d'âge du monde physique, et fait de « filtrer par âge » une hypothèse de conception par défaut pour les produits grand public plutôt qu'un cas marginal.
La vraie question de planification n'a donc rien à voir avec le fait que votre application soit ou non un réseau social. Elle est de savoir si vous construisez quelque chose qu'un régulateur pourrait un jour juger inadapté à un enfant de 14 ans sans supervision. Si la réponse est peut-être, vous êtes déjà dans la zone d'impact, et l'âge doit figurer dans votre modèle de données comme un attribut de premier rang, fourni de l'extérieur, plutôt que comme une case à cocher sur un formulaire d'inscription. C'est la même discipline que celle qui consiste à mettre de l'ordre avant de construire.
Il y a un coût que personne n'a soumis au débat. Une interdiction des moins de 15 ans qui fonctionne suppose une attestation d'âge quasi universelle, et une attestation quasi universelle érode l'anonymat pratique en ligne, effet secondaire du fait que chaque plateforme grand public pose désormais la même question à l'entrée. L'anonymat se maintient mieux quand vérifier l'âge est l'exception. Faites-en la règle, et l'exception disparaît, discrètement, sans que personne ne s'en aperçoive.
La démarche stratégique découle de ce désordre. Partez du principe qu'on vous transmettra une tranche d'âge fournie par la plateforme, et que cela ne suffira pas à dégager votre propre responsabilité. Modélisez l'âge comme un attribut fourni de l'extérieur dès aujourd'hui, exploitez le signal que propose le système d'exploitation, mais conservez une voie de vérification indépendante et une trace d'audit pour le jour où un régulateur vous demandera ce que vous saviez, et depuis quand. Construisez cela maintenant, cela vous coûtera une réunion de conception. Négligez-le, et cela reviendra sous la forme d'une convocation au tribunal.
Questions fréquentes
L'interdiction française des réseaux sociaux aux moins de 15 ans s'applique-t-elle aux entreprises hors des réseaux sociaux ?
Pas directement, mais le mécanisme, si. Une interdiction générale impose la vérification d'âge à toute une catégorie de produits grand public, ce qui pousse le signal d'âge vers le système d'exploitation, où n'importe quelle application peut le lire. Une fois cette plomberie en place, il faut s'attendre à ce qu'elle soit étendue à d'autres catégories : toute entreprise grand public devrait donc, dès maintenant, modéliser l'âge comme un attribut fourni de l'extérieur.
Peut-on vérifier l'âge d'un utilisateur sans collecter son identité ?
Oui. L'attestation de tranche d'âge confirme la fourchette dans laquelle se situe un utilisateur, par exemple moins de 15 ans ou plus de 18 ans, sans révéler son nom ni sa date de naissance. Les techniques cryptographiques permettant de prouver un seul attribut tout en dissimulant le document source sont matures, ce qui explique pourquoi les signaux d'âge au niveau des plateformes deviennent l'architecture par défaut plutôt qu'un simple téléversement de justificatifs généralisé.
Quel est le risque commercial de s'appuyer sur l'attestation d'âge du système d'exploitation ?
Une dépendance que vous ne maîtrisez pas totalement, et une responsabilité que vous ne pouvez pas totalement transférer. Si ce sont les plateformes qui attestent l'âge, elles fixent la forme de l'API, les tranches d'âge, la procédure d'appel et les cas qu'elles refusent d'attester. Or Apple et Google ont jusqu'ici résisté à endosser ce rôle, si bien que l'arrangement le plus probable laisse la boutique d'applications et l'application elles-mêmes exposées. Traitez ce signal comme une dépendance stratégique, conservez votre propre voie de vérification et une trace d'audit, et ne présumez pas que le signal du système d'exploitation vous décharge de votre obligation.
À lire aussi
- Sur Ubuntu 26.04 LTS, le coreutils dont dépend votre build n'est plus du GNU
- La prime de souveraineté : pourquoi les entreprises paient plus cher une IA qu'aucun gouvernement étranger ne pourra couper
- Le Secret des Affaires se Perd des Années Avant la Démission. Demandez au Poulet Faccenda.
- Security & Trust
Rédigé par un persona éditorial IA du système éditorial propriétaire d'Abyshire et relu par notre équipe.