KIDS Act : l’Europe veut reprendre en main la protection des mineurs face aux services numériques

L’Europe en a assez des réseaux sociaux addictifs, des plateformes vidéo qui captent l’attention des plus jeunes et des algorithmes qui les enferment dans des contenus toujours plus extrêmes. Avec le KIDS Act, la Commission veut reprendre la main : retarder l’accès à certains services, supprimer les mécanismes les plus nocifs et imposer un environnement protecteur jusqu’à 18 ans. Les jeux en ligne, les chatbots et les compagnons IA sont également dans son viseur.

EU KIDS Act pour EU Keeping Internet Digital Spaces Accountable and Trustworthy.

Tel est le petit nom de la proposition de règlement dévoilé ce jour, 17 septembre 2026, par la Commission européenne. Il ne s’agit que d’une proposition : le texte doit encore être examiné par le Parlement européen et le Conseil, être discuté politiquement et adopté. Son contenu pourra donc évoluer.

Le projet part d’un constat : les enfants accèdent de plus en plus tôt à des services conçus pour capter leur attention, analyser leur comportement et prolonger leur temps de connexion. Ils y sont exposés à des contenus inadaptés, à des contacts non sollicités et à des systèmes de recommandation dont ils comprennent difficilement le fonctionnement et les enjeux.

L’apparition des compagnons IA et des chatbots conversationnels ajoute une dimension nouvelle. Le service ne se contente plus de sélectionner les contenus montrés à l’enfant : il dialogue directement avec lui, recueille ses confidences et peut simuler une relation sociale ou émotionnelle.

Le droit européen comporte déjà plusieurs instruments de protection, notamment le Digital Services Act, le RGPD et l’AI Act. Mais ces textes ne fixent pas de cadre général déterminant à quel âge un mineur peut créer un compte sur les services les plus risqués ni comment ces services doivent être conçus lorsqu’ils accueillent des enfants. Les initiatives nationales se multiplient par ailleurs, avec le risque de voir apparaître des règles différentes d’un État membre à l’autre.

Des réseaux sociaux à l’IA : quels sont les services visés par le Kids Act ?

Le KIDS Act est parfois présenté comme un texte sur les réseaux sociaux. C’est une erreur : son champ d’application est plus large. Le projet concerne les réseaux sociaux, certes, mais également d’autres acteurs tels que les plateformes de partage de vidéos, les jeux en ligne, les magasins d’applications, ainsi que certains systèmes d’intelligence artificielle.

Le projet de règlement renvoie aux définitions existantes autant que possible, et il propose quelques définitions supplémentaires telles que :

• L’« AI companion » : un système d’IA qui entretient avec l’utilisateur une interaction personnalisée et durable, simulant ou facilitant une relation sociale, émotionnelle ou interpersonnelle.
• Le « general conversational chatbot » : les systèmes d’IA à vocation générale capables de dialoguer directement avec l’utilisateur et de l’assister dans de multiples domaines. Les outils limités à une fonction spécialisée (service clientèle, support technique ou application éducative) sont exclus de cette définition.

Cette extension aux compagnons IA est significative. Pour un mineur, un chatbot ne constitue pas nécessairement un simple outil de recherche. Il peut devenir un confident, un conseiller ou le substitut d’une relation personnelle. Les risques ne sont donc pas seulement liés aux contenus affichés, mais également à la dépendance émotionnelle, à la manipulation et à la collecte d’informations particulièrement intimes.

13 ans, 15 ans, 18 ans : le Kids act adopte une approche progressive

Le KIDS Act organise une progression en fonction de l’âge, principalement autour de la possibilité de créer et d’utiliser un compte sur les réseaux sociaux et plateformes de partage de vidéos présentant certaines fonctionnalités à risque. Sont notamment concernés les services qui permettent de communiquer avec des inconnus ou de diffuser du contenu en direct, qui utilisent des systèmes de recommandation fondés sur le profilage, ou qui comportent des mécanismes susceptibles d’encourager une consommation ininterrompue.

Avant 13 ans, le mineur ne pourrait pas disposer de son propre compte sur ces services. Certaines plateformes vidéo spécialement conçues pour les enfants pourraient néanmoins lui donner un accès limité au moyen du compte d’un parent, sous le contrôle de celui-ci.

Entre 13 et 15 ans, le mineur ne pourrait toujours pas créer de compte autonome. Un parent pourrait toutefois ouvrir un compte permettant à l’enfant d’utiliser le service avec des fonctionnalités limitées. Les outils de contrôle parental resteraient activés, le temps d’utilisation pourrait être plafonné à une heure par jour et les nouveaux contacts devraient pouvoir être préalablement approuvés.

À partir de 15 ans, l’adolescent pourrait créer et utiliser son propre compte sans autorisation parentale.

Agir dès la conception des services, à l’instar de la logique suivie en matière de RGPD, IA ou DSA

Le KIDS Act ne réglemente pas seulement l’accès : il veut aussi influer sur la manière dont les services sont conçus.

Les réseaux sociaux et plateformes vidéo ne pourront plus organiser leurs services d’une manière destinée à créer une addiction, une utilisation compulsive ou excessive par les mineurs. Les procès Meta aux Etats-Unis et ailleurs, et les transactions pénales à coups de milliards, montrent à quel point ce sujet est sensible.

Le texte vise notamment le défilement infini, certaines notifications artificielles et certains mécanismes de récompense.

Les systèmes de recommandation devraient également être adaptés. Les préférences expressément indiquées par le mineur devraient recevoir davantage de poids, tandis que les recommandations reposant sur son comportement implicite seraient désactivées par défaut.

D’autres paramètres devraient être protecteurs dès l’origine : comptes privés, géolocalisation désactivée, accès à la caméra et au microphone limité, contacts non sollicités empêchés et mécanismes de signalement facilement accessibles.

La « vérification » de l’âge et « l’estimation » de l’âge

La vérification de l’âge établit avec un degré élevé de certitude qu’un utilisateur a atteint un âge déterminé. Elle repose sur un document d’identité ou sur une autre source fiable et vérifiée.

L’estimation de l’âge permet seulement de conclure, à partir de certains indices, que l’utilisateur appartient probablement à une tranche d’âge. Le texte ne précise pas les techniques à utiliser mais on songe aux comportements, aux sujets d’intérêt, aux contenus visités, commentés, ou postés, aux liens établis avec d’autres utilisateurs, etc.

Pour créer un compte soumis aux seuils de 13 ou 15 ans, une véritable vérification est obligatoire. Une estimation ne suffit pas.

Pour les règles de safety by design, les protections réservées aux mineurs s’appliquent par défaut. Le service ne peut les désactiver qu’après avoir établi que l’utilisateur est adulte. Il peut alors recourir à une méthode plus souple que la vérification formelle, à condition qu’elle soit suffisamment fiable : une estimation de l’âge. Le concept prend toute son importance à partir de 15 ans, âge auquel le mineur peut ouvrir son compte seul,

Il reste la question pratique : comment établir l’âge de l’utilisateur lorsque l’âge doit être vérifié ?

Il n’existe aujourd’hui aucun système paneuropéen permettant à un internaute de prouver simplement son âge en ligne.

Les États membres ont manqué de vision il y a 25 ans. Lors du développement des cartes d’identité électroniques, ils auraient dû prévoir une fonction de la puce permettant de certifier l’âge (« j’ai X ans ») sans communiquer ni l’identité ni la date de naissance ni aucune autre information. Cette fonction n’a pas été conçue à l’époque, alors que le besoin était déjà là et identifié.

En pratique, les services en ligne se contentent souvent de demander à l’utilisateur de confirmer qu’il a l’âge requis. Cette autodéclaration est largement fictive : il suffit à un enfant de modifier sa date de naissance ou de cocher la bonne case. Le KIDS Act refuse dès lors de la considérer comme une méthode suffisante de contrôle de l’âge.

La difficulté est considérable. Notamment :

1.

Pour empêcher un utilisateur trop jeune d’accéder à un service, il faut en réalité contrôler l’âge de tous ceux qui souhaitent y accéder, y compris les adultes. Or, à distance, établir l’âge d’une personne suppose généralement de vérifier un document d’identité, de consulter une source fiable ou de s’appuyer sur un acteur qui a déjà identifié cette personne. C’est techniquement complexe, et tout le monde n’a pas nécessairement envie de révéler au certificateur d’âge les sites qu’il visite ou les services numériques qu’il apprécie.

2.

Le risque pour la sécurité des données ne peut être sous-estimé. Si chaque réseau social ou plateforme conserve une copie des documents d’identité de ses utilisateurs, on multiplie les bases de données extrêmement attractives pour les pirates. Les fuites de données récentes montrent pourtant que même de grandes organisations ou Etats ne sont pas à l’abri. Si la protection des mineurs expose davantage et inutilement les données de l’ensemble de la population, le remède est peut-être pire que le mal.

3.

Une solution européenne doit également tenir compte de la diversité des États membres. Tous ne disposent pas des mêmes cartes d’identité électroniques, des mêmes registres publics ou du même degré de maturité numérique. Tous les citoyens ne possèdent pas davantage un smartphone compatible ou une identité électronique utilisable en ligne.

4.

C’est dans ce contexte que la Commission développe l’EU Age Verification Blueprint. Il s’agit d’un modèle technique accompagné de logiciels open source. Les États membres et des opérateurs privés peuvent s’en servir pour développer une application spécialisée de vérification de l’âge qui pourra ensuite être intégrée aux futurs portefeuilles européens d’identité numérique.

Le système comporterait deux étapes.

• Dans un premier temps, un émetteur autorisé vérifierait l’âge de l’utilisateur. Il pourrait s’appuyer sur une carte d’identité ou un passeport, sur une identité électronique nationale, sur un registre public ou encore sur des informations déjà vérifiées par une banque ou un opérateur de télécommunications. Le Blueprint envisage également une vérification physique dans un bureau de poste ou un guichet public. Les émetteurs pourraient être des organismes publics ou des entreprises privées. Ils devraient cependant être certifiés par une autorité publique et figurer sur une liste européenne d’acteurs reconnus. La plateforme pourrait ainsi vérifier que l’attestation provient d’un émetteur autorisé sans devoir contacter directement le registre, la banque ou l’administration qui connaît l’identité de l’utilisateur.
• Après ce contrôle, l’émetteur placerait dans l’application de l’utilisateur une attestation électronique certifiant uniquement qu’il dépasse un seuil déterminé. Lorsque l’utilisateur voudrait créer un compte sur un réseau social, l’application transmettrait par exemple l’information « plus de 15 ans : oui ». La plateforme ne recevrait ni son nom, ni sa date de naissance, ni le document utilisé pour établir son âge.

La séparation entre les deux est essentielle.

Le certificateur connaît l’identité et l’âge de l’utilisateur, mais il ne doit pas savoir où celui-ci utilise sa preuve d’âge. Il ne devrait donc pas apprendre que telle personne consulte un site pornographique, joue en ligne ou utilise un service déterminé.

Inversement, les plateformes ne doivent pas pouvoir utiliser la preuve pour suivre l’utilisateur d’un service à l’autre. Le système doit uniquement leur confirmer que le seuil requis est atteint.

Pour assurer cette séparation, le projet prévoit des preuves à usage unique et des mécanismes cryptographiques permettant de certifier, par exemple, que l’utilisateur a plus de 18 ans sans transmettre son identité et sans permettre de retracer les autres utilisations de cette preuve.

Les spécifications et une première implémentation sont disponibles en open source, et plusieurs États membres expérimentent la solution. Mais il ne s’agit pas encore d’un système paneuropéen opérationnel : les applications nationales doivent être déployées, les émetteurs désignés et certifiés, et les règles de gouvernance finalisées.

Surtout, la technologie ne supprime pas toutes les difficultés. Pour délivrer la preuve, un acteur devra bien, à un moment donné, connaître ou vérifier l’identité et l’âge de l’utilisateur. Tout dépendra donc de ce qu’il conservera ensuite. Si les documents d’identité, les données biométriques ou l’historique des attestations sont stockés, l’émetteur pourrait devenir à son tour une cible particulièrement attractive.

Il faudra également prévoir des solutions pour les personnes qui ne disposent pas d’une identité électronique, d’un smartphone compatible ou d’un compte auprès d’un opérateur participant. Le Blueprint prévoit plusieurs méthodes, y compris une vérification en personne, mais leur disponibilité dépendra des choix effectués dans chaque État membre.

La question des contenus préjudiciables, en particulier les sites pornographiques, a-t-elle été mise au placard ?

Le contenu préjudiciable ne doit pas être confondu avec le contenu illégal.

Un contenu illégal est interdit en toute circonstance, quel que soit l’âge : incitation à la haine par exemple.

Un contenu préjudiciable peut être licite pour les adultes tout en étant considéré comme dangereux ou inadapté pour les mineurs. La pornographie en constitue l’exemple le plus évident.

Le KIDS Act ne crée pas de seuil européen harmonisé pour l’accès aux contenus préjudiciables : « This should be without prejudice to Union laws or national laws in accordance with Union law, establishing a higher minimum age for specific categories of content such as pornographic or gambling content. »

Le KIDS Act ne fixe donc ni un seuil européen de 18 ans pour l’accès à la pornographie, ni une obligation générale de contrôle à l’entrée des sites pornographiques. Ces questions restent régies par le droit de chaque État membre. Un site accessible sans création de compte échappe ainsi au régime européen des comptes à 13 et 15 ans.

La diversité des règles nationales continuera donc à régner en cette matière, avec son cortège de questions juridiques liées à la clause de marché intérieur.

Le Blueprint pourra néanmoins être utilisé pour appliquer les seuils nationaux.

Plus d’infos :

La proposition de règlement est jointe.

Voyez aussi :

https://digital-strategy.ec.europa.eu/en/policies/kids-act

https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1890

https://digital-strategy.ec.europa.eu/en/policies/kids-act

https://digital-strategy.ec.europa.eu/en/faqs/kids-act-explained

Vous avez besoin d'un avis personnalisé
ou d'une aide juridique ?

Contactez-nous