Proposition d’interdiction aux moins de 15 ans dans l’UE : analyse de la refonte de la vérification de l’âge de Reuters

Une loi sur la sécurité des enfants est généralement présentée comme une leçon de morale. Pour les équipes produit, elle devient un écran d’inscription, un modèle d’autorisations, une décision de conservation des données, et plusieurs réunions avec les juristes qui, mystérieusement, tombent toutes le vendredi. Reuters a rapporté que l’Union européenne s’apprête à proposer des restrictions visant l’utilisation des réseaux sociaux et des chatbots d’IA par les moins de 15 ans. La question pratique n’est pas de savoir si Bruxelles s’inquiète pour les enfants en ligne. Elle est de savoir si votre parcours d’accueil peut distinguer une personne de 14 ans d’une personne de 15 ans sans collecter plus de données personnelles que l’équipe confidentialité ne peut le défendre.

Ce que Reuters annonce

Selon Reuters, l’Union européenne proposera une interdiction restreignant l’accès des moins de 15 ans aux réseaux sociaux, aux plateformes de partage de vidéos, aux chatbots d’IA et aux jeux en ligne. SRN News, qui reprend le reportage de Reuters, indique que la proposition fait partie d’un EU Kids Act que la présidente de la Commission européenne, Ursula von der Leyen, et la responsable européenne du numérique, Henna Virkkunen, présenteront jeudi, von der Leyen pouvant annoncer des détails dans son discours sur l’état de l’Union mercredi. Cela reste une proposition, et non une règle applicable, ce que LinkedIn aura oublié avant l’heure du déjeuner.

SRN News rapporte qu’un document de la Commission européenne formulait ainsi l’objectif politique : « L’approche de l’Union devrait permettre aux mineurs de bénéficier de l’immense potentiel des services numériques, tout en les protégeant contre les abus et l’exploitation. Elle doit limiter l’accès des entreprises technologiques à nos enfants, et non l’inverse. » Cette phrase porte beaucoup de poids. En termes de conformité, elle indique une orientation vers une restriction par défaut de l’accès des entreprises aux mineurs, et non simplement l’ajout d’une page de contrôle parental enfouie à trois clics.

Qui est concerné, du moins d’après les éléments du projet

Reuters identifie les catégories touchées comme les réseaux sociaux, les plateformes de partage de vidéos, les chatbots d’IA et les jeux en ligne. SRN News note que les préoccupations se sont concentrées sur de grands services, notamment Facebook et Instagram de Meta, TikTok, YouTube de Google et ChatGPT. Cette liste n’est pas qu’un exercice de dénomination. Elle indique aux équipes d’IA grand public que l’accès aux chatbots est traité aux côtés des fils d’actualité, de la vidéo et des jeux, et non comme une simple zone de texte inoffensive parce qu’elle s’exprime en phrases complètes.

Ground News rapporte que le projet étendrait les règles de sécurité dès la conception aux jeux vidéo et aux chatbots d’IA, obligerait les entreprises à vérifier l’âge des utilisateurs, et imposerait des outils permettant aux enfants de signaler les contenus nuisibles. Il rapporte également que les entreprises paieraient des frais de supervision pour financer l’application des règles, tout en évitant les conceptions addictives et les fils nuisibles. Traduisez cela en travail produit : vérification de l’âge à la création du compte, paramètres par défaut propres aux mineurs, parcours de signalement utilisables par les enfants, et revues de conception pour les fils ou boucles d’engagement qui optimisent actuellement le temps passé. Si votre réponse interne est que l’âge se trouve dans une base de données marketing et que l’équipe confiance et sécurité s’occupera du reste, les avocats ne vont pas apprécier ce schéma d’architecture.

Les tranches d’âge sont l’exigence produit

The Edge Malaysia, citant un reportage de Bloomberg News sur un document de politique publique, indique que l’UE établirait un âge minimum de 15 ans pour ouvrir un compte autonome, c’est-à-dire un compte sans supervision parentale. Ground News rapporte un modèle par paliers : les moins de 3 ans n’ont aucun accès, les enfants de 3 à 12 ans nécessitent un contrôle parental complet pour les services adaptés aux enfants, les utilisateurs de 13 à 14 ans peuvent demander des comptes d’introduction limités, et les 15 ans et plus gèrent leurs propres profils. Ce n’est pas une simple barrière d’âge. Ce sont quatre états de compte qui se font passer pour un slogan politique.

Pour les équipes de construction produit, la refonte commence par les parcours de compte. Un service devrait décider s’il peut proposer aucun accès, un accès adapté aux enfants, un accès supervisé, un accès d’introduction restreint et un accès autonome sans créer de failles entre eux. Les équipes de chatbots d’IA ont un problème supplémentaire : le contrôle d’accès ne suffit pas si le même comportement de modèle, les mêmes paramètres de mémoire, la même personnalisation et les mêmes filtres de contenu s’appliquent à toutes les tranches d’âge. Le travail utile maintenant consiste à cartographier les fonctionnalités qui appartiennent à chaque état d’âge, puis à documenter pourquoi.

Ce qui n’est pas encore une loi, et ce qui devrait quand même avancer

Ground News indique que la Commission doit négocier le projet avec les pays de l’UE et le Parlement européen dans les mois à venir avant qu’il ne devienne loi. The Edge Malaysia note aussi que le document est un projet qui pourrait changer avant publication. Donc non, la loi n’exige pas encore une fermeture immédiate, à l’échelle de l’UE, de tous les comptes de moins de 15 ans. Elle signifie en revanche que les équipes qui servent des mineurs en Europe devraient cesser de traiter la vérification de l’âge comme un futur exercice d’achat.

Le mouvement le plus sûr à court terme n’est pas de deviner le texte final. C’est de rendre votre système assez adaptable pour qu’une personne de 13 ans, une de 14 ans et une de 15 ans ne tombent pas toutes dans le même panier. Construisez la taxonomie des comptes, définissez les autorisations supervisées par rapport aux autorisations autonomes, testez les fournisseurs de vérification de l’âge au regard des exigences de confidentialité, et séparez les contrôles d’accès aux chatbots du statut général du compte. Si la proposition se resserre, ce travail améliorera tout de même la gouvernance. Si elle s’élargit, vous serez heureux que votre expérience pour mineurs ne soit pas un tas de feature flags nommés d’après une réunion de panique.