Trente ans. C’est à peu près le temps que j’attends un texte sérieux sur l’accès des mineurs aux réseaux sociaux et aux contenus les plus toxiques du web.

J’ai commencé dans cette industrie en 1992, à l’époque où le mot « internet » ne disait rien à personne en France, où le Minitel régnait encore et où les premiers fournisseurs d’accès se comptaient sur les doigts d’une main. J’ai vu naître le meilleur : la connaissance à portée de tous, l’effondrement des barrières à l’entrée, des gamins de province capables de coder mieux que des ingénieurs diplômés. Et j’ai vu, en coulisses, tout ce qui se fait de pire.

C’est cette double expérience qui structure ma position. Elle n’est pas confortable, elle ne plaît ni aux libertaires du réseau ni aux sécuritaires de plateau télé. Tant pis.

Ce que trente ans de métier m’ont appris sur le « pire » de l’internet

Quand on tient une infrastructure, on ne voit pas le web des éditoriaux. On voit les logs, les signalements, les demandes des autorités, les contenus qu’on doit retirer en urgence. On voit ce que la majorité des utilisateurs ne croisera jamais et qu’un enfant de douze ans peut trouver en trois clics.

Quelques repères pour poser le décor, parce que l’indignation sans chiffres ne vaut rien :

• L’Arcom a établi que plus de 2,3 millions de mineurs se rendent chaque mois sur des sites pornographiques en France, soit environ 12 % de leur audience — et l’âge moyen de première exposition tourne autour de 10-11 ans.
• La CNIL relevait dès 2021 que plus d’un enfant sur deux entre 10 et 14 ans est déjà inscrit sur au moins un réseau social, alors que les conditions générales de la plupart d’entre eux fixent l’âge minimum à 13 ans.
• Le rapport Enfants et écrans remis à l’Élysée en avril 2024 par un collège d’experts recommandait très clairement : pas de téléphone avant 11 ans, pas de smartphone connecté avant 13 ans, pas de réseaux sociaux avant 15 ans.

Autrement dit : la règle existe déjà, elle est simplement fictive. Une case à cocher « j’ai plus de 13 ans » n’est pas un contrôle, c’est un alibi juridique. Depuis vingt ans, l’industrie s’en accommode très bien parce que le mineur est un utilisateur comme un autre : il regarde, il scrolle, il rapporte de la publicité.

D’où ma position, que ceux qui me suivent connaissent depuis longtemps :

J’ai toujours été favorable à l’identification préalable pour l’accès aux réseaux sociaux. Notamment pour tenter de protéger les plus vulnérables.

« Tenter ». Le verbe compte. Je n’ai jamais promis de miracle.

Le malentendu central : non, on ne vous demande pas votre carte d’identité

Depuis que le sujet est revenu au Parlement, je lis à peu près tout et n’importe quoi. Surtout n’importe quoi. La caricature dominante : « bientôt il faudra scanner sa carte d’identité pour ouvrir Twitter ». C’est faux, et cette caricature fait plus de mal au débat que les partisans les plus autoritaires du texte.

Personne ne demande de s’authentifier à chaque connexion. Ce qui est en jeu, c’est la vérification d’âge : un système tiers anonymisé, fondé sur le principe du double aveugle, qui prouve que vous êtes majeur sans livrer votre identité au réseau social.

Le double anonymat, concrètement

Le mécanisme n’a rien d’exotique. Il a été prototypé en France dès 2022 par la CNIL avec le PEReN, puis inscrit dans le référentiel technique de l’Arcom pris en application de la loi SREN de mai 2024. Il repose sur la séparation stricte de trois rôles :

1. Le fournisseur d’attribut (votre banque, votre opérateur mobile, France Identité, un tiers certifié) sait qui vous êtes, mais ignore le service auquel vous voulez accéder.
2. Le service en ligne reçoit une preuve cryptographique « cet utilisateur a plus de 15 ans » ou « plus de 18 ans », mais ignore qui vous êtes.
3. Aucun des deux ne peut recouper l’information sans la coopération active de l’autre, ce que le protocole rend justement impossible en fonctionnement normal.

Techniquement, on s’appuie sur des preuves à divulgation nulle de connaissance (Zero-Knowledge Proof), une famille de protocoles décrite dès 1985 par Goldwasser, Micali et Rackoff, et aujourd’hui parfaitement industrialisée. Le principe est contre-intuitif mais robuste : je peux vous prouver que je connais un secret sans jamais vous révéler ce secret. Appliqué ici : je prouve que je suis né avant une certaine date sans révéler ma date de naissance, ni mon nom, ni mon numéro de pièce d’identité.

Ajoutez-y les identifiants à usage unique non corrélables, et vous obtenez un système où même deux plateformes qui échangeraient leurs bases ne pourraient pas reconstituer votre parcours. C’est exactement l’architecture visée par le règlement européen eIDAS 2 (2024/1183) et le portefeuille d’identité numérique européen, dont le déploiement est attendu fin 2026 dans tous les États membres.

Ce que ce n’est pas

Ce n’est pas la fin de l’anonymat. Vous pouvez parfaitement être « @PseudoQuiFâche » sur un réseau social et avoir franchi une porte d’âge anonymisée. Ce n’est pas non plus un fichier central des internautes, ni une obligation de réauthentification permanente : une attestation d’âge a une durée de validité, comme un badge.

Et ce n’est pas une invention française. L’Australie a fait entrer en vigueur en décembre 2025 son interdiction des réseaux sociaux aux moins de 16 ans, la Commission européenne a publié en juillet 2025 ses lignes directrices sur la protection des mineurs au titre de l’article 28 du DSA, accompagnées d’un modèle d’application de vérification d’âge en marque blanche. Le mouvement est global. La France ne fait pas cavalier seul, elle rattrape un train.

Les objections sérieuses, celles qu’il faut regarder en face

Être favorable au principe ne m’oblige pas à avaler la mise en œuvre. Je n’ai jamais prétendu qu’un système informatique possédait une « intégrité irréfutable » — formule qui n’a d’ailleurs aucun sens sérieux en cybersécurité. Un système, ça se conçoit, ça se déploie, ça se corrompt, ça se contourne, et ça se maintient. Le diable est intégralement dans ces quatre verbes.

Les critiques que je prends au sérieux :

• Le contournement trivial. Un VPN à 3 euros par mois, un compte créé depuis une juridiction complaisante, et la porte d’âge saute. Les adolescents sont la population la plus rapide au monde pour découvrir un contournement. On protégera les 11 ans, pas forcément les 16 ans déterminés.
• La dérive de fonction. Une infrastructure construite pour vérifier l’âge peut être réutilisée demain pour vérifier autre chose. C’est la loi d’airain de toute base technique : ce qui est possible finit par être demandé. La question n’est pas « le gouvernement actuel est-il bien intentionné ? » mais « qu’en fera le gouvernement de 2035 ? ».
• L’exclusion. Des millions de personnes n’ont pas de pièce d’identité valide à jour, pas de compte bancaire, pas de smartphone récent. Toute barrière technique produit mécaniquement des exclus.
• La concentration du risque. Même en double aveugle, les fournisseurs d’attributs deviennent des cibles de très haute valeur. On a vu ces dernières années des fuites massives chez des opérateurs et des organismes de tiers payant en France. Prétendre qu’un maillon ne cédera jamais serait ridicule.
• L’effet cadeau aux géants. Le coût de conformité est marginal pour Meta ou TikTok, prohibitif pour une plateforme européenne de quinze salariés. On peut renforcer les positions dominantes en croyant les réguler.

Sur ce dernier point, je rejoins volontiers ceux qui, comme Fabrice Epelboin, démontrent que des architectures techniquement plus élégantes et plus respectueuses des libertés existaient — vérification côté terminal, attestation locale, signalisation par le système d’exploitation. Si des députés et des administrations avaient sérieusement travaillé le sujet plutôt que de légiférer sous le coup de l’émotion médiatique, le texte ressemblerait à cela.

Le vrai problème n’est pas la loi, c’est notre incapacité à faire fonctionner les systèmes

Voilà où je veux en venir, et c’est le point que presque personne n’aborde.

Je passe mon temps à observer des dispositifs numériques publics qui ne tiennent pas leurs promesses. Prenez la billettique ferroviaire, exemple trivial mais universel :

Une appli qui vous renvoie vers un site, qui vous renvoie vers un autre site, qui vous redemande tout. Voilà l’état de notre rail vu du guichet numérique. Mais je ne crois pas une seconde que le vrai problème soit une appli. Le problème, c’est un réseau à bout.

Transposez au contrôle d’âge. Sur le papier, le double aveugle est une merveille de cryptographie. Dans la vraie vie, ce sera : une application d’État, un fournisseur d’attribut privé, un guichet de médiation, une plateforme américaine qui implémentera le strict minimum, et un utilisateur perdu entre trois écrans de consentement qu’il cliquera sans lire.

Posons la question qui dérange : depuis l’informatique et l’internet, est-ce que tout est vraiment devenu plus simple, plus rapide, plus fiable pour le citoyen ordinaire ? Honnêtement ? Dans beaucoup de domaines, nous avons remplacé un guichet lent par un parcours numérique labyrinthique, et nous avons appelé ça « modernisation ».

C’est pourquoi j’attends du chef de l’État et du gouvernement autre chose que des éléments de langage. Il faut expliquer, publiquement et techniquement, comment fonctionnera ce contrôle d’âge : quels tiers, quel protocole, quelle durée de conservation, quel audit indépendant, quelle voie de recours, quel plan si un fournisseur est compromis. Sans cela, la défiance gagnera — et elle aura de bonnes raisons.

L’autre front : le chiffrement, les criminels et l’hypocrisie générale

La vérification d’âge n’est qu’une pièce d’un ensemble plus vaste. L’autre bataille, bien plus lourde de conséquences, porte sur le chiffrement des communications privées et le projet européen de règlement contre les abus sexuels sur mineurs, ce que ses adversaires appellent le « Chat Control ».

Ma position est là aussi inconfortable, et je l’assume. On ne peut pas laisser des organisations criminelles internationales et des réseaux terroristes disposer d’outils de communication chiffrés parfaitement étanches pour organiser leurs opérations, en le sachant, et ne rien faire. Ce serait une abdication.

Mais il faut dire aussi ce que personne ne dit dans les débats parlementaires :

Ce texte ne fait que rétablir en urgence ce qui est déjà une pratique courante dans l’industrie depuis un certain nombre d’années, en clandestinité : les communications privées sont déjà scannées et décryptées par de multiples opérateurs.

Le scandale n’est pas qu’on légifère. Le scandale, c’est qu’on ait laissé prospérer pendant vingt ans une zone grise où des acteurs privés faisaient déjà, sans mandat, sans contrôle et sans transparence, ce qu’on prétend aujourd’hui encadrer. Légaliser une pratique clandestine, c’est au moins la rendre contestable devant un juge.

Cela dit, l’argument technique des cryptographes reste imparable : une porte dérobée n’est pas sélective. Un affaiblissement du chiffrement pour attraper des criminels affaiblit aussi les journalistes, les avocats, les médecins, les dissidents et vos données bancaires. Un outil neutre sert toujours aux deux camps. En société, une boîte de Tic Tac est le meilleur moyen de transporter discrètement des substances : ce n’est pas une raison pour interdire les bonbons à la menthe, c’est une raison pour surveiller les gens, pas les contenants.

Toute la difficulté du législateur tient dans cette phrase. Viser les personnes soupçonnées, sous contrôle judiciaire, plutôt que scanner l’intégralité des correspondances de 450 millions d’Européens. La différence entre une démocratie et autre chose tient dans ce curseur.

Ce que je recommande concrètement

Aux parents

• N’attendez pas la loi. Elle mettra des mois à s’appliquer, et elle sera contournée. Le contrôle parental natif d’iOS et d’Android, gratuit, activable en dix minutes, fait déjà 80 % du travail.
• Retardez le smartphone personnel. Un téléphone simple avant 13 ans règle beaucoup de problèmes sans en créer.
• Parlez du contenu, pas seulement du temps d’écran. Un enfant qui sait qu’il peut raconter ce qu’il a vu sans être puni est mieux protégé qu’un enfant filtré.

Aux entreprises et aux éditeurs

• Anticipez le portefeuille d’identité européen : il arrive, il sera l’infrastructure de référence, et ceux qui auront bricolé une solution propriétaire perdront leur investissement.
• Exigez de vos prestataires de vérification d’âge une preuve d’architecture en double anonymat, pas un slogan marketing. Demandez le schéma cryptographique, pas la plaquette.
• Minimisez : ne collectez jamais une pièce d’identité que vous n’avez pas le droit d’exploiter. Une base de scans de cartes d’identité est une bombe à retardement juridique et réputationnelle.

Au législateur

Trois exigences minimales : un audit public et récurrent du dispositif par un tiers indépendant, une clause de revoyure à 24 mois avec évaluation chiffrée de l’efficacité réelle, et une interdiction explicite, gravée dans le texte, de toute réutilisation de l’infrastructure à d’autres fins que la vérification d’âge. Sans ces trois verrous, je continuerai à soutenir le principe tout en dénonçant la mise en œuvre.

Où j’en suis

Je suis obstinément favorable à la protection des mineurs sur internet. Je considère qu’il était urgentissime d’agir, et que ceux qui invoquent la « liberté du net » pour maintenir un statu quo dans lequel des enfants de dix ans sont exposés à l’irréparable défendent, qu’ils le veuillent ou non, un modèle économique bien plus qu’un principe.

Mais la liberté sur le réseau n’a jamais consisté à ne rendre de comptes à personne. Elle consiste à pouvoir s’exprimer sans être identifié par ceux qui pourraient vous nuire — ce que le double aveugle, correctement implémenté, préserve précisément.

Reste la question qui m’empêche de dormir tranquille, et je vous la laisse : sommes-nous, collectivement, capables de construire et de maintenir un système d’une telle exigence technique, dans un pays où la moindre application publique nous renvoie de site en site en nous redemandant trois fois les mêmes informations ?

Bref. J’ai voulu cette loi pendant trente ans. Je vais passer les trois prochaines années à surveiller ceux qui la mettent en œuvre.

Pour aller plus loin

• CNIL — Vérification de l’âge en ligne : trouver l’équilibre entre protection des mineurs et respect de la vie privée
• Preuve à divulgation nulle de connaissance (Zero-Knowledge Proof) — principes et histoire
• Commission européenne — Protection des mineurs en ligne et lignes directrices article 28 du DSA
• eSafety Commissioner (Australie) — L’interdiction des réseaux sociaux aux moins de 16 ans
• PEReN — Pôle d’expertise de la régulation numérique

Sources et références

• Loi n° 2023-566 du 7 juillet 2023 visant à instaurer une majorité numérique et à lutter contre la haine en ligne
• Loi n° 2024-449 du 21 mai 2024 visant à sécuriser et réguler l’espace numérique (SREN)
• Règlement (UE) 2022/2065 sur les services numériques (DSA)
• Règlement (UE) 2024/1183 (eIDAS 2) établissant le cadre européen d’identité numérique
• Proposition de règlement du 11 mai 2022 établissant des règles en vue de prévenir et de combattre les abus sexuels sur enfants (CSAR)
• Rapport « Enfants et écrans — à la recherche du temps perdu », remis à l’Élysée en avril 2024
• Arcom — études sur la fréquentation des sites pornographiques par les mineurs et référentiel technique de vérification de l’âge