Après le rapport sur la sécurité des enfants en ligne présenté en juillet, puis le coup de pression d’Emmanuel Macron, la Commission européenne a donc dévoilé l’EU KIDS Act (pour « Keeping Internet Digital Spaces Accountable and Trustworthy »). Interdiction des réseaux sociaux aux moins de 13 ans, âge minimum fixé à 15 ans pour la « majorité numérique », vérification de l’âge…

Le texte est touffu et ne concerne pas que les plateformes de réseaux sociaux : les services de compagnons IA, les jeux en ligne et les boutiques d’applications sont également mis à contribution pour « renforcer la sécurité des enfants en ligne ».

« Aujourd’hui, nos enfants utilisent les technologies les plus sophistiquées jamais créées, des technologies qui n’ont jamais été conçues en tenant compte de leur bien-être », explique Ursula von der Leyen, présidente de la Commission :

« L’EU KIDS Act inverse la charge de la preuve : il appartient désormais aux plateformes de démontrer qu’elles sont sûres dès leur conception ».

La proposition est désormais entre les mains du Parlement européen et du Conseil pour examen. La Commission pousse à une adoption rapide, « compte tenu de la demande manifeste d’une action urgente ».

Pas de compte avant 13 ans, autonomie progressive jusqu’à 15 ans

Le dispositif qui aura le plus d’impact concerne la gradation des accès aux plateformes en fonction de l’âge. Les mineurs entre 3 et 13 ans ne pourront pas créer de compte, donc ils seront dans l’impossibilité d’accéder à un réseau social – à l’exception des plateformes vidéo dédiées aux jeunes enfants via le compte d’un parent. Le tout dans une limite d’une heure par jour, sans flux personnalisé ni recherche de contenus.

Pour les mineurs entre 13 et 15 ans, un système de « mini compte » adossé au compte d’un parent ou d’un tuteur légal leur permettra d’accéder aux plateformes, avec des restrictions : limite d’une heure par jour et accord parental pour les connexions avec d’autres utilisateurs. Au-delà de 15 ans, les jeunes pourront avoir leur propre compte « sur des services qui, selon la loi, doivent être sûrs pour eux. »

Si l’ado a déjà un compte, il reviendra aux plateformes de vérifier si le titulaire a moins de 15 ans et, le cas échéant, désactiver le compte ainsi que ceux dont l’âge ne peut être établi. Le danger ici est que ces mêmes plateformes réclament une vérification de l’âge à l’ensemble des utilisateurs. Selon la Commission, quand il peut être déterminé « avec un degré élevé de certitude » qu’un utilisateur est majeur, aucune vérification ne sera nécessaire. « La plupart des adultes ne remarqueront donc aucun changement », promet encore la proposition.

La vérification de l’âge face au défi de la confidentialité

Ce qui pose la problématique de la vérification de l’âge en elle-même. La procédure devra passer par des « solutions indépendantes certifiées », comme par exemple la fameuse application européenne, « techniquement prête » assurait Bruxelles en avril dernier. Mais pas spécialement sécurisée, ont rapidement relevé des spécialistes. Chaque État membre peut s’emparer du code de l’app pour l’adapter aux spécificités nationales. Ce qui, là aussi, risque de créer des situations où l’app d’un pays sera plus sécurisée que l’app d’un autre pays, en fonction des moyens qui seront investis dans le développement.

Les autres solutions indépendantes ne sont pas nécessairement mieux loties. Il faut d’abord avoir confiance dans la gestion des informations, car leurs systèmes se basent sur des selfies ou la vérification des pièces d’identité. Et ils ne sont pas gages de fiabilité à tous les coups, comme nous avons pu le constater en février dernier pour l’accès aux sites pornos. Il ne fait d’ailleurs guère de doute que les enfants, ces petits diables, sauront trouver des moyens de contourner ces systèmes assez rapidement.

• L’app de vérification d’âge de la Commission européenne présente de « grosses lacunes »
• Un an après, l’efficacité de la vérification d’âge sur les sites pornos reste à prouver

Quoi qu’il en soit, les plateformes ne vérifieront pas les pièces d’identité et n’auront pas accès aux informations personnelles des utilisateurs. Le seul signal qu’elles recevront est : l’utilisateur a-t-il l’âge requis, oui ou non. La loi impose l’utilisation d’une technologie de preuve à divulgation nulle de connaissance, qui ne permet pas d’identifier, de localiser, de suivre ou de nourrir de profil.

La perspective d’une vérification généralisée de l’âge pose de sérieux problèmes de confidentialité. C’est ce qui a motivé une initiative citoyenne européenne, « Stop Killing the Internet », créée par le Parti pirate fin juillet. Elle demande que les citoyens ne soient pas contraints de s’identifier pour accéder à des contenus ou à des services en ligne licites.

L’initiative veut également que la législation garantisse que les systèmes de vérification restent « volontaires, respectueux de la vie privée et non discriminatoires ». La pétition doit recueillir au moins 1 million de signatures de citoyens de l’UE et atteindre un certain seuil dans au moins 7 pays de l’UE pour que la Commission soit tenue d’examiner l’initiative et y répondre officiellement. On en est encore très loin, la pétition flirtant autour des 10 000 signatures actuellement.

La fin annoncée du scroll infini pour les mineurs

Les plateformes ne sont pas au bout de leurs peines, car elles devront également modifier le fonctionnement de leurs applications. Le KIDS Act interdit en effet de concevoir des services encourageant une utilisation « compulsive ou excessive » chez les mineurs. Cela passera par la fin de la lecture automatique en continu et le défilement infini sans véritables pauses. Exit aussi les notifications incitant les jeunes à revenir dans l’app, aux récompenses pour la publication ou la diffusion de contenus, aux mécanismes qui pénalisent les enfants s’ils ne reviennent pas chaque jour.

Les systèmes de recommandation devront également changer en profondeur pour les jeunes utilisateurs. Ainsi, la priorité sera donnée aux contenus que l’enfant a choisi de suivre, et la personnalisation basée sur le suivi sera désactivée par défaut. Par ailleurs, la loi dispose qu’aucune donnée provenant de l’extérieur du service ne peut être utilisée, et qu’aucun mécanisme ne doit entraîner l’utilisateur mineur dans une « spirale de contenus » (« rabbit hole ») toujours plus extrêmes. Les enfants devront aussi disposer d’au moins une option sans aucun profilage.

Autre point important du texte : sans autorisation préalable, personne ne peut envoyer de message à un enfant. Les plateformes ont la responsabilité d’empêcher que le mineur soit manipulé pour donner son autorisation. Il ne doit pas apparaitre dans les suggestions de contact et il ne peut pas être ajouté à des groupes sans leur consentement. Personne ne peut télécharger le contenu publié par les enfants ni en faire de captures d’écran. Enfin, la diffusion en direct est désactivée par défaut pour les mineurs.

Les bots IA et les boutiques d’apps sous surveillance

Des dispositifs sont également prévus pour les compagnons IA et les chatbots accessibles aux mineurs. Ils ne peuvent pas recouvrir à des mécanismes simulant des relations humaines quand ils risquent de créer une dépendance affective. Les bots ne pourront pas exploiter leur mémoire des discussions passées. Les moins de 13 ans sont privés de bots, à moins de passer par des contrôles parentaux ; et ces « compagnons » doivent être « facilement désactivables ».

En ce qui concerne les boutiques de jeux et les jeux en ligne, ils doivent mettre en place une classification par âge pour chaque application (ce qui est déjà le cas sur l’App Store et le Play Store) et prendre en charge l’application européenne de vérification de l’âge pour s’assurer que l’utilisateur a bien l’âge requis.

L’application des différentes mesures KIDS Act passe par les structures de contrôle existantes du règlement sur les services numériques (DSA). Pour les compagnons IA, c’est l’AI Act qui prend la main. Les très grandes plateformes (VLOP) régies par le DSA devront soumettre un plan de conformité au KIDS Act et démontrer qu’elles respecteront l’ensemble de leurs obligations.

Le texte instaure aussi des procédures accélérées à l’encontre des services et plateformes qui ne respecteront pas ces mesures. Les conclusions préliminaires seront publiées dans un délai de 30 jours, et les enquêtes seront conclues sous les 90 jours « car il n’y a pas de temps à perdre », précise le communiqué de la Commission. Les amendes pourront atteindre 6% du chiffre d’affaires annuel mondial.