Réseaux sociaux interdits aux mineurs : une brèche réglementaire que l'Europe ne peut pas se permettre de rater

# Réseaux sociaux interdits aux mineurs : une brèche réglementaire que l'Europe ne peut pas se permettre de rater

*En 2026, plusieurs États membres de l'Union européenne ont emboîté le pas aux pionniers australiens et britanniques en imposant des restrictions d'accès aux plateformes sociales pour les moins de 16 ans. Une réglementation saluée pour ses intentions. Mais derrière l'enjeu de protection de l'enfance se profile une question plus structurelle : qui détient les outils de vérification, les couches d'identité numérique, les infrastructures de conformité ? Nous avons interrogé un DSI d'une ETI industrielle française, membre d'un groupe de travail interentreprises sur la souveraineté numérique.*

RiffLab Media : Ces interdictions sont présentées comme une avancée sociale. Vous semblez y voir autre chose.

Je ne conteste pas l'intention. Mais regardons concrètement ce qui s'est passé dans les premiers mois d'application : les États ont imposé une obligation de résultat aux plateformes — vérifier l'âge des utilisateurs — sans imposer *comment* le faire, ni *avec qui*. Et là, mécaniquement, les acteurs américains dominants ont sorti leurs propres solutions de vérification d'âge, intégrées à leurs écosystèmes existants. On a confié la réponse à une obligation réglementaire européenne aux entités mêmes que cette réglementation est censée contraindre. C'est un paradoxe que peu de DSI ont verbalisé publiquement, mais que tout le monde voit.

Concrètement, qu'est-ce que cela veut dire en termes de dépendance technologique ?

Cela veut dire que la couche d'identité numérique — qui sait qu'un utilisateur est mineur ou non — est en train de se consolider entre les mains d'acteurs dont les serveurs, les contrats et les juridictions sont hors d'Europe. La vérification d'âge n'est pas un outil neutre. C'est une infrastructure de données d'identité. Celui qui la détient sait qui sont vos utilisateurs, quelle est leur tranche d'âge, quel appareil ils utilisent, depuis quel territoire. Ce sont exactement le type de données que le RGPD était censé protéger. On crée donc, par obligation réglementaire, un nouveau point de captation de données souveraines.

Le verrouillage est double : technique d'abord, parce que ces solutions s'intègrent nativement dans des SDK et des API qui présupposent un écosystème donné. Contractuel ensuite, parce que les conditions d'utilisation de ces services de vérification incluent des clauses de partage de données et des droits de résiliation unilatérale que nos équipes juridiques n'ont souvent ni le temps ni les ressources de décortiquer sérieusement.

Est-ce que des acteurs européens sont en mesure de répondre à ce besoin de vérification d'âge ?

Oui, et c'est là où le sujet devient intéressant. Il existe des initiatives sérieuses — je pense notamment aux travaux autour de l'identité électronique souveraine portés dans le cadre du règlement eIDAS 2, qui entre progressivement en vigueur. Le portefeuille d'identité numérique européen, le fameux EUDIW, devrait en théorie permettre une vérification d'âge sans transmission de données brutes : l'utilisateur prouve qu'il est majeur sans révéler sa date de naissance exacte, sans laisser de trace chez la plateforme. C'est techniquement faisable avec des mécanismes de preuve à divulgation nulle de connaissance.

Mais voilà le problème : nous sommes en 2026 et le déploiement effectif de l'EUDIW reste hétérogène selon les États membres. Certains pays avancent vite, d'autres sont encore en phase pilote. Dans ce vide, les acteurs américains n'ont pas attendu. Ils ont déployé leurs propres couches de vérification, et les habitudes opérationnelles des équipes IT se sont déjà structurées autour d'elles. Reprendre la main sera plus difficile dans dix-huit mois qu'aujourd'hui.

En quoi cela concerne-t-il directement les DSI d'ETI, dont la plupart ne gèrent pas de plateformes grand public ?

C'est la question que j'entends souvent, et c'est une erreur de cadrage. La vérification d'âge n'est que la partie visible. Ce que ces régulations révèlent, c'est une dynamique plus large : chaque nouvelle obligation réglementaire européenne — DSA, DMA, AI Act, protection des mineurs — génère un besoin de conformité qui se traduit par de nouveaux achats technologiques, de nouveaux contrats, de nouvelles dépendances. Et si l'offre de conformité est majoritairement américaine, on paie notre propre régulation à des tiers étrangers.

Pour une ETI industrielle comme la nôtre, la question se pose différemment mais tout aussi concrètement : nous utilisons des outils de collaboration, des plateformes RH, des environnements de formation interne. Certains de ces outils intègrent désormais des modules de gestion des accès différenciés selon le profil de l'utilisateur — y compris l'âge, dans le cadre de programmes d'apprentissage ou de stages. Si ces modules s'appuient sur des services d'identité tiers, nous avons un problème de traçabilité des données qui nous concerne directement.

Quels leviers concrets peuvent activer les équipes IT européennes dans ce contexte ?

Je vais être honnête : il n'y a pas de réponse magique, et méfions-nous des catalogues de solutions. Mais il y a des postures. La première, c'est d'exiger — dans chaque appel d'offres, dans chaque renouvellement de contrat — que la solution de conformité soit auditée indépendamment par un tiers européen et que les données d'identité ne transitent pas en dehors du territoire de l'UE. Pas comme une option, comme une condition non négociable.

La deuxième posture, c'est de s'impliquer dans les travaux de normalisation. Des organisations comme l'ENISA ou des groupes de travail sectoriels travaillent sur les standards d'implémentation de l'EUDIW. Les DSI qui y participent aujourd'hui façonnent les contraintes techniques de demain. Ceux qui n'y participent pas les subiront.

La troisième — et c'est peut-être la plus contre-intuitive — c'est d'accepter une forme de friction volontaire à court terme. Une solution de vérification d'âge souveraine sera peut-être moins fluide, moins intégrée dans les workflows existants qu'une solution américaine pendant les six prochains mois. Ce delta d'expérience, il faut l'assumer comme un investissement dans la réversibilité. Le coût de sortie d'un système souverain est structurellement plus faible que celui d'un écosystème propriétaire fermé.

Dernier mot : est-ce que vous êtes optimiste sur la capacité de l'Europe à transformer cette régulation en levier industriel ?

Optimiste, non. Lucide, oui. L'Europe a une fenêtre. Elle a produit la réglementation, elle a donc la légitimité pour définir les standards d'implémentation. La question est de savoir si la volonté politique se traduira en commande publique concrète orientée vers des acteurs européens, ou si elle restera au niveau du discours pendant que les marchés se consolident ailleurs.

Ce que je vois dans mon quotidien de DSI, c'est que les décisions d'achat technologique sont prises sous contrainte de temps, de budget et d'habitudes. Si l'offre européenne n'est pas visible, documentée et opérationnellement crédible au moment où la décision se prend, elle n'existe pas. La régulation ouvre une fenêtre. Elle ne la maintient pas ouverte indéfiniment.

*Cet entretien a été conduit dans le cadre d'une série sur les implications industrielles des régulations numériques européennes. Les propos ont été condensés pour des raisons de clarté.*