Un groupe bipartisan de sénateurs a déposé un projet de loi qui modifierait en profondeur le fonctionnement de la vérification d’âge en ligne aux États-Unis. Les sénateurs Andy Kim (D-NJ), Adam Schiff (D-CA), Cynthia Lummis (R-WY) et John Barrasso (R-WY) ont présenté le « Digital Age Assurance Act », un texte qui oblige les fournisseurs de systèmes d’exploitation – Apple et Google, pour ne citer qu’eux – à collecter l’âge des utilisateurs et à partager cette information avec les applications individuelles sur demande.

L’objectif affiché est simple : protéger les enfants des contenus nuisibles et des mécanismes de conception prédateurs intégrés à de nombreuses applications et plateformes. Mais le mécanisme sur lequel repose le projet de loi – faire des fabricants d’appareils les vérificateurs d’âge centralisés pour tout l’écosystème d’apps – soulève le genre de questions de vie privée qui ont déjà entravé des initiatives similaires à l’étranger.

Ce que fait le « Digital Age Assurance Act »

Dans ce dispositif, les systèmes d’exploitation des smartphones et des tablettes seraient chargés de déterminer la catégorie d’âge de l’utilisateur et de transmettre cette indication aux applications lorsque celles-ci la demandent. Au lieu que chaque application conçoive son propre système de vérification d’âge (souvent par des méthodes intrusives comme le téléchargement de pièces d’identité ou la numérisation du visage), la charge est reportée en amont sur la poignée d’entreprises qui contrôlent les systèmes d’exploitation mobiles.

Les sénateurs à l’origine du texte ont insisté sur les garde-fous de confidentialité inclus dans l’ensemble du projet, notamment des dispositions empêchant la vente ou la cession des données des enfants à des tiers et des restrictions concernant la publicité ciblée destinée aux mineurs. Cette présentation est importante : la législation est défendue non seulement comme une mesure de protection de l’enfance, mais aussi comme une alternative plus respectueuse de la vie privée face au patchwork actuel de systèmes de vérification application par application. La première version du texte de loi du sénateur Kim, qui transfère les vérifications d’âge aux boutiques d’applications, a posé les bases de cette approche en déplaçant la responsabilité de la vérification des applications individuelles vers la couche de la plateforme.

Le compromis sur la vie privée : centraliser les données d’âge au niveau de l’OS

Voici la tension à laquelle il faut s’arrêter. Aujourd’hui, si le système de vérification d’âge d’une application est piraté ou utilisé de manière abusive, les dégâts restent pour l’essentiel confinés à cette application. Dans un modèle où Apple ou Google vérifie l’âge de chaque application présente sur un appareil, ce point unique devient une cible bien plus attrayante et un point de défaillance aux conséquences bien plus lourdes.

Même avec un langage législatif strict interdisant la vente des données, centraliser la vérification d’âge au niveau de l’OS implique que les fournisseurs de systèmes d’exploitation aient besoin de mécanismes pour déterminer l’âge en premier lieu – que ce soit par l’historique du compte, les informations de paiement, une pièce d’identité officielle ou une estimation biométrique. Chacune de ces méthodes a sa propre empreinte « vie privée », et le succès de la loi dépendra largement de la manière dont le « partage du signal d’âge » sera défini de façon étroite et appliqué dans la pratique, et non seulement dans le texte d’un communiqué de presse.

Se pose aussi la question de l’élargissement progressif du périmètre. Les systèmes conçus pour vérifier l’âge à des fins de protection de l’enfance ont, par le passé, largement dépassé leur mandat initial une fois l’infrastructure en place. Un cadre capable d’indiquer à une application « cet utilisateur a moins de 18 ans » est techniquement capable de lui en dire bien plus, selon les garde-fous qui seront véritablement inscrits dans les règlements d’application plutôt que dans le résumé du projet de loi.

Les enseignements des expériences britannique et européenne de vérification d’âge

Les États-Unis ne sont pas les premiers à tenter l’expérience. L’Online Safety Act britannique et le Digital Services Act européen ont tous deux poussé les plateformes à se doter de systèmes de contrôle d’accès par l’âge et de vérification d’âge, et tous deux se sont heurtés à des résistances. Dans ces juridictions, les outils de vérification d’âge ont été critiqués parce qu’ils renvoient les utilisateurs vers des services tiers de vérification d’identité dont les pratiques de traitement des données sont propres, parce qu’ils produisent des faux positifs qui empêchent des utilisateurs adultes légitimes d’accéder aux services, et parce qu’ils créent de nouvelles surfaces d’attaque qui n’avaient pas été soigneusement examinées avant leur mise en service.

Ces expériences ne condamnent pas nécessairement le « Digital Age Assurance Act », mais elles constituent un point de référence utile. Une approche fédérale au niveau du système d’exploitation pourrait éviter une partie de la fragmentation constatée en Europe, puisqu’elle centralise la fonction sur un petit nombre d’entreprises plutôt que sur des milliers de sites individuels. Cette centralisation réduit-elle le risque global pour la vie privée ou le concentre-t-elle simplement sur un nombre plus restreint de cibles de plus grande valeur ? C’est la question ouverte à laquelle le Congrès devra répondre au fur et à mesure de l’examen du texte.

Ce que cela signifie pour vous

Si vous utilisez un smartphone, une tablette ou toute application qui vous demande aujourd’hui de déclarer vous-même votre date de naissance, ce projet de loi pourrait bien changer la façon dont cela se passe. Les parents pourraient voir les contrôles parentaux appliqués de manière plus uniforme d’une application à l’autre, plutôt que de devoir compter sur les réglages propres à chaque plateforme. Les adolescents et les jeunes adultes pourraient se voir soumis à des vérifications d’âge plus tôt dans le processus d’inscription, même pour des applications qui, auparavant, ne demandaient aucune vérification.

Pour les utilisateurs soucieux de leur vie privée, ce qu’il faut retenir concrètement, c’est qu’il faut prêter attention à la manière dont « l’assurance d’âge » est mise en œuvre si ce texte progresse, et pas seulement à son adoption ou non. La différence entre un signal d’âge respectueux de la vie privée et un pipeline de collecte de données tient souvent à des détails d’implémentation technique qui sont réglés bien après le dépôt d’un projet de loi.

Principaux points à retenir

Le « Digital Age Assurance Act » n’en est qu’au début du processus législatif, mais il indique la direction que prend la politique fédérale de protection de l’enfance : vers une vérification au niveau de l’appareil plutôt qu’une mise en conformité application par application. Les lecteurs qui veulent prendre de l’avance feraient bien de garder quelques éléments à l’esprit. Passez en revue les paramètres de confidentialité et les contrôles parentaux déjà disponibles sur vos appareils, car ces outils pourraient devenir plus centraux pour la conformité dans ce nouveau cadre. Surveillez la manière dont les règles d’application définiront ce que le « partage du signal d’âge » inclut réellement, car ce détail déterminera la quantité de données qui transitera effectivement entre votre appareil et les applications que vous utilisez. Enfin, restez engagés au fil de l’examen en commission, car c’est généralement au moment des périodes de consultation publique et des auditions au Congrès que les garde-fous techniques – ou leur absence – sont décidés.