Résumé

  • La déclaration de l’IAB du 24 août impose un test architectural exigeant : divulgation minimale, absence de traçage intersites, pas de réservoir central de données sensibles, respect du chiffrement, interopérabilité et possibilité de remplacer les premiers dispositifs.
  • Un registre public reliant mandat et mécanisme devrait distinguer l’autorité qui fixe l’objectif légal, le conseiller technique, l’émetteur et le vérificateur du signal, le responsable des données, l’auditeur et la voie de rectification ou de recours.

La conformité n’est pas un acteur unique

Le débat sur la vérification de l’âge emploie souvent un singulier trompeur : « la solution ». Or il n’existe pas une seule décision, mais une chaîne. Une autorité publique détermine le contenu ou la fonction soumis à restriction, la population concernée, le seuil et les exceptions. Des spécialistes évaluent l’endroit où le contrôle peut se produire sans dégrader des propriétés essentielles du réseau. Un émetteur établit un attribut. Un appareil, un navigateur ou un service le présente et le vérifie. Un régulateur mesure le résultat. Enfin, quelqu’un doit pouvoir corriger un classement erroné.

Cette chaîne forme au moins cinq surfaces de contrôle : le droit, l’architecture, l’exécution, l’assurance et le recours. Les fondre en un seul mot permet à chaque participant de surestimer ou de sous-estimer son rôle. Le législateur peut croire que le texte produit automatiquement une technique. Le fournisseur peut présenter un choix commercial comme une nécessité juridique. Le service peut prétendre qu’un sous-traitant porte la responsabilité. L’organisme technique peut voir ses recommandations citées comme si elles autorisaient la contrainte elle-même.

Le 24 août 2026, l’Internet Architecture Board a publié sa déclaration sur les restrictions fondées sur l’âge et la sécurité en ligne. Le document commence par reconnaître l’objectif de protection des enfants et l’urgence ressentie par les familles et les responsables publics. Il avertit ensuite que certaines approches peuvent concentrer des données sensibles, réduire la vie privée, exercer une pression sur le chiffrement, pousser les jeunes vers des moyens de contournement risqués, installer des gardiens incontournables et fragmenter l’accès entre juridictions.

Voilà une intervention légitime d’un organisme d’architecture : rendre visibles des effets systémiques avant que les calendriers politiques et les contrats ne les transforment en dépendances durables. Ce n’est toutefois ni une loi, ni une décision de régulateur, ni un jugement. Dire cela ne retire rien à l’avis. Cela empêche simplement l’expertise de se changer en mandat par citation successive.

Sept propriétés, aucune approbation automatique

L’IAB demande qu’un mécanisme ne révèle qu’un signal d’âge minimal et propre à l’objectif, ne rapporte pas l’activité de l’utilisateur, ne permette pas de relier ses passages entre sites et ne révèle pas les sites consultés à l’entité qui a établi son âge. Il ne devrait pas créer de dépôt central de données sensibles ni de charges graves pour les internautes. L’interface devrait être ouverte, interopérable et élaborée selon un processus associant plusieurs parties.

Ces propriétés dessinent une frontière. Elles ne certifient aucun produit et ne suffisent pas à démontrer qu’une mise en œuvre protège effectivement un enfant. Un mécanisme peut transmettre un simple oui ou non tout en échouant sur un appareil partagé. Une interface peut être documentée sans qu’un second émetteur puisse réellement rejoindre le système. Une preuve peut cacher le nom au service mais exclure les personnes dépourvues de documents acceptés. Une méthode précise en laboratoire peut devenir injuste lorsque l’éclairage, le handicap, la récupération de compte ou le contexte familial changent.

L’IAB estime qu’au degré actuel de maturité, les mécanismes installés sur l’appareil de l’utilisateur sont les plus prometteurs. La nuance est capitale. « Prometteur » ne veut pas dire achevé, et « sur l’appareil » ne signifie pas nécessairement sous le contrôle de la personne. La déclaration reconnaît le levier accordé aux fabricants d’appareils et de systèmes d’exploitation. Elle souligne aussi la difficulté des usages à plusieurs personnes sur un même terminal.

Déplacer un contrôle depuis les serveurs d’un prestataire vers un téléphone peut réduire certains risques de divulgation et de corrélation. Cela peut aussi déplacer la dépendance vers les magasins d’applications, les racines matérielles de confiance, les comptes de plateforme, les mécanismes de récupération et les politiques de mise à jour. Une bonne gouvernance ne proclame pas que le gardien a disparu ; elle consigne le déplacement de son pouvoir.

Le mandat de l’IAB est réel et limité

La RFC 2850 confie à l’IAB des responsabilités de surveillance architecturale et d’orientation à long terme. Cette mission justifie pleinement son intervention lorsque des règles publiques risquent de modifier le chiffrement, le nommage, le routage, les interfaces applicatives ou le principe de bout en bout. Elle ne transforme pas le Board en parlement, autorité d’identité, régulateur ou tribunal.

La limite protège les deux côtés. Les pouvoirs publics ne peuvent pas renvoyer l’architecture au rang de détail postérieur à la décision politique. Une obligation adoptée par une institution compétente peut tout de même produire surveillance, fragilité, concentration ou fragmentation. Ces conséquences techniques ne constituent pas un veto, mais elles font partie des preuves nécessaires pour apprécier la proportionnalité et l’efficacité.

Réciproquement, la compétence des ingénieurs ne leur confère pas le droit de choisir l’étendue de la contrainte. La RFC 9998 rend compte d’un atelier commun de l’IAB et du W3C. Elle rassemble des analyses précieuses ; elle ne constitue pas un vote des enfants, des parents, des établissements scolaires, des services concernés ou des citoyens des juridictions touchées.

Une décision légitime doit donc franchir deux épreuves indépendantes. L’objectif, le champ et les sanctions doivent venir d’une institution habilitée et responsable des droits, de la proportionnalité et du contrôle. Le mécanisme doit ensuite résister à l’examen de sa sécurité, de sa confidentialité, de sa résilience, de son interopérabilité et de ses possibilités de contournement. Réussir l’une n’efface pas l’autre.

Le modèle européen contient déjà plusieurs autorités

Le schéma de vérification de l’âge publié par la Commission européenne montre qu’une politique publique peut intégrer une ambition de minimisation. Une personne obtient une preuve à partir d’une source reconnue, puis présente au service une attestation anonyme. Selon la Commission, le lien avec le fournisseur de la preuve est coupé après l’émission, aucune information d’identité n’est communiquée au service et l’émetteur ne découvre pas où la preuve est utilisée.

Ces affirmations de conception sont importantes. La Commission indique aussi que la solution est fonctionnellement prête depuis avril 2026, qu’elle peut être adaptée par les États membres et les acteurs du marché et qu’elle soutient la mise en œuvre du Digital Services Act. Un futur régime européen doit préciser la gouvernance et le modèle de confiance, ainsi que des listes de fournisseurs et de solutions reconnus.

Le code n’est donc qu’une partie de l’objet. Il reste à déterminer qui peut émettre une preuve de confiance, qui valide les implémentations, comment des versions nationales restent compatibles, comment un nouvel opérateur entre dans le dispositif, comment il en sort et comment une personne fait rectifier une donnée de départ erronée. La publication du code facilite l’inspection ; elle ne distribue pas ces compétences.

Ofcom rend une autre attribution explicite : le service réglementé demeure responsable du caractère hautement efficace du contrôle même lorsqu’il fait appel à un fournisseur. Son cadre demande exactitude technique, robustesse, fiabilité et équité, tout en rappelant que la protection des données n’est pas une concession négociable.

Cette règle empêche l’externalisation de dissoudre la responsabilité. Elle ne supprime pas les dépendances du service envers un émetteur, une plateforme mobile, une méthode probatoire reconnue par le régulateur ou un traitement de données soumis à un autre régime juridique. Rendre visible l’entité responsable est nécessaire ; rendre visibles les contraintes qui limitent ses choix l’est aussi.

Le blocage du réseau ajoute une nouvelle autorité

La déclaration examine également l’hypothèse où les réseaux bloqueraient les services qui n’effectuent pas de vérification. Elle met en garde contre la visibilité accrue du trafic nécessaire pour identifier les cibles, la pression exercée sur le chiffrement et la fragmentation créée par des obligations nationales incompatibles. La RFC 7754 fournit le contexte technique général du blocage et du filtrage.

Il ne s’ensuit pas qu’un réseau ne puisse jamais exécuter un ordre légal. Mais l’intervention introduit un nouveau principal et de nouveaux modes d’erreur. Qui identifie le service ? Qui traduit la décision en règle portant sur une adresse, un nom, une application ou un flux ? Qui évalue les infrastructures partagées et le surblocage ? Qui peut suspendre rapidement une règle fautive ? Comment l’utilisateur connaît-il la raison de l’échec ? Où le service mal classé peut-il contester ?

Le mot « conformité » ne répond à aucune de ces questions. Le mot « technique » ne retire pas le pouvoir exercé au point de coupure. Un opérateur capable d’interdire l’accès à des ressources ou d’exposer des caractéristiques protégées du trafic doit disposer d’un mandat borné, d’une trace vérifiable et d’une correction adaptée à la portée de son action.

Relier le mandat au mécanisme

Les sources publiques offrent des principes, des spécifications, des critères réglementaires et des constats de déploiement. Elles ne forment pas un dossier unique reliant une obligation donnée au signal concret présenté dans un service. Ce manque n’est pas une preuve de faute. Les institutions publient pour des finalités différentes, et la transparence ne doit jamais révéler l’identité d’un enfant, son historique ou un secret de sécurité.

Un registre synthétique pourrait néanmoins rendre la chaîne contrôlable.

Pour chaque déploiement important, il indiquerait l’autorité et la base juridique, la population et la fonction concernées, le seuil et les exceptions, l’organisme ayant formulé l’avis architectural et le statut de cet avis, le signal demandé et les divulgations interdites, les catégories d’émetteurs et de vérificateurs, le responsable de chaque donnée conservée, les dépendances de plateforme, les preuves d’exactitude, d’équité, d’accessibilité et de sécurité, les conditions d’interopérabilité et de changement de fournisseur, l’auditeur, la date de réexamen, les voies de correction et de recours, ainsi que l’expiration ou le remplacement.

Il n’enregistrerait jamais une identité, un historique de navigation, un justificatif réutilisable, un gabarit biométrique, une copie de document ou une clé. Il ne servirait pas à montrer qui a franchi la porte, mais à établir que chaque institution qui la contrôle agit dans les limites de son mandat.

L’urgence exige une transition gouvernée

La critique la plus forte adressée à la prudence architecturale concerne le temps. Les dommages existent aujourd’hui. Les familles peuvent légitimement refuser qu’un calendrier de normalisation traite le présent comme un coût abstrait. L’IAB reconnaît cette urgence.

La réponse n’est pas d’abandonner l’examen technique, mais d’organiser la transition. Une mesure provisoire peut avoir un champ étroit, une durée annoncée, une évaluation indépendante et un déclencheur de remplacement. Un régulateur peut exiger un résultat sans fermer la porte aux mécanismes futurs. Un service peut agir tout en publiant des taux d’erreur et des délais de recours. Les organismes de standards peuvent distinguer ce qui est utilisable maintenant, ce qui reste expérimental et ce qui risque de créer une dépendance irréversible.

L’IAB emploie la notion d’ossification : un système médiocre devient difficile à retirer dès que les incitations et les dépendances se forment. Le problème dépasse le logiciel. Lorsque les États certifient, les services intègrent, les plateformes médiatisent et les autorités contrôlent au moyen du même dispositif, son remplacement devient une négociation institutionnelle. Le coût durable d’une mauvaise architecture est la coalition qui finit par avoir intérêt à sa permanence.

Sources