Le 31 juillet 2026, le gouverneur de l’Illinois a promulgué la loi sur la sécurité des mineurs sur les réseaux sociaux (HB5511). Présentée comme un texte visant à responsabiliser les plateformes en ligne, la loi dissimule une clause particulièrement contraignante : à partir de 2028, les systèmes d’exploitation des smartphones et des ordinateurs devront être en mesure de vérifier l’âge de l’utilisateur et de communiquer ce statut à toute application qui en fait la demande. Si les partisans du texte saluent une mesure de protection de l’enfance, l’annonce a provoqué une vive contestation dans les communautés de développeurs à travers le monde, car personne ne sait aujourd’hui comment appliquer une telle exigence sur le plan technique.
Une loi de protection de l’enfance qui intègre en douce les systèmes d’exploitation
Au premier abord, le texte impose des restrictions classiques aux plateformes sociales : obligation de proposer par défaut un fil d’actualité chronologique aux mineurs (interdisant les algorithmes de recommandation comportementale) ; interdiction d’envoyer des notifications aux mineurs entre 22h00 et 7h00 ; et interdiction pour les adultes inconnus de consulter le profil d’un mineur ou de lui envoyer des messages privés. Les noms de TikTok, Instagram et Snapchat ont été largement mis en avant dans les communiqués de presse, donnant l’illusion d’une loi ordinaire sur la protection des mineurs sur Internet.
La seconde partie du texte est restée plus discrète. La loi crée une nouvelle catégorie juridique : les « fournisseurs de systèmes d’exploitation », en regroupant fabricants de smartphones, développeurs d’OS et magasins d’applications sous le terme de « fabricants concernés ». Dès le 1er janvier 2028, ces acteurs devront intégrer une étape obligatoire lors de la configuration initiale de l’appareil pour demander la date de naissance de l’utilisateur. Le système d’exploitation traduira cette donnée en l’une des quatre tranches d’âge prévues — moins de 13 ans, 13 à 15 ans, 16 à 17 ans, et 18 ans ou plus — et la stockera. Lorsqu’une application interrogera le système, ce dernier lui transmettra la tranche d’âge via une interface sécurisée. Dès qu me une application apprend qu’un utilisateur est mineur, l’ensemble des règles de protection s’applique automatiquement.
Le texte a été adopté au parlement de l’Illinois sans réelle opposition : 57 voix contre 0 au Sénat et 113 voix contre 0 à la Chambre des représentants. Plus curieux encore est le flou entourant les sanctions : le texte de loi mentionne des amendes civiles de 2 500 dollars par enfant concerné en cas de négligence et 7 500 dollars en cas de violation intentionnelle, alors que les communiqués du bureau du gouverneur évoquaient des pénalités pouvant atteindre 50 000 dollars par infraction. Aucune explication n’a été fournie pour justifier cette contradiction. Qu’un texte censé régir des centaines de millions d’appareils ne parvienne même pas à fixer clairement le montant de ses propres amendes montre bien que les détails techniques n’ont guère été examinés ligne par ligne lors des débats parlementaires.
Comment votre téléphone peut-il « savoir » quel âge vous avez ? Une question sans réponse
Si la loi exige des systèmes qu’ils « vérifient » l’âge des utilisateurs, elle ne donne aucune indication sur la méthode à employer. C’est le cœur même de la controverse.
Dans sa version actuelle, la loi n’impose en réalité qu’une simple « auto-déclaration » : une invite demandant la date de naissance lors de la première utilisation. Aucune numérisation d’identité, aucune reconnaissance faciale n’est requise. Ce système ne diffère en rien du formulaire d’inscription habituel d’un site web, si ce n’est qu’au lieu de répondre à chaque application, l’utilisateur ne répond qu’une seule fois au niveau du système d’exploitation. Si la mesure paraît peu contraignante, sa faille majeure saute aux yeux : n’importe qui peut mentir. Un enfant de 10 ans peut indiquer 1990 comme année de naissance, et un paramétrage effectué par les parents avant de confier le téléphone peut être modifié ultérieurement par l’enfant. Au niveau du système d’exploitation, aucun mécanisme ne permet de vérifier la sincérité de la déclaration.
Photo : Illustration de l’article. Source : TechTimes (Photo : Gaelle Marcel / Unsplash)
Les partisans soutiennent que cela constitue au moins un premier filtre utile pour les parents lors de la mise en service de l’appareil. Les opposants répliquent que cela revient à poster un vigile à l’entrée principale d’un bâtiment tout en laissant de nombreuses sorties de secours et entrées de garage totalement ouvertes. Plus inquiétant encore est l’engrenage à venir : dès qu’il sera avéré que l’auto-déclaration ne bloque personne, les législateurs exigeront immanquablement des mesures plus intrusives — téléchargement de pièces d’identité, analyse faciale ou recours à des prestataires privés de vérification d’identité. La « vérification d’âge » ne consistera alors plus à saisir des chiffres, mais à confier les données d’identité de chaque citoyen majeur.
Le casse-tête de l’open source : quand la loi ne trouve aucun responsable à sanctionner
Pourquoi la communauté des développeurs réagit-elle avec autant de véhémence ? Parce qu’il existe une catégorie de systèmes d’exploitation sur laquelle la loi n’a aucune prise : les logiciels « open source », Linux en tête. Les systèmes commerciaux comme iOS, Android ou Windows sont édités par des géants comme Apple, Google ou Microsoft, que les tribunaux peuvent facilement poursuivre. À l’inverse, les systèmes open source ne possèdent ni système de compte unifié, ni magasin d’applications centralisé, ni structure juridique unique. N’importe qui peut télécharger, modifier et recompiler le code gratuitement — il suffit de modifier une seule ligne pour que le système réponde systématiquement « utilisateur majeur » aux applications, et de distribuer cette version à l’échelle mondiale.
Dans un fil de discussion sur Hacker News comptant plus de 300 commentaires, ce différend s’est transformé en affrontement ouvert. Le fondateur d’un projet open source a déclaré qu’il ne développerait jamais une telle fonctionnalité, affirmant qu’il préférerait purger une peine de prison plutôt que d’écrire ces lignes de code. Un internaute se présentant comme avocat lui a répondu que les tribunaux disposaient de moyens de pression puissants, allant de l’interdiction de distribution à des amendes colossales, lui conseillant de consulter un juriste. Un autre participant est intervenu en citant l’adage latin « la loi n’oblige à rien d’impossible » (lex non cogit ad impossibilia), ce à quoi l’avocat a réplique : « L’impossibilité technique n’a jamais constitué un moyen de défense devant un tribunal. » Les deux camps sont restés sur leurs positions.
Le texte juridique frôle parfois l’absurde par la largeur de ses définitions. La loi définit un « fournisseur de système d’exploitation » comme toute entité commerciale ou à but non lucratif contrôlant l’OS d’un équipement connecté à Internet. Selon cette définition, les serveurs, les machines virtuelles, les réfrigérateurs connectés ou les véhicules intelligents entrent dans le champ d’application. Des ingénieurs se sont amusés de la situation sur les forums : faudra-t-il bientôt prouver son âge avant de démarrer un serveur Linux dans l’Illinois ? Un serveur de calcul sans écran ne dispose même pas d’une interface pour cliquer sur « j’ai plus de 18 ans ».
Si une vraie « vérification » était imposée, quel en serait le coût ?
L’auto-déclaration se révèle inefficace, tandis qu’une vérification réelle s’avère extrêmement coûteuse et dangereuse pour la vie privée — un dilemme que dénoncent fermement les associations de défense des libertés numériques. L’Electronic Frontier Foundation (EFF) avait adressé une lettre au gouverneur Pritzker avant la signature pour lui demander d’apposer son veto, qualifiant le projet de « cauchemar pour la vie privée et la liberté d’expression ». L’ACLU de l’Illinois ainsi que des fédérations professionnelles représentant Google et Meta se sont également opposées au texte.
Leurs craintes s’appuient sur des précédents réels. Les prestataires commerciaux de vérification d’identité affichent des antécédents préoccupants en matière de sécurité. Une entreprise israélienne fournissant des services de vérification pour TikTok et Uber a laissé des identifiants d’administration exposés sur des canaux publics pendant 18 mois, entraînant la fuite de noms, dates de naissance, numéros de sécurité sociale et photos de pièces d’identité. Une société britannique de vérification a été condamnée cette année à environ 1,1 million de dollars d’amende par le régulateur espagnol pour traitement illicite de données biométriques. De même, la vérification d’âge introduite par Discord l’an dernier a subi une fuite de pièces d’identité officielles via un prestataire tiers. Lorsqu’une loi similaire est entrée en vigueur en Floride, la demande locale de services VPN a bondi de 1 150 % — preuve que ce type de législation encourage avant tout le recours à des outils de contournement sans réduire de manière significative l’accès des mineurs.
L’Illinois reproduit les erreurs que d’autres États ont cherché à éviter
Le principe d’une vérification d’âge intégrée à l’OS est directement inspiré d’initiatives menées en Californie et dans le Colorado. Mais ces deux États se sont heurtés au même écueil : des définitions trop larges incluant involontairement les communautés du logiciel libre. Le Colorado a finalement introduit une exemption spécifique pour l’open source sous la pression des fondateurs de projets, et la Californie adapte actuellement son texte pour instaurer des dérogations similaires. L’Illinois n’a pas retenu ces correctifs et a repris le texte initial élargi sans aucune exemption. Alors que des fédérations industrielles ont déjà engagé des poursuites contre des lois similaires dans six États américains — avec des décisions jusqu’ici contrastées —, la loi HB5511 fera très probablement l’objet de recours en justice ou d’amendements avant son entrée en vigueur en 2028.
Graphique : Couverture de l’article sur la vérification d’âge au niveau du système. Source : VPN Lab
Il reste plus d’un an avant l’échéance du 1er janvier 2028. Les géants comme Apple, Google et Microsoft intégreront vraisemblablement un simple écran de confirmation lors du démarrage pour se conformer au texte à moindre coût. La communauté open source choisira quant à elle d’ignorer la loi ou, comme l’a suggéré un développeur, de régler l’année de naissance par défaut de l’assistant d’installation sous la présidence Nixon. Quant à l’issue de cet affrontement entre contrainte légale et réalité technique — que la loi soit appliquée, que la technique s’adapte ou que les tribunaux tranchent —, nul ne peut la prédire. Une chose reste néanmoins certaine : lorsque la « protection des enfants » exige de chaque citoyen qu’il fournisse une preuve de son âge, l’addition finit par être payée par l’ensemble des adultes, y compris ceux qui n’utilisent aucun réseau social.
Liens de référence :
- LinuxStans : Analyse de la loi HB5511 de l’Illinois
- Fil de discussion Hacker News (item?id=49249150)
- TechTimes : Reportage sur la loi de protection des mineurs de l’Illinois
- VPN Lab : Analyse de la signature de la loi Illinois HB 5511
- EFF : Appel au veto adressé au gouverneur Pritzker
