Dans cet article
- Ce qui a réellement changé dans la règle
- La clause qui compte pour quiconque a ajouté un assistant d'IA
- La vérification de l'âge ne veut pas dire collecter des photos de pièces d'identité
- Des schémas de conception qui passaient pour de l'habileté commerciale et deviennent des infractions
- Cela vous atteint-il en tant qu'entreprise saoudienne
- Ce que votre équipe technique devrait faire ce trimestre
Le 17 septembre 2026, la Commission européenne a adopté sa proposition de KIDS Act européen. En version courte : tout service numérique qu'un mineur dans l'Union européenne pourrait utiliser — un réseau social, une plateforme vidéo, un jeu, une boutique d'applications ou un chatbot d'IA — doit démontrer qu'il est sûr par conception plutôt que d'attendre une plainte. En dessous de 13 ans, aucun compte indépendant. Entre 13 et 14 ans, un mini-compte supervisé sous contrôle parental. Les comptes indépendants commencent à 15 ans. Les chatbots d'IA et les compagnons d'IA sont désactivés par défaut pour les mineurs. Le non-respect expose à des amendes pouvant atteindre 6 % du chiffre d'affaires annuel mondial total.
La proposition n'est pas encore une loi — elle doit encore être négociée avec le Parlement européen et les États membres. Mais la direction de la réglementation est désormais assez claire pour influencer les décisions techniques que vous prenez dès aujourd'hui dans votre produit.
Ce qui a réellement changé dans la règle
Les règles antérieures posaient une seule question : avez-vous retiré le contenu nuisible après son signalement ? Le KIDS Act renverse cela et demande plutôt : avez-vous conçu le service de telle façon qu'une personne trop jeune pour l'utiliser n'ait jamais pu y entrer ? La Commission présente elle-même la proposition comme un renversement de la charge de la preuve, qui la fait peser sur le fournisseur du service.
Le champ d'application est plus large que la plupart des gens ne le supposent. Il ne s'agit pas seulement des grandes plateformes sociales. Il couvre les jeux, les boutiques d'applications et les services de partage de vidéos dotés de fonctions risquées démontrées, et il couvre explicitement les chatbots d'IA et les compagnons d'IA. Autrement dit : si votre produit comporte un assistant qui parle à l'utilisateur, vous êtes dans le champ, même si vous n'êtes pas une entreprise de réseaux sociaux.
La clause qui compte pour quiconque a ajouté un assistant d'IA
C'est la partie la plus importante pour toute entreprise qui a greffé un chatbot sur sa boutique ou son application au cours des deux dernières années. La proposition exige que les compagnons d'IA ne simulent pas de relations humaines d'une manière susceptible de créer une dépendance émotionnelle. En pratique, cela se traduit par un comportement par défaut différent : les conversations ne conservent pas la mémoire d'une session à l'autre par défaut, et l'accès des moins de 13 ans passe uniquement par le contrôle parental.
Elle ajoute aussi une obligation qui n'a rien à voir avec l'interface : les chatbots doivent être testés quant aux risques pour la sécurité des enfants avant le lancement et surveillés après celui-ci. Quiconque exploite un assistant d'IA sans journal de conversation consultable et sans moyen de mesurer son comportement découvrira qu'il ne peut rien prouver le jour où on le lui demandera.
La vérification de l'âge ne veut pas dire collecter des photos de pièces d'identité
Le malentendu le plus courant consiste à croire que la vérification de l'âge signifie collecter les documents d'identité des utilisateurs — soit la pire chose que vous puissiez faire à votre propre base de données. Le texte de la Commission va dans l'autre sens : la vérification passe par des solutions certifiées indépendantes des plateformes, dont une application européenne gratuite de vérification de l'âge et le portefeuille européen d'identité numérique, et utilise la technologie des preuves à divulgation nulle de connaissance pour que la plateforme reçoive une réponse par oui ou par non sur un seuil d'âge sans apprendre qui est l'utilisateur ni où il se trouve.
Cette conception mérite d'être copiée bien au-delà de l'Europe. Le principe général : prenez la réponse dont vous avez besoin, pas la donnée qui la produit. Si votre décision est autoriser ou refuser, vous avez besoin d'un seul booléen — pas d'un enregistrement contenant une date de naissance et un numéro de pièce d'identité qui devient votre risque de sécurité pour toujours.
Il existe un détail opérationnel que beaucoup manqueront : les comptes existants. La proposition exige des fournisseurs de désactiver les comptes existants de mineurs dans les six mois suivant l'entrée en application des règles. Le travail ne se limite donc pas à un nouvel écran d'inscription ; il atteint votre base d'utilisateurs actuelle et ce que vous en savez réellement.
Des schémas de conception qui passaient pour de l'habileté commerciale et deviennent des infractions
Une large part de la proposition ne porte pas du tout sur le contenu mais sur les mécaniques d'interface conçues pour allonger la session. Pour les mineurs, la liste des interdictions comprend :
- La lecture automatique sans fin et le défilement infini sans véritable pause.
- Les notifications conçues pour ramener l'utilisateur, sans lien avec quoi que ce soit qu'il ait réellement fait.
- Les récompenses pour des publications adressées à de larges audiences.
- Les mécaniques de séries qui pénalisent un utilisateur pour un jour manqué.
- Les fils de recommandation fondés sur le pistage, les messages d'inconnus et les profils publics par défaut.
Ce qu'il faut en retenir pour les produits non sociaux : ces mêmes schémas vivent à l'intérieur de nombreuses applications de fidélité, boutiques et applications éducatives. Si une partie de votre modèle de croissance repose sur une série quotidienne et des notifications en soirée, comprenez bien que ce modèle est sous une pression réglementaire croissante — et pas seulement en Europe.
Cela vous atteint-il en tant qu'entreprise saoudienne
Dans trois cas précis. D'abord, si vous avez des utilisateurs dans l'Union européenne : les règles européennes suivent l'utilisateur, non le siège de l'entreprise, et un jeu ou une application éducative saoudiens publiés mondialement sur les deux boutiques entrent dans ce cas. Ensuite, si vous êtes fournisseur d'une entité européenne, où l'obligation vous atteint par le contrat et par les exigences d'audit. Enfin, et c'est le cas qui mord le plus souvent en pratique : les deux boutiques d'applications traduisent des règles comme celles-ci en conditions de publication. Ce qui commence comme une réglementation européenne finit en général comme une clause de la revue de l'App Store et de Google Play qui s'applique à tout le monde.
Sur le plan local, la loi saoudienne sur la protection des données personnelles (PDPL) traite déjà des données des personnes qui n'ont pas la pleine capacité juridique, exige le consentement du tuteur dans ces cas, et vous oblige à la minimisation des données. La différence est que la proposition européenne ajoute une couche de conception de produit au-dessus de la couche de protection des données. La bonne nouvelle est que se préparer à l'une revient presque à se préparer à l'autre.
Ce que votre équipe technique devrait faire ce trimestre
Vous n'avez pas besoin d'un grand programme de conformité tout de suite — quatre étapes qui tiennent en quelques semaines suffiront :
- Connaissez les âges. Votre système sait-il seulement quels utilisateurs pourraient être mineurs ? La plupart des produits ne peuvent pas répondre, et c'est la première brèche.
- Séparez dans le code les réglages des mineurs de ceux des adultes. Faites-en un indicateur commutable dans la couche des autorisations, et non une condition dispersée dans l'interface.
- Corrigez les valeurs par défaut. Assistant d'IA désactivé, profil privé, aucun message d'inconnus, aucune notification nocturne. Changer une valeur par défaut coûte bien moins cher que reconstruire une fonctionnalité plus tard.
- Documentez les tests. Si vous exploitez un chatbot, conservez un procès-verbal de test de sécurité pour chaque version. Le document lui-même est votre preuve.
La règle selon laquelle nous construisons chez Origami est simple : une conception qui ne connaît pas l'âge de son utilisateur ne peut pas le protéger, et ne peut pas vous protéger non plus. Tout ce qui précède est applicable dans n'importe quel produit correctement construit, sans réécriture.
Sources
Questions fréquentes
Notre application est saoudienne et nos utilisateurs sont dans le Royaume — la loi européenne s'applique-t-elle à nous ?
Pas directement, tant que vous n'avez aucun utilisateur dans l'Union européenne, car les règles suivent la localisation de l'utilisateur plutôt que le siège de l'entreprise. Surveillez cependant deux choses : si votre application est publiée mondialement sur l'App Store ou Google Play, vous pouvez avoir des utilisateurs européens sans le savoir, et les deux boutiques ont tendance à convertir des règles comme celles-ci en conditions de publication applicables à tous.
La vérification de l'âge signifie-t-elle demander aux utilisateurs des photos de leur pièce d'identité ?
Non — c'est l'inverse qui est visé. La proposition européenne s'appuie sur des solutions certifiées indépendantes de la plateforme, dont l'application européenne de vérification de l'âge et le portefeuille d'identité numérique, en utilisant des preuves à divulgation nulle de connaissance qui renvoient un oui ou un non sur un seuil d'âge sans révéler l'identité. Collecter des images de pièces d'identité augmente votre risque de sécurité sans aucun bénéfice réglementaire.
Nous avons un chatbot dans notre boutique — qu'est-ce qui doit changer ?
Trois choses : il doit être désactivé par défaut pour les utilisateurs situés sous le seuil d'âge, il ne doit pas être conçu pour créer un attachement émotionnel ni simuler une relation humaine, et il vous faut un procès-verbal de test de sécurité avant le lancement ainsi qu'une surveillance après celui-ci. En pratique, cela veut dire un indicateur d'âge dans la couche des autorisations et un journal de conversation consultable.
Quand la loi entre-t-elle en vigueur ?
Elle n'est pas encore entrée en vigueur. Ce qui s'est passé le 17 septembre 2026, c'est l'adoption de la proposition par la Commission, qui doit encore être négociée et approuvée avec le Parlement européen et les États membres. Le texte évoque une fenêtre de six mois pour désactiver les comptes de mineurs existants une fois les règles applicables : le délai pratique est donc plus court qu'il n'y paraît.
Suivez Origami sur Google
Ajoutez Origami à vos sources préférées : nos articles apparaîtront en premier pour vous dans la recherche Google et les actualités à la une.
