Vérification d’âge : comment fonctionne le double anonymat (et où il casse)

Le 21 juillet 2026, le Parlement a définitivement adopté l’interdiction des réseaux sociaux aux moins de 15 ans. Entrée en vigueur le 1er septembre pour les nouveaux comptes, 1er janvier 2027 pour les comptes existants – ce qui suppose une campagne de vérification sur l’ensemble des utilisateurs français.

Le texte impose une obligation. Il n’impose aucune méthode.

Cet article détaille la chaîne technique qui devra être déployée en six semaines, ce que chaque maillon voit réellement, et pourquoi un précédent français documenté en septembre 2025 montre exactement où le dispositif cède.

La vérification d’âge repose sur une chaîne de trois acteurs : la plateforme, un prestataire intermédiaire, et un vérificateur d’identité. Aucun des trois ne détient l’information complète.

Le parcours, étape par étape.

La plateforme. Elle doit vérifier l’âge mais ne veut pas des documents : stocker des cartes d’identité constitue un risque juridique majeur, et le référentiel le lui interdit. Elle redirige donc l’utilisateur.

Le prestataire intermédiaire. Il organise le contrôle et renvoie une réponse à la plateforme. Point rarement souligné : il ne lit pas nécessairement les documents lui-même. Dans les architectures observées en production, il agrège et sous-traite. Sa fonction réelle est l’aiguillage.

Le vérificateur. C’est lui qui lit la pièce d’identité – lecture NFC de la puce de la carte nationale d’identité électronique, ou estimation algorithmique à partir d’un selfie. En France, ce rôle reviendrait à France Identité, application développée par l’Agence nationale des titres sécurisés.

Le retour se fait en sens inverse : une information binaire remonte au prestataire, qui la transmet à la plateforme sous forme de jeton signé – un accusé de réception cryptographiquement infalsifiable.

Le double anonymat – le principe selon lequel aucun acteur de la chaîne ne détient à la fois l’identité de l’utilisateur et sa destination – est le fondement du dispositif français.

La plateforme sait que l’utilisateur a l’âge requis, sans savoir qui il est. Le vérificateur sait qui il est, sans savoir sur quel site il s’inscrivait.

Le mécanisme repose sur la divulgation sélective – une technique permettant de prouver un attribut sans transmettre l’information qui le fonde. Prouver qu’on a plus de 15 ans sans transmettre sa date de naissance.

Le référentiel technique de l’Arcom, publié le 11 octobre 2024 après avis favorable de la CNIL, impose ce fonctionnement. Il interdit également au prestataire de conserver les données collectées.

Techniquement, le dispositif est bien conçu. Le problème se situe ailleurs.

Les tests indépendants du NIST montrent une erreur absolue moyenne de 3 à 5 ans sur les sujets adolescents, avec une précision minimale précisément autour de 16 à 18 ans.

C’est le point que le débat public ignore, et il est déterminant.

Le NIST – National Institute of Standards and Technology, l’organisme américain de référence sur ces évaluations – a établi plusieurs constats dans son programme FATE :

• Aucun algorithme ne se détache. La précision varie selon la qualité de l’image, le sexe, la région de naissance et l’âge du sujet, avec des interactions entre ces facteurs. Un système performant sur certains groupes peut être mauvais sur d’autres.
• Ces systèmes jugent mieux le franchissement d’un seuil qu’ils n’estiment un âge exact, et leur précision est la plus faible autour de 16 à 18 ans.
• Moins de 35 % des enfants de 13 ans étaient estimés à un an près par les algorithmes testés.
• Un adolescent de 17 ans peut être classé 20 ans et plus, ou dans le pire des cas 13-14 ans.

La conséquence méthodologique est la plus importante. Le NIST recommande que le seuil de décision – noté T – soit fixé au-dessus de l’âge légal, avec une marge. Pour un âge légal de 18 ans, un seuil T de 25 ans est courant. Si l’estimation dépasse T, la personne passe. Si elle est inférieure, une seconde vérification se déclenche : lecture de document ou revue humaine.

Traduction opérationnelle : pour appliquer une interdiction à 15 ans par estimation algorithmique, il faut placer le seuil de déclenchement bien au-delà. Des millions d’adultes de 20, 25 ou 30 ans basculeront donc vers la vérification documentaire.

Le selfie ne remplace pas la carte d’identité. Il en repousse le moment.

La protection repose sur une interdiction réglementaire, pas sur une impossibilité technique. La distinction est déterminante.

En ingénierie, on sépare ce qui est empêché de ce qui est interdit.

Quand le vérificateur renvoie « plus de 15 ans » sans renvoyer la date de naissance, aucun règlement n’intervient : l’information n’est pas dans le message, elle ne peut pas en sortir. C’est empêché.

Le maillon intermédiaire est dans une autre situation. Le référentiel lui interdit de conserver les données qui transitent par ses serveurs. Rien, dans l’architecture, ne l’en empêche. Ce qu’il en fait n’est visible par personne en temps réel.

Comparaison : dans une salle des coffres, la porte blindée relève de la physique – personne ne passe au travers, quelle que soit sa fonction. Le registre à l’entrée relève de la procédure – il tient tant que quelqu’un le remplit, tant que personne ne fait d’exception, tant qu’on vient vérifier.

Les deux protègent. Pas de la même manière, et pas pendant la même durée.

Le maillon intermédiaire est un registre, pas une porte blindée. Et c’est le seul point du système où les deux moitiés de l’information se croisent : il voit d’où vient la demande, et il voit qui la fait vérifier.

En septembre 2025, l’ONG AI Forensics a publié une analyse technique d’AgeGo, prestataire de vérification d’âge déployé sur plusieurs sites pour adultes français après l’obligation posée par l’Arcom.

AgeGo occupe exactement la position du maillon intermédiaire. La société ne développe pas de solution de vérification : elle agrège et aiguille vers un fournisseur qui, lui, applique des règles strictes.

Les constats du rapport :

• Malgré une option annoncée en double anonymat, AgeGo enregistrait l’adresse exacte de la page que l’internaute cherchait à consulter
• Cet enregistrement se produisait avant même le lancement de la procédure de vérification
• Scans faciaux, adresses IP, données de navigateur et adresses e-mail étaient également collectés, puis transmis vers les serveurs d’Amazon Web Services

AgeGo est une société espagnole opérant sous des règles de confidentialité britanniques, moins protectrices que le cadre français. Contactée par Politico EU, elle n’a pas répondu. L’Arcom avait annoncé analyser le rapport en concertation avec la CNIL.

Le point technique décisif : le vérificateur était conforme. Celui qui lisait les documents faisait son travail. La défaillance venait de la couche intermédiaire – celle que le référentiel avait traitée comme un simple tuyau.

Les règles avaient été écrites pour deux acteurs. Il y en avait trois.

Un détail juridique aggrave le constat. Les pouvoirs de sanction du régulateur visent les services et sites concernés, c’est-à-dire les éditeurs. Le prestataire de vérification n’est pas la cible directe du dispositif de sanction : c’est l’éditeur qui est mis en demeure pour avoir déployé une solution non conforme. Le maillon qui détient réellement les identités n’est pas celui que le régulateur peut frapper.

Six semaines séparent le vote du 21 juillet 2026 de l’entrée en vigueur du 1er septembre. Et la brique européenne conforme arrive trois mois plus tard.

Le règlement (UE) 2024/1183, dit eIDAS 2.0, est entré en vigueur le 20 mai 2024. Il impose à chaque État membre de mettre à disposition au moins un portefeuille d’identité numérique – l’EUDI Wallet – d’ici décembre 2026. France Identité doit être mise en conformité à cette échéance pour devenir officiellement le portefeuille français.

L’architecture cible supprime structurellement le problème identifié plus haut. Le portefeuille génère une preuve cryptographique, transmise par QR code ou NFC, que le destinataire vérifie instantanément sans avoir à solliciter l’émetteur. Autrement dit : plus rien à aiguiller, donc plus de maillon intermédiaire.

Mais les attestations électroniques d’attributs eIDAS 2 – la brique qui permettrait une preuve d’âge native – sont attendues à l’horizon 2026-2027. En attendant, l’intégration passe par FranceConnect+ comme fournisseur d’identité, ou par la lecture NFC directe.

Le décalage est donc de trois à quatre mois. Trois à quatre mois pendant lesquels les plateformes – majoritairement américaines – devront choisir un prestataire dans l’urgence, avec ce qui existe sur le marché.

Le précédent de 2025 documente ce que produit cette configuration. Un opérateur français, interrogé sous anonymat par Tech&Co, décrivait la mise en conformité de l’époque : ils avaient prévenu en amont que la solution n’était pas idéale, mais la précipitation ne laissait pas d’alternative.

Le contexte n’aide pas. Le rapport annuel de la CNIL fait état de 6 167 notifications de violations de données en 2025 – le plus haut niveau jamais comptabilisé, en hausse de 9,5 %. Précision nécessaire : ce sont des notifications, pas des piratages. La moitié seulement relève d’une attaque, le reste étant de l’erreur humaine ou de la mauvaise configuration. Marie-Laure Denis, présidente de la CNIL, souligne par ailleurs que le développement de l’intelligence artificielle automatise, industrialise et démocratise ces attaques.

Ce n’est pas la cryptographie qui échoue. C’est le calendrier.

Cette question de la dépendance aux prestataires étrangers dans les infrastructures critiques françaises rejoint celle que nous avions traitée à propos des data centers et du Cloud Act.

Le Royaume-Uni applique un dispositif comparable depuis le 25 juillet 2025, dans le cadre de l’Online Safety Act. Un an de données existe.

Ce qui a fonctionné : selon l’Ofcom, les principaux sites pour adultes ont perdu environ un tiers de leur audience britannique.

Ce qui a fui : Proton a enregistré plus de 1 800 % d’inscriptions quotidiennes supplémentaires depuis le Royaume-Uni, un niveau que l’entreprise associe habituellement à des situations de troubles civils majeurs. Cinq des dix applications gratuites les plus téléchargées de l’App Store britannique étaient des VPN. Sur douze mois de données, le phénomène ne s’est pas estompé.

Le gouvernement britannique a explicitement écarté une interdiction des VPN. Mais la présentation officielle de l’Online Safety Act précise que les plateformes doivent bloquer les contenus faisant la promotion des VPN ou d’autres moyens de contournement destinés aux jeunes utilisateurs.

On n’interdit pas l’outil. On impose d’en censurer la promotion.

Un mot de passe qui fuite se change. Un numéro de carte bancaire fait l’objet d’une opposition, la banque en émet un nouveau.

Une carte d’identité, non. Un scan de visage, encore moins. Ces données sont permanentes : une fois exposées, elles le restent.

C’est ce qui distingue une base d’identités de toutes les autres, et ce qui justifie une exigence supérieure sur son architecture.

L’anonymat en ligne relève du même raisonnement. Il permet à un salarié de signaler une fraude sans compromettre sa carrière, à quelqu’un de rechercher un symptôme médical sans que cette recherche figure dans un fichier, à une source de contacter un journaliste. Une fois qu’un système d’identification universel existe, il ne se démonte pas : il change de main et d’usage. Personne ne réanonymise une base de données.

Cette question de la traçabilité des usages recoupe celle abordée sur l’euro numérique et sur les enjeux de souveraineté monétaire.

Toute entreprise opérant une plateforme accessible aux mineurs devra intégrer un dispositif de vérification d’âge. Le choix du prestataire devient une décision d’architecture, pas une formalité de conformité : le cas AgeGo montre qu’un intermédiaire annoncé conforme peut collecter au-delà de son périmètre, et que la responsabilité réglementaire pèse sur l’éditeur, pas sur lui. Ceux qui attendront décembre 2026 et le portefeuille eIDAS 2 auront une architecture plus propre. Ceux qui doivent livrer au 1er septembre n’auront pas ce choix.

Planète Ingénieur, c’est le média qui rend les industriels visibles. Plus de 100 interviews de dirigeants, fondateurs et experts de l’industrie et de la deeptech française. 58 644 abonnés sur YouTube et 18 349 sur LinkedIn, en juin 2026.

Vous êtes dirigeant industriel ou fondateur deeptech et vous voulez partager votre vision ? Vous voulez associer votre marque à nos contenus ? Contactez Matthieu Poulain directement sur LinkedIn.