La Commission européenne a adopté le 29 avril 2026 une recommandation sur « un cadre commun pour les technologies de vérification de l’âge à l’échelle de l’UE ». Mais elle n’harmonise pas les législations nationales sur l’âge de la « majorité numérique » (13 à 18 ans) ni les contenus indésirables.
Le marché unique numérique s’arrête là où commencent la « majorité numérique » et les « contenus indésirables ». La recommandation « sur l’établissement d’un cadre commun pour les technologies de vérification de l’âge à l’échelle de l’UE », que la Commission européenne a adoptée le 29 avril 2026, vise à harmoniser les moyens techniques de la vérification de l’âge. Mais elle ne va pas jusqu’à harmoniser les législations nationales des Vingt-sept sur l’âge légal d’accès aux réseaux sociaux – qui continuera de varier de 13 à 18 ans selon les Etats membres – ni sur la nature des restrictions – notamment sur les contenus considérés « illégaux ou nocifs » (violence, terrorisme, pornographie) ou « restreints » (pornographie, jeux d’argent) ou « à risque de contact » (cyberharcèlement, pédo-piégeage).
Un « schéma directeur » (blueprint) ouvert
« Après avoir finalisé les travaux techniques sur la solution européenne de vérification de l’âge, elle est désormais prête à être personnalisée et déployée par les Etats membres. Pourquoi cette solution est-elle importante ? Parce que cela aidera à garantir que tout le monde ait le même accès en ligne, selon les règles nationales. Cela permettra à chacun de continuer à naviguer sur Internet en toute confidentialité, tout en garantissant que les enfants n’aient pas accès à des contenus qui ne leur sont pas destinés », a expliqué Henna Virkkunen (photo), vice-présidente de la Commission européenne, en charge de à la souveraineté technologique, la sécurité et la démocratie.
Pour autant, il n’y aura pas de solution unique dans les Vingt-sept pour que l’utilisateur puisse prouver qu’il a plus de 13, 15, 16 ou 18 ans et sans avoir à révéler son identité pour préserver sa vie privée, tout en protégeant ses données. L’exécutif européen parle de « blueprint », que l’on peut traduire en français par « schéma directeur », ou « plan de conception », et qui occupe une place centrale dans cette recommandation du 29 avril 2026. L’objectif est que : (suite) tous les citoyens de l’UE aient la garantie d’accéder à des technologies de preuve de l’âge respectueuses de la vie privée d’ici la fin de 2026 ; les Etats membres facilitent le déploiement de solutions basées sur le blueprint européen et soutiennent l’établissement du système de vérification de l’âge de l’UE ; une gouvernance soit définie pour des solutions disponibles de manière autonome, ou intégrées aux portefeuilles d’identité numérique. Le « cadre commun pour les technologies de vérification de l’âge à l’échelle de l’UE » – l’intitulé de la recommandation d’une douzaine de pages (1) – ne veut donc pas dire que les Européens auront tous accès à la même solution de vérification de l’âge, loin s’en faut. En effet, le blueprint désigne seulement le « schéma de vérification de l’âge » dans le marché unique numérique – mais pas d’outil unique. La Commission européenne indique dans sa recommandation qu’il s’agit d’« une spécification […] comprenant l’architecture technique, protocoles, interfaces et mise en œuvre de référence open-source ».
Ainsi, lorsqu’il est question de « solution de vérification de l’âge dans l’UE » (EU Age Verification Solution), cela désigne « toute application ou tout service mettant en œuvre le système de vérification de l’âge de l’UE, qu’il soit fourni par la Commission [européenne], par un Etat membre ou par toute autre entité publique ou privée, et qu’il soit proposé en tant qu’application autonome ou intégré dans un portefeuille d’identité numérique européen [European Digital Identity Wallet, ndlr (2)], qui permet aux utilisateurs de prouver qu’ils respectent un seuil d’âge donné ». Les outils de vérification d’âge proposés dans les Vingt-sept pourraient être nombreux et différents, quand bien même ils respecteraient le blueprint édicté par Bruxelles. Dans sa recommandation, la Commission européenne assure néanmoins qu’elle « facilite le développement, au sein des Etats membres, de solutions européennes de vérification de l’âge qui soient harmonisées, robustes, cybersécurisées et respectueuses de la vie privée ainsi que de la protection des données », et que « ces solutions s’appuient sur un schéma directeur (blueprint), composé de spécifications techniques alignées sur celles des portefeuilles européens d’identité numérique, ainsi que sur une application mobile en code source ouvert (open-source) pouvant être adaptée aux contextes nationaux » (3).
L’appli blueprint, par Scytáles et T-Systems
Au-delà du schéma directeur blueprint, la conception et le développement de son application de référence (ou EU Age Verification App) ont été confiés contractuellement aux sociétés suédoise Scytáles et allemande T-Systems (consortium T-Scy), à l’issu d’un appel d’offres de la DG Cnect qui s’est déroulé entre octobre et novembre 2024 (4). Montant estimé du contrat remporté par T-Scy : 4 millions d’euros (5). Le modèle blueprint étant publié en open source, accompagné des spécifications techniques (6), les Etats membres mais aussi les acteurs privés ou publics du marché puissent « l’utiliser et le développer davantage pour élaborer des solutions de vérification de l’âge adaptées à leurs besoins ». L’application « blueprint/T-Scy » sert ainsi de solution en marque blanche (white label). Un avantage de la publication en open source du plan directeur est que, selon la Commission européenne, cela « garantit l’examen public et minutieux du code, et contribue à la transparence et à la confiance ».
Pas de tracking d’identité : c’est promis
La Commission européenne indique en outre qu’elle « travaille en étroite collaboration avec les Etats membres, les plateformes en ligne et les utilisateurs finaux », étant précisé que plusieurs Etats membres prévoient de publier une fonctionnalité de vérification de l’âge (proof-of-age) dans le cadre de leurs portefeuilles d’identité numérique européens. L’exécutif européen promet en outre que « les solutions de vérification de l’âge de l’UE utiliseront une technologie de pointe et empêcheront le suivi des identités ». Donc, pas d’identity tracking, si l’on en croit la recommandation qui est formelle : « Les solutions de vérification de l’âge de l’UE servent uniquement à confirmer qu’un utilisateur a plus d’un certain âge, sans révéler aucune autre information sur l’utilisateur au fournisseur de preuve de confiance ou au service de la société de l’information. L’identité et l’activité en ligne de l’utilisateur seront protégées contre toute divulgation tout au long du processus » (7).
Pour que cela fonctionne, il faut, d’une part, l’application de vérification de l’âge développée par un éditeur, et, d’autre part, l’attestation de preuve de l’âge délivrée par les fournisseurs de confiance. Il s’agit donc de deux rôles distincts dans l’écosystème mis en place par la Commission européenne, même si une même entité peut parfois cumuler les deux fonctions. « Une liste de fournisseurs de confiance d’attestations de preuve de l’âge au niveau de l’UE sera consultable par les fournisseurs de plateformes en ligne et les autres parties concernées afin de vérifier que l’attestation de preuve de l’âge d’un utilisateur a été délivrée par un fournisseur figurant sur la liste. Une liste de l’UE consacrée aux solutions de confiance remplit une fonction complémentaire en permettant d’identifier les solutions de vérification de l’âge reconnues comme étant conformes au système européen de vérification de l’âge (EU Age Verification Scheme) », explique la recommandation (8). Les fournisseurs de solutions de vérification de l’âge et ceux des attestations de preuve de l’âge devraient donc prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées – conformément aux « mesures de gestion des risques en matière de cybersécurité » prévue par la directive européenne « Niveau élevé commun de cybersécurité dans l’UE » de 2022 (9), dite « Cybersecurity ».
Pour être inscrits sur cette liste (10) mise à jour par la Commission européenne, les sociétés ou organismes fournisseurs – de preuves d’attestation d’âge et/ou de solutions de vérification de l’âge – devront respecter deux règlements et une directive, sous peine d’en être radiés : le règlement « eIDAS » de 2014 sur « l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur » (11) ; le règlement « eUDI » de 2025 sur « les normes de référence, les spécifications et les procédures applicables à la gestion des risques liés à la fourniture des services de confiance non qualifiés » (12) ; la directive « NIS 2 » (ou « SRI 2 ») de 2022 sur « des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’UE » (13). Autrement dit : eIDAS garantit que la preuve est légale et reconnue partout ; eUDI garantit que la preuve est anonyme et technique ; NIS 2 garantit que le système est impossible à pirater. Le fournisseur candidat devra prouver qu’il coche ces trois cases simultanément.
Plan de mise en œuvre d’ici le 30 juin 2026
A défaut d’harmonisation sur le marché unique numérique, la vérification de l’âge est traitée dans l’UE comme un service régalien (fourni par l’Etat) ou certifié (fourni par des tiers audités). La France via son portail France Identité, l’Italie avec son système IT-Wallet, l’Autriche avec son ID Austria ou encore la Pologne via son application mObywatel sont parmi les Etats membres qui sont en phase d’adoption de leurs solutions locales basées sur « blueprint/T-Scy ». Les Vingt-sept ont jusqu’au 31 décembre 2026 pour proposer à leurs ressortissants un solution conforme pour vérifier leur âge. Auparavant, les Etats membres devront « soumettre un plan de mise en œuvre [différentes étapes du processus, communication publique, engagement avec les chercheurs et les représentants des organisations de la société civile] à la Commission européenne au plus tard le 30 juin 2026 ». @
Charles de Laubier