EU KIDS Act : ce que la proposition de la Commission imposera aux plateformes

Le 17 septembre 2026, la Commission européenne a présenté la proposition de règlement dite EU KIDS Act (COM(2026) 681) : pas de compte autonome avant 15 ans sur les réseaux sociaux à risque, sécurité dès la conception pour les jeux, les chatbots et les magasins d'applications, vérification d'âge par une solution européenne certifiée, amendes jusqu'à 6 % du chiffre d'affaires mondial. Rien n'est encore applicable, mais une fonctionnalité conçue aujourd'hui pour des adolescents l'est pour un droit qui arrive.

EU KIDS Act : une proposition de règlement, pas encore du droit

Le texte porte la référence COM(2026) 681 final, procédure 2026/0286 (COD). C'est une proposition de règlement soumise à la procédure législative ordinaire : le Parlement européen et le Conseil doivent l'adopter, le plus souvent après une négociation en trilogue. Aucune obligation n'existe donc aujourd'hui sur son fondement.

Une fois adopté, le règlement entrerait en vigueur le vingtième jour suivant sa publication au Journal officiel et s'appliquerait six mois plus tard (article 43). Deux exceptions : l'article 5, sur le plan de conformité des très grandes plateformes, s'appliquerait dès l'entrée en vigueur ; les articles 33 et 35 un an après. Six mois, c'est court pour refondre un produit.

Un âge unique contre les lois nationales

L'exposé des motifs relève que sept États, dont la France, ont notifié en 2025 et 2026 des projets nationaux de limite d'âge, avec des seuils de 13 à 16 ans. Le choix d'un règlement, directement applicable, vise à fermer la porte à ces régimes divergents, dont le projet français réécrit après la censure du Conseil constitutionnel, analysé dans notre article sur l'interdiction des réseaux sociaux aux moins de 15 ans.

Le lien avec l'article 28 du DSA

La proposition « précise et complète » le règlement (UE) 2022/2065 sur les services numériques (DSA) et complète le règlement (UE) 2024/1689 sur l'IA (article 1er). L'article 28 du DSA impose déjà aux plateformes accessibles aux mineurs des mesures « appropriées et proportionnées » ; le KIDS Act en fait des obligations précises. Contrepartie : un réseau social, une plateforme vidéo ou une plateforme de jeux vidéo conforme serait réputé respecter l'article 28, paragraphe 1, pour les matières couvertes (article 2, paragraphe 6). La présomption ne couvre ni l'interdiction de la publicité profilée visant les mineurs (paragraphe 2), ni les procédures déjà ouvertes. Cette logique est détaillée dans notre analyse des conséquences de l'harmonisation du DSA sur le droit national.

Qui est concerné : sept catégories de services, sans exemption des PME

L'article 2 vise les fournisseurs de sept catégories de services ou de systèmes « accessibles aux mineurs » : réseaux sociaux en ligne, plateformes de partage de vidéos, magasins d'applications, jeux en ligne, systèmes d'exploitation, compagnons IA et chatbots conversationnels généralistes. Le critère est l'accessibilité, pas le ciblage.

Le lieu d'établissement est indifférent. Pour les cinq premières catégories, le règlement s'applique dès que le service est offert à des destinataires établis ou situés dans l'Union. Pour les compagnons IA et les chatbots, dès leur mise sur le marché ou leur mise en service dans l'Union. Hors magasins d'applications et systèmes d'exploitation, un fournisseur non établi dans l'Union devrait désigner un représentant légal (article 24).

Des définitions empruntées au DMA et au règlement sur l'IA

Les notions de réseau social en ligne, de plateforme de partage de vidéos et de magasin d'applications reprennent l'article 2 du règlement (UE) 2022/1925 (DMA). Un réseau social y est une plateforme permettant de se connecter, communiquer, partager des contenus et découvrir d'autres utilisateurs et contenus. Une application communautaire ou un forum avec messagerie pourrait s'y rattacher sans se présenter comme un réseau social : la qualification se jouera sur les fonctionnalités, pas sur le discours commercial.

Pour l'IA, le compagnon est un système qui simule ou facilite une relation sociale, émotionnelle ou interpersonnelle ; le chatbot généraliste, un système d'IA à usage général capable d'aider dans de multiples domaines. Sont exclus les agents limités à un service spécialisé : service client, support technique, transaction, application métier ou éducative (article 3, paragraphe 5, point d).

Exemptions étroites et absence de seuil de taille

Sont exclus les encyclopédies et répertoires éducatifs ou scientifiques à but non lucratif, les services éducatifs des établissements d'enseignement, les plateformes de logiciels libres, la recherche et les services internes des autorités publiques (article 2, paragraphe 4). En revanche, l'exposé des motifs refuse expressément d'exempter les micro et petites entreprises, alors que l'article 19 du DSA les dispense aujourd'hui de l'article 28. Pour les startups et entreprises innovantes qui éditent une application sociale ou un jeu, l'argument de la taille disparaîtrait.

La limite d'âge : 13 ans, 15 ans et comptes supervisés

Les articles 6 et 7 ne visent que les réseaux sociaux et les plateformes de partage de vidéos.

Pas de compte autonome avant 15 ans sur un service à risque

Un fournisseur ne pourrait pas laisser une personne de moins de 15 ans créer un compte ou utiliser un compte si son service présente un risque pour la vie privée, la sûreté ou la sécurité des mineurs de cet âge (article 6, paragraphe 1). Un seul critère suffit : diffusion en temps réel vers un nombre indéterminé de destinataires, notamment en direct ; contact avec des personnes extérieures aux relations existantes ; système de recommandation fondé sur le profilage au sens de l'article 4 du RGPD ; suggestions de contacts ou de contenus hors abonnements ; fonctions favorisant une consommation ininterrompue, incitant aux interactions ou envoyant des notifications de relance. Curiosité du texte publié : la liste commence au point d).

Presque tous les réseaux sociaux du marché cochent au moins une case. La vraie question : le service peut-il fonctionner sans aucune de ces fonctions pour les moins de 15 ans ?

De 13 à 15 ans : un compte créé par le parent

Par dérogation, la plateforme pourrait, sans y être obligée, laisser un parent créer pour un enfant de 13 à 15 ans un compte à fonctionnalités limitées (article 6, paragraphe 2) : outils parentaux toujours activés, temps d'utilisation plafonnable à une heure par jour au plus, nouveaux contacts pré-approuvés par le parent, qui peut aussi plafonner leur nombre. La plateforme vérifierait que l'enfant a 13 ans et que l'adulte exerce l'autorité parentale (article 26), l'autodéclaration du parent restant admise, sous réserve d'efforts raisonnables de vérification, au moins jusqu'à un acte délégué.

Avant 13 ans : seulement par le compte du parent

Sous 13 ans, aucun compte pour l'enfant. Seule exception : une plateforme vidéo conçue pour les moins de 13 ans pourrait ouvrir un accès limité via le compte du parent, dès 3 ans, une heure par jour au plus, recommandations et recherche désactivées sauf si l'évaluation d'impact, obligatoirement publiée, démontre l'intérêt du mineur (article 7).

Les comptes existants : six mois pour faire le tri

C'est l'obligation la plus lourde. Dans les six mois suivant l'entrée en application, soit douze mois après l'entrée en vigueur, les plateformes visées devraient établir si les titulaires de comptes existants ont moins de 15 ans, et désactiver ces comptes ainsi que ceux dont l'âge ne peut être établi (article 6, paragraphe 4). Elles passeraient par la solution européenne de vérification d'âge, sauf à établir avec un degré élevé de confiance que l'utilisateur a l'âge requis (article 32, paragraphe 2).

Sécurité dès la conception : ce que devraient modifier les réseaux sociaux et plateformes vidéo

L'article 8 pose le principe qui change l'architecture des produits : les services visés devraient être conçus par défaut selon les exigences du chapitre III, et ne pourraient y déroger qu'après avoir établi, par une méthode d'assurance de l'âge, que l'utilisateur est majeur. L'expérience par défaut devient l'expérience mineur.

Point de vigilance. L'obligation de l'article 8 vaut que le service soit accessible avec ou sans compte. Un site qui affiche des vidéos recommandées à des visiteurs anonymes n'y échappe pas. Seule la démonstration, avec un degré élevé de confiance, que l'utilisateur n'est pas mineur dispense d'évaluer son âge (article 32, paragraphe 3).

Pour les réseaux sociaux et les plateformes vidéo, cinq blocs d'obligations s'ajoutent.

• Conception addictive (article 9). Sont réputés encourager un usage compulsif la lecture automatique et le défilement sans interruption effective, les notifications sans lien avec l'activité du mineur, les incitations à partager des contenus ou à diffuser en direct, et les mécanismes de régularité assortis de pénalités, comme les séries à entretenir. Le service devrait limiter le temps d'accès et l'interrompre, en protégeant le temps scolaire et les heures de sommeil.
• Recommandation (article 10). Priorité aux préférences exprimées, recommandation fondée sur les signaux implicites d'engagement désactivée par défaut, aucune donnée collectée hors du service, et au moins une option non fondée sur le profilage.
• Réglages par défaut (article 11). Géolocalisation, micro, caméra, suggestions de comptes, synchronisation des contacts et notifications push désactivés par défaut. Ils ne pourraient être modifiés qu'au-delà de 15 ans, avec un consentement explicite. Les fonctions qui embellissent de façon disproportionnée l'image du mineur ou accentuent la comparaison sociale, comme certains filtres, lui seraient fermées.
• Contacts (article 12). Aucun contact direct sans approbation du mineur, pas de présence dans les suggestions de contacts, ajout à un groupe sur accord explicite, contenu invisible pour les inconnus et les visiteurs sans compte, téléchargement et captures d'écran de ses contenus bloqués, direct désactivé par défaut.
• Transactions (article 13). Information en temps réel avant tout achat, prix des monnaies virtuelles affiché en monnaie légale, en euros en France, et interdiction d'exposer les mineurs aux systèmes de récompense variable, comme les coffres à butin.

S'y ajoutent, selon les cas pour les réseaux sociaux, plateformes vidéo, jeux et systèmes d'IA visés, des outils de signalement adaptés aux mineurs et traités en priorité (article 19), des outils parentaux dont le mineur est informé (article 20) et un droit de mandater une association (article 21). L'exposé des motifs juge le surcoût limité pour la plupart de ces exigences, déjà présentes dans les lignes directrices de juillet 2025 sur l'article 28 du DSA. Il admet en revanche que l'assurance de l'âge et les outils parentaux auront un coût, impossible à chiffrer, surtout pour les petits fournisseurs jusqu'ici dispensés de l'article 28.

Jeux en ligne, chatbots IA et magasins d'applications : des obligations sur mesure

Pas de limite d'âge pour ces services, mais des exigences de conception adaptées.

Jeux en ligne

L'article 15 appliquerait aux jeux une partie des règles des réseaux sociaux : pas de notifications de relance ni de pénalités en cas d'absence, réglages protecteurs par défaut, contacts encadrés, outils parentaux obligatoires et seul canal d'accès avant 13 ans. Le jeu ne devrait pas servir à attirer les mineurs vers d'autres services à risque. Les éditeurs déjà concernés par les règles présentées dans notre article sur la protection des joueurs mineurs pourraient s'appuyer sur un code de conduite reconnu par la Commission (article 15, paragraphe 4). Point notable : l'article 15 ne renvoie pas à l'article 13 sur les transactions. La monétisation des jeux serait traitée par les codes de conduite de l'article 17, ce qui laisse la question des coffres à butin ouverte.

Compagnons IA et chatbots généralistes

L'article 14 interdirait les comportements qui simulent une relation interpersonnelle de nature à créer une dépendance émotionnelle. Par défaut, le système ne réutiliserait pas les échanges passés avec un mineur, sauf pour sa sécurité. Tests des risques avant mise sur le marché, surveillance ensuite, sauf pour les micro et petites entreprises. Un réseau social ou un jeu qui intègre un chatbot ne pourrait ni l'activer automatiquement ni le mettre en avant.

Magasins d'applications et systèmes d'exploitation

Les magasins d'applications devraient classer chaque application par âge, publier leur méthode, bloquer pour les mineurs les applications inadaptées et accepter la solution européenne de vérification d'âge (article 16). En cas de classement contesté, les codes de conduite de l'article 17 devraient ouvrir à l'éditeur un recours gratuit devant un organe indépendant. Le système d'exploitation qui détient un signal d'âge conforme devrait, avec le consentement de l'utilisateur, le partager avec les services qui en ont besoin (article 29, paragraphe 6).

Vérification de l'âge : la solution européenne au centre du dispositif

Le chapitre V encadre toute méthode d'assurance de l'âge, qu'il s'agisse d'estimation ou de vérification. L'autodéclaration n'en fait pas partie (article 3, paragraphe 5, point i).

• Exigences générales (article 27). Exactitude, fiabilité, sécurité, robustesse, caractère non intrusif, protection des données et non-discrimination.
• Protection des données (article 28). La solution ne devrait ni identifier, ni localiser, ni suivre, ni cibler, ni profiler l'utilisateur. Aucune donnée au-delà du strict nécessaire, aucun croisement avec d'autres services, et une preuve à divulgation nulle de connaissance. Seul le signal « seuil atteint » pourrait être conservé au niveau du compte pour éviter des contrôles répétés.
• Solution imposée pour la limite d'âge (article 29, paragraphe 2). Pour l'article 6, les réseaux sociaux et plateformes vidéo devraient recourir exclusivement à une solution européenne certifiée, fournie par un tiers et inscrite sur une liste tenue par la Commission. Les portefeuilles européens d'identité numérique conformes seraient réputés certifiés.
• Liberté encadrée pour le reste (article 29, paragraphe 4). Pour la sécurité dès la conception et les magasins d'applications, d'autres solutions resteraient possibles si leur conformité aux articles 27 et 28 est démontrée.
• Droit de contester (article 29, paragraphe 5). Un mécanisme de réclamation gratuit et électronique contre un résultat jugé erroné.

Chaque État membre devrait mettre gratuitement à disposition au moins une solution européenne certifiée (article 31). La gratuité vaut pour l'utilisateur, pas pour l'intégration côté éditeur, et une solution maison ne suffirait plus pour la limite d'âge. Pour les contrats en cours avec un prestataire de vérification, c'est une clause de réversibilité à prévoir dès aujourd'hui.

Contrôle, sanctions et calendrier : ce qui pèsera sur les plateformes

Pas de nouveau régulateur : le KIDS Act s'appuie sur les structures existantes (article 34).

Qui contrôlera

Pour les réseaux sociaux, plateformes vidéo, plateformes de jeux et magasins d'applications, le chapitre IV du DSA s'appliquerait : en France, a priori l'Arcom, coordinateur pour les services numériques, la DGCCRF et la CNIL (article 7 de la loi pour la confiance dans l'économie numérique), et la Commission pour les très grandes plateformes, au moins 45 millions d'utilisateurs actifs mensuels dans l'Union (article 33 du DSA). Les chatbots relèveraient du règlement sur l'IA, les jeux vidéo hors plateforme d'une autorité désignée par l'État d'établissement, et les traitements de données liés à l'assurance de l'âge des autorités de protection des données, la CNIL en France.

Les plafonds de sanction

• Plateformes soumises au DSA : jusqu'à 6 % du chiffre d'affaires mondial annuel, que l'amende soit prononcée par l'autorité nationale (article 52 du DSA) ou par la Commission pour une très grande plateforme (article 74).
• Compagnons IA et chatbots : jusqu'à 6 % du chiffre d'affaires mondial de l'exercice précédent, en cas de faute intentionnelle ou de négligence (article 34, paragraphe 2).
• Manquements à la protection des données dans l'assurance de l'âge : amendes du RGPD, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial (article 83, paragraphe 5, du RGPD).

Les très grandes plateformes supporteraient en outre une procédure accélérée visant une décision finale en 90 jours ouvrables (article 35) et une redevance de surveillance plafonnée à 0,03 % de leur résultat net mondial (article 36). Celles qui exploitent un réseau social ou une plateforme vidéo devraient aussi notifier à la Commission, dans les 30 jours de l'entrée en application, un plan de conformité audité à leurs frais (article 5).

Un calendrier réaliste

Le Parlement européen avait demandé, en novembre 2025, une limite à 16 ans sauf autorisation parentale, avec un plancher à 13 ans. Le seuil de 15 ans, le champ et l'exclusivité de la solution européenne seront donc discutés. Une application avant 2028 paraît peu probable au vu des délais habituels de la procédure : c'est une estimation, pas une date. L'article 28 du DSA, lui, s'applique depuis le 17 février 2024 aux plateformes autres que les micro et petites entreprises, et la CNIL contrôle déjà, pour les plateformes établies en France, l'interdiction de la publicité profilée visant les mineurs (article 124-5 de la loi Informatique et libertés).

Ce que je recommande aux plateformes dès maintenant

Attendre le texte définitif serait une erreur de calcul : la plupart des obligations s'appliqueraient six mois après l'entrée en vigueur, et le tri des comptes existants devrait être achevé six mois plus tard. Voici la méthode que j'applique avec les éditeurs que j'accompagne en tant qu'avocat en nouvelles technologies.

1. Qualifier le service. Un jeu avec chat et chatbot intégré relèverait des articles 14 et 15, voire de l'article 6 si ses fonctions sociales le rapprochent d'un réseau social.
2. Cartographier les fonctions à risque. Direct, contacts avec des inconnus, recommandation profilée, notifications de relance, monnaie virtuelle, récompenses variables. Pour chacune, une décision écrite : supprimer, désactiver pour les mineurs, ou justifier.
3. Mesurer l'audience mineure. Statistiques et études marketing révèlent souvent une audience ignorée, qui peut se retourner contre l'opérateur.
4. Paramétrer l'expérience mineur par défaut par tranche d'âge, sans code figé : 15 ans peut devenir 16 ans en trilogue.
5. Revoir les contrats : prestataire de vérification d'âge (sous-traitance RGPD, réversibilité), fournisseur de modèle d'IA, studios tiers.

Conseil d'avocat. La période de retour d'information court jusqu'au 3 décembre 2026. Un éditeur qui identifie une obligation inapplicable à son modèle, par exemple le blocage des captures d'écran sur le web ou l'exclusivité de la solution européenne, a intérêt à le documenter et à le faire valoir maintenant. Après le trilogue, il sera trop tard.

Le KIDS Act impose une expérience mineur par défaut, une vérification d'âge sans identification et un tri des comptes existants. Auditer ses fonctionnalités maintenant, c'est ramener cette contrainte à un réglage de produit. Si votre service compte des utilisateurs de moins de 18 ans, échangeons sur votre exposition au KIDS Act et sur votre plan de mise en conformité.