Protection des mineurs dès la conception : auditer les fonctionnalités de son application

Le défilement infini, la lecture automatique et les notifications de relance ne sont plus de simples choix d'ergonomie. Le 6 février 2026, la Commission européenne a estimé à titre préliminaire que ces fonctions, combinées à un système de recommandation très personnalisé, plaçaient TikTok en infraction au règlement sur les services numériques (DSA), dont les amendes peuvent atteindre 6 % du chiffre d'affaires mondial. Pour un éditeur d'application, de jeu ou de chatbot fréquenté par des mineurs, la conformité se joue désormais fonctionnalité par fonctionnalité.

Protection des mineurs dès la conception : les textes qui s'appliquent à votre application

Trois niveaux de règles coexistent, et il faut les distinguer : ce qui est en vigueur, ce qui est proposé, ce qui n'est qu'en projet.

En vigueur : l'article 28 du DSA et ses lignes directrices

L'article 28 du règlement (UE) 2022/2065 impose aux fournisseurs de plateformes en ligne accessibles aux mineurs des mesures « appropriées et proportionnées » pour garantir un niveau élevé de protection de la vie privée, de sûreté et de sécurité des mineurs. La Commission en a précisé la lecture dans ses lignes directrices de juillet 2025 (C/2025/5519). Elles ne sont pas contraignantes, mais la Commission déclare qu'elle s'y tiendra lorsqu'elle appliquera l'article 28, et l'Arcom comme les autres autorités nationales peuvent s'en inspirer (point 12) : c'est la grille que l'on vous opposera. Le même point précise que les suivre ne vaut pas présomption de conformité.

Trois précisions changent le périmètre. D'abord, l'article 28 ne vise que les plateformes en ligne, c'est-à-dire les services qui stockent et diffusent au public les contenus de leurs utilisateurs (article 3 du DSA). Une messagerie privée seule n'en fait pas une (considérant 14) : un jeu solo ou un chatbot autonome dont les échanges ne sont pas diffusés au public y échappe en principe, alors qu'un jeu doté de forums ou de canaux ouverts à tous peut y entrer. Ensuite, une mention « réservé aux plus de 18 ans » dans vos conditions générales ne suffit pas à sortir du champ si aucune mesure efficace n'empêche l'accès des mineurs (point 6). Enfin, l'obligation ne vise pas les micro et petites entreprises (moins de 50 personnes et 10 millions d'euros de chiffre d'affaires ou de bilan), sauf désignation comme très grande plateforme (article 19 du DSA).

Pour apprécier cette exemption, les effectifs et le chiffre d'affaires des entreprises liées ou partenaires s'agrègent (article 6 de l'annexe de la recommandation 2003/361/CE) : une startup de 30 salariés détenue par un groupe peut la perdre. Le statut perdu continue de protéger pendant douze mois. L'exemption ne couvre pas non plus les plateformes de partage de vidéos, que la directive 2010/13/UE oblige, quelle que soit leur taille, à vérifier l'âge pour les contenus préjudiciables aux mineurs (note 9 des lignes directrices). Et une startup hors champ de l'article 28 reste soumise au RGPD et au droit de la consommation.

En vigueur aussi : RGPD, droit de la consommation et règlement sur l'IA

L'article 45 de la loi Informatique et libertés fixe à 15 ans l'âge du consentement seul aux services en ligne : en dessous, un traitement fondé sur le consentement exige celui du mineur et d'un titulaire de l'autorité parentale. Le code de la consommation répute agressive la publicité qui incite directement les enfants à acheter (article L121-7, 5°). L'article 5 du règlement (UE) 2024/1689 sur l'IA interdit depuis le 2 février 2025 les systèmes qui exploitent les vulnérabilités liées à l'âge pour altérer substantiellement un comportement d'une manière qui cause ou peut causer un préjudice important.

Proposé ou en projet : le KIDS Act et la version française

La proposition d'EU KIDS Act présentée le 17 septembre 2026 (COM(2026) 681) consacre tout un chapitre à la « sécurité dès la conception » : design addictif, recommandation, paramètres, contacts, transactions, chatbots, jeux. Ce n'est qu'une proposition, à négocier au Parlement et au Conseil. Côté français, le texte notifié à Bruxelles le 14 septembre 2026 viserait, selon la presse, une dizaine de fonctionnalités plutôt qu'une liste de plateformes. Le contexte de ces deux textes est détaillé dans notre analyse de la censure de l'interdiction des réseaux sociaux aux moins de 15 ans.

Le point commun : le législateur ne regarde plus le type de service, mais ses fonctions.

Méthode d'audit : de l'inventaire à la matrice de risques

Les lignes directrices décrivent un « examen des risques » (section 5) qui sert de trame. Je le décline en quatre étapes.

1. Inventorier les fonctionnalités réellement exposées aux mineurs, version par version : flux, lecteur vidéo, notifications, messagerie, partage de position, boutique, fonctions d'IA, filtres.
2. Mesurer l'exposition. Le considérant 71 du DSA tient une plateforme pour accessible aux mineurs si ses conditions générales leur permettent de l'utiliser, si elle les vise, si elle est surtout utilisée par eux ou si le fournisseur sait que certains utilisateurs sont mineurs. Des conditions générales qui admettent les 13 ans et plus font donc entrer dans le champ. Âges déclarés à l'inscription, études marketing, promotion auprès des adolescents : ces éléments peuvent suffire (point 7).
3. Coter chaque fonctionnalité selon la typologie dite des « 5C » (contenu, conduite, contact, consommateur, risques transversaux) et lui attribuer un niveau faible, moyen ou élevé sur des critères explicites (point 18 b).
4. Décider pour chaque ligne : supprimer pour les comptes mineurs, désactiver par défaut, ajouter une friction, ou maintenir avec une justification écrite. Fixer un indicateur de suivi.

Deux règles encadrent l'exercice. Le principe de précaution : lorsqu'un élément permet raisonnablement de penser qu'une fonction présente un risque, on l'atténue jusqu'à preuve de son innocuité (point 20). Et la périodicité : un examen au moins une fois par an et à chaque modification importante de la conception (point 21). Un audit mené au lancement puis oublié ne couvre pas les mises à jour suivantes.

Défilement infini, lecture automatique, notifications : le design addictif

C'est le bloc le plus exposé. Les lignes directrices demandent que les mineurs ne soient pas exposés aux « caractéristiques de conception persuasives » qui visent principalement l'engagement : défilement indéfini, déclenchement automatique de vidéos, notifications programmées pour regagner l'attention, fausses notifications sociales, effets de rareté et récompenses virtuelles pour des actions répétées (point 61 b).

Les paramètres attendus par défaut

Pour les comptes mineurs, le point 57 fixe un socle : lecture automatique et diffusion en direct désactivées ; notifications automatiques coupées par défaut et toujours coupées pendant les heures de sommeil ; compteurs de « J'aime », « flammes », indicateurs « … écrit » et accusés de lecture désactivés. S'y ajoute un outil de gestion du temps visible et réellement dissuasif (point 61 c).

Le mineur garde la main, mais sous conditions. S'il modifie un réglage protecteur, il doit pouvoir choisir une modification temporaire ou permanente, recevoir un avertissement sur ses conséquences et revenir aux réglages initiaux en un clic (point 58). Aucun écran ne doit l'inciter à baisser son niveau de protection, et les choix doivent lui être présentés de manière neutre (point 57 e). Un bouton « Activer tout » mis en avant à l'inscription ne passe pas ce test.

Ce que l'affaire TikTok enseigne

Dans ses constatations préliminaires du 6 février 2026, prises au titre des obligations d'évaluation et d'atténuation des risques propres aux très grandes plateformes, la Commission reproche à TikTok de ne pas avoir évalué l'effet de ces fonctions et d'avoir négligé des indicateurs d'usage compulsif, comme le temps passé par les mineurs sur l'application la nuit. Les outils de gestion du temps, faciles à ignorer, sont jugés insuffisants. Elle évoque la désactivation progressive du défilement infini, des pauses effectives, y compris la nuit, et l'adaptation de la recommandation. Ces constatations ne préjugent pas de l'issue, mais elles indiquent ce qu'un régulateur cherchera dans votre dossier : des métriques d'usage nocturne et une décision motivée sur chaque fonction. Pour une plateforme de taille moyenne, le même raisonnement passe par l'article 28 et ses lignes directrices.

La proposition de KIDS Act irait plus loin : son article 9 « répute » addictives la lecture automatique sans interruption, les notifications sans lien avec l'activité du mineur, les incitations à diffuser en direct et les pénalités pour défaut de connexion régulière, comme la perte d'une série de jours consécutifs. Cette liste viserait les réseaux sociaux et les plateformes de vidéos ; les jeux en ligne seraient soumis à l'interdiction générale du design addictif mais, dans la liste, aux seules notifications et pénalités d'assiduité (article 15).

Systèmes de recommandation : priorité aux signaux explicites

Hors micro et petites entreprises, tout fournisseur de plateforme doit déjà exposer dans ses conditions générales les principaux paramètres de son système de recommandation (article 27 du DSA). Pour les mineurs, les lignes directrices demandent davantage (point 65) :

• aucune collecte de données comportementales issues de l'activité du mineur hors de la plateforme ;
• pas de profilage couvrant la totalité ou presque de son activité sur le service ;
• les signaux implicites d'engagement (temps de visionnage, taux de clic) utilisés seulement après une analyse de l'intérêt de l'enfant, et la priorité donnée aux préférences qu'il exprime ;
• un filtre contre l'exposition répétée à des contenus promouvant des régimes irréalistes, banalisant des troubles de santé mentale ou incitant à des activités dangereuses, y compris ceux signalés mais pas encore modérés.

Le mineur doit aussi pouvoir réinitialiser complètement son flux, comprendre pourquoi un contenu lui est proposé et, selon l'évaluation du fournisseur, choisir une option non fondée sur le profilage (points 66 et 67). L'article 10 de la proposition européenne rendrait cette dernière option obligatoire et désactiverait par défaut la recommandation fondée sur les signaux implicites.

En pratique, l'audit porte sur la fonction objectif du modèle. Un algorithme optimisé sur le seul temps passé est difficile à défendre pour un public mineur. Je demande aux équipes produit de documenter les métriques de qualité et de sécurité ajoutées, pas seulement les métriques d'engagement retirées.

Messagerie, contacts avec des inconnus et géolocalisation

Le risque de contact est le plus grave, parce qu'il ouvre la porte au harcèlement et à la sollicitation sexuelle. Les lignes directrices illustrent le scénario d'une plateforme fictive, « SadFriends », où un mineur peut être contacté par des inconnus et où sa position reste visible après la fermeture de la session : des adultes nouent un lien, gagnent sa confiance et obtiennent des images pédopornographiques.

Le socle attendu

• messages, commentaires, mentions et identifications réservés par défaut aux comptes acceptés par le mineur (point 57 b, i) ;
• jamais de suggestion du compte d'un mineur à des adultes, ni de comptes d'adultes au mineur (point 59 b) ;
• coordonnées jamais divulguées, captures et téléchargements de ses contenus bloqués par défaut ;
• géolocalisation, micro, caméra et synchronisation des contacts désactivés par défaut, coupés automatiquement en fin de session s'ils ont été activés, avec un indicateur visible tant qu'ils fonctionnent (points 57 et 58).

L'audit doit aussi couvrir les chemins détournés : un forum de guilde dans un jeu, des commentaires sous une vidéo publique, une invitation dans un groupe. La proposition de KIDS Act exigerait l'accord explicite du mineur avant tout ajout à un groupe et l'interdiction par défaut d'héberger un direct (article 12).

Achats intégrés, monnaies virtuelles et boîtes à butin

Les lignes directrices demandent d'afficher le prix des achats intégrés dans la monnaie nationale, de ne pas rendre un achat nécessaire à l'usage d'un service présenté comme gratuit, de ne pas exposer les mineurs à des monnaies virtuelles qui brouillent le coût réel ni à des boîtes à butin payantes aux résultats aléatoires (point 69, i à k).

Le droit de la consommation s'applique déjà

Inciter directement les enfants, dans une publicité, à acheter ou à faire acheter leurs parents est une pratique réputée agressive, punie de deux ans d'emprisonnement et 300 000 € d'amende, montant qui peut être porté à 10 % du chiffre d'affaires moyen annuel (articles L121-7 et L132-11 du code de la consommation). Pour une société, le plafond fixe est quintuplé, soit 1,5 million d'euros (article 131-38 du code pénal). En mars 2025, le réseau européen des autorités de protection des consommateurs a publié des principes sur les monnaies virtuelles dans les jeux et demandé à l'éditeur de Star Stable Online de répondre d'appels directs aux enfants, d'offres à durée limitée et d'une information tarifaire opaque.

Le risque est aussi contractuel. Un mineur ne peut accomplir seul que les actes courants autorisés par la loi ou l'usage et conclus à des conditions normales (article 1148 du code civil). Au-delà, l'acte encourt la nullité relative (article 1147). Même un acte courant reste annulable pour simple lésion, et la simple déclaration de majorité faite par le mineur n'y fait pas obstacle (article 1149). L'annulation joue contre l'éditeur : il rembourse le prix, alors que le mineur ne restitue qu'à hauteur du profit qu'il a retiré de l'acte (article 1352-4). Une case « j'ai 18 ans » ne protège donc pas la recette.

Pour les éditeurs de jeux, ces points s'ajoutent aux règles exposées dans notre article sur les obligations des plateformes de jeux envers les joueurs mineurs. Je les traite avec les studios dans le cadre de mon accompagnement des acteurs du jeu en ligne.

Chatbots compagnons et fonctions d'IA

Les agents conversationnels intégrés aux applications sont le nouveau front. Les lignes directrices posent cinq exigences pour une plateforme accessible aux mineurs (points 61 e et f, 69 e) :

• pas d'activation automatique ni d'incitation à utiliser la fonction ;
• une évaluation des risques avant la mise à disposition ;
• une désactivation simple et un état d'activation clairement affiché ;
• un avertissement permanent, adapté à l'âge, rappelant qu'il ne s'agit pas d'un humain et que les réponses peuvent être fausses ;
• aucun usage du chatbot pour pousser vers des contenus commerciaux ou des achats.

Le règlement sur l'IA ajoute deux couches. Une interdiction d'abord : un système qui exploite la vulnérabilité liée à l'âge pour altérer substantiellement un comportement et causer un préjudice important expose à une amende jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu, le plus faible pour une PME (article 99, paragraphes 3 et 6). Un compagnon conçu pour retenir un adolescent par l'attachement émotionnel pourrait s'en approcher si un préjudice important en résulte ; faute de décision publiée, la qualification s'apprécie au cas par cas. Une obligation de transparence ensuite : depuis le 2 août 2026, un système destiné à dialoguer avec des personnes doit les informer qu'elles échangent avec une IA, sauf évidence (article 50, paragraphe 1), sous peine de 15 millions d'euros ou 3 % du chiffre d'affaires. Le règlement omnibus (UE) 2026/1744 a reporté les obligations des systèmes à haut risque, pas celle-ci.

L'omnibus interdit aussi, à compter du 2 décembre 2026, les systèmes qui génèrent sans garde-fous suffisants des images intimes d'une personne identifiable sans son consentement ou des contenus pédopornographiques : à vérifier sur tout filtre ou générateur d'images ouvert aux adolescents.

La proposition de KIDS Act viserait directement les compagnons IA : pas de comportement simulant une relation interpersonnelle propre à créer une dépendance, pas de réutilisation par défaut des conversations antérieures, tests avant mise sur le marché, amende jusqu'à 6 % (articles 14 et 34). Pour l'architecture et le contrat de ces fonctions, voyez mon accompagnement en droit de l'intelligence artificielle.

Documenter l'audit : ce que le régulateur demandera

Un audit non écrit n'existe pas. Le dossier type comprend :

• la matrice fonctionnalité par fonctionnalité, datée, avec niveau de risque, décision et indicateur ;
• les métriques d'âge et d'usage (heures nocturnes, fréquence d'ouverture, durée des sessions) ;
• les tests des paramètres par défaut après chaque mise à jour ;
• une politique interne et une personne ou une équipe responsable avec un accès direct à la direction (point 84) ;
• la preuve que la publicité profilée est coupée pour les mineurs, interdiction de l'article 28, paragraphe 2, du DSA que la CNIL contrôle pour les plateformes établies en France (article 124-5 de la loi Informatique et libertés).

Les résultats de l'examen sont à tenir à disposition des autorités et à publier, sans informations sensibles, avant l'examen suivant (point 21). En France, l'Arcom coordonne l'application du DSA, aux côtés de la DGCCRF et de la CNIL (article 7 de la LCEN). Pour les réseaux sociaux et plateformes de vidéos désignés très grandes plateformes, la proposition ajouterait un plan de conformité audité par des experts indépendants (article 5).

Conseil d'avocat. Faites relire la matrice par un juriste avant le comité produit, pas après. Une fonctionnalité maintenue « parce qu'elle fait l'audience » sans analyse écrite correspond à ce que la Commission reproche, à titre préliminaire, à TikTok. La même fonction, maintenue avec un indicateur, une friction et une revue à six mois, se défend.

Ma méthode, en tant qu'avocat en nouvelles technologies et développeur : je lis les écrans et les flux de données avec l'équipe produit, je qualifie chaque fonction au regard des trois niveaux de textes, et je livre une matrice priorisée exploitable dans votre outil de suivi. Le chantier reste maîtrisé s'il est mené avant une refonte plutôt qu'après une enquête.

Calendrier : auditer avant que les textes se figent

Aujourd'hui, l'article 28 du DSA, lu à travers ses lignes directrices, s'applique aux plateformes accessibles aux mineurs qui ne sont pas des micro ou petites entreprises. Le KIDS Act s'appliquerait six mois après son entrée en vigueur (article 43 de la proposition), et la version française ne peut être adoptée qu'après le délai de statu quo prévu par la directive (UE) 2015/1535.

Deux écarts avec le DSA comptent pour les petites structures. La proposition ne reprend pas l'exemption des micro et petites entreprises, sauf pour la surveillance après commercialisation des chatbots (article 14), et vise les jeux en ligne, compagnons IA et chatbots généralistes même lorsqu'ils ne sont pas des plateformes (article 2). Une startup hors champ de l'article 28 serait donc concernée si le texte était adopté en l'état. En sens inverse, respecter le KIDS Act vaudrait respect de l'article 28 sur les points qu'il couvre, pour les réseaux sociaux et les plateformes de vidéos ou de jeux (article 2, paragraphe 6).

Un audit mené maintenant permet de paramétrer les comptes par tranche d'âge plutôt que de reconstruire le produit sous contrainte de délai. Si votre application compte des utilisateurs de moins de 18 ans, échangeons sur l'audit de vos fonctionnalités et votre feuille de route.