Nouvelle loi californienne : vérification obligatoire de l’âge lors de la création d’un compte sur tous les systèmes d’exploitation

• La Californie prévoit de mettre en application une loi qui impose aux fournisseurs de systèmes d’exploitation (OS) une procédure de vérification de l’âge au moment de la création d’un compte
• Le texte, Assembly Bill No. 1043, entrera en vigueur le 1er janvier 2027 et exige une interface permettant de saisir la date de naissance ou la tranche d’âge de l’utilisateur
• Les OS devront ensuite, sur la base de ces informations, transmettre aux développeurs tiers un signal de tranche d’âge via une API en temps réel
• Windows dispose déjà d’une procédure de saisie de la date de naissance, ce qui limite les changements, mais la communauté Linux s’inquiète d’une application irréaliste et d’une atteinte aux principes du logiciel libre
• Cette mesure illustre le durcissement des politiques publiques de vérification de l’âge, tandis que les débats sur la vie privée se poursuivent au Royaume-Uni et sur d’autres plateformes

---

Aperçu de la nouvelle loi californienne sur la vérification de l’âge

• Assembly Bill No. 1043 doit entrer en vigueur le 1er janvier 2027
  • approuvée en octobre 2025 par le gouverneur de Californie Gavin Newsom
  • la loi impose à tous les fournisseurs de systèmes d’exploitation (OS provider) de collecter des informations d’âge lors de la configuration d’un compte
• Selon les dispositions du texte, les fournisseurs d’OS devront :
  • fournir, lors de la création du compte, une interface de saisie de la date de naissance ou de la tranche d’âge de l’utilisateur
  • transmettre au développeur demandeur, via une API cohérente en temps réel, un signal de tranche d’âge (digital signal)
• Les tranches d’âge sont réparties en quatre catégories :
  • moins de 13 ans
  • 13 ans ou plus, mais moins de 16 ans
  • 16 ans ou plus, mais moins de 18 ans
  • 18 ans ou plus

Champ d’application de la loi et exigences techniques

• La loi n’impose pas de méthodes d’authentification lourdes comme la reconnaissance faciale
  • en revanche, une procédure élémentaire de vérification de l’âge au moment de la création du compte reste obligatoire
• Si un développeur tiers en fait la demande, le fournisseur d’OS devra fournir les informations de tranche d’âge via une API cohérente en temps réel
• Cette fonction sert de signal pour le contrôle d’accès par tranche d’âge dans les magasins d’applications

Réactions de la communauté et controverse

• Windows est peu affecté, car la création d’un compte Microsoft inclut déjà la saisie de la date de naissance
• En revanche, la communauté Linux a réagi de manière critique
  • sur Reddit, l’utilisateur de r/linuxmint CatoDomine a déclaré que « l’application de cette mesure par la Californie est pratiquement impossible »
  • certains ont évoqué l’idée d’ajouter une mention « inutilisable en Californie (disclaimer) »
• Ces réactions ont alimenté le débat autour des problèmes de conformité juridique des distributions open source et du réalisme de l’application de réglementations locales

Contexte international et cas similaires

• Le Online Safety Act du Royaume-Uni applique déjà un système similaire de vérification de l’âge, critiqué pour ses risques d’atteinte à la vie privée
• La vérification de l’âge par reconnaissance faciale de Discord a également suscité une controverse en raison du manque de clarté sur l’usage des données
  • des chercheurs en sécurité soulignent que le prestataire de vérification Persona effectuerait 269 procédures de vérification individuelles, y compris des contrôles liés au terrorisme et à l’espionnage
• Ces exemples montrent que le renforcement des dispositifs de vérification de l’âge sous l’impulsion des pouvoirs publics est en train de s’étendre

Efficacité de la loi et perspectives

• L’article cite l’avis selon lequel cette loi serait « pratiquement impossible à faire appliquer »
• Malgré cela, cette mesure reflète une tendance des pouvoirs publics à imposer la vérification de l’âge au niveau légal
• L’initiative californienne est présentée comme un exemple du conflit entre réalité technique et protection des données personnelles

[GN⁺]

Réactions sur Hacker News

• En parcourant le texte intégral du projet de loi, rien ne semble particulièrement problématique
  L’essentiel est d’exiger un bouton bascule au moment de créer ou modifier un compte utilisateur local pour indiquer « si cet utilisateur est un enfant ou non »
  Les applications pourraient utiliser ce signal pour distinguer les contenus pour enfants des contenus non destinés aux enfants
  Donc, à proprement parler, ce n’est pas une loi de vérification de l’âge (age verification)

  • Je pense que c’est une loi vraiment horrible
    Puisque les applis comme les sites web devront pouvoir utiliser ce signal, si l’âge exact d’un compte enfant est saisi, des sites malveillants pourraient exploiter cette information pour cibler l’enfant
    Les parents entreront délibérément un âge erroné pour éviter cela, ce qui augmentera le risque d’exposition des enfants à des contenus pour adultes
    Au final, cette loi rendra les enfants encore plus vulnérables

• Je me demande comment cela fonctionnerait sur des appareils sans interface, comme les systèmes embarqués
  En plus, ce type de loi peut en pratique mener à une atteinte à la liberté d’expression
  Je me dis même que le système administratif californien pourrait se conformer à la loi de manière « malveillante » — en éteignant tous les OS et en restant à l’arrêt jusqu’à son abrogation

  • Il y a certes un problème d’application pour les OS non commerciaux, mais la plupart des réactions semblent venir de personnes qui n’ont lu que le titre
    L’« OS » visé par la loi ne concerne que les systèmes reliés à un app store, comme les ordinateurs grand public, les mobiles ou les consoles
    Les systèmes embarqués, routeurs ou feux de signalisation ne sont pas concernés
    En pratique, ce ne serait qu’une simple invite API système demandant l’âge
  • En réalité, seuls Windows, Apple et Android seront probablement visés par l’application de la loi
    Les législateurs californiens ne doivent même pas savoir ce qu’est Linux

• Les systèmes qui dépendent d’une authentification distante (remote auth) peuvent être bloqués (jam) à tout moment
  Après avoir réinitialisé un Chromebook, j’ai essayé de me reconnecter et j’ai perdu toutes mes données à cause d’un échec de l’authentification distante
  Les systèmes critiques ne devraient pas dépendre d’une authentification distante centralisée

• De la même façon qu’on n’empêche pas les mineurs d’acheter de l’alcool en demandant à une voiture d’enregistrer l’âge de son conducteur,
  il n’est pas nécessaire que l’OS suive l’âge de l’utilisateur
  Il suffit de vérifier l’âge au moment de l’accès au contenu

• Les législateurs californiens ne comprennent absolument rien à la technologie et multiplient les lois d’affichage politique
  Entre le microstamping des armes, la détection des armes imprimées en 3D ou la vérification d’âge des micro-ondes, les régulations irréalistes ne manquent pas
  À ce rythme, la Californie va revenir à l’âge de pierre

  • Le vrai problème, c’est une structure d’incitations défaillante
    Les élus ne peuvent siéger que 12 ans au maximum, donc ils se concentrent davantage sur des lignes à ajouter à leur CV que sur leur responsabilité à long terme
  • Je me demande d’où viennent ces projets de loi
    On dirait qu’un groupe précis cherche à imposer un contrôle d’accès non anonyme
  • C’est un problème si universel qu’on pourrait presque retirer « Californie » de l’expression « législateurs californiens »
  • Le microstamping des armes semble se faire sur la partie marteau, mais ça ne peut pas simplement être poncé ou usé jusqu’à disparaître ?
  • Les citoyens qui réclament ce genre de loi sont aussi en cause
    Ils croient qu’« agir » est forcément juste, mais un activisme ignorant crée encore plus de confusion

• Si on appliquait des restrictions d’âge aux commandes Linux, ça donnerait quelque chose comme
  rm tout public, grep et find réservés aux 18+, cat réservé aux 18+, sudo aussi, kill tout public, etc.

  • Mais même sans cat, on peut contourner ça avec une simple boucle
  • ed serait une commande réservée aux nostalgiques de plus de 45 ans
  • En pratique, rm peut aussi servir à chercher du porno, et reboot ou echo peuvent eux aussi être dangereux

• Le projet de loi se limite à ajouter un attribut d’âge au profil utilisateur
  Il permettrait aux applications de recevoir des indices de catégorie d’âge comme 13+, 16+, 18+, 21+
  Cela permettrait une distinction d’âge respectueuse de la vie privée sans scan du visage ni authentification de l’appareil
  Mais il existe un risque que des entreprises comme MS, Google ou Apple détournent cela en standard fermé

  • Ce genre de loi est d’abord appliqué de manière souple, puis évolue ensuite vers un système de surveillance renforcé au motif que « l’application n’est pas assez stricte »
  • Créer un canal auxiliaire entre navigateur et OS pour échanger des informations sur l’utilisateur est au contraire une atteinte à la vie privée
  • Lors de la configuration d’un iPhone, il existe déjà une étape demandant si l’utilisateur est « enfant / adolescent / adulte »

• Je me demande pourquoi l’OS devrait être impliqué ici
  Le vrai sujet de cette régulation devrait être l’app store
  On dirait un cas typique de logique politicienne (Politician’s Logic, lien vidéo)

  • La raison est simple — il suffit de suivre l’argent
    Les grandes entreprises ont peur du computing généraliste contrôlé par l’utilisateur lui-même
    La vérification de l’âge leur fournit un prétexte émotionnel pour le contrôler
  • Si les parents créent le compte de leur enfant et que l’app store limite les applis en se basant sur l’âge fourni par l’OS, cela peut sembler raisonnable
    Et cela peut se faire sans reconnaissance faciale ni présentation d’une pièce d’identité
  • L’OS est le plus petit dénominateur commun entre l’utilisateur et toutes les applications ; il ne ferait en pratique que fournir une API de métadonnées sur la tranche d’âge
    Cela se rapproche en fait d’une obligation de contrôle parental
  • Des entreprises comme OpenAI utilisent ce type de loi comme outil de transfert de responsabilité
    Puisque Microsoft s’occupe à leur place de la vérification de l’âge
  • Si l’OS fournit le signal, chaque application n’a plus besoin de collecter séparément des données personnelles, ce qui peut même être meilleur pour la vie privée

• Ce genre de régulation pourrait au contraire pousser les enfants à construire leur propre OS
  Comme à l’époque où l’on fabriquait soi-même son matériel et compilait son système,
  cela pourrait permettre à une nouvelle génération d’apprendre l’autonomie technique

  • Mais les enfants d’aujourd’hui ne vivront peut-être même jamais ce monde-là
  • Au final, tout le matériel pourrait n’autoriser que des OS certifiés, et les OS non certifiés risqueraient de devenir illégaux
  • Ce n’était pas illégal à notre époque, mais maintenant on cherche à interdire même cela
  • On pourrait finir dans un monde où un enfant est interrogé par la police scolaire pour avoir utilisé un « OS illégal »

• Le « Right to Read » de Richard Stallman devient d’une manière étonnante une réalité

  • Stallman a toujours eu raison
    Autrefois, le prétexte était la protection du droit d’auteur, mais c’est désormais devenu un outil de contrôle de la population
    Ils n’essaient même plus de se trouver des excuses
  • Avec le temps, les prédictions de RMS deviennent de plus en plus exactes