La Californie s’oriente vers une exemption de Linux de sa loi sur la vérification de l’âge après le tollé

• L’AB 1856 de la Californie est un amendement visant à exclure la plupart des systèmes d’exploitation open source de l’obligation de vérification de l’âge au niveau du système d’exploitation prévue par le Digital Age Assurance Act
• L’amendement exclurait du champ d’application les systèmes d’exploitation et applications distribués sous une licence permettant aux utilisateurs de copier, redistribuer et modifier le logiciel
• L’AB 1043 initial imposait de demander l’âge ou la date de naissance lors de la configuration de l’appareil et de fournir aux applications et aux boutiques d’apps un signal de tranche d’âge
• Les distributions Linux ne sont pas des plateformes commerciales centralisées sous contrôle unique, et beaucoup n’ont ni comptes utilisateurs, ni télémétrie, ni structure de propriété d’entreprise, ce qui a fortement alimenté la controverse
• Les plateformes commerciales basées sur Linux incluant une boutique Steam et un client Steam propriétaires, comme SteamOS, pourraient rester soumises à la loi même après l’exemption

---

Exception pour les systèmes d’exploitation open source et avancée législative

• Le Parlement californien fait avancer l’AB 1856, qui vise à exclure la plupart des systèmes d’exploitation open source de l’obligation de vérification de l’âge au niveau du système d’exploitation prévue par le Digital Age Assurance Act
• L’Assembly Bill 1856 (AB 1856) doit être examinée en commission en juin et pourrait de fait exclure des principales distributions Linux comme Debian, Fedora, Ubuntu, Arch Linux et Mint des obligations de conformité prévues pour le 1er janvier 2027
• L’amendement exclurait de l’application de la loi existante les logiciels distribués sous une licence permettant aux utilisateurs de « copier, redistribuer et modifier » le logiciel
• Le texte proposé précise que le terme « fournisseur de système d’exploitation » ne désigne pas une personne ou une organisation qui distribue un système d’exploitation ou une application selon des conditions de licence autorisant le destinataire à copier, redistribuer et modifier le logiciel
• La députée californienne Buffy Wicks a présenté l’AB 1856 le 11 février 2026
• La formulation de l’exception open source a ensuite été intégrée à une version amendée et a commencé à attirer l’attention des communautés Linux et de la protection de la vie privée
• La version la plus récente est datée du 18 mai 2026
• Au 19 mai 2026, le texte avait passé la deuxième lecture et avait été renvoyé en troisième lecture

Structure du Digital Age Assurance Act initial

• L’Assembly Bill 1043 (AB 1043) initiale a été adoptée fin 2025, sous son nom officiel Digital Age Assurance Act
• Cette loi vise à déplacer la gestion de la vérification de l’âge en ligne, jusque-là assurée par chaque site web et application individuellement, vers le niveau du système d’exploitation
• Le système d’exploitation doit demander l’âge ou la date de naissance de l’utilisateur lors de la configuration de l’appareil, puis fournir aux applications et aux boutiques d’apps un « signal de tranche d’âge (age bracket signal) »
• La loi définit les tranches d’âge comme « moins de 13 ans », « 13–15 ans », « 16–17 ans » et « 18 ans et plus »
• La manière dont ces exigences pourraient s’appliquer à l’écosystème décentralisé des logiciels open source a immédiatement suscité la controverse

Le conflit avec Linux et l’écosystème open source

• Contrairement à Apple iOS ou à Android de Google, la plupart des distributions Linux ne sont pas des plateformes commerciales centralisées
• De nombreuses distributions Linux sont des projets communautaires maintenus par des bénévoles, et certaines n’ont ni comptes utilisateurs, ni système de télémétrie, ni structure de propriété d’entreprise officielle
• Des critiques ont estimé que la formulation initiale de la loi était trop large et pouvait contraindre même les systèmes d’exploitation open source à jouer le rôle de plateforme de vérification de l’âge
• Des organisations de protection de la vie privée, dont l’Electronic Frontier Foundation, considèrent cette loi comme intrusive et estiment qu’elle pourrait créer une infrastructure plus vaste de suivi de l’identité en ligne
• Des développeurs Linux ont également remis en cause la manière dont la Californie pourrait concrètement faire appliquer de telles exigences à des projets open source pouvant être forkés à l’infini

SteamOS et la frontière des écosystèmes d’apps propriétaires

• SteamOS pourrait malgré tout rester soumis à la loi, car il est lié à un écosystème d’applications propriétaire
• La plateforme de jeu Linux de Valve fournit à la fois une boutique Steam et un client Steam propriétaires
• En raison de cette structure, SteamOS peut être considéré, du point de vue réglementaire, comme plus proche de l’App Store d’Apple ou de Google Play
• L’AB 1856 n’abroge pas le Digital Age Assurance Act existant, mais en restreint la portée en redéfinissant ce qui relève d’un « fournisseur de système d’exploitation »
• Les plateformes commerciales disposant d’un écosystème d’applications propriétaire pourraient donc rester soumises aux exigences californiennes de garantie de l’âge, même si la plupart des distributions Linux open source sont exemptées

[GN⁺]

Avis sur Hacker News

• Une obligation au niveau de l’appareil pourrait se limiter à vérifier que le contrôle parental est activé lors de l’installation par défaut du client web
  Cela ne toucherait que les principaux navigateurs, et c’est une vérification qu’un stagiaire de chaque éditeur de navigateur pourrait ajouter en quelques minutes. Si c’est activé et que l’utilisateur connecté n’est ni administrateur ni titulaire d’un compte à privilèges élevés, l’installation par défaut du client web devrait vérifier l’en-tête RTA. Si l’en-tête est présent, il suffirait de demander le mot de passe de contournement et de permettre à l’administrateur d’ajouter immédiatement le domaine à une liste d’autorisation. Ce n’est pas parfait, mais il n’existe pas de solution parfaite
  Tout ce que les serveurs, plateformes, sites web et fournisseurs de services auraient à faire serait de définir l’en-tête RTA s’il peut s’agir de contenu pour adultes, ou s’il s’agit de contenu généré par les utilisateurs pouvant devenir dynamiquement du contenu pour adultes. Ainsi, les jeunes enfants verraient très rarement du contenu pour adultes, et ils ne pourraient pas non plus utiliser les réseaux sociaux avant approbation par les parents ou le tuteur légal, ce qui réduirait deux problèmes d’un coup
  Si un site n’ajoute pas d’en-tête RTA, les amendes devraient augmenter progressivement. Si ces amendes sont simplement considérées comme un coût d’exploitation, il faudrait saisir les actifs et placer les personnes concernées dans le quartier ordinaire des détenus. Même un stagiaire peut activer l’en-tête en 5 minutes
  La législation sur la vérification de l’âge devrait se concentrer sur cette approche, et sinon elle devrait être rejetée comme une forme de traçage abusif et d’atteinte à la vie privée. L’accent doit être mis sur les jeunes enfants. Les adolescents partagent déjà du porno, des warez et des films même dans des jeux classés tous publics
  https://news.ycombinator.com/item?id=47950091

  • Je pense que la conception par en-tête/méta-tag n’est pas bonne. La proposition RTA impose à tous les opérateurs de sites de vérifier leur contenu et d’ajouter un en-tête indiquant que le site est « sûr » ou « risqué », et si cette proposition était adoptée, elle imposerait à tort une charge inutile aux opérateurs
    À la place, en l’absence d’en-tête ou si celui-ci ne peut pas être analysé, la valeur par défaut devrait être « risqué ». S’il y a un en-tête, il devrait décrire la classification et préciser quel type de contenu à risque cette page peut contenir. L’en-tête peut être ajouté aux contenus affichables comme le HTML, le texte, les images, l’audio ou la vidéo, mais il vaudrait mieux ne pas l’ajouter aux contenus lisibles par machine comme les fichiers JS ou les réponses AJAX
    Ainsi, seuls les sites qui souhaitent rester accessibles aux mineurs auraient besoin d’ajouter l’en-tête. Sur les réseaux sociaux, les utilisateurs pourraient disposer d’une option pour marquer leur propre contenu comme « sûr »
    Dans cette proposition, les opérateurs de sites existants n’auraient rien à faire pour signaler leur site comme « risqué », puisque tous les sites seraient « risqués » par défaut. C’est bien mieux si des millions d’opérateurs de sites n’ont aucun coût d’adaptation à supporter
    Le navigateur d’un appareil avec mode parental activé ne devrait pas afficher de contenu sans en-tête, marqué comme risqué, ou avec un en-tête contenant une valeur invalide. Les parents pourraient mettre certains sites sur liste d’autorisation
    Le fait de marquer intentionnellement du contenu à risque comme « sûr » devrait engager la responsabilité. Il faut aussi envisager le cas d’opérateurs étrangers qui apposeraient délibérément un faux en-tête sur du contenu à risque. On pourrait les ajouter à une liste de blocage mise à jour périodiquement par le navigateur
    Les moteurs de recherche comme Google pourraient fonctionner par défaut en mode « sûr », mais si l’utilisateur tente de désactiver la restriction, ils pourraient alors apposer un en-tête « risqué »
    Je pense qu’il vaut mieux infliger des amendes uniquement en cas de fausse déclaration intentionnelle sur la sûreté du contenu, plutôt que d’adopter une approche du type « faisons augmenter progressivement les amendes si un site n’ajoute pas d’en-tête RTA »
  • Supposer que les législateurs aient du bon sens en matière de législation technique, c’est audacieux. Il y a 15 ans, 3 stagiaires, un dans chaque éditeur de navigateur, auraient pu implémenter un standard de consentement aux cookies en 3 heures, et pourtant aujourd’hui nous vivons dans l’enfer des bannières cookies
  • Il ne devrait y avoir aucune obligation de ce genre
  • Je me demande si cette idée a été discutée lors de la rédaction du projet de loi. J’aimerais savoir si elle a été écartée pour une raison précise alors qu’ils la connaissaient, ou simplement ignorée sans raison
  • Je suis globalement d’accord, mais l’en-tête RTA ne semble pas suffisant pour la plupart des sites web. Que faire si un site veut bloquer les navigateurs avec contrôle parental activé, sans pour autant être pornographique ni devoir être bloqué par SafeSearch ?
    https://webmasters.stackexchange.com/questions/140733/how-to...

• Comme toujours, plus de 95 % des commentaires ne savent pas ce que contient réellement la loi californienne, et commentent des sujets sans rapport avec cette loi
  Plusieurs États, pays et organisations multinationales qui ont déjà légiféré dans ce domaine, ou sont en train de le faire, ont adopté des approches différentes. Elles diffèrent sur de nombreux points : le périmètre, la méthode de vérification de l’âge, le fait de vérifier réellement ou non l’âge, l’exigence ou non de documents, l’application au web, aux applications ou aux deux, le fait de rendre l’usage anonyme plus difficile, la quantité d’informations sensibles révélées aux applis/sites, ou encore la possibilité pour le gouvernement de suivre l’historique d’utilisation
  Le plus absurde, c’est quand quelqu’un affirme qu’une loi est mauvaise en critiquant quelque chose qui n’existe pas dans la loi californienne, puis présente comme solution une approche quasiment identique à celle de cette même loi

  • Sur HN, il n’est pas inhabituel de discuter du sujet dans son ensemble plutôt que du contenu précis de l’article source. L’article sert souvent surtout de déclencheur de discussion
    Comme tu l’as dit à la fin, quand quelqu’un présente cela comme une idée nouvelle pour résoudre le problème alors que c’est en réalité la même solution que dans l’article, c’est assez embarrassant
    Malgré cela, je pense que le reste de la discussion vaut largement la peine d’avoir lieu

• Au fond, qui rédige cette législation californienne sur Internet extrêmement inquiétante, qui risque d’affecter l’ensemble des États-Unis et du monde ?
  Ces projets de loi californiens sur Internet ont-ils été rédigés sans consulter les entreprises Internet californiennes ?
  Certains acteurs californiens de l’Internet les ont-ils écrits eux-mêmes ?
  Ou bien viennent-ils d’une autre force ?

  • Meta, à elle seule, a dépensé 2 milliards de dollars en lobbying pour cela à l’échelle mondiale, avec un succès énorme. Désormais, ces textes sont adoptés à l’unanimité un peu partout
  • Il suffit de lire le texte de la loi californienne telle qu’elle a été adoptée pour voir immédiatement que son auteur vit dans une bulle très étroite où les seuls « ordinateurs » existants sont des téléphones-tablettes, où les seuls systèmes d’exploitation sont Android et iOS, et où l’installation de logiciels ne se fait que via des app stores
    L’ensemble des phrases montre une vision extrêmement limitée de ce qu’est un « ordinateur », mais la définition des termes est si large que même le petit CPU embarqué dans un micro-ondes pourrait devoir demander l’âge avant de faire quoi que ce soit
  • Ce texte a été écrit par Buffy Wicks, qui représente ma circonscription au Parlement de l’État. Elle est très bien sur le logement, les transports et le climat, mais elle devrait rester dans son domaine au lieu d’essayer de légiférer sur les API de plateforme
  • Non, non, la dernière hypothèse est clairement la bonne
    Le texte est rédigé selon la logique « créons un comité ou une organisation pour promouvoir les bonnes choses et empêcher les mauvaises, finançons les bonnes choses et empêchons les mauvaises d’arriver ». Ensuite, une fois la loi votée, les lobbyistes en écrivent les détails, le programme taxe les gens, cet argent devient du revenu pour les entreprises, les entreprises financent les politiques, et les politiques vendent leurs voix aux lobbyistes et groupes d’intérêt
    Les responsables politiques californiens partent de l’objectif final : « conserver le pouvoir, étouffer la contestation, capter le capital et nier l’échec »
    On est au-delà du simple mensonge en face. Ils savent paraître sincères et convaincants tout en cherchant à tirer le maximum pour eux-mêmes, leur parti et, au-delà, le « gouvernement », et feront n’importe quoi pour maintenir l’illusion qu’on a encore le choix, le droit de vote et le droit à la parole
    J’ai vécu ici toute ma vie, et ces politiciens sont malfaisants. Ils mentent, trompent, volent, nient quand on les prend, et punissent quand on les provoque

• Tout cela vient du fait que les autorités publiques ont perdu la volonté ou la capacité de réguler les entreprises. Elles se rabattent donc sur un transfert de la charge vers les consommateurs

  • C’est aussi une régulation publique. Quelle que soit la manière dont cela passe, ce sont les consommateurs qui en subiront les effets
  • Perdu la volonté ? On est plutôt proche du fait d’être payé pour regarder ailleurs, non ?
  • Autrement dit, le capital agit comme il l’a toujours fait : dans son propre intérêt

• En étant cynique, on peut penser que cette façon de faire vise à empêcher les développeurs Linux d’avoir qualité pour agir contre la loi sur la base du premier amendement

  • Non, ce n’est pas encore assez cynique
    C’est la manœuvre classique du genre : « ce qu’on veut faire n’a fondamentalement aucun sens, alors ajoutons sans cesse des exceptions arbitraires pour en faire un problème de niche, faisons ce qu’on veut, puis avec le temps refermons ces exceptions une par une »
    Dans 5 ans, on verra des idiots dans les commentaires expliquer que la « faille Linux » était une erreur et qu’il faut la refermer
    Source : l’histoire
  • C’est exactement ça. Il s’agit d’éliminer la qualité pour agir, et c’est une faille majeure de notre système juridique. Il faudra des changements profonds pour défendre correctement les droits constitutionnels
  • Il faut aussi apprendre à accepter une victoire comme une victoire. Voir toute chose uniquement comme une arnaque relève presque cliniquement de la paranoïa

• Politiquement, c’est habile. Le groupe le plus opposé à cette vérification d’âge recoupe justement beaucoup les amateurs de logiciels open source, c’est-à-dire des techniciens attachés à la liberté des utilisateurs
  Bien sûr, cela signifie aussi que les marginaux qui utilisent Linux ou LineageOS gagnent des points cool parce qu’ils pourront accéder à davantage de contenu adulte

• Soit cela échouera, soit toute la loi sautera. Microsoft dépensera beaucoup d’argent pour éviter d’être désavantagé

• Il ne s’agit pas seulement de Linux. Plus précisément, il est écrit qu’un « fournisseur de système d’exploitation » ne désigne pas une personne physique ou morale qui distribue un système d’exploitation ou une application selon des conditions de licence permettant au destinataire de copier, redistribuer ou modifier le logiciel

  • En lisant seulement le titre, je me suis dit : « les gens du côté BSD vont être en deuil ». Heureusement, ce n’est pas aussi myope que je le pensais au départ
  • Je me demande quels faux positifs et faux négatifs cette définition va produire. On pourrait aussi soutenir que Microsoft permet aux titulaires de licences entreprise de copier son logiciel sur tous les PC et serveurs, de le redistribuer en interne, et qu’il soit modifié par des développeurs d’entreprise ou des administrateurs système utilisant des stratégies de groupe
    Il faudrait peut-être préciser qu’il s’agit du « code » du logiciel, exiger du code open source, et écrire que tout cela doit être « gratuit »

• C’est une mauvaise décision. En Californie, il n’existe pas de loi de vérification d’âge, seulement une loi imposant de demander l’âge, et toutes les bonnes raisons de demander si l’utilisateur a plus de 18 ans restent valables même si le système d’exploitation est Linux
  La sanction pour avoir fourni un système d’exploitation qui ne demande pas si l’utilisateur a plus de 18 ans est que le produit peut être considéré comme défectueux et faire l’objet d’un remboursement ; mais les logiciels open source sont déjà fournis gratuitement et sans garantie, donc qui s’en souciera ? Le seul cas particulier serait si vous l’avez acheté à Red Hat, ce qui reviendrait à accorder à Red Hat une immunité contre cette violation sans aucune raison

• Concernant l’idée que « SteamOS pourrait encore être affecté », Steam effectue lui-même une vérification d’âge. Au premier démarrage du Steam Deck aussi, à ma connaissance, il impose pratiquement une connexion à Steam avant qu’on puisse faire quoi que ce soit sans bidouille initiale
  En revanche, une fois dedans, il n’y a aucun moyen d’empêcher quelqu’un de passer en mode bureau, de lancer Firefox et de regarder du porno
  Malheureusement, la solution reste que les parents fassent réellement leur travail de parents. Mais dire cela revient un peu à dire que les imbéciles ne devraient pas se reproduire