Il existe deux façons de savoir si un internaute a 18 ans. La première consiste à lui demander une preuve : une pièce d'identité, un passeport, un visage. La seconde consiste à l'observer assez longtemps pour le déduire. En 2026, les deux méthodes tournent en même temps, parfois chez le même prestataire, et elles ne collectent pas du tout les mêmes données. Voici ce qui est démontré, ce que les entreprises affirment, et ce que les chercheurs contestent.
En France, la loi impose un tiers et un simple oui ou non
Depuis la loi SREN, les sites pornographiques doivent appliquer le référentiel de l'Arcom, qui fixe les exigences techniques minimales du contrôle d'âge, dans les trois mois suivant sa publication. La CNIL a rendu son avis sur ce projet le 26 septembre 2024, et l'essentiel de sa doctrine tient en une idée : le site ne doit jamais savoir qui vous êtes, seulement que vous êtes majeur.
Concrètement, le référentiel impose le recours à un prestataire indépendant de l'éditeur et, après une période transitoire, au moins une solution de "double anonymat" : le vérificateur atteste la majorité, le site ne reçoit qu'une preuve. La CNIL recommande même de privilégier les dispositifs où l'utilisateur conserve ou génère localement sa preuve de majorité, sans repasser par un tiers à chaque visite. Elle a aussi averti : généraliser le contrôle d'âge au-delà des cas de danger pour les mineurs conduirait à "un monde numérique fermé", où chacun devrait constamment prouver son âge, voire son identité, avec les risques que cela suppose pour la liberté d'expression.
Cette architecture est la clé de tout le reste. Selon l'endroit où se trouve votre pièce d'identité et celui où se trouve votre visage, un même service est soit un péage anonyme, soit un fichier d'identités.
ChatGPT préfère deviner votre âge
OpenAI a officialisé le 20 janvier 2026 le déploiement technique de sa prédiction d'âge. Le modèle examine "une combinaison de signaux", explique l'entreprise : la teneur des conversations, l'ancienneté du compte, les moments de la journée où vous êtes actif, vos habitudes d'usage au fil du temps et l'âge que vous avez déclaré. D'autres signaux seront ajoutés pour "affiner continuellement" le modèle. Un compte jugé mineur, ou simplement suspect, n'est pas fermé : il bascule dans une expérience bridée, avec des filtres renforcés.
Le raisonnement d'OpenAI est difficile à contester sur le principe : pour ne pas demander de papiers à tout le monde, il faut bien observer tout le monde. Le résultat est un profilage continu, adultes compris - l'inverse exact du double anonymat français, où l'identité ne sort pas du vérificateur. Et la charge de la preuve retombe sur ceux qui n'ont rien demandé : un adulte mal classé doit passer par Persona, un prestataire tiers, et fournir un selfie en direct pour retrouver un accès complet. Numerama parle de "double peine".
OpenAI affirme ne pas recevoir lui-même le selfie ni la pièce d'identité. C'est une affirmation d'acteur, pas un constat indépendant : elle déplace la question vers Persona, elle ne la referme pas. La tendance, elle, dépasse OpenAI : Next rapporte qu'Anthropic peut désormais exiger une vérification d'identité sur Claude.
Persona, ce que le code exposé raconte
Persona est une société américaine de vérification d'identité, spécialisée dans la connaissance du client et la lutte antiblanchiment, utilisée par Discord, OpenAI et d'autres plateformes. En février 2026, des chercheurs qui enquêtaient sur le contrôle d'âge de Discord ont trouvé une interface Persona exposée sur un serveur autorisé par le gouvernement américain, avec 2 456 fichiers accessibles. Ils ont publié ce qu'ils y ont lu : au-delà de la vérification d'âge, 269 contrôles distincts, la comparaison des visages à des listes de surveillance et à des personnes politiquement exposées, un filtrage des contenus médiatiques défavorables en 14 catégories (terrorisme, espionnage...), des scores de risque et de similarité.
Côté données, toujours selon ces chercheurs, Persona collecte - et peut conserver jusqu'à trois ans - adresses IP, empreintes du navigateur et de l'appareil, numéros de pièce d'identité, numéros de téléphone, noms, visages, ainsi qu'une série d'analyses de selfie : détection d'entités suspectes, de poses répétées, d'incohérences d'âge.
Trois précautions s'imposent. D'abord, ce code décrit des capacités, pas ce qui est activé pour chaque client. Ensuite, Persona conteste le cadre : le domaine exposé n'a "jamais eu de clients fédéraux et ne contient aucune donnée client", affirme l'entreprise dans un billet de blog. Enfin, son PDG Rick Song a répondu sur X que la société vérifie les identités "en toute sécurité", les conserve "uniquement le temps nécessaire pour le compte du client", puis les supprime "dès que possible". Les trois ans sont donc un plafond lu dans du code, pas une pratique observée. Discord a depuis indiqué renoncer à Persona pour la vérification d'âge, après la polémique.
Reste un point que la presse amplifie souvent sans preuve : la proximité avec Palantir. Un média français qualifie Persona de prestataire "proche du géant de la cybersurveillance Palantir" ; un autre évoque un financement par Peter Thiel. Une formule de presse d'un côté, un financement d'investisseur de l'autre : rien qui documente un lien opérationnel. Ce qui est établi, et déjà suffisant pour poser question, c'est qu'un même intermédiaire privé concentre les visages et les pièces d'identité de millions d'utilisateurs de plateformes qui, elles, ne veulent pas en porter la responsabilité.
L'appli de l'UE garde les photos brutes
Mi-avril 2026, Ursula von der Leyen présente "Age Verification", une application open source que la Commission veut souveraine, destinée à éviter les solutions américaines clé en main. Argument central : "les normes de confidentialité les plus élevées au monde", et un code ouvert que chacun peut vérifier.
Le chercheur en cybersécurité Paul Moore l'a vérifié. En quelques jours, il publie deux séries de constats. La bonne nouvelle : la donnée dérivée, le fameux "is_over_18", est correctement chiffrée. La mauvaise : les images sources ne le sont pas. Le portrait biométrique lu dans la puce NFC de la pièce d'identité est écrit sur le disque en PNG sans perte, et n'est supprimé qu'en cas de succès ; un scan interrompu, un retour en arrière ou un plantage le laisse en cache. Les selfies, eux, partent en stockage externe, en PNG, et ne sont jamais effacés.
S'y ajoutent des failles d'implémentation. Le code PIN, rangé dans un fichier de préférences, n'est pas lié cryptographiquement au coffre qui contient les données d'identité ; le compteur de tentatives et le drapeau "UseBiometricAuth" sont des valeurs modifiables dans ce même fichier. Moore contourne l'authentification en moins de deux minutes, puis réitère sur la version 2026.04-2. Plus gênant encore, il décrit une attaque par relais qu'il présente comme structurelle et non comme un simple bug : l'application prouve que "le propriétaire de cet appareil Android est majeur", pas que la personne devant l'écran l'est. La demande peut être transmise au téléphone d'un adulte, n'importe où dans le monde, et l'enfant passe.
Sur le papier, l'appli européenne est l'architecture la plus protectrice imaginée à ce jour : les données restent sur votre téléphone, seul un attribut binaire en sort. Dans les faits, elle stocke des données biométriques brutes en clair et ne sait pas rattacher sa preuve à une personne. Moore, critique déclaré, résume la conception ainsi : on a remplacé "j'ai plus de 18 ans" par "quelqu'un a plus de 18 ans". Ses démonstrations sont reproductibles ; son jugement sur le concept reste un jugement.
Qui paie, et pour quel résultat
La vérification d'âge a un coût, et il se répartit mal. Les plateformes paient la conformité : intégration d'un vérificateur, audits, journalisation. Les petits éditeurs paient proportionnellement plus cher que les géants, ce qui concentre un peu plus le marché entre quelques prestataires. Et l'utilisateur paie en friction - selfie, pièce d'identité, parfois compte bridé - pour un service auquel il n'a rien demandé.
Le bénéfice, lui, est réel mais incertain. En Australie, le régulateur affirme avoir fermé environ 4,7 millions de comptes de moins de 16 ans sur les grandes plateformes, six semaines après l'entrée en vigueur de l'interdiction. Un compte fermé n'est pas un mineur écarté : des adolescents, des parents et des chercheurs décrivent des contournements simples et un déplacement vers des applications moins modérées, ce qui affaiblit l'objectif même de la mesure. Il suffit d'un téléphone prêté, et la preuve d'âge la plus sophistiquée ne voit rien.
C'est pourquoi l'avertissement de la CNIL compte autant que ses recommandations techniques. Un contrôle limité à quelques contextes sensibles protège les mineurs ; généralisé à tout, il installe une obligation permanente de s'identifier pour lire, discuter ou publier, avec un bénéfice de sécurité qui décroît à mesure que les contournements se banalisent. Le choix n'oppose pas la protection des mineurs à la vie privée. Il oppose une preuve d'attribut bien construite, qui ne dit que "majeur", à un empilement de fichiers d'identité dont personne ne veut assumer la garde. Le débat sur l'anonymat en ligne ne fait que commencer, et certains acteurs du secteur sonnent déjà l'alarme.
Trois questions avant de tendre votre visage
La prochaine fois qu'un service vous demande un selfie, trois points méritent d'être vérifiés. Qui contrôle : un tiers indépendant, ou la plateforme elle-même ? Que garde ce tiers, et pendant combien de temps ? La réponse doit être écrite et opposable, pas promise dans un fil de discussion. Et la vérification est-elle facultative, avec un recours prévu si vous êtes mal classé ?
Les droits d'accès et d'effacement existent. Encore faut-il savoir à qui les adresser. C'est précisément le problème de cette chaîne : entre la plateforme qui vous demande votre âge, le prestataire qui garde votre visage et l'application qui stocke votre passeport, celui qui détient le fichier n'est presque jamais celui qui vous parle.
