La loi californienne sur les moins de 16 ans vérifie votre téléphone, pas votre position : ce que les AB 1709 et AB 1856 changent pour les utilisateurs de VPN

Le 10 septembre, le gouverneur Gavin Newsom a promulgué treize lois sur la sécurité des enfants en une seule séance. Celle qui fait tous les titres est l’AB 1709, qui interdit aux plateformes de réseaux sociaux de servir des « fonctions addictives » à toute personne de moins de 16 ans en Californie. Celle dont presque personne n’a parlé est l’AB 1856, et c’est pourtant le texte qui décide comment une plateforme connaîtra l’âge d’un utilisateur en premier lieu.

C’est par cette seconde question que l’histoire concerne les utilisateurs de VPN. Les trois dernières années ont habitué Internet à une séquence : un parlement adopte une loi de contrôle de l’âge, les sites web se mettent à exiger un document ou un scan du visage, et la demande de VPN bondit en quelques heures. C’est arrivé dans l’Utah en 2023, en France en juin 2025, au Royaume-Uni en juillet de la même année, et en Australie en décembre. Le réflexe de jeudi soir était donc prévisible : l’interdiction californienne arrive, il est temps de prendre un VPN.

Le système californien ne fonctionne pas ainsi. Son contrôle de l’âge ne demande aucun document et ne s’intéresse pas à l’endroit où vous êtes. Il interroge le téléphone. Voici ce que font réellement les deux textes, comment le signal d’âge est construit, pourquoi un VPN ne modifie aucune de ses données d’entrée, et ce que la loi signifie ou non pour quelqu’un qui en utilise déjà un.

Qu'a promulgué la Californie le 10 septembre 2026 ?

Le cabinet du gouverneur recense treize textes signés ce jour-là dans le comté de Marin, des règles sur les chatbots compagnons destinés aux enfants (SB 1119, « Adam’s Law ») à l’interdiction des chatbots dans les jouets (SB 867). « La sécurité de nos enfants mérite d’être au centre de chaque conversation sur la technologie », a déclaré Newsom dans le communiqué.

Deux des treize comptent ici.

L’AB 1709, porté par Josh Lowenthal, député de Long Beach à l’Assemblée de Californie, s’intitule « Covered platforms: age restriction: e-Safety Advisory Commission » (plateformes concernées : restriction d’âge : commission consultative e-Safety). C’est la règle des moins de 16 ans, et elle a franchi les deux chambres le 31 août.

L’AB 1856, porté par Buffy Wicks, députée d’Oakland, s’intitule « Age verification signals: software applications » (signaux de vérification de l’âge : applications logicielles). Il modifie le Digital Age Assurance Act, la loi que Wicks a écrite l’an dernier (AB 1043, promulguée le 13 octobre 2025) et qui fait du système d’exploitation d’un téléphone la source de vérité sur l’âge d’un utilisateur. L’AB 1709 s’appuie nommément sur cette loi, ce qui oblige à lire les deux textes ensemble.

Qu'interdit réellement l'AB 1709 ?

La phrase opérante, dans le texte adopté, est courte : « Une plateforme concernée ne doit pas fournir une fonction addictive à un utilisateur de moins de 16 ans. »

Une fonction addictive est définie comme l’une des « fonctions psychologiquement exploitantes conçues pour maximiser l’engagement et qui conduisent de manière prévisible à un usage compulsif », et le texte en nomme deux : le fil addictif et la lecture automatique. Le procureur général peut en ajouter par voie réglementaire. Une plateforme concernée est tout site, service ou application qui « offre ou fournit aux utilisateurs une fonction addictive comme partie significative du service », les sites de commerce et le stockage cloud étant exclus.

Ce n’est pas, à première vue, une interdiction des comptes. Une plateforme peut continuer à servir à un mineur une version sans les fonctions addictives. Les dents du texte apparaissent quand elle ne le fait pas : une plateforme qui ne peut ou ne veut pas offrir cette version doit « supprimer le compte de l’utilisateur de moins de 16 ans et toute information personnelle associée à cet utilisateur ». L’Electronic Frontier Foundation, qui avait demandé à Newsom d’opposer son veto, qualifie le résultat d’« interdiction de fait des réseaux sociaux pour les personnes de moins de 16 ans ». Newsom l’a présenté autrement le jour de la signature, déclarant au Los Angeles Times qu’« il s’agit des fonctions elles-mêmes. Il s’agit de s’attaquer vraiment au problème, le défilement, les algorithmes. »

Les sanctions retombent sur la plateforme. Une infraction commise sciemment coûte jusqu’à 50 000 $ par mineur concerné ; une infraction par négligence jusqu’à 25 000 $. Seuls le procureur général ou un procureur local peuvent engager l’action, et le tribunal « doit tenir compte de la taille de la plateforme concernée, de la gravité et de la durée de l’infraction » ainsi que de ses efforts de bonne foi pour se conformer. Le texte crée aussi une commission consultative e-Safety de sept membres au sein du Département de la Justice de l’État, qui rend compte à la législature chaque mois de janvier.

Le texte ne fixe aucune date d’application propre. Selon la règle par défaut de la Californie pour les lois adoptées en session ordinaire, cela signifie le 1er janvier 2027, qui se trouve être le jour où le signal d’âge dont dépend le texte est activé.

Comment une plateforme saura-t-elle qu'un utilisateur a moins de 16 ans ?

Voici la phrase qui distingue la Californie de toutes les autres lois de contrôle de l’âge en vigueur : « Avant de fournir une fonction addictive à un utilisateur, une plateforme concernée doit vérifier l’âge de l’utilisateur conformément au Digital Age Assurance Act. »

Pas en scannant une pièce d’identité. Pas en estimant l’âge à partir d’un selfie. Pas en lisant une adresse IP. En interrogeant le système d’exploitation.

L’analyse de l’AB 1856 par la commission de la vie privée de l’Assemblée détaille le mécanisme que la loi contient déjà. Un fournisseur de système d’exploitation, c’est-à-dire Apple, Google ou Microsoft en pratique, doit présenter à la configuration du compte une interface « qui exige du titulaire du compte qu’il indique la date de naissance, l’âge, ou les deux, de l’utilisateur de cet appareil ». De cette saisie, le système dérive des « données de tranche d’âge », définies comme des « données non identifiantes dérivées de la date de naissance ou de l’âge d’un utilisateur », en quatre bandes : moins de 13 ans, 13 à 16 ans, 16 à 18 ans, et 18 ans ou plus. Quand une application est téléchargée et lancée, elle doit demander le signal, qui arrive « via une interface de programmation en temps réel raisonnablement cohérente ». Un développeur qui reçoit le signal est « réputé avoir une connaissance effective de la tranche d’âge de l’utilisateur » et doit la traiter comme l’indicateur principal de l’âge, sauf s’il détient des informations claires et convaincantes du contraire.

La commission est franche sur les raisons pour lesquelles la Californie a préféré cette conception aux alternatives. Les contrôles documentaires, écrit-elle, obligent « les utilisateurs à transmettre des documents d’identité sensibles à potentiellement des dizaines de plateformes, ce qui crée de sérieux risques pour la vie privée et la sécurité des données », tandis que les méthodes biométriques et comportementales « exigent une collecte de données étendue » et « fonctionnent de manière peu fiable précisément aux limites d’âge qui comptent le plus ». La tranche déclarée à la configuration est le compromis : une saisie, faite une fois, par l’adulte qui a configuré le téléphone, partagée sous forme de fourchette plutôt que de date.

L’AB 1856 resserre la tuyauterie. Selon le résumé du Legislative Counsel, il supprime la définition qui limitait l’« utilisateur » à un enfant utilisateur principal d’un appareil ; il n’applique l’obligation d’interface que « si un système d’exploitation fonctionne sur un appareil et dispose d’une fonction de configuration de compte » ; il exige que le signal parvienne à la fois aux boutiques d’applications et aux développeurs ; et il ajoute une interdiction qui n’existait pas auparavant : « Nul ne peut demander un signal concernant un utilisateur particulier à un fournisseur de système d’exploitation ou à une boutique d’applications concernée s’il n’y est pas tenu par le présent titre ou par toute autre loi applicable. » Les distributeurs de systèmes d’exploitation open source en sont exclus, après que des projets comme GrapheneOS ont déclaré publiquement qu’ils ne construiraient pas l’interface. Le calendrier est inchangé : les systèmes d’exploitation doivent fournir des signaux à partir du 1er janvier 2027, les appareils configurés avant cette date reçoivent une interface d’ici le 1er juillet 2027, et les développeurs doivent demander les signaux à cette même échéance de juillet.

Les éditeurs ont une longueur d’avance sur la loi. L’API Declared Age Range d’Apple, livrée avec iOS 26 en septembre 2025, renvoie « la tranche ou la catégorie d’âge, selon les exigences légales de la région » ainsi que la manière dont cet âge a été établi : autodéclaré, déclaré par un tuteur, vérifié avec une pièce d’identité officielle, vérifié avec une carte de paiement. L’API Play Age Signals de Google renvoie 0-12, 13-15, 16-17 ou 18+ avec un niveau de source allant d’« autodéclaré » à « pièce d’identité officielle et selfie », et Google a annoncé le 29 juillet 2026 qu’il ouvrait l’API à tous les développeurs Play du monde entier.

Une clause de plus compte pour la suite. Si une plateforme « n’est pas en mesure de vérifier l’âge de l’utilisateur » par le biais de cette loi, l’AB 1709 la renvoie à la méthode de détermination de l’âge du Protecting Our Kids from Social Media Addiction Act de 2024 (SB 976), dont la disposition sur la vérification de l’âge devient aussi applicable le 1er janvier 2027, et dont les méthodes sont fixées par règlement du procureur général. Une session de navigateur sur ordinateur, sans signal du système d’exploitation, est le cas évident. Ce mécanisme de repli est le seul endroit où un document ou une estimation pourrait entrer en jeu, et ce qu’il exigera n’est pas encore écrit.

L'Utah demande où vous êtes. La Californie demande quel âge vous avez.

Si les VPN ont fait leur entrée dans le débat sur la vérification de l’âge, c’est à cause d’un autre type de loi. Le SB 73 de l’Utah, dont nous avons parlé quand les titres « entre en vigueur le 3 septembre » se sont révélés faux, repose sur la localisation. Sa disposition sur la localisation réputée énonce qu’une personne « est considérée comme accédant au site web depuis cet État si elle se trouve effectivement dans l’État, qu’elle utilise ou non un réseau privé virtuel, un serveur proxy ou tout autre moyen de dissimuler ou de travestir sa position géographique… ». Le site web doit alors vérifier l’âge de ce visiteur. Tout l’édifice dépend du fait de savoir où vous êtes, ce qui est exactement ce qu’un VPN modifie, ce qui explique pourquoi le projet de règlement de l’Utah comporte désormais une section sur l’« obscurcissement de la géolocalisation » et pourquoi Aylo a saisi la justice.

Les deux textes californiens ne contiennent aucune clause comparable. L’AB 1709 ne mentionne ni la localisation, ni les adresses IP, ni les VPN. L’AB 1856 pas davantage. Il existe désormais trois modèles distincts dans le droit américain, et ils traitent un VPN très différemment :

La ligne à retenir : un signal d’âge est une déclaration sur la personne qui a configuré le téléphone. Un VPN est une déclaration sur l’endroit où le téléphone semble se trouver. Les deux ne se rencontrent jamais.

Un VPN permet-il de contourner la règle californienne des moins de 16 ans ?

Non, et il n’est pas conçu pour cela.

Un VPN fait deux choses. Il remplace l’adresse IP que voient les sites et les applications par celle du serveur VPN, de sorte que l’autre extrémité voit Paris ou Francfort plutôt que votre connexion domestique. Et il chiffre tout ce qui circule entre votre appareil et ce serveur, si bien que le routeur du café et votre fournisseur d’accès voient un tunnel chiffré plutôt que votre trafic. Ce sont des propriétés réelles et utiles. Aucune des deux n’atteint la tranche d’âge enregistrée sur le compte Apple ou Google de l’appareil, ni l’API embarquée qui transmet cette tranche à une application. Un adolescent de quinze ans dont le parent a saisi une date de naissance de 2011 à la configuration porte la tranche 13 à 16 ans sur un réseau Wi-Fi de Los Angeles comme sur un serveur VPN à Amsterdam.

Il y a un endroit où la localisation entre en jeu, et il vaut la peine d’être précis. L’AB 1709 protège les utilisateurs en Californie, et son texte ne prescrit pas comment une plateforme décide qu’un utilisateur en fait partie. En pratique, les éditeurs ont lié leur comportement propre à chaque État au compte, pas au réseau du moment : Apple a appliqué les exigences du Texas aux « nouveaux comptes Apple au Texas » à partir du 1er janvier 2026, et Google aux comptes texans créés après le 28 mai 2026. Un compte configuré en Californie avec la date de naissance d’un mineur sera traité comme le compte d’un mineur californien, quel que soit l’endroit d’où le téléphone se connecte.

Deux réserves honnêtes. Le mécanisme de repli existe, et tant que le procureur général n’aura pas rédigé les règlements du SB 976, personne ne peut dire ce qu’une plateforme qui ne reçoit aucun signal demandera. Et chaque modèle du tableau ci-dessus, celui de la Californie compris, dépend de la véracité de ce qui a été saisi à la configuration : un appareil configuré avec la date de naissance d’un adulte porte la tranche d’un adulte, et l’analyse de la commission concède que le simple fait de demander une date de naissance, si cela n’impose de contrainte à personne, ne vérifie rien qu’un mineur refuserait de répondre honnêtement. Le pari de la Californie est que la personne qui saisit la date à la configuration est un parent, pas l’enfant.

Ce qu’aucun modèle du tableau ne fait, c’est sanctionner l’utilisateur. Rien dans l’AB 1709 ni dans l’AB 1856 n’inflige d’amende à une personne pour l’usage d’un VPN, quel qu’en soit le motif. C’était déjà vrai de la loi de l’Utah, malgré les titres, et c’est vrai ici. Notre guide 2026 des pays où les VPN sont légaux couvre la poignée de pays où la réponse est différente.

Que s'est-il passé au Royaume-Uni, en Australie et en France à l'arrivée des contrôles d'âge ?

La Californie arrive tard, et les trois juridictions qui l’ont précédée ont chacune testé une conception différente.

Le Royaume-Uni a choisi le modèle du site web. À partir du 25 juillet 2025, l’Online Safety Act a imposé aux sites hébergeant des contenus pour adultes et d’autres contenus soumis à restriction d’âge une « vérification d’âge hautement efficace », c’est-à-dire une correspondance avec une pièce d’identité photographique, une estimation faciale de l’âge ou une méthode similaire, sur le site lui-même. Le traqueur de demande de Top10VPN a relevé une demande de VPN au Royaume-Uni supérieure de 1 327 % à sa moyenne des 28 jours précédents le 25 juillet, de 1 712 % le 26 juillet et de 1 987 % le 27 juillet. Un an plus tard, le premier rapport statutaire de l’Ofcom sur la vérification de l’âge, publié mi-juillet 2026, a recensé plus de 69 millions de contrôles d’âge sur un échantillon de 32 services au second semestre 2025, soit 23 fois plus que dans les six mois précédents, et a indiqué que la part des enfants rencontrant un contrôle hautement efficace était passée de 25 % à 43 % entre juillet 2025 et janvier 2026. Les contrôles fonctionnent ; les contrôles envoient aussi les gens vers les VPN. Les deux sont vrais, et le marché britannique du VPN a changé de visage depuis.

L’Australie a choisi une obligation pour les plateformes sans méthode imposée. Son âge minimum de 16 ans est entré en vigueur le 10 décembre 2025, obligeant les plateformes à prendre des « mesures raisonnables » pour tenir les moins de 16 ans à l’écart, avec des amendes allant jusqu’à 49,5 millions de dollars australiens et aucune sanction pour les enfants ou les parents. Le 16 janvier 2026, l’eSafety a rapporté que les plateformes avaient retiré l’accès à 4,7 millions de comptes de moins de 16 ans à la mi-décembre ; Meta indique avoir à elle seule retiré l’accès à plus de 750 000 comptes Facebook et Instagram au 30 juin 2026. Top10VPN a enregistré un pic de demande de 103 % le 7 décembre. Le verdict de Newsom sur l’approche australienne, selon le Los Angeles Times, est que les jeunes sont « tous en train de trouver un moyen de déjouer ce système », ce qui est l’argument pour cibler les fonctions plutôt que les comptes.

La France a choisi une interdiction aux moins de 15 ans, et sa plus haute juridiction l’a censurée. Le 14 août 2026, le Conseil constitutionnel, dans sa décision 2026-911 DC, a censuré l’article 1er de la loi qui aurait interdit les réseaux sociaux aux moins de 15 ans à partir du 1er septembre. L’interdiction constituait une restriction disproportionnée à la liberté d’expression, a jugé le Conseil, et elle portait atteinte à la vie privée parce que « la loi implique, par elle-même, que toute personne, même majeure, fasse la preuve de son âge » sans que le législateur ait fixé les conditions et les limites de cette preuve. Le gouvernement vise désormais une réécriture du texte d’ici le printemps 2027, comme l’a rapporté franceinfo le jour de la censure. La France avait déjà vu ce que les contrôles au niveau du site font à la demande de VPN : Top10VPN a mesuré une demande supérieure de 570 % à la normale le 5 juin 2025, quand la vérification de l’âge est arrivée sur les sites pour adultes. L’EFF a évoqué la décision française dans la déclaration qu’elle a publiée le jour où la Californie a signé la loi.

Le schéma est le même dans les trois cas. La ruée vers les VPN suit les lois qui font vérifier un document par le site web. La conception californienne évite le document, ce qui rejoint l’objection soulevée par le juge constitutionnel français, et elle évite la localisation, ce qui est précisément ce qui rend un VPN pertinent dans l’Utah. Reste à savoir si cela évite aussi la ruée : la réponse viendra en janvier 2027, pas en septembre 2026.

Quand tout cela commence-t-il ?

• 10 septembre 2026 : promulgation des AB 1709 et AB 1856.
• 22 octobre 2026 : fin de la période de non-application de l'Utah contre Aylo, sauf si le juge statue d'abord sur l'injonction préliminaire.
• 1er janvier 2027 : entrée en vigueur de l'AB 1709. Les fournisseurs de systèmes d'exploitation doivent commencer à fournir des signaux d'âge en vertu du Digital Age Assurance Act. La disposition du SB 976 sur la vérification de l'âge devient applicable.
• 1er juillet 2027 : échéance pour une interface d'âge sur les appareils configurés avant 2027, et pour que les développeurs d'applications mises à jour depuis janvier 2026 demandent les signaux.
• Printemps 2027 : objectif du gouvernement français pour une loi réécrite sur les moins de 15 ans.
• Dates d'audience : aucune pour l'instant. La réaction de NetChoice à la signature, « l'État ne peut pas simplement qualifier un discours d'addictif puis revendiquer le droit d'en réglementer l'accès », se lit comme un projet de plainte. Le neuvième circuit a laissé subsister l'essentiel du SB 976 en septembre 2025 ; la loi texane sur les boutiques d'applications a tenu jusqu'au refus d'intervenir de la Cour suprême. Attendez-vous à des contentieux, et attendez-vous à ce que les dates d'entrée en vigueur ci-dessus soient leur première cible.

Ce que cela change si vous utilisez un VPN en Californie

En pratique, rien ne change. Votre compte porte une tranche d’adulte ; les applications la liront à partir de janvier et vous traiteront comme aujourd’hui. Votre VPN continue de faire ce pour quoi vous l’avez acheté : garder votre adresse IP hors des registres de chaque site, chiffrer votre trafic sur les réseaux d’hôtel et d’aéroport, et vous permettre d’accéder à vos services habituels en voyage. Si tout cela est nouveau pour vous, notre guide de l’utilisation d’un VPN aux États-Unis est le bon point de départ ; les offres Le VPN couvrent 10 appareils à la fois et s’accompagnent d’une garantie satisfait ou remboursé de 30 jours.

Si vous êtes parent, la protection que la loi offre à votre enfant repose désormais sur une seule saisie : la date de naissance que vous tapez en configurant son téléphone. Entrez la vôtre et l’appareil dira à chaque application qu’il appartient à un adulte. Entrez la sienne et la tranche suivra le téléphone. C’est ce seul champ, et non la page de réglages d’une application, qui marque le début de la nouvelle règle californienne, et il vaut la peine de jeter un regard plus large sur la configuration des appareils des enfants avant janvier.