La loi VPN de l'Utah n'est pas entrée en vigueur aujourd'hui : ce que le SB 73 impose vraiment aux utilisateurs de VPN

Si vous avez lu la presse technologique cette semaine, vous avez vu une variante du même titre : la première loi américaine visant l’usage des VPN entre en vigueur le 3 septembre. C’est la date que Gizmodo a mise dans son titre du 31 août, et c’est celle qui s’est propagée sur les forums et les réseaux sociaux au fil du week-end. Elle est aussi fausse, dans deux directions à la fois.

Le Senate Bill 73 de l’Utah est en vigueur depuis le 6 mai 2026. Sa disposition sur les VPN a force de loi depuis quatre mois. Ce qui devait prendre fin le 3 septembre n’était pas la dormance de la loi, mais une trêve judiciaire : la promesse faite par l’Utah de ne pas appliquer la clause VPN contre une seule entreprise, Aylo, l’exploitant de Pornhub, le temps qu’un juge fédéral examine le recours de la société. Et cette trêve a été prolongée le 27 août, une semaine avant la parution des titres. Rien n’a changé aujourd’hui pour qui que ce soit dans l’Utah avec une appli VPN sur son téléphone.

Voici ce que dit le texte, qui il engage, où en est l’affaire, et ce que tout cela signifie pour une personne qui utilise un VPN.

La loi VPN de l'Utah est-elle entrée en vigueur le 3 septembre ?

Non. La confusion vient de l’amalgame entre deux documents.

Le premier est la loi elle-même. Le SB 73, les Online Age Verification Amendments (amendements sur la vérification de l’âge en ligne), a été porté par le sénateur Calvin Musselman et le représentant Steve Eliason, puis promulgué par le gouverneur Spencer Cox le 19 mars 2026. L’article 22 du texte adopté fixe sa date d’entrée en vigueur : le 6 mai 2026, une poignée de dispositions fiscales suivant le 1er octobre. Le passage sur les VPN figure à l’article 14, qui modifie l’article 78B-3-1002 du Code de l’Utah, et il porte la date du 6 mai comme tout le reste.

Le second document est une stipulation conjointe (un accord entre les parties déposé auprès du tribunal) enregistrée devant la justice fédérale le 27 avril 2026, cinq jours après le dépôt de la plainte d’Aylo. La Division de la protection des consommateurs et le Département du commerce de l’Utah y acceptaient de renoncer à appliquer la « disposition sur la localisation réputée » contre Aylo et ses filiales « jusqu’au 3 septembre 2026, soit 120 jours après la date à laquelle la disposition devait autrement prendre effet ». Aylo, de son côté, s’engageait à ne pas modifier son géoblocage actuel dans l’Utah, ce qui signifie que Pornhub et ses sites frères resteraient bloqués pour les adresses IP de l’Utah, comme ils le sont depuis 2023.

Voilà d’où vient la date du 3 septembre. Elle n’a jamais été une date d’entrée en vigueur. C’était l’expiration d’une promesse de non-application faite à un seul plaideur. Et selon le rôle du tribunal, les parties ont déposé le 27 août une nouvelle « stipulation conjointe de prolongation de la non-application », dont le tribunal a pris acte le lendemain. Comme XBIZ l’a rapporté le 28 août, la prolongation court jusqu’au 22 octobre 2026, ou jusqu’à ce que le tribunal tranche la demande d’injonction préliminaire d’Aylo, selon la première de ces deux échéances. La stipulation justifie ce délai supplémentaire par une procédure réglementaire en cours dans l’Utah : « cette période de tolérance prolongée permet aux plaignants de participer à ce processus réglementaire sans menace de responsabilité dans l’intervalle ».

La phrase exacte est donc plus longue qu’un titre ne le permet. La clause VPN est une loi, et l’est depuis mai. L’Utah a promis de ne pas s’en servir contre Aylo avant la fin octobre. Pour tous les autres sites concernés, la clause s’applique techniquement depuis le 6 mai, même si nous n’avons trouvé aucune trace publique d’une procédure ouverte par la Division contre un site au sujet du trafic VPN.

Qu'exige vraiment le SB 73, et de qui ?

L’Utah impose la vérification de l’âge sur les sites pour adultes depuis 2023. Le SB 73 refond ce régime : il ajoute une application publique par la Division de la protection des consommateurs, en parallèle du droit existant d’intenter une action privée, ajoute des amendes, crée une taxe d’accise sur les sites concernés, et ajoute deux paragraphes sur les VPN. Ces deux paragraphes, dans le texte adopté, se lisent ainsi.

La règle de localisation réputée, nouveau paragraphe (3) de l’article 78B-3-1002 : « Une personne est considérée comme accédant au site web depuis cet État si elle se trouve effectivement dans l’État, qu’elle utilise ou non un réseau privé virtuel, un serveur proxy ou tout autre moyen de dissimuler ou de travestir sa position géographique afin de faire croire qu’elle accède au site web depuis un lieu situé hors de cet État. »

L’interdiction de facilitation, nouveau paragraphe (4) : un site concerné « ne peut faciliter ni encourager l’utilisation d’un réseau privé virtuel, d’un serveur proxy ou de tout autre moyen de contourner les obligations de vérification de l’âge », y compris en fournissant « des instructions sur la manière d’utiliser un réseau privé virtuel ou un serveur proxy pour accéder au site web » ou « des moyens permettant aux personnes se trouvant dans cet État de contourner le géoblocage ou le blocage ».

Ces deux règles s’adressent à une « entité commerciale qui exploite un site web contenant une part substantielle de contenus nuisibles aux mineurs ». La part substantielle a un chiffre : plus de 33 1/3 % de l’ensemble des contenus du site. Un site qui se présente comme principalement réservé aux adultes, ou qui utilise un domaine à connotation adulte, est présumé franchir cette ligne.

Les sanctions visent la même entité. En vertu du nouvel article 78B-3-1004, le directeur de la Division peut infliger une amende administrative allant jusqu’à 2 500 $ par infraction, et un tribunal peut y ajouter une sanction civile allant jusqu’à 2 500 $ par infraction, la restitution des gains, des injonctions et des dommages-intérêts, plus jusqu’à 5 000 $ par infraction en cas de non-respect d’une ordonnance. L’article 78B-3-1002(6) exempte les fournisseurs d’accès à Internet, les moteurs de recherche et les hébergeurs cloud qui se contentent d’acheminer le trafic, et le paragraphe (5) exempte les contenus d’information et d’intérêt public de bonne foi.

Remarquez ce qui manque. Il n’y a aucune définition de l’« utilisateur de VPN », aucune obligation imposée à un fournisseur de VPN, et aucune amende, infraction ou responsabilité civile pour une personne qui se connecte via un VPN. La version à retenir : le SB 73 de l’Utah ne réglemente pas les utilisateurs de VPN ; il réglemente les sites web, en décrétant qu’un visiteur physiquement présent dans l’Utah compte comme un visiteur de l’Utah, quelle que soit l’adresse IP que voit le site.

Est-il désormais illégal d'utiliser un VPN dans l'Utah ?

Non, et cela ne l’était pas non plus le 6 mai. Chaque clause opérante du SB 73 désigne une entité commerciale comme la partie tenue à l’obligation. Un habitant de Salt Lake City qui active un VPN pour se connecter au Wi-Fi d’un hôtel, accéder au réseau de son employeur, empêcher son FAI de profiler sa navigation ou regarder son abonnement de chez lui en voyage n’a rien fait que la loi vise.

Ce que la loi change, c’est l’exposition du site web. Avant le SB 73, un site concerné pouvait soutenir qu’un visiteur arrivant depuis une adresse IP néerlandaise ou canadienne se trouvait, à ses yeux, aux Pays-Bas ou au Canada. Désormais, l’Utah dit que le site est responsable si ce visiteur se trouvait en réalité dans l’Utah. Le site peut-il le savoir ? C’est la question suivante, et c’est toute l’affaire.

Comment un site web est-il censé savoir que vous êtes dans l'Utah si vous utilisez un VPN ?

Il ne le peut pas, dans une large mesure, et c’est pourquoi les critiques du SB 73 viennent d’horizons très différents.

L’Electronic Frontier Foundation a qualifié le blocage des adresses VPN de « jeu de la taupe technique qu’aucune entreprise ne peut probablement gagner », en relevant que les fournisseurs de VPN ajoutent des adresses en permanence et qu’aucune liste de blocage complète n’existe. Citée par KUER en mai, Lia Holland, de Fight for the Future, a été plus directe : déterminer d’où navigue l’utilisateur d’un VPN sérieux est « littéralement impossible, par conception ». NordVPN, sollicité par Gizmodo, a décrit le texte comme un « piège à responsabilité » dans lequel « les plateformes s’exposent à un risque financier réel pour avoir échoué à une tâche technique que personne ne sait aujourd’hui accomplir de manière fiable ».

Les raisons techniques ne font pas débat. La géolocalisation par IP est une déduction commerciale tirée des données de routage et des registres d’enregistrement, pas une mesure de l’endroit où se trouve un appareil, et elle se trompe régulièrement à l’échelle d’un État, même pour des connexions ordinaires. La détection des VPN et des proxys repose sur des listes d’adresses de sortie connues qui ont toujours un temps de retard sur la réalité. Et les mêmes signaux qui trahissent un VPN grand public trahissent aussi les réseaux d’entreprise, les réseaux universitaires, les opérateurs mobiles qui font transiter le trafic par des passerelles situées dans un autre État, et les fonctions de confidentialité intégrées aux navigateurs courants. Un site qui bloque tout ce qui ressemble à un VPN bloque une large part de ses visiteurs légitimes, dans l’Utah et partout ailleurs.

C’est l’argument d’Aylo en une phrase : la seule façon d’être certain de se conformer à la loi de l’Utah est de vérifier l’âge de tout le monde, partout, ce qui, selon ce que l’entreprise a déclaré au tribunal, ferait fuir jusqu’à 80 % de ses clients, ou de bloquer quiconque pourrait éventuellement se trouver dans l’Utah. La réponse du sénateur Musselman, citée par KUER, est que « le SB 73 est une question de responsabilité », et que les sites peuvent vérifier l’âge ou confirmer la localisation « tout en préservant les options de chiffrement des utilisateurs ».

La réponse de l’Utah lui-même arrive par voie réglementaire. Le SB 73 autorise la Division à fixer par règlement des normes de vérification de l’âge, avec une exonération de responsabilité pour les sites qui s’y conforment. Le projet de règlement de la Division, R152-78B, est ouvert à la consultation publique jusqu’au 1er octobre et devrait entrer en vigueur le 8 octobre, et selon XBIZ il comprend des normes sur l’« obscurcissement de la géolocalisation ». Ce que ces normes exigeront d’un site décidera si la clause de localisation réputée est un objectif de conformité réalisable ou impossible.

Sur quoi porte le procès d'Aylo, et quand le juge statuera-t-il ?

Aylo Freesites et Aylo Group ont déposé plainte le 22 avril 2026 devant le tribunal fédéral de district de l’Utah, affaire 2:26-cv-00340, contre la Division de la protection des consommateurs, sa directrice Katie Hass, le Département du commerce et sa directrice exécutive Margaret Busse. L’affaire est confiée au juge David Barlow. La plainte vise spécifiquement la disposition sur la localisation réputée et soutient, selon le Deseret News, que la clause « transforme ce qui est nominalement une réglementation de l’Utah en un mandat mondial de fait », en violation des limites que la Constitution impose aux États en matière de commerce interétatique et international.

Aylo ne conteste pas la vérification de l’âge en tant que telle. La Cour suprême a tranché cette question en juin 2025 dans l’arrêt Free Speech Coalition v. Paxton, en validant la loi texane sur la vérification de l’âge. La thèse d’Aylo est plus étroite : un État peut exiger des contrôles d’âge pour ses résidents, mais il ne peut pas rendre une entreprise étrangère responsable de visiteurs qu’elle n’a aucun moyen fiable de situer dans l’État.

La chronologie à ce jour, d’après le rôle du tribunal et les écritures des parties :

Aucune date n’a été annoncée pour la décision sur l’injonction. La transcription de l’audience du 30 juillet a été versée au dossier le 27 août, et les parties ont présenté la prolongation comme le moyen de laisser le règlement aboutir avant que l’affaire n’avance. Attendez les prochaines vraies nouvelles en octobre, pas en septembre.

Quels autres États copient l'approche de l'Utah ?

La vérification de l’âge sur les sites pour adultes est désormais la norme aux États-Unis. L’Age Verification Providers Association recensait au moins 25 États ayant adopté de telles lois en février 2026, et les recensements mis à jour au cours de l’été donnent un nombre encore plus élevé. L’Utah a été le deuxième État à s’y mettre, avec une loi entrée en vigueur le 3 mai 2023 qui a conduit Pornhub à bloquer l’État entier deux jours plus tôt. Google Trends a montré les recherches de VPN dans l’Utah grimper à leur pic de popularité aux premières heures du 2 mai 2023, comme Newsweek le rapportait à l’époque. Cet épisode, plus que tout autre, explique pourquoi le texte de 2026 mentionne les VPN.

Copier la clause VPN est une autre affaire. Des élus du Michigan ont proposé d’aller beaucoup plus loin en 2025 avec un projet de loi qui aurait obligé les FAI à bloquer purement et simplement le trafic VPN ; il s’est enlisé en commission. Le projet de loi du Wisconsin sur la vérification de l’âge contenait à l’origine un passage sur les VPN, retiré en février 2026 avant que le gouverneur n’oppose son veto au texte en avril. La plainte d’Aylo affirme qu’aucun État n’avait adopté de clause de localisation réputée auparavant, et nous n’avons trouvé aucune autre loi américaine promulguée qui nomme les VPN. Les assemblées législatives dont on rapporte qu’elles suivent l’affaire attendent de voir si la clause de localisation réputée survit à la demande d’injonction avant de rédiger la leur. C’est en ce sens que l’Utah fait figure de test : l’issue devant le tribunal du juge Barlow sera lue dans deux douzaines d’autres capitales.

Que doit faire une personne dans l'Utah au sujet de son VPN ?

Rien, au sens où aucune obligation ne vous est tombée dessus et aucune n’est proposée. Quelques remarques pratiques tout de même, car les effets de second ordre de lois comme celle-ci se font sentir chez les utilisateurs ordinaires plutôt que sur les sites qu’elles visent.

1. Gardez le VPN activé pour ce à quoi il sert. Le chiffrement sur le Wi-Fi public, une IP stable pour la banque et les connexions professionnelles, et une barrière entre votre navigation et votre FAI ne sont en rien affectés. Si vous voulez une sortie proche, Le VPN exploite un serveur à Salt Lake City parmi ses autres emplacements américains, si bien qu’une connexion depuis l’Utah peut rester dans l’Utah.
2. Attendez-vous à ce que davantage de sites contestent le trafic VPN, partout. La réponse rationnelle à une règle de responsabilité sans détection fiable est le surblocage. Si un site qui n’a rien à voir avec l’Utah se met à refuser votre connexion VPN, c’est le réflexe de conformité qui se propage, pas le signe que votre VPN fait quoi que ce soit de mal. Changer de serveur suffit généralement.
3. Ne prenez pas la loi pour une énigme à résoudre. Le SB 73 interdit aux sites concernés d’apprendre à leurs visiteurs comment contourner les contrôles d’âge, et cet article ne le fera pas à leur place. La vérification de l’âge pour les contenus pour adultes est constitutionnelle et là pour durer ; la seule question ouverte dans l’Utah est de savoir qui porte le fardeau quand les outils ne peuvent pas dire où se trouve une personne.
4. Surveillez octobre, pas septembre. La consultation sur le règlement se termine le 1er octobre, le règlement peut entrer en vigueur le 8 octobre, et la trêve avec Aylo prend fin le 22 octobre sauf décision préalable du tribunal. Chacune de ces dates peut changer la donne pratique, et aucune n’est tombée cette semaine.

Si vous voulez la carte plus large des pays où les VPN sont restreints et de ceux où ils sont simplement réglementés, notre guide pays par pays de la légalité des VPN en 2026 la dresse, et notre page États-Unis liste les emplacements de serveurs américains. Pour un parallèle européen, le régulateur français a mené l’an dernier un combat très semblable sur les contrôles d’âge des sites pour adultes ; nous avons raconté comment cela s’est déroulé, y compris la même dynamique de surblocage que l’Utah importe aujourd’hui.

La version courte à transmettre à quiconque vous envoie le titre : la loi VPN de l’Utah est réelle, elle est en vigueur depuis mai, elle réglemente les sites web et non les personnes, et la prochaine date qui compte est le 22 octobre.