La Californie déplace la vérification de l'âge du site web vers le téléphone

La loi sur l'assurance de l'âge numérique entre en vigueur le 1er janvier 2027. Elle fait du système d'exploitation l'entité qui connaît votre âge, et donne aux applications une interface en temps réel pour le demander. L'AB 1856, qui la précise, a été adoptée par la législature le 27 août 2026 et attend la signature du gouverneur.

En bref

• La loi sur l'assurance de l'âge numérique de Californie est déjà en vigueur, promulguée le 13 octobre 2025 en tant que Chapitre 675, Lois de 2025. Ses obligations débutent le 1er janvier 2027.
• Un fournisseur de système d'exploitation doit présenter une interface lors de la configuration du compte demandant au titulaire du compte la date de naissance ou l'âge de l'utilisateur de l'appareil.
• Les applications obtiennent cette réponse sous forme de tranche d'âge via « une interface de programmation d'application en temps réel raisonnablement cohérente », et non comme une date de naissance.
• Il existe quatre tranches d'âge : moins de 13 ans, de 13 à moins de 16 ans, de 16 à moins de 18 ans, et 18 ans ou plus. La loi qualifie cela de « données non personnellement identifiables ».
• L'AB 1856 a été adoptée par le Sénat par 39 voix contre 0 le 26 août 2026 et l'Assemblée a approuvé par 69 voix contre 0 le 27 août. Elle est enregistrée et pas encore signée.

Vérifier chaque visiteur sur chaque site est coûteux et collecte une grande quantité de données

Le rapport statutaire de l'Ofcom du 15 juillet 2026 a recensé 69 millions de vérifications d'âge sur 32 services en ligne en six mois, soit une augmentation de 23 fois par rapport au semestre précédent. C'est le modèle côté service qui fonctionne : chaque site est responsable d'établir l'âge de chaque visiteur, et le volume de vérifications augmente avec le nombre de services qu'une personne utilise.

Ce modèle a un coût qui croît avec son succès. Chaque vérification est un moment où une personne fournit un document ou son visage à une entreprise avec laquelle elle n'a peut-être aucune autre relation, et chaque service doit développer ou acquérir cette capacité. Un adolescent visitant dix services réglementés effectue dix vérifications avec dix contreparties.

La Californie a légiféré une réponse différente. Plutôt que de demander à chaque service d'établir l'âge, elle demande à l'appareil de conserver la réponse une fois et d'informer les services de ce qu'ils doivent savoir. L'instrument est la loi sur l'assurance de l'âge numérique, promulguée sous l'AB 1043 et inscrite le 13 octobre 2025 comme Chapitre 675, Lois de 2025, avec des obligations débutant le 1er janvier 2027.

Le projet de loi qui la précise, l'AB 1856, a été adopté par la législature quatre jours avant la rédaction de cet article.

Le système d'exploitation demande une fois et répond à une question de tranche d'âge via une API

À partir du 1er janvier 2027, la loi sur l'assurance de l'âge numérique exige d'un fournisseur de système d'exploitation qu'il présente « une interface accessible lors de la configuration du compte ». Elle doit exiger du titulaire du compte qu'il « indique la date de naissance, l'âge, ou les deux, de l'utilisateur de cet appareil ». L'objectif de cette demande est de produire un signal concernant la tranche d'âge de cet utilisateur pour les applications dans un magasin d'applications couvert.

Un titulaire de compte est défini comme une personne d'au moins 18 ans, ou le parent ou tuteur légal d'un utilisateur de moins de 18 ans. Ainsi, la réponse lors de la configuration provient d'un adulte, ce qui est l'hypothèse du mécanisme concernant qui configure l'appareil d'un enfant.

Ce qui parvient à une application est délibérément restreint. Un développeur qui en fait la demande reçoit « un signal numérique via une interface de programmation d'application en temps réel raisonnablement cohérente indiquant si un utilisateur se trouve dans l'une des plusieurs tranches d'âge ». La loi définit les données de tranche d'âge comme des « données non personnellement identifiables dérivées de la date de naissance ou de l'âge d'un utilisateur ». Elle fixe quatre tranches d'âge comme minimum : moins de 13 ans ; au moins 13 et moins de 16 ans ; au moins 16 et moins de 18 ans ; et au moins 18 ans.

Ces limites ne sont pas arbitraires. Moins de 13 ans est la ligne sur laquelle la loi fédérale américaine sur la protection de la vie privée des enfants fonctionne déjà, et 16 et 18 ans sont les seuils que la plupart des politiques de plateforme et des lois étatiques utilisent. Une application reçoit une position sur cette échelle plutôt qu'une date de naissance, ce qui est l'argument de confidentialité de l'ensemble de la conception.

Un magasin d'applications couvert est « un site web public, une application logicielle, un service en ligne ou une plateforme qui distribue et facilite le téléchargement d'applications de développeurs tiers ». Les magasins ne distribuant que des extensions, des plug-ins ou des modules complémentaires qui s'exécutent au sein d'une application hôte sont exclus.

Le modèle côté service

Chaque site vérifie chaque visiteur

Qui établit l'âge · le service en ligne
Ce que l'utilisateur donne · un document, un visage ou une estimation
Force de la preuve · élevée, et vérifiable par contrôle
Portée · uniquement les services qui l'implémentent
Données collectées · une nouvelle divulgation à chaque service
Vu dans · le régime de la loi britannique sur la sécurité en ligne

Le modèle côté appareil

Le téléphone répond pour chaque application

Qui établit l'âge · le titulaire du compte lors de la configuration
Ce que l'application obtient · une tranche d'âge, décrite comme non personnellement identifiable
Force de la preuve · une affirmation transmise, pas une vérification
Portée · chaque application sur l'appareil, via une seule API
Données collectées · une seule entrée, réutilisée
Vu dans · la loi californienne sur l'assurance de l'âge numérique

L'AB 1856 élargit la couverture et interdit de demander sans raison

Le Sénat de Californie a adopté l'AB 1856 le 26 août 2026 par 39 voix contre zéro, et l'Assemblée a approuvé les amendements du Sénat le 27 août par 69 voix contre zéro. L'historique de la législature enregistre le projet de loi comme enregistré et inscrit. Aucune action du gouverneur n'est enregistrée au 31 août 2026, il a donc été adopté mais n'est pas encore une loi.

Son changement le plus significatif est une suppression. La loi avait défini un « utilisateur » comme un enfant qui est l'utilisateur principal d'un appareil, ce qui limitait l'ensemble du dispositif aux appareils identifiables comme appartenant à des enfants. L'AB 1856 supprime cette définition et spécifie plutôt que l'obligation d'interface s'applique lorsque le système d'un fournisseur de système d'exploitation « fonctionne sur un appareil et dispose d'une fonction de configuration de compte ». L'obligation s'attache au processus de configuration plutôt qu'à un jugement sur l'identité du propriétaire de l'appareil.

Le projet de loi exige également que le signal soit fourni « à un magasin d'applications couvert ou à un développeur d'applications », nommant les deux destinataires plutôt que de laisser le chemin implicite.

Le troisième changement est celui qui mérite d'être examiné, car il anticipe un problème créé par le reste de la conception. L'AB 1856 « interdirait à une personne de demander un signal concernant un utilisateur particulier à un fournisseur de système d'exploitation ou à un magasin d'applications couvert si elle n'est pas tenue de le faire par le DAAA ou toute autre loi applicable ».

En clair : vous ne pouvez pas demander l'âge de quelqu'un simplement parce que l'interface le facilite. Une API d'âge universelle et en temps réel est utile aux annonceurs, aux entreprises d'analyse et à quiconque construit un profil, aucun d'entre eux n'étant visé par la loi. L'interdiction limite la question aux parties qu'une loi a effectivement obligées à la poser.

La portée et la confidentialité augmentent, la force probante diminue

La conception californienne, opérationnelle à partir du 1er janvier 2027, atteint chaque application sur un appareil via une seule interface et déplace beaucoup moins de données personnelles qu'une vérification de document, car ce qui circule est une tranche d'âge que la loi qualifie de non personnellement identifiable. Ce sont de réels avantages, et c'est la raison pour laquelle le modèle est attractif.

Le coût réside dans ce qu'est réellement le signal. Une tranche d'âge dérivée de ce qu'un titulaire de compte a saisi lors de la configuration est une affirmation que le système d'exploitation transmet. Rien dans le mécanisme ne teste si la personne qui tient l'appareil est la personne décrite lors de la configuration, et un adolescent déterminé configurant son propre appareil fournit sa propre réponse.

Ce n'est pas un défaut tant qu'un objectif différent. Un régime visant à faire fonctionner le cas ordinaire de manière efficace, à grande échelle, avec un minimum de données, ne produira pas les mêmes preuves qu'un régime visant à prouver l'âge d'une personne spécifique à un régulateur. L'approche du Royaume-Uni, que nous avons couverte lorsque l'Ofcom a publié son rapport statutaire sur l'assurance de l'âge, est conçue pour le second et se mesure en conséquence.

Les deux ne sont pas mutuellement exclusives, et la question intéressante est ce qui se passe lorsqu'elles se rencontrent. Un service opérant dans les deux juridictions pourrait prendre le signal de l'appareil comme premier filtre et ne vérifier correctement que lorsque la tranche d'âge est contestée ou que le risque est élevé. Rien dans aucun des régimes ne l'interdit, et c'est la forme qu'une implémentation sensée est susceptible de prendre.

Ce qu'une équipe produit ne devrait pas supposer, c'est qu'une tranche d'âge satisfait une obligation rédigée en termes d'assurance. Lorsqu'une loi demande l'assurance qu'un utilisateur a dépassé un seuil, une affirmation transmise par un téléphone est un point de départ. La pression sur cette distinction ne fera que s'accroître à mesure que les outils pour contourner les vérifications s'amélioreront, ce qui est la tendance décrite par la Commission des jeux de hasard lorsqu'elle a constaté l'IA des deux côtés de la vérification d'identité.

Points clés à retenir

La loi est déjà en vigueur.

L'AB 1043 a été promulguée le 13 octobre 2025 en tant que Chapitre 675, Lois de 2025, et ses obligations débutent le 1er janvier 2027.

L'appareil répond, pas le site.

Un fournisseur de système d'exploitation collecte une date de naissance ou un âge lors de la configuration du compte et expose une tranche d'âge aux applications via une API en temps réel.

Quatre tranches d'âge, décrites comme non personnellement identifiables.

Moins de 13 ans, de 13 à moins de 16 ans, de 16 à moins de 18 ans, et 18 ans ou plus, comme minimum légal.

L'AB 1856 a été adoptée mais n'est pas signée.

Sénat 39-0 le 26 août 2026, approbation de l'Assemblée 69-0 le 27 août, puis enregistrement et inscription. Aucune action du gouverneur enregistrée au 31 août.

Demander sans raison légale est interdit.

L'AB 1856 interdirait de demander un signal concernant un utilisateur particulier à moins que la loi ou une autre loi ne l'exige.

Utiliser Didit là où un signal d'appareil ne suffit pas

Une tranche d'âge provenant d'un système d'exploitation est une affirmation. Elle rapporte ce qu'un titulaire de compte a saisi lors de la configuration de l'appareil, et la loi elle-même la qualifie de non personnellement identifiable. C'est suffisant pour personnaliser une expérience. Ce n'est pas une preuve que la personne qui tient actuellement l'appareil a dépassé un certain seuil, et un service soumis à une obligation légale d'être confiant doit toujours l'établir lui-même.

Cet écart est le travail. L'estimation de l'âge à 0,10 $ par vérification lit un âge approximatif à partir d'un selfie, ce qui est la vérification indépendante la moins chère lorsqu'un signal est manquant, lorsqu'un appareil est partagé, ou lorsque le comportement ne correspond pas à la tranche d'âge signalée. Lorsqu'une loi demande une assurance plutôt qu'une affirmation, la vérification d'identité à 0,15 $ par vérification établit l'âge à partir d'un document et la détection de vivacité passive à 0,10 $ par vérification confirme qu'une personne vivante le présente. Un service opérant à la fois en Californie et au Royaume-Uni peut traiter le signal de l'appareil comme un premier filtre et y ajouter une vérification réelle. Les prix actuels sont sur la page de tarification.

Trois limites. Didit n'est pas un fournisseur de système d'exploitation et ne peut pas émettre un signal de la loi sur l'assurance de l'âge numérique, donc cette partie du mécanisme provient de la plateforme. La loi n'est pas encore opérationnelle et l'AB 1856 n'est pas signée, donc rien de tout cela n'est une exigence de conformité aujourd'hui. Et décider quand une tranche d'âge suffit est un jugement juridique sur les obligations de votre service, ce qui relève de vous et de votre conseiller.

Questions fréquemment posées

Qu'est-ce que la loi californienne sur l'assurance de l'âge numérique ?

Une loi promulguée sous l'AB 1043, inscrite le 13 octobre 2025 comme Chapitre 675, Lois de 2025. À partir du 1er janvier 2027, elle exige d'un fournisseur de système d'exploitation qu'il présente une interface lors de la configuration du compte demandant au titulaire du compte d'indiquer la date de naissance ou l'âge de l'utilisateur de l'appareil, et de fournir un signal concernant la tranche d'âge de cet utilisateur aux applications disponibles dans un magasin d'applications couvert.

Quelles tranches d'âge le signal utilise-t-il ?

Quatre, au minimum : si un utilisateur a moins de 13 ans ; au moins 13 et moins de 16 ans ; au moins 16 et moins de 18 ans ; et au moins 18 ans. La loi définit les données de tranche d'âge comme des « données non personnellement identifiables dérivées de la date de naissance ou de l'âge d'un utilisateur ».

Qu'est-ce que l'AB 1856 a changé le 27 août 2026 ?

Elle supprime la définition de « utilisateur » comme un enfant qui est l'utilisateur principal d'un appareil, spécifie que l'exigence d'interface s'applique lorsque le système d'exploitation fonctionne sur un appareil et dispose d'une fonction de configuration de compte, exige que le signal soit transmis à un magasin d'applications couvert ou à un développeur d'applications, et interdit de demander le signal pour un utilisateur particulier à moins que la loi ou une autre loi ne l'exige.

L'AB 1856 est-elle une loi ?

Pas encore. Le Sénat l'a adoptée le 26 août 2026 par 39 voix contre zéro et l'Assemblée a approuvé les amendements du Sénat le 27 août par 69 voix contre zéro. L'historique du projet de loi l'enregistre comme enregistré et inscrit, sans aucune action du gouverneur enregistrée au 31 août 2026.

Le signal d'âge remplace-t-il la vérification d'identité ?

Non. Le signal rapporte une tranche d'âge dérivée de ce qu'un titulaire de compte a saisi lors de la configuration de l'appareil, et la loi le décrit comme non personnellement identifiable. C'est une affirmation transmise par le système d'exploitation plutôt qu'une identité vérifiée, donc les services qui ont besoin d'une assurance plutôt que d'une affirmation devront toujours vérifier séparément.

Lectures complémentaires

• L'IA est désormais des deux côtés de la vérification d'identité des jeux de hasard — Pourquoi l'écart entre une affirmation et une vérification ne cesse de s'accroître.
• La règle européenne sur les deepfakes est désormais en vigueur — Un autre régulateur légiférant au niveau de la plateforme plutôt que du service.

Sources

1. Californie AB 1856, Signaux de vérification d'âge : applications logicielles — Législature de Californie · session 2025-2026 · Wicks · chaque définition citée dans cet article
2. Historique du projet de loi AB 1856 — Législature de Californie · adoption par le Sénat le 26 août 2026, approbation de l'Assemblée le 27 août 2026, enregistrement et inscription
3. Californie AB 1043, Loi sur l'assurance de l'âge numérique — Législature de Californie · promulguée le 13 octobre 2025 en tant que Chapitre 675, Lois de 2025 · opérationnelle le 1er janvier 2027

Qui a écrit ceci

Tuan Nguyen — Croissance · Didit

Écrit sur la vérification d'identité, la fraude et la conformité chez Didit.

Dernière révision le 31 août 2026 par rapport aux sources ci-dessus