Le service de chat en ligne Discord a annoncé qu'il commencerait à tester la vérification de l'âge de certains utilisateurs, rejoignant ainsi une liste croissante de plateformes essayant de déterminer qui se cache réellement derrière l'écran.
Cette décision intervient alors que les gouvernements du monde entier font pression pour renforcer la protection des jeunes en ligne. Le Royaume-Uni et la France ont imposé la vérification de l'âge des visiteurs des pages de contenu pour adultes. L'Australie exige désormais que les plateformes de médias sociaux garantissent que leurs titulaires de compte ont plus de 16 ans.
De nombreuses personnes se sentent immédiatement mal à l’aise face aux contrôles d’âge ou d’identité en ligne. Le processus de connexion deviendra-t-il plus long ? Prouver notre âge signifie-t-il renoncer à l’anonymat et nous obliger à remettre des documents sensibles à des entreprises technologiques privées ?
La vérification obligatoire de l’âge aura-t-elle un impact sur notre capacité à naviguer, à parler et à participer en ligne, faisant de nous des « citoyens transparents » suivis par les entreprises ou le gouvernement ?
Ces inquiétudes ne sont pas sans fondement. En fait, les recherches révèlent encore plus de risques. Le partage de données liées à l’identité rend plus probables les violations ou le vol d’identité. Les systèmes de vérification de l’âge pourraient être utilisés à des fins de surveillance ou conduire à de la discrimination, en particulier à l’égard des groupes marginalisés.
Cependant, nos recherches montrent qu’il est possible de fournir en ligne des contrôles d’âge véritablement anonymes et sûrs.
L’assurance âge est le terme générique désignant toutes sortes de méthodes permettant de déterminer l’âge d’une personne en ligne. Cela inclut la vérification de l’âge – prouvant l’âge de l’utilisateur, souvent avec une pièce d’identité officielle.
La manière dont la garantie de l’âge est mise en pratique diffère considérablement selon les juridictions et les plateformes. Le gouvernement australien exige que les entreprises prennent des « mesures raisonnables » pour empêcher les enfants de créer des comptes sur les réseaux sociaux, mais les méthodes de garantie de l'âge peuvent varier.
Le gouvernement français fournit davantage de directives, mais laisse toujours la mise en œuvre des preuves d'âge à des tiers. L’Union européenne prépare activement une mise en œuvre de référence pour une solution de vérification de l’âge, même si elle n’a pas encore mis en place de politiques de restriction d’âge.
Pour simplifier les choses, les plateformes se tournent de plus en plus vers l’estimation de l’âge du visage. Les utilisateurs sont invités à scanner leur visage afin qu’un algorithme puisse deviner quel âge ils ont.
À première vue, cela peut sembler moins intrusif que de présenter une pièce d’identité délivrée par le gouvernement. En pratique, cela nécessite souvent de transmettre des données biométriques très sensibles à des entreprises privées. Contrairement à un mot de passe, votre visage ne peut pas être modifié en cas de vol des données. Une telle estimation de l’âge est également sujette à des erreurs.
Il existe une multitude de technologies alternatives d’assurance de l’âge. Il s’agit notamment de l’analyse du comportement des utilisateurs, de la vérification basée sur les paiements, de la numérisation de documents (tels que les pièces d’identité émises par le gouvernement), des services de vérification vidéo impliquant ces documents et des attestations électroniques – telles que les passeports électroniques familiers lors du contrôle des frontières dans les aéroports.
Une approche hautement sécurisée permet aux utilisateurs de prouver un seul fait – comme avoir plus de 18 ans – non seulement avec une grande certitude, mais sans révéler leur nom, leur adresse ou même leur date de naissance. Il est basé sur des attestations numériques cryptographiques.
Par exemple, l’eID allemande échange des données directement entre un microprocesseur situé dans la « carte eID » en plastique d’une personne et la plateforme. Le microprocesseur prouve qu’il appartient à une eID émise par le gouvernement via une clé cryptographique, partagée avec 9 999 autres eID. Cela signifie que la seule chose qu’une plateforme apprend, c’est qu’une personne potentielle sur 10 000 s’est inscrite.
Lorsque le service envoie la date actuelle et l'âge minimum requis à l'eID, le microprocesseur utilise la date de naissance, calcule l'âge actuel et répond simplement si l'utilisateur est assez âgé.
L’identité numérique de l’UE et les portefeuilles Google fonctionnent selon une approche légèrement différente. Il ne repose pas sur des microprocesseurs spéciaux intégrés aux cartes physiques, mais sur des composants matériels courants dans les téléphones mobiles.
Cela rend l’approche plus largement applicable. Ces solutions font appel à une cryptographie très avancée qui communique à la plateforme qu’une personne possède un document numérique prouvant qu’elle a plus de 18 ans, mais sans révéler plus de détails.
Comme vous pouvez le constater, les systèmes de vérification de l’âge peuvent être conçus en privilégiant la dissociation. Cela signifie que ni le gouvernement ni la plateforme ne peuvent suivre les activités d’un utilisateur même s’ils sont en mesure de vérifier avec précision son âge.
Si un gouvernement prend au sérieux la garantie de vieillesse, la conception technique comptera plus que la politique elle-même.
La vérification de l’âge dans le respect de la vie privée est complexe et coûteuse. Cela obligera les gouvernements à investir dans les détails techniques, garantissant que la vérification de l’âge est solide tout en répondant aux attentes en matière de confidentialité.
Et le code du logiciel devra être en libre accès pour permettre un examen par les pairs. La transparence est la meilleure garantie contre les fausses promesses faites par le gouvernement ou les attaques cachées des cybercriminels tentant de voler les données.
L’implication du gouvernement doit également résister de manière convaincante aux menaces imminentes de « dérive fonctionnelle », où la portée de la saisie des données via une infrastructure de vérification de l’âge peut être rapidement modifiée par des décisions politiques. Il n’existe aucune garantie technique contre de tels abus – et les gouvernements doivent gagner la confiance de leurs citoyens dans la législation future.
En effet, les enjeux sont considérables : une seule violation de données peut facilement détruire la confiance du public. Si les citoyens ne font pas confiance à l’outil de vérification de l’âge, ils risquent tout simplement de contourner les contrôles d’âge, comme cela s’est produit en France.
Internet entre dans une nouvelle phase. Pendant des années, les plateformes ont évité de connaître l’âge de leurs utilisateurs. Cela ne semble plus viable politiquement ou socialement.
Le véritable choix n’est pas entre sécurité et confidentialité. On se situe entre deux chemins techniques très différents. L’une d’elles normalise les contrôles biométriques (visage, empreintes digitales et autres), augmentant ainsi la quantité de données sensibles transmises aux entreprises privées.
L’alternative utilise des solutions cryptographiques avancées qui confirment l’âge tout en protégeant l’anonymat.
La vérification de l'âge ne doit pas nécessairement mettre fin à la participation anonyme en ligne. Si cela est fait correctement, cela pourrait être la technologie qui le protège.