L’Union européenne vient de franchir une étape que peu d’observateurs attendaient aussi tôt. Le 15 avril 2026, la Commission européenne a annoncé que son application de vérification d’âge était « techniquement prête », ouvrant la voie à un déploiement dans les 27 États membres avant la fin de l’année. Derrière cette annonce se cache une technologie cryptographique longtemps confinée aux laboratoires de recherche : la preuve à divulgation nulle de connaissance, plus connue sous son nom anglais, zero-knowledge proof.

Le principe tient en une phrase. Un site pour adultes ou un réseau social pourra demander à un utilisateur de prouver qu’il a plus de 18 ans, sans jamais connaître sa date de naissance exacte, son nom ou le document ayant servi à établir cette preuve. Six pays testent déjà le système, la France en tête. Mais la promesse cryptographique se heurte à des obstacles bien réels, que la Commission reconnaît elle-même dans ses propres spécifications techniques.

L’annonce du 15 avril 2026 : une application « techniquement prête »

La présidente de la Commission européenne a choisi LinkedIn et un communiqué conjoint avec la vice-présidente exécutive Henna Virkkunen pour officialiser l’étape. Selon les informations rapportées par CNN, la Commission affirme désormais disposer d’une solution capable de fournir aux plateformes en ligne un outil gratuit de vérification d’âge, sans obliger chaque service à collecter lui-même des documents d’identité.

Le calendrier s’est accéléré en deux semaines à peine. Après l’annonce du 15 avril, la Commission a publié le 29 avril un appel pressant aux 27 capitales pour accélérer le déploiement national. L’objectif affiché reste une disponibilité générale d’ici la fin de l’année 2026, un délai serré compte tenu de l’ampleur technique du projet.

Ursula von der Leyen a également promis, dans une publication LinkedIn relayée par CNN, que l’application afficherait des standards de confidentialité parmi les plus élevés au monde. Le porte-parole technologique de la Commission, Thomas Regnier, a précisé à CNN que chaque État membre pourra adapter l’outil à sa législation nationale, y compris aux restrictions spécifiques sur les réseaux sociaux. Les plateformes soumises au règlement sur les services numériques (DSA) ne seront pas obligées d’utiliser cette application précise, mais devront démontrer que leur propre méthode de vérification est tout aussi efficace, sous peine de sanctions.

Meta, Snap, TikTok et Apple n’ont pas répondu aux sollicitations de CNN sur ce dossier. Google a refusé de commenter.

Qu’est-ce qu’une preuve à divulgation nulle de connaissance ?

Le concept remonte aux travaux fondateurs de Shafi Goldwasser, Silvio Micali et Charles Rackoff au milieu des années 1980, bien avant que quiconque n’imagine son application à la vérification d’âge sur les réseaux sociaux. Une preuve à divulgation nulle de connaissance permet à une personne, le « prouveur », de convaincre une autre, le « vérificateur », qu’une affirmation est vraie, sans révéler aucune information au-delà de cette vérité.

Appliqué à l’âge, le principe devient concret. Plutôt que d’envoyer une photo de carte d’identité à un site pour adultes, l’utilisateur générerait une preuve mathématique répondant uniquement par oui ou par non à la question « cette personne a-t-elle plus de 18 ans ? ». Ni la date de naissance, ni le nom, ni le numéro de document ne transiteraient vers le site demandeur.

Deux propriétés cryptographiques : validité et confidentialité

Les chercheurs distinguent deux propriétés qui rendent le système utile aux régulateurs et aux utilisateurs à la fois. La validité, ou « soundness », empêche un prouveur de fabriquer une fausse preuve, ce qui rassure les autorités soucieuses d’un contrôle réel. La confidentialité, la fameuse « zero knowledge », protège le détenteur du portefeuille, qui n’a plus besoin de divulguer d’informations explicites, seulement l’existence d’un fait vérifié en amont.

Ce mécanisme reste, sur le papier, plus sûr que l’envoi répété d’une pièce d’identité à des dizaines de plateformes différentes. Il suppose toutefois un premier passage obligé, l’activation du portefeuille via un document officiel, à un moment donné de la chaîne.

Comment l’application vérifiera l’âge des utilisateurs

Les spécifications publiées par la Commission prévoient quatre méthodes distinctes pour établir la preuve d’âge initiale, avant toute génération de preuve zero-knowledge.

Quatre méthodes, un même point de départ : un document vérifié

La première repose sur les schémas d’identité électronique nationaux (eID), déjà développés par plusieurs États membres dans le cadre d’eIDAS. La deuxième s’appuie sur les cartes d’identité physiques ou les passeports électroniques, associés à une reconnaissance biométrique comparant le visage de l’utilisateur au document scanné. La troisième méthode ouvre la vérification à des tiers de confiance, comme une banque ou un notaire. La quatrième permet de s’appuyer sur des applications tierces ayant déjà authentifié l’utilisateur, telles qu’une banque en ligne ou un opérateur mobile, selon le manuel de vérification d’âge publié par la Commission.

Chacune de ces voies suppose la possession préalable d’un document officiel ou d’un compte bancaire actif, ce qui écarte d’emblée certains publics du dispositif. C’est précisément le point que soulève l’organisation américaine de défense des libertés numériques Electronic Frontier Foundation dans son analyse détaillée du projet, que nous détaillons plus bas.

Une chronologie qui s’étend sur près de deux ans

Le projet n’est pas né avec l’annonce d’avril 2026. Il s’étale sur près de vingt et un mois, entre la première publication du blueprint et l’objectif de généralisation fixé pour la fin de l’année.

DateÉtapeSource
14 juillet 2025Publication du premier blueprint, une boîte à outils open-source, et lancement du piloteCommission européenne
Juillet 2025Début des tests dans cinq États membres : France, Espagne, Italie, Danemark, GrèceReuters
Octobre 2025Publication de la version 2 du blueprint, avec prise en charge du passeport et de la carte d’identitéCommission européenne
15 avril 2026L’application déclarée « techniquement prête » par la CommissionCNN, IAPP
29 avril 2026La Commission presse les 27 États membres d’accélérer le déploiement nationalCommission européenne
Fin 2026Date cible pour la disponibilité dans l’ensemble de l’Union européenneCommission européenne

Ce tableau illustre un rythme inhabituel pour un projet réglementaire européen : moins de deux ans entre la première ligne de code publiée et l’ambition d’un déploiement à 27. Le suivi de Digital Policy Alert confirme que le texte est passé du statut de délibération à celui d’adoption en un peu plus de neuf mois.

Six pays pilotes, la France en première ligne

La France figure parmi les cinq premiers pays retenus pour tester le dispositif, aux côtés de l’Espagne, de l’Italie, du Danemark et de la Grèce, depuis juillet 2025. Chypre a rejoint la liste des pays testeurs selon le manuel de vérification d’âge publié par la Commission, sans date précise communiquée pour son intégration.

Ce choix n’a rien d’anodin pour Paris. Le pays mène depuis plusieurs années sa propre bataille réglementaire sur la protection des mineurs en ligne, entre la loi SREN et les standards techniques de l’Autorité de régulation de la communication audiovisuelle et numérique (ARCOM), entrés en application le 11 janvier 2025 pour les sites pornographiques. Plusieurs plateformes pour adultes ont contesté ces obligations devant la justice administrative française.

L’arrivée d’un outil européen commun change la donne pour les régulateurs nationaux. Plutôt que d’imposer à chaque site sa propre solution, souvent critiquée pour son manque de fiabilité, la France pourrait s’appuyer sur un socle technique partagé avec 26 autres pays. Reste à savoir si le calendrier européen, plus lent que les échéances nationales déjà en vigueur, ne créera pas de désynchronisation entre les deux régimes.

Le lien avec le portefeuille européen d’identité numérique

L’application de vérification d’âge, parfois surnommée « mini-wallet » dans les documents de la Commission, n’est pas un projet isolé. Elle s’appuie sur les mêmes spécifications techniques que l’European Digital Identity Wallet (EUDI Wallet), le grand chantier d’identité numérique lancé dans le cadre du règlement eIDAS 2.0.

Ce règlement impose aux 27 États membres de proposer au moins un portefeuille d’identité numérique à leurs citoyens d’ici la fin de 2026, un calendrier qui coïncide presque exactement avec celui fixé pour l’application de vérification d’âge. Les deux projets partagent la même philosophie de « divulgation sélective », qui permet à l’utilisateur de ne partager que les attributs strictement nécessaires à une transaction donnée, plutôt que l’intégralité de son identité.

Cette convergence technique a un avantage pratique. Les investissements réalisés pour l’un des deux portefeuilles bénéficient à l’autre. Elle comporte aussi un risque, celui de faire porter à un seul calendrier de déploiement deux obligations réglementaires distinctes, l’identité numérique généraliste d’un côté, la protection des mineurs de l’autre.

À quoi ressemble une preuve d’âge sur le plan technique

Pour les lecteurs familiers du développement logiciel, une preuve d’âge générée par ce type de portefeuille ressemble, dans son principe, à une déclaration signée cryptographiquement plutôt qu’à un transfert de données brutes. Voici une structure simplifiée, à but pédagogique uniquement, illustrant ce que pourrait contenir l’attestation transmise à un site demandeur. Il ne s’agit pas du format officiel de la Commission, dont le détail technique complet n’a pas encore été publié.

{
  "claim": "age_over_18",
  "result": true,
  "issuer": "wallet-national-eid",
  "proof_type": "zero_knowledge",
  "verifier": "site-demandeur.example",
  "timestamp": "2026-04-20T10:15:00Z",
  "personal_data_shared": []
}

Le champ « personal_data_shared » vide résume l’ambition du projet. Le site demandeur reçoit un résultat booléen et un horodatage, rien de plus. La difficulté technique se situe ailleurs, dans la génération et la vérification rapide de ces preuves à l’échelle de millions d’utilisateurs simultanés, un défi que l’EFF juge encore mal résolu par les solutions ZKP disponibles aujourd’hui sur mobile.

Dix ans de tentatives de vérification d’âge en Europe

Le sujet n’est pas nouveau. Depuis le milieu des années 2010, plusieurs pays européens ont tenté d’imposer des contrôles d’âge aux sites pour adultes, souvent sans succès durable. La France a inscrit une obligation de vérification dans sa loi de 2020, avant que l’ARCOM ne publie ses standards techniques définitifs le 11 octobre 2024.

Le Royaume-Uni a choisi une voie différente avec l’Online Safety Act, dont les obligations de contrôle d’âge dit « hautement efficace » sont entrées en vigueur en juillet 2025. Contrairement au projet européen, la loi britannique laisse chaque plateforme choisir sa propre méthode technique, qu’il s’agisse d’estimation faciale, de vérification par carte bancaire ou de documents d’identité.

L’Australie est allée plus loin en interdisant purement et simplement l’accès aux réseaux sociaux aux moins de 16 ans, une mesure entrée en vigueur en décembre 2025. Il s’agit de la première interdiction générale de ce type au monde, sans reposer sur un portefeuille numérique partagé entre plateformes.

Ce qui distingue la démarche européenne de 2026, c’est la volonté de mutualiser l’infrastructure technique entre pays, plutôt que de laisser chaque État ou chaque plateforme bricoler sa propre solution. L’échec relatif des précédentes tentatives françaises et britanniques, souvent contournées par des VPN ou de faux documents, pèse directement sur les choix techniques actuels.

Comparaison internationale : trois manières de vérifier l’âge en ligne

Trois modèles coexistent désormais dans le monde, avec des philosophies très différentes sur la place de la cryptographie et de la centralisation.

Zone ou paysMécanisme principalStatutParticularité
Union européenne (27 États)Portefeuille numérique avec preuve zero-knowledge (« mini-wallet »)Pilote, généralisation visée fin 2026Vise à ne partager qu’un résultat oui/non, jamais la date de naissance
France, Espagne, Italie, Danemark, GrècePilote du blueprint européenEn test depuis juillet 2025Premiers États à expérimenter la solution commune
ChyprePilote associéAjouté selon le manuel de la CommissionRejoint la liste des pays testeurs
Royaume-UniOnline Safety Act, contrôle d’âge « hautement efficace »En vigueur depuis juillet 2025Chaque plateforme choisit librement sa méthode technique
AustralieInterdiction des réseaux sociaux pour les moins de 16 ansEn vigueur depuis décembre 2025Première interdiction générale au monde, sans portefeuille commun
États-UnisLois étatiques imposant vérification d’âge et consentement parentalPatchwork, variable selon les ÉtatsAbsence de cadre fédéral unique

Aucun des trois modèles ne fait l’unanimité. L’approche britannique responsabilise chaque plateforme, au prix d’une grande hétérogénéité technique. L’interdiction pure et simple choisie par l’Australie règle la question de la vie privée en écartant purement les mineurs, sans convaincre les défenseurs de la liberté d’expression des jeunes utilisateurs. L’approche européenne parie sur une infrastructure cryptographique commune, plus ambitieuse sur le papier, mais aussi plus lente à déployer à l’échelle de 27 pays.

Impact sur le marché : Meta, Google, Apple et les fournisseurs d’identité

La pression réglementaire s’accompagne d’un début de bataille industrielle. Le patron de Meta, Mark Zuckerberg, plaide depuis plusieurs mois pour que la vérification d’âge soit assurée directement par les magasins d’applications, Google Play et l’App Store, plutôt que par chaque service individuellement. Google et Apple ont rejeté cette proposition, estimant qu’elle les obligerait à collecter des données personnelles inutiles, y compris pour des utilisateurs adultes téléchargeant des applications sans rapport avec du contenu sensible.

Le contexte judiciaire américain alimente cette tension, même s’il reste distinct du dossier européen. Selon CNN, un jury californien a récemment jugé Meta et YouTube responsables d’un préjudice causé à une jeune femme via des fonctionnalités jugées addictives. Un jury du Nouveau-Mexique a de son côté reconnu la responsabilité de Meta dans un dossier d’exploitation sexuelle de mineurs sur ses plateformes.

Pour les fournisseurs spécialisés dans la vérification d’identité, déjà actifs sur le marché français et européen, l’arrivée d’un standard commun soutenu par la Commission représente à la fois une opportunité et une menace. Une opportunité, car l’infrastructure eIDAS ouvre de nouveaux marchés d’intégration technique pour les prestataires capables de certifier leurs briques logicielles. Une menace, si la solution gratuite de la Commission capte une partie de la demande jusqu’ici servie par des solutions commerciales tierces.

Les critiques : qui risque d’être exclu du portefeuille numérique

L’analyse la plus détaillée des angles morts du projet vient de l’Electronic Frontier Foundation, qui a consacré une série de trois articles au dossier. Son constat est sévère sur un point précis : aucune des quatre méthodes de vérification prévues ne fonctionne sans document officiel préalable ou compte bancaire actif.

Les personnes sans papiers, les sans-abri, les réfugiés et une partie des mineurs eux-mêmes risquent de se retrouver exclus, faute de pouvoir obtenir une carte d’identité ou un passeport. Dans plusieurs États membres, l’âge minimum pour demander une pièce d’identité sans consentement parental reste fixé à 18 ans, ce qui crée un paradoxe pour un outil censé protéger justement les mineurs.

L’EFF cite aussi des travaux du National Institute of Standards and Technology (NIST) américain sur les algorithmes d’estimation d’âge par biométrie. Ces travaux montrent des taux d’erreur plus élevés pour certaines origines ethniques sous-représentées dans les données d’entraînement, ainsi que pour les visages féminins comparés aux visages masculins.

Dernier point soulevé par l’organisation : la dépendance à un smartphone personnel. Les foyers les plus modestes possèdent statistiquement moins d’appareils individuels, ce qui pénalise les publics qui accèdent à internet via une bibliothèque, une école ou un cybercafé partagé.

Les limites techniques que la Commission reconnaît elle-même

Le détail le plus surprenant de ce dossier tient dans les spécifications techniques publiées par la Commission elle-même. Selon l’analyse de l’EFF, qui a examiné ces documents en détail, le recours aux preuves zero-knowledge et aux fonctions de hachage salées reste présenté comme optionnel, et non obligatoire, dans le cahier des charges actuel.

Plus surprenant encore, les spécifications reconnaîtraient qu’aucune solution ZKP pleinement compatible n’est disponible à ce jour pour une intégration à grande échelle sur smartphone. La technologie qui donne son nom à l’ambition de confidentialité du projet n’est donc pas encore prête industriellement, alors même que le calendrier politique vise une disponibilité générale d’ici la fin de l’année.

Cet écart entre l’annonce politique et la maturité technique n’a rien d’exceptionnel dans les grands projets numériques européens, mais il fragilise la promesse centrale de l’application, celle de garantir qu’aucune donnée superflue ne sera jamais partagée. Sans obligation contraignante d’implémenter le chiffrement le plus protecteur, rien n’empêche un État membre de déployer une version simplifiée du portefeuille, reposant sur un simple partage de document plutôt que sur une preuve mathématique.

Ce que cela change pour les entreprises et les éditeurs de sites

Pour les entreprises soumises au règlement sur les services numériques, la marge de manœuvre reste réelle. Selon les précisions apportées par le porte-parole Thomas Regnier à CNN, aucune plateforme ne sera contrainte d’adopter l’application de la Commission à la place de sa propre solution. La contrainte porte sur le résultat, pas sur l’outil : chaque méthode alternative devra démontrer un niveau d’efficacité équivalent, sous peine de sanctions prévues par le DSA.

Cette approche laisse ouverte la porte à une fragmentation persistante du marché, entre plateformes qui adoptent le standard européen gratuit et celles qui continuent d’investir dans des solutions commerciales tierces, parfois plus anciennes que le projet de la Commission. Pour les équipes techniques, l’enjeu immédiat consiste à suivre la publication des spécifications finales, encore qualifiées de « processus interactif » par la Commission elle-même, avant d’engager une intégration coûteuse.

Les éditeurs français devront, en parallèle, continuer à respecter les standards ARCOM déjà en vigueur depuis janvier 2025. Cela suppose une coexistence, au moins temporaire, entre obligations nationales et solution européenne encore en rodage.

Cinq prédictions pour la vérification d’âge d’ici 2027

Sur la base du calendrier observé depuis juillet 2025 et des tensions déjà visibles entre acteurs, voici cinq évolutions probables d’ici 2027.

  1. Le calendrier de « fin 2026 » glissera probablement de plusieurs mois pour une partie des 27 États membres, sur le modèle des retards déjà observés dans le déploiement d’eIDAS.
  2. Les preuves zero-knowledge passeront progressivement du statut optionnel à une exigence renforcée dans le cahier des charges, sous la pression des associations de défense des libertés numériques.
  3. Au moins une grande plateforme contestera devant la justice européenne l’obligation de démontrer l’équivalence de sa propre méthode de vérification.
  4. Les fournisseurs commerciaux de vérification d’identité chercheront à se positionner comme sous-traitants techniques du portefeuille européen plutôt que comme concurrents directs.
  5. La question de l’accessibilité pour les personnes sans document d’identité restera non résolue, et alimentera un nouveau cycle de critiques proches de celles déjà formulées par l’EFF.

Foire aux questions

Qu’est-ce que l’application européenne de vérification d’âge ?

C’est un portefeuille numérique, parfois appelé « mini-wallet », développé par la Commission européenne pour permettre aux internautes de prouver leur âge en ligne sans transmettre leur date de naissance complète. La Commission l’a déclaré « techniquement prêt » le 15 avril 2026.

Comment une preuve zero-knowledge protège-t-elle mes données ?

Elle transmet uniquement un résultat binaire, du type « plus de 18 ans : oui », au lieu d’envoyer un document d’identité complet. Le site demandeur ne reçoit ni nom, ni date de naissance, ni numéro de pièce d’identité.

Quand l’application sera-t-elle disponible en France ?

La France teste le dispositif depuis juillet 2025, aux côtés de l’Espagne, de l’Italie, du Danemark et de la Grèce. La Commission vise une disponibilité généralisée dans les 27 États membres d’ici la fin de 2026, sans date française précise communiquée à ce stade.

Devrai-je obligatoirement utiliser cette application pour accéder à certains sites ?

Non, pas nécessairement. Les plateformes soumises au règlement sur les services numériques pourront continuer à utiliser leur propre méthode de vérification, à condition de prouver qu’elle est aussi efficace que l’outil européen.

Que se passe-t-il si je n’ai pas de carte d’identité ou de passeport ?

C’est l’une des principales critiques formulées par l’Electronic Frontier Foundation. Les quatre méthodes prévues par la Commission (eID, carte d’identité, tiers de confiance, application liée) supposent toutes la possession préalable d’un document ou d’un compte vérifié, ce qui exclut de fait les personnes sans papiers.

L’application est-elle liée au portefeuille européen d’identité numérique (EUDI Wallet) ?

Oui. Le mini-wallet de vérification d’âge repose sur les mêmes spécifications techniques que l’EUDI Wallet, déployé dans le cadre du règlement eIDAS 2.0, avec un calendrier de généralisation qui coïncide, fin 2026, pour les deux projets.

Les grandes plateformes comme Meta ou TikTok ont-elles déjà accepté d’utiliser l’outil ?

Aucune confirmation publique à ce jour. Meta, Snap, TikTok et Apple n’ont pas répondu aux sollicitations de CNN sur le sujet, et Google a refusé de commenter.

La solution est-elle vraiment gratuite pour les plateformes ?

C’est ce qu’affirme la Commission, qui présente l’application comme un outil gratuit et facile à utiliser pour les services en ligne. Le coût du développement et de la maintenance reste porté par les budgets publics européens.

Pour aller plus loin

Ce dossier s’inscrit dans un ensemble plus large de sujets liés à la cryptographie appliquée et à la protection des mineurs en ligne, déjà traités sur Shattered. Pour approfondir chaque angle, consultez notre pilier Cryptographie ainsi que les articles suivants.