Loi Miller : vérifier l'âge des mineurs sans ficher 40 millions d'adultes

Le 21 juillet 2026, le Parlement a définitivement adopté la proposition de loi de la députée Laure Miller visant à protéger les mineurs des risques des réseaux sociaux. La presse l'appelle déjà la loi Miller. Elle vise les mineurs de moins de 15 ans, et pour s'assurer qu'un utilisateur n'en fait pas partie, elle oblige en pratique tout le monde à prouver son âge. Soit environ 40 millions d'adultes français appelés à présenter une preuve d'identité pour continuer à utiliser des services qu'ils utilisent aujourd'hui sans rien déclarer.

Je veux poser un point avant tout le reste : les préjudices des réseaux sociaux sur les mineurs sont réels et documentés, et ce n'est pas l'objectif du texte que je conteste. Ce que je conteste, c'est le mécanisme retenu, parce qu'un précédent étranger montre déjà qu'un dispositif de ce genre ne produit pas l'effet annoncé, et pour des raisons qui n'ont rien à voir avec l'habileté technique des adolescents.

Le 28 juillet 2026, Fabrice Epelboin, enseignant à Sciences Po et entrepreneur tech, a publié sur X une tribune qui décrit une autre façon de faire. Je l'ai lue, je partage son diagnostic, et je pense que son alternative mérite d'être défendue publiquement, y compris avec ce qu'elle a d'inconfortable.

Un objectif légitime, un texte alerté de toutes parts

Le mécanisme n'a pas attendu le vote final pour être contesté. Dans son avis du 8 janvier 2026, le Conseil d'État a jugé la définition des services concernés trop large : elle englobe des plateformes collaboratives, des jeux sociaux et des réseaux éducatifs, ce qui rend le dispositif disproportionné et l'expose à un risque de non-conformité au DSA, le règlement européen sur les services numériques.

Le 6 juillet 2026, la Commission européenne a émis un avis motivé concluant à une incompatibilité partielle du texte avec le droit de l'Union, précisément sur ce risque d'empiètement sur le DSA. Trois jours après le vote, le 24 juillet 2026, plus de soixante députés de La France Insoumise ont saisi le Conseil constitutionnel sur le fondement de l'article 61 alinéa 2 de la Constitution, en invoquant la vie privée et l'anonymat. À l'heure où j'écris, la décision n'est pas rendue : le Conseil constitutionnel dispose en principe d'un mois pour se prononcer, sauf procédure accélérée que je n'ai pas trouvé confirmée pour ce dossier.

Autrement dit, le Conseil d'État, la Commission européenne et une partie du Parlement ont pointé le même endroit du texte. Ce n'est pas la protection des mineurs qui pose problème, c'est la façon dont elle est câblée.

Ce que le précédent australien apprend vraiment

Il existe déjà un terrain d'observation. En décembre 2025, l'Australie a interdit les réseaux sociaux aux moins de 16 ans. Ce n'est pas la même mesure que la loi française, et il faut le dire clairement : deux lois distinctes, deux seuils distincts, 16 ans là-bas contre 15 ans ici, et surtout une interdiction pure côté australien là où la France a choisi une vérification d'âge généralisée.

Mi-avril 2026, la Molly Rose Foundation, au Royaume-Uni, et YouthInsight ont publié une enquête menée auprès d'environ 1050 adolescents australiens de 12 à 15 ans, quatre mois après l'entrée en vigueur. Les résultats sont sévères. 61% des adolescents qui avaient un compte avant l'interdiction y avaient toujours accès. Entre 52 et 53% des utilisateurs de TikTok, YouTube et Instagram disposaient encore d'un compte actif. 70% ont trouvé le contournement facile.

Le chiffre qui compte vraiment est ailleurs. Seulement 4 à 5% des adolescents concernés sont passés par un VPN. La prouesse technique, l'ado surdoué qui déjoue le filtre, est un mythe : elle représente une fraction marginale des cas. Le contournement massif vient d'un autre côté, celui des plateformes, qui n'ont tout simplement pas supprimé les comptes existants. Selon ITV et Fortune, en avril 2026, environ deux tiers des comptes déjà ouverts n'ont pas été fermés.

C'est un résultat très gênant pour la loi Miller. L'Australie a imposé le régime le plus strict possible, une interdiction sans nuance, et l'obstacle décisif n'a pas été technique mais opérationnel. Un dispositif français qui repose sur la bonne exécution des mêmes plateformes, avec un mécanisme plus léger qu'une interdiction, a peu de chances de faire mieux. En revanche, il aura produit quelque chose que l'Australie n'a pas produit : une obligation de preuve d'identité pesant sur des dizaines de millions d'adultes.

Le problème n'est pas l'âge, c'est l'endroit où on le prouve

Vérifier qu'un utilisateur est majeur n'est pas illégitime en soi. Le faire en demandant à chaque plateforme de collecter une identité, si.

J'avais déjà documenté ce mécanisme dans Vérification d'âge en Europe : le prototype d'une infrastructure de surveillance de masse ?, en m'appuyant notamment sur les alertes d'EDRi et sur les failles de l'application européenne de vérification d'âge. Cet article notait déjà que le Conseil d'État français avait jugé disproportionnée l'interdiction générale des réseaux sociaux au regard du droit européen. Le vote du 21 juillet, la saisine du 24 juillet et la tribune d'Epelboin sont la suite directe de ce constat.

Un point technique de cet article mérite d'être rappelé ici, parce qu'il change complètement la discussion. En citant EDRi, le cryptographe Jaap-Henk Hoepman et le dépôt GitHub officiel eu-digital-identity-wallet, j'y avais établi que la cryptographie zero-knowledge capable de prouver un attribut (être majeur) sans jamais révéler l'identité sous-jacente figure déjà dans les spécifications techniques du projet européen. Elle n'est simplement pas câblée dans la version actuelle.

La brique existe sur le papier. Le législateur français a choisi de ne pas l'attendre.

L'alternative que défend Fabrice Epelboin

Sa tribune propose trois choses, et je les reprends telles qu'il les formule.

D'abord, un filtre actif par défaut au niveau de l'appareil et du système d'exploitation, appliqué avant toute authentification, plutôt qu'une vérification d'identité centralisée déportée sur les plateformes.

Ensuite, une preuve de majorité par cryptographie zero-knowledge : le service apprend que l'utilisateur est majeur, rien d'autre, sans divulgation d'identité et sans tiers de confiance chargé de tout voir passer.

Enfin, une période transitoire de 24 mois s'appuyant sur FranceConnect, sans conservation de journaux et sous audit de la CNIL, le temps que le portefeuille d'identité numérique européen prévu par eIDAS 2.0 soit réellement disponible fin 2026.

Une solution plus lente, et c'est précisément l'argument

Epelboin ne cache pas le point faible de sa proposition : le déploiement d'une cryptographie zero-knowledge à l'échelle nationale n'est pas encore là. Son alternative est plus lente, plus exigeante techniquement et plus coûteuse à mettre en œuvre que le texte voté.

Je ne vois pas ça comme une faiblesse de l'argument, mais comme l'argument lui-même. La loi Miller est arrivée vite parce que le calendrier politique demandait une réponse visible, et cette vitesse a produit exactement les défauts que le Conseil d'État et la Commission européenne ont relevés : un périmètre trop large, une architecture disproportionnée, une friction avec le droit européen. Une infrastructure d'identité qui concernera environ 40 millions de personnes n'est pas un dossier où l'on gagne à aller vite. Une fois déployée, elle ne se démonte pas.

Dans mon guide des parents pour protéger ses enfants sur internet, je constatais déjà qu'un enfant motivé finit toujours par contourner un outil passif, et que le contrôle parental seul ne suffit pas. Les chiffres australiens disent la même chose à l'échelle d'un pays. Un dispositif qui agit par défaut, avant l'authentification et au plus près de l'usage, a plus de chances de tenir qu'un dispositif qui suppose la coopération diligente de quelques grandes plateformes.

Le Conseil constitutionnel dira ce qu'il a à dire. Quelle que soit sa décision, la question technique restera posée, et elle a déjà une réponse mieux construite que celle qui vient d'être votée.