Le 1er janvier 2027, la France vérifiera l'identité de tous ses adultes

La Katiba des Narvalos est un collectif apartisan de citoyens anonymes qui traque la propagande djihadiste en ligne depuis une décennie : recensement et signalement des comptes, contre-propagande, et surtout infiltration des réseaux cyber-djihadistes. Cette dernière activité, la plus utile de toutes, repose sur une condition unique et non négociable, celle que personne, en face, ne puisse relier un pseudonyme à un nom, à une adresse, à une famille.

À partir du 1er janvier 2027, chacun de ses membres devra prouver son identité pour conserver ses comptes.

Le problème n'est pas seulement qu'ils cesseront. Il est qu'existera alors, quelque part chez un prestataire technique, un fichier reliant des identités civiles à des comptes d'infiltration. C'est-à-dire exactement ce que les organisations infiltrées cherchent depuis dix ans, rassemblé pour elles au même endroit.

En octobre 2025, environ 70 000 photos de pièces d'identité collectées par Discord au titre de la vérification d'âge ont fuité, non pas depuis Discord mais depuis son sous-traitant du support client. Elles ne provenaient pas des inscriptions, mais des recours déposés par des utilisateurs que le système avait classés mineurs à tort. Le point de rupture n'est jamais la porte d'entrée, c'est le guichet des réclamations.

La Katiba n'est que le cas le plus net. Le même raisonnement vaut pour le salarié qui documente une fraude depuis l'intérieur de son entreprise, pour la source d'un journaliste, pour la personne qui a changé de ville afin de ne pas être retrouvée. Aucun de ces usages n'appartient à un camp politique. Aucun ne survit à une obligation d'identification.

Le Parlement a voté cette obligation mardi soir, à une large majorité, au terme d'un débat consacré presque entièrement aux adolescents.

Ce que prévoit exactement la loi du 21 juillet 2026

Le Parlement a définitivement adopté, mardi 21 juillet 2026, la proposition de loi portée par la députée Laure Miller interdisant l'accès aux réseaux sociaux aux mineurs de moins de quinze ans. Le Sénat l'a votée par 243 voix contre 2, avec 100 abstentions. L'Assemblée nationale a suivi quelques heures plus tard, 279 voix contre 81. Le texte adopté sort d'un compromis arrêté la veille en commission mixte paritaire, en un peu plus de deux heures, à huis clos.

Deux dates. Au 1er septembre 2026, plus aucun compte ne peut être créé par un mineur de moins de quinze ans. Au 1er janvier 2027, l'interdiction s'étend aux comptes déjà existants. Les quatre mois qui séparent les deux échéances servent aux plateformes à mener une campagne de vérification de l'âge sur l'ensemble de leurs utilisateurs.

Le texte bannit également le téléphone portable des lycées à compter de la rentrée 2026-2027.

Le champ d'application vise les services de réseaux sociaux en ligne, sans seuil de taille ni condition d'audience, avec quelques exceptions dont les encyclopédies en ligne. Une instance Mastodon tenue par trois bénévoles tombe sous le même régime que TikTok.

Les députés socialistes ont annoncé une saisine du Conseil constitutionnel, qui dispose d'un mois.

Pourquoi la vérification d'âge concerne tous les adultes, pas seulement les mineurs

Il y a deux dispositions dans cette loi, et une seule a été débattue.

La première interdit aux moins de quinze ans d'ouvrir un compte. La seconde en découle mécaniquement : elle oblige tout le monde à prouver son âge, parce qu'on n'écarte pas un mineur sans contrôler l'adulte. La loi ne s'en cache pas, puisque les quatre mois accordés aux plateformes servent à passer l'intégralité de leur base au tamis. Pas les comptes suspects. Tous les comptes.

Le Parlement n'a pas voté une restriction d'âge. Il a voté l'installation d'une couche d'attestation d'identité devant la prise de parole publique, pour la population entière.

Le député Louis Boyard l'a dit dans l'hémicycle : la finalité du texte est d'imposer une vérification d'identité à toute la population. On lui a répondu qu'il racontait n'importe quoi. Reste à expliquer comment on établit que quarante millions d'adultes sont majeurs sans leur demander de le prouver.

Comment les plateformes vont-elles vérifier l'âge et l'identité ?

La loi ne tranche pas. Elle pose l'obligation et renvoie les modalités au décret et au référentiel de l'Arcom.

Ni l'un ni l'autre n'existent. Le seul référentiel de vérification d'âge disponible est celui de la loi SREN, écrit pour les sites pornographiques. Le député Arthur Delaporte l'a signalé mardi soir en séance : les modalités de contrôle ne sont pas stabilisées à un mois de l'entrée en vigueur. Personne ne l'a contredit.

Le Parlement a voté une obligation dont la méthode d'exécution reste à écrire, avec une échéance à six semaines.

Les méthodes réellement disponibles se comptent sur une main. La photo d'un titre d'identité transmise à un tiers vérificateur, avec détection de vivacité. L'identité numérique d'État, en France l'application France Identité, qui lit la puce de la carte nationale. L'estimation biométrique du visage, que la CNIL a écartée pour les bureaux de tabac et qu'un trait de crayon dessinant une moustache a suffi à tromper lors des tests australiens. L'attestation par l'opérateur télécom, fondée sur le forfait souscrit au nom d'un adulte. Et à partir de fin 2026, le portefeuille européen d'identité numérique.

Quatre sur cinq passent par un titre d'identité ou par l'État. La cinquième ne tient pas techniquement et sautera dès que l'exigence de fiabilité montera. Il n'y a pas de sixième voie.

Aucune plateforme ne fera scanner une pièce d'identité à quarante millions de personnes en quatre mois. Elles commenceront par de l'inférence sur les signaux qu'elles détiennent déjà : ancienneté du compte, déclarations passées, graphe social, appareil, comportement. Puis elles escaladeront vers la vérification documentaire pour les comptes classés mineurs et pour ceux qui contestent ce classement.

La collecte de pièces d'identité se concentrera donc sur les utilisateurs mal classés, c'est-à-dire sur les comptes atypiques : récents, peu bavards, sans graphe social identifiable. Les comptes d'enquête.

Le « double anonymat » de l'Arcom protège-t-il vraiment ?

La plateforme ignore votre identité, le vérificateur ignore le service auquel vous accédez. Le terme a été forgé côté gouvernement à partir de 2023, repris par la CNIL dans une étude technique, puis inscrit par l'Arcom dans son référentiel.

Le double anonymat ne produit aucun anonymat. Il produit un cloisonnement entre deux acteurs, et un cloisonnement est une promesse d'implémentation. Il tient si l'architecture est correctement conçue, correctement déployée et correctement auditée, et il cesse de tenir dès qu'un seul de ces trois maillons cède.

En 2025, AI Forensics a démontré qu'AgeGo, prestataire de vérification pour de nombreux sites pornographiques, collectait l'URL complète de la vidéo consultée. Le cloisonnement promis était une case cochée dans un document de conformité.

Sous le cloisonnement, quelle que soit sa qualité, il reste un contrôle d'identité. Vous ne prouvez pas votre âge, vous prouvez qui vous êtes, à quelqu'un, avant d'avoir le droit de parler. Le mot « anonymat » a été choisi pour vous faire oublier cette phrase.

Ce que la vérification d'identité détruit concrètement

Le débat public traite l'anonymat en ligne comme un confort, parfois comme un vice. Pour un certain nombre d'activités, c'est une exigence opérationnelle, au même titre que la protection des sources d'un journaliste ou la couverture d'un agent infiltré.

Infiltrer un réseau de propagande suppose un compte qui ne remonte à personne. Le jour où ce compte est adossé à une identité civile stockée chez un prestataire, l'activité s'arrête, et pas seulement parce que la personne y renonce. Le fichier lui-même devient une cible de très grande valeur pour l'adversaire.

Le salarié qui documente une fraude depuis l'intérieur de son entreprise ne le fera pas depuis un compte identifié. La victime de violences conjugales qui a changé de département ne conservera pas un profil relié à son état civil. Le fonctionnaire qui alerte sur un dysfonctionnement, le médecin qui témoigne d'une pratique, l'ancien membre d'un groupe sectaire qui prévient les suivants, tous dépendent de la même condition.

Aucun de ces usages n'est de droite ou de gauche. Ils forment l'infrastructure informelle par laquelle une société apprend ce que les canaux officiels ne remontent pas.

Pourquoi je défends l'anonymat alors que je n'en ai aucun usage

Je travaille sous mon nom. Mon visage est sur mes conférences, mes analyses sont signées, mes clients ont mon numéro, mon adresse professionnelle est publique. Je n'ai aucun compte anonyme, je n'en ai jamais eu, et je n'en aurai probablement jamais besoin. Ma position me protège, ma profession me protège, et ce que j'écris ne me coûte rien de plus qu'un désaccord poli.

C'est précisément pour cette raison que je le défends.

Un droit ne se juge pas depuis la situation de ceux qui n'en ont pas l'usage. Je n'ai pas besoin de l'aide juridictionnelle, ce qui ne me donne aucune autorité pour la supprimer. « Je n'ai rien à cacher, donc personne n'a besoin de se cacher » est le plus court chemin vers une société où seuls parlent ceux qui ne risquent rien.

Ce que je défends n'est pas l'anonymat comme mode de vie, mais sa possibilité comme condition du débat. Une société où tout le monde est anonyme est ingouvernable. Une société où plus personne ne peut l'être n'entend plus que les canaux qui ont intérêt à parler.

L'équilibre entre les deux est en train d'être supprimé sans avoir été discuté.

Est-ce que la vérification d'âge protège vraiment les mineurs ?

L'Australie applique une interdiction aux moins de seize ans depuis le 10 décembre 2025. Le gouvernement revendique plus de cinq millions de comptes supprimés, désactivés ou restreints. Le chiffre a été abondamment cité en France pendant les débats.

Une évaluation revue par les pairs, publiée en juin 2026 dans le British Medical Journal, a suivi plus de quatre cents enfants avant l'entrée en vigueur puis trois mois après : preuves insuffisantes d'une baisse marquée de l'usage, contournement substantiel. Une enquête du régulateur australien a relevé que sept parents sur dix déclaraient leurs adolescents toujours présents sur les plateformes visées. Le gouvernement australien a répondu en juin 2026 par un texte doublant les sanctions maximales, autour de 99 millions de dollars australiens.

Cinq millions de comptes traités, un usage inchangé. Un indicateur qui monte, un risque qui ne bouge pas.

C'est ce que j'appelle le tableau de bord vert : l'organisation atteint ses métriques, plus personne ne pose de question, et la fragilité réelle demeure intacte sous les indicateurs. Sauf qu'ici, le prix du tableau de bord vert est une infrastructure d'identification permanente.

Les mineurs les plus vulnérables seront les premiers écartés : ceux qui n'ont pas de papiers, ceux dont les documents ne correspondent pas à leur apparence, ceux qui n'ont personne à la maison pour gérer un recours. Les autres continueront comme avant.

Le calendrier européen de l'identité numérique

Le règlement eIDAS 2 impose à chaque État membre de mettre à disposition au moins un portefeuille d'identité numérique avant fin décembre 2026. Les très grandes plateformes devront l'accepter comme moyen d'identification à partir de 2027. La Commission vise 80 % de citoyens européens équipés d'une solution d'identité numérique en 2030.

La Commission a publié un premier modèle technique de vérification d'âge le 14 juillet 2025, puis un second le 10 octobre 2025, surnommé mini wallet, intégrant l'enrôlement par passeport et carte d'identité. Ce second modèle est construit sur les mêmes spécifications techniques que le portefeuille européen, pour permettre son intégration ultérieure. C'est écrit sur le site de la Commission.

Le 10 octobre 2025, à Horsens, les ministres du numérique de vingt-sept pays européens ont signé la déclaration du Jutland, qui appelle à une exigence juridique européenne claire de vérification d'âge. La ministre danoise du numérique y a réclamé des portiers numériques pour empêcher les enfants d'entrer avant l'âge. En novembre 2025, le Parlement européen a voté par 483 voix contre 92 une résolution en faveur d'une majorité numérique harmonisée. Le rapport d'experts remis à la présidente de la Commission recommande une interdiction sous treize ans et un accès progressif ensuite. La feuille de route arrive à la fin de l'été 2026.

Alignez les dates. Mini wallet construit sur les spécifications du portefeuille européen. Portefeuille obligatoire dans les vingt-sept États fin 2026. Acceptation obligatoire par les grandes plateformes en 2027. Vérification de tous les comptes français au 1er janvier 2027.

Chaque brique a été annoncée séparément, justifiée séparément, votée séparément. Aucune analyse d'impact consolidée n'existe sur l'ensemble. Il n'y a pas besoin d'un plan secret pour obtenir une architecture : il suffit d'une série de décisions présentables isolément et dont aucune n'est réversible.

Le 15 avril 2026, la présidente de la Commission présentait l'application européenne de vérification d'âge en insistant sur son caractère intégralement ouvert. Le lendemain, un consultant en sécurité publiait une démonstration de contournement en moins de deux minutes : code PIN stocké dans un fichier de configuration modifiable, compteur de tentatives réinitialisable, authentification biométrique désactivable par un booléen. Le dépôt public du code portait un avertissement indiquant que la version n'était pas recommandée pour un déploiement en conditions réelles. Cet avertissement figurait sur le code. Il ne figurait pas dans l'annonce politique.

Chat Control : la méthode

Le 26 mars 2026, le Parlement européen refusait de prolonger la dérogation autorisant les plateformes à scanner les messages privés. Le régime expirait début avril. Victoire réelle, arrachée après des mois de mobilisation.

Le 2 juillet, le Conseil adoptait le texte comme position de deuxième lecture, ce qui changeait toute l'arithmétique : en deuxième lecture, rejeter exige la majorité absolue des membres, soit 361 voix sur 720. Le 7 juillet, une procédure d'urgence passait par 331 voix contre 304. Le 9 juillet, dernier jour avant les congés, la motion de rejet recueillait 314 voix contre 276. Une majorité de votants a dit non. Il en fallait 361.

Un texte majoritairement refusé s'applique jusqu'en avril 2028, parce que ce refus n'a pas franchi un seuil procédural, à la faveur d'un calendrier qui vidait l'hémicycle. Le règlement permanent, celui qui rendrait la détection obligatoire jusque dans les messageries chiffrées, revient en négociation en septembre.

Ni conspiration ni coup de force. De la patience, un règlement intérieur et un mois de juillet.

Après les réseaux sociaux, les VPN

Le 30 janvier 2026, sur Franceinfo, la ministre déléguée au numérique déclarait que les VPN figuraient parmi ses prochains sujets prioritaires. Au Royaume-Uni, la Chambre des lords a déjà voté un amendement soumettant l'accès aux VPN à une vérification d'âge. Depuis l'entrée en vigueur de l'Online Safety Act à l'été 2025, des pans entiers du web britannique sont passés derrière un mur d'identification, avec des blocages qui ont touché des contenus documentaires sur Gaza et sur l'Ukraine. Aux États-Unis, la moitié des États imposent une vérification d'âge sur les contenus pour adultes.

On installe un mur, les gens le contournent, on ferme la voie de contournement. Chaque fermeture est justifiée par l'échec de la précédente. Personne n'a besoin d'annoncer l'objectif final. Il suffit de ne jamais revenir en arrière.

Quinze semaines avant la présidentielle

Le premier tour est fixé au 18 avril 2027. La vérification de tous les comptes existants tombe le 1er janvier. Entre les deux, quinze semaines.

Un contrôle d'identité placé à l'entrée d'un service produit toujours de l'abandon, et jamais au hasard. Décrochent ceux dont les papiers ont expiré, ceux qui ne comprennent pas pourquoi on leur réclame un selfie, ceux qui n'ont personne pour contester un refus. Les mêmes, exactement, qui s'informent déjà par la télévision et par la radio.

Sur des dizaines de millions de comptes, quelques points d'attrition sortent des centaines de milliers d'électeurs du premier canal d'information politique des moins de trente-cinq ans, au moment où la campagne démarre.

Ils ne cesseront pas de s'informer. Ils basculeront sur un paysage dont la propriété tient en cinq noms : Bolloré, Niel, Arnault, Kretinsky, Saadé.

Et l'autorité qui contrôle les temps de parole à la télévision pendant la campagne est celle qui écrira le référentiel technique fermant l'accès au canal concurrent. L'Arcom des deux côtés.

Aucune étude d'impact n'a mesuré cet effet. Le Conseil d'État ne l'a pas soulevé, la commission mixte paritaire ne l'a pas discuté, personne ne l'a posé en séance. Un effet prévisible, chiffrable, et pas une ligne pour le regarder.

Le vérificateur d'âge, tiers critique non supervisé

Cette loi crée une nouvelle catégorie d'acteur. À compter du 1er janvier 2027, la disponibilité du vérificateur d'âge conditionne l'accès de dizaines de millions de personnes à l'espace de discussion public. Sa compromission expose une base de correspondances entre identités civiles et activité en ligne. Sa défaillance, même transitoire, produit une indisponibilité de la parole publique.

Aucun régime de supervision ne correspond à cette fonction.

Ces prestataires se répartiront dans des cases hétérogènes selon le statut qu'ils adopteront. Ceux qui délivreront des attestations électroniques qualifiées d'attributs au titre d'eIDAS 2 seront prestataires de services de confiance, donc entités relevant de NIS2 au titre de l'infrastructure numérique, avec obligations de gestion des risques et de notification d'incident. Les autres, simples sous-traitants au sens du RGPD, n'auront ni obligation de notification NIS2, ni certification supervisée, ni contrôle sectoriel. Deux prestataires assurant la même fonction critique, deux régimes sans commune mesure.

DORA a réglé ce problème pour le secteur financier en créant un statut de prestataire tiers critique placé sous surveillance directe, parce que la concentration du risque chez quelques fournisseurs rendait le contrôle contractuel insuffisant. Rien d'équivalent ici, alors que la dépendance systémique est du même ordre et que l'actif exposé est autrement plus sensible qu'un flux de paiement.

C'est un défaut de conception qu'un décret peut corriger, à condition que quelqu'un le formule avant le 1er septembre et non après le premier incident.

Ce qui reste ouvert

Le Conseil d'État, dans son avis du 14 janvier 2026, a jugé l'interdiction générale disproportionnée au regard du droit européen et recommandé des mesures ciblées par décret. La Commission européenne a estimé le 7 juillet 2026 que certaines dispositions du texte contrevenaient au règlement sur les services numériques, ce qui a contraint les parlementaires à réécrire dans l'urgence.

L'article 28, paragraphe 3, du DSA prévoit noir sur blanc que les fournisseurs de plateformes ne sont pas tenus de traiter des données à caractère personnel supplémentaires pour déterminer si un utilisateur est mineur. Une obligation de vérification d'âge fait l'inverse. La base juridique invoquée par Paris et par Bruxelles contredit le texte qu'elle invoque.

Dans une affaire pendante devant la Cour de justice de l'Union européenne portant sur la vérification d'âge imposée par la loi SREN, l'avocat général a mis en doute la conformité du dispositif français au droit de l'Union, au motif que la régulation des plateformes relève en principe de l'échelon européen.

Le Conseil constitutionnel a été saisi et dispose d'un mois. Le décret d'application et le référentiel de l'Arcom restent à écrire. C'est là que se joue la suite.

Trois exigences, sans rien céder sur la protection des mineurs. Que les prestataires de vérification soient qualifiés comme tiers critiques, avec certification supervisée, notification obligatoire des incidents et audits de cloisonnement publiés. Que le dispositif soit assorti d'une clause d'extinction et d'une évaluation indépendante, l'histoire de Chat Control montrant assez ce que devient un régime temporaire quand personne n'en fixe le terme. Que la couche d'identité cesse d'être traitée comme un détail d'exécution renvoyé au décret, alors qu'elle est la seule partie du texte dont les effets porteront sur toute la population.

Le vrai débat, celui sur l'interopérabilité imposée aux plateformes, sur le modèle publicitaire, sur les mécaniques de rétention conçues pour capter des adolescents, n'a pas eu lieu. On l'a remplacé par une pièce d'identité.

Le 1er septembre, un adolescent de quatorze ans ne pourra plus ouvrir de compte. Le 1er janvier, des dizaines de millions d'adultes devront prouver qui ils sont pour conserver le leur. Seule la première phrase a été débattue. C'est la seconde qui restera.

---

Sources

• Adoption définitive, contenu du texte et débats parlementaires : LCP, franceinfo et Touteleurope, 21 juillet 2026.
• Avis du Conseil d'État du 14 janvier 2026 et position de la Commission européenne du 7 juillet 2026 : Touteleurope.
• Double anonymat, champ d'application, article 28 du DSA et affaire pendante devant la CJUE : La Quadrature du Net, 21 mai 2026.
• Modèles techniques de vérification d'âge des 14 juillet et 10 octobre 2025 : Commission européenne, page consacrée à l'approche européenne de la vérification d'âge.
• Règlement eIDAS 2 (UE) 2024/1183, échéance de fin décembre 2026 pour les États membres.
• Déclaration du Jutland, 10 octobre 2025, présidence danoise du Conseil de l'Union européenne.
• Résolution du Parlement européen sur la protection des mineurs en ligne, novembre 2025.
• Application européenne de vérification d'âge et vulnérabilités démontrées les 15 et 16 avril 2026 : Politico, Cybernews, TechPolicy.Press.
• Chat Control, votes des 26 mars, 7 juillet et 9 juillet 2026 : Euronews, 10 juillet 2026, et communiqués du Parlement européen.
• Bilan australien : British Medical Journal, juin 2026 ; eSafety Commissioner ; Al Jazeera, 27 juin 2026.
• Incident Discord : communiqués officiels de Discord des 3 et 8 octobre 2025.
• Katiba des Narvalos : couverture presse France Info, Le Parisien, StreetPress, L'Obs.
• Déclaration sur les VPN : Anne Le Hénanff, Franceinfo, 30 janvier 2026.