Les enfants utilisent déjà les chatbots IA, et les autorités européennes attendent désormais que ces produits les protègent dans la pratique, pas seulement dans la politique de confidentialité. Si votre entreprise exploite un chatbot, un assistant IA ou toute fonction d'IA accessible aux jeunes, cela vous concerne, même si les enfants ne sont pas votre cible.

Trois évolutions de 2026 donnent le ton. En juillet, l'autorité italienne de protection des données a sanctionné la société à l'origine de Character.AI pour des contrôles d'âge faibles et des profils de mineurs publics par défaut, entre autres manquements. En septembre, un tribunal allemand a statué contre la manière dont le chatbot IA de Snapchat utilisait les données de conversation pour la publicité. Et le 17 septembre, la Commission européenne a proposé l'EU KIDS Act, qui placerait pour la première fois les compagnons IA et les chatbots généralistes sous des règles de protection de l'enfance. Le fil conducteur : si des mineurs peuvent accéder à votre chatbot, la protection des données dès la conception doit fonctionner en pratique. Cet article est donné à titre d'information générale et ne constitue pas un avis juridique.

Ce que les autorités et les tribunaux ont fait

L'Italie a désormais sanctionné deux chatbots de compagnie, un tribunal allemand s'est prononcé et Bruxelles veut des règles dédiées.

Quatre leçons pour quiconque exploite un chatbot

1. Un champ de date de naissance n'est pas une vérification de l'âge

Character.AI soutenait que le RGPD n'impose aucune technologie particulière de vérification de l'âge. Le Garante l'a admis, mais a rappelé que les articles 24 et 25 exigent tout de même des mesures appropriées et efficaces au regard des risques, y compris la vulnérabilité des mineurs.

L'accès à Character.AI reposait sur la saisie par l'utilisateur de sa propre date de naissance. Un test technique du 8 avril 2025 a montré qu'un utilisateur déclarant avoir 15 ans pouvait quand même s'inscrire, et que les comptes des mineurs autodéclarés étaient publics par défaut. Le Garante a ordonné à l'entreprise de rendre ses contrôles d'âge efficaces, de rendre effective la période de blocage des mineurs refusés et de régler les profils des mineurs sur privé par défaut. L'entreprise dispose de 120 jours pour rendre compte.

Le Garante a ensuite jugé le nouveau système de l'entreprise adéquat. Il combine vérification de l'âge et expériences restreintes pour les mineurs, et a été introduit à partir de novembre 2025.

2. L'AIPD précède le lancement

La première analyse d'impact relative à la protection des données (AIPD) de Character.AI date du 14 novembre 2024. Le service a été lancé en septembre 2022. Le Garante a estimé qu'elle aurait dû être réalisée avant le lancement et a cité trois facteurs dont chacun suffisait à l'exiger : l'IA générative, le traitement à grande échelle et la participation de mineurs. Il a ajouté que des revues de risques internes informelles et non documentées ne peuvent remplacer une AIPD formelle au titre de l'article 35.

À retenir : si votre chatbot utilise l'IA générative et que des enfants peuvent raisonnablement l'utiliser, partez du principe qu'une AIPD est requise et terminez-la avant la mise en service. Voir notre guide de l'AIPD pour les chatbots IA.

3. Dites clairement ce qu'il advient des conversations et des données d'entraînement

Ces constats valent pour tout produit d'IA, pas seulement ceux destinés aux jeunes.

4. Les données de chat ne sont pas un carburant gratuit pour la publicité

L'affaire Snapchat va dans le même sens. Selon les comptes rendus du jugement, le tribunal de Cologne a estimé que les conditions de Snap pour son chatbot IA ne remplissaient pas les exigences de base d'un traitement licite. Les utilisateurs devaient consentir via des cases précochées, y compris pour la publicité ciblée, et Snap a dit utiliser toutes les données des conversations pour générer des publicités pertinentes. Le tribunal a déclaré que le traitement resterait illicite même avec une notice avant la première utilisation et que l'intérêt légitime ne pouvait le justifier. Des commentateurs rapportent aussi qu'il a considéré la présence de données sensibles comme une possibilité réelle, les utilisateurs pouvant écrire presque tout dans un chatbot, et qu'il a critiqué des publicités pour l'alcool et les jeux d'argent visant des mineurs.

Les cases précochées ne valent plus consentement en droit de l'UE depuis des années. La nouveauté, c'est de voir ce principe appliqué à un chatbot, où les utilisateurs peuvent partager bien plus que dans une barre de recherche.

Ce que le droit exige déjà, et ce qu'ajouterait le KIDS Act

Aucune de ces décisions ne repose sur un droit nouveau : le RGPD couvre les données des enfants depuis l'origine.

Les vérifications d'âge comportent leurs propres risques pour la vie privée. La déclaration 1/2025 du CEPD sur la vérification de l'âge (février 2025) énonce dix principes : la méthode doit être fondée sur les risques, proportionnée et la moins intrusive parmi celles qui restent efficaces, et éviter toute collecte, profilage et traçage inutiles. Le CEPD note que la vérification de l'âge présente souvent à elle seule un risque élevé, une AIPD devrait donc passer en premier.

Le KIDS Act proposé

Le KIDS Act est une proposition et peut donc évoluer avant de devenir loi. Selon la FAQ de la Commission, les compagnons IA et chatbots accessibles aux mineurs devraient :

L'analyse d'impact de la Commission indique que les obligations de test et de surveillance ne s'appliqueraient pas aux systèmes fournis par des micro et petites entreprises. Plus largement, la proposition prévoit que l'âge déclaré ne suffirait pas : l'âge serait vérifié par des outils certifiés, comme une application européenne de vérification de l'âge, qui indiquent au service seulement si l'utilisateur est au-dessus ou en dessous d'un âge donné. L'application pour les compagnons IA et chatbots s'appuierait sur les structures du règlement sur l'IA, avec des amendes pouvant atteindre 6 % du chiffre d'affaires annuel mondial.

Ce que cela signifie pour une petite entreprise

Les sanctions jusqu'ici ont visé des applications de compagnie, mais le raisonnement s'applique à toute entreprise qui met un chatbot devant le public. Un bot de support client, un assistant de réservation ou une fonction d'IA dans votre application peuvent tous être atteints par des adolescents.

Liste de contrôle pour les équipes qui exploitent des chatbots

L'essentiel

De nombreux chatbots ont été conçus en supposant que les utilisateurs sont des adultes capables de lire une politique de confidentialité et de se protéger eux-mêmes. Autorités et tribunaux testent cette hypothèse et la jugent insuffisante. Les étapes sont claires : évaluer les risques avant le lancement, vérifier l'âge d'une manière efficace sans collecter à l'excès, garder les données des mineurs privées par défaut, tenir les conversations à l'écart de la publicité et être honnête sur l'entraînement. Les équipes qui s'y mettent maintenant seront prêtes pour le KIDS Act et gagneront la confiance des parents qui décident quelles applications restent sur le téléphone de leurs enfants. Vous ne savez pas où en sont vos outils d'IA ? L'outil d'audit IA de GDPRGard est un bon point de départ. Pour l'obligation d'information, voir notre guide de l'article 50 du règlement sur l'IA.

Sources

Les positions ci-dessus sont résumées à partir des sources listées ; les comptes rendus des jugements et de la proposition de KIDS Act sont secondaires et doivent être vérifiés à partir du jugement et de la proposition eux-mêmes. L'analyse de leur articulation est la nôtre.

Partager cet article

À lire également :

⚠️ Cet article est fourni à titre purement informatif et ne constitue pas un conseil juridique. Pour les situations de conformité complexes, consultez un professionnel qualifié de la protection des données. Les exigences du RGPD et du règlement européen sur l'IA font l'objet de lignes directrices réglementaires en constante évolution — vérifiez vos obligations actuelles auprès de votre conseiller juridique.