← Lois & réglementation

Online Safety Act

Le Royaume-Uni a pris une autre voie que l’UE. Au lieu d’écrire des règles pour les plus grandes plateformes, il a fixé des obligations à presque tous les services où les gens peuvent publier des contenus les uns pour les autres — et il les a confiées à un seul régulateur, doté du pouvoir d’infliger des amendes.

Comment lire cette page. Touchez un mot souligné pour voir le terme juridique précis et une courte définition. Dépliez un encadré « Pour aller plus loin » pour le détail et les points contestés. Le texte principal se suffit à lui-même : vous pouvez sauter les deux et suivre quand même tout le raisonnement.

Ce qu’est la loi

L’Online Safety Act 2023 a reçu la sanction royale le 26 octobre 2023. Son titre long est modeste : une loi « visant à prévoir la régulation par l’OFCOM de certains services internet, ainsi que les dispositions qui s’y rattachent ». Ce que la loi change, c’est la question posée. Avant elle, au Royaume-Uni, un service s’exposait juridiquement surtout pour des contenus précis, une fois qu’on les lui avait signalés. La loi impose plutôt un duty of care au service lui-même — à ses systèmes, à ses processus et à sa conception. L’Ofcom, le régulateur des communications, rédige les codes de bonnes pratiques et les fait appliquer.

Sa portée dépasse ce qu’on attendrait d’une loi britannique. Selon l’article 4, un service est régulé s’il « a des liens avec le Royaume-Uni » : un nombre important d’utilisateurs au Royaume-Uni, des utilisateurs britanniques parmi ses marchés cibles, ou simplement le fait d’être utilisable au Royaume-Uni lorsqu’il existe des motifs raisonnables de croire qu’il présente un risque réel de préjudice important. Le pays où l’entreprise est immatriculée n’entre pas en ligne de compte.

Ce qu’elle exige

Trois niveaux, entrés en vigueur l’un après l’autre.

Contenus illicites. Chaque service régulé d’utilisateur à utilisateur et chaque service de recherche régulé doit évaluer le risque que ses utilisateurs tombent sur des contenus illicites — une liste qui va du terrorisme et des contenus d’abus sexuels sur mineurs à la fraude et aux contenus qui encouragent ou facilitent le suicide — et recourir à des systèmes proportionnés pour les prévenir, pour limiter la durée pendant laquelle ils restent en ligne, et pour les retirer dès que le service en a connaissance. L’Ofcom a publié ces codes le 16 décembre 2024 ; les évaluations des risques étaient dues pour le 16 mars 2025 et les obligations ont pris effet le 17 mars 2025.

Sécurité des enfants. Un service susceptible d’être utilisé par des enfants doit réaliser une évaluation distincte des risques pour les enfants et prendre des mesures proportionnées contre les « contenus de priorité première » (primary priority content) — la pornographie, et les contenus qui encouragent le suicide, l’automutilation ou les troubles alimentaires. L’Ofcom a publié les codes relatifs aux enfants le 24 avril 2025, avec plus de 40 mesures ; les évaluations étaient dues pour le 24 juillet 2025 et les obligations ont pris effet le 25 juillet 2025.

Contrôles d’âge. L’article 12(4) impose au fournisseur de recourir à la vérification de l’âge (age verification) ou à l’estimation de l’âge pour tenir les enfants de tout âge à l’écart des contenus de priorité première, et l’article 12(6) précise que la méthode doit être « très efficace pour déterminer correctement si un utilisateur donné est ou non un enfant ». C’est de cette formule de la loi qu’est né l’été 2025 : c’est la raison pour laquelle les utilisateurs britanniques des sites pornographiques, et des plateformes ordinaires qui diffusent les mêmes contenus, se sont retrouvés face à un contrôle d’âge.

Le plafond des sanctions est fixé par l’annexe 13 : le montant le plus élevé entre 18 millions de livres et 10 % du chiffre d’affaires mondial pris en compte du fournisseur. L’Ofcom indique aussi que « dans les cas très graves, nous pouvons demander à un tribunal d’ordonner le blocage d’un site au Royaume-Uni ».

Ce qui s’est passé depuis le début de l’application

La première enquête ouverte par l’Ofcom au titre de la loi, en 2025, visait un forum en ligne consacré au suicide. Le 13 mai 2026, l’Ofcom a infligé au fournisseur une amende de 950 000 £, après avoir constaté qu’il n’avait pas réalisé « une évaluation appropriée et suffisante des risques liés aux contenus illicites », qu’il n’avait pas pris de mesures proportionnées contre les contenus illicites prioritaires, et qu’il ne retirait pas rapidement ces contenus. L’Ofcom a décidé de ne nommer ni le forum ni son fournisseur, et lui a laissé dix jours ouvrés pour se mettre en conformité.

La première amende au titre de la loi est venue plus tôt, et elle était plus faible. Le 13 octobre 2025, l’Ofcom a infligé à 4chan une amende de 20 000 £, plus 100 £ par jour, pour ne pas avoir répondu à des demandes d’information prévues par la loi ; la même mise à jour faisait état de cinq programmes de contrôle et de 21 enquêtes visant les fournisseurs de 69 sites et applications. Le 19 mars 2026, l’Ofcom a infligé à 4chan trois nouvelles sanctions d’un total de 520 000 £ — 450 000 £ pour l’absence de contrôle d’âge, 50 000 £ pour l’absence d’évaluation des risques liés aux contenus illicites et 20 000 £ pour ses conditions d’utilisation —, assorties de pénalités journalières liées à une échéance fixée au 2 avril.

La plupart des sanctions prononcées jusqu’ici concernent les contrôles d’âge sur des sites pornographiques. Le 20 novembre 2025, l’Ofcom a infligé à Itai Tech Ltd une amende de 50 000 £, plus 5 000 £ pour une demande d’information restée sans réponse, au sujet du site de « nudification » Undress.cc — un service qui génère de fausses images de nu de personnes réelles. Le bulletin sectoriel de juin 2026 de l’Ofcom fait état d’autres sanctions dans le même volet, parmi lesquelles 600 000 £ contre Youngtek Solutions Ltd et 80 000 £ contre First Time Videos LLC.

Les contrôles d’âge, et ce qui a suivi

À partir du 25 juillet 2025, les contrôles devaient être en place. Ce qui a suivi se mesure ; ce que cela signifie n’est pas établi. La directrice générale de l’Ofcom, Dame Melanie Dawes, a indiqué à deux commissions parlementaires le 8 octobre 2025 qu’après l’échéance « le nombre d’utilisateurs actifs quotidiens d’applications VPN au Royaume-Uni [a] temporairement doublé, pour atteindre environ 1,5 million », et que leur usage « est désormais retombé à environ 1 million à la fin septembre » — une évolution qui, selon elle, avait aussi suivi l’introduction de contrôles d’âge dans d’autres pays et dans des États américains. Un VPN masque l’endroit où se trouve un utilisateur, c’est donc un moyen de contourner un contrôle ; c’est aussi un outil ordinaire de protection de la vie privée, et les chiffres ne disent pas quel usage a provoqué le pic. La question que l’Ofcom dit surveiller, « même si c’est difficile à mesurer », est de savoir si l’usage des VPN augmente chez les enfants ; des données d’Internet Matters recueillies avant juillet suggéraient qu’« environ un jeune de moins de 18 ans sur dix utilisait un VPN », davantage parmi les adolescents les plus âgés.

L’opposition n’a pas été seulement technique. Une pétition déposée sur le site du Parlement britannique pour demander l’abrogation de la loi a recueilli 550 136 signatures ; le gouvernement y a répondu le 28 juillet 2025 et les députés en ont débattu le 15 décembre 2025.

Ce que la loi fait, et ne fait pas, face à la conception guidée par l’engagement

La loi atteint bien le fil d’actualité, à deux endroits. Une évaluation des risques pour les enfants doit prendre en compte « les algorithmes utilisés par le service, et la facilité, la rapidité et l’ampleur avec lesquelles un contenu peut être diffusé », ainsi que la manière dont la conception du service, en particulier ses fonctionnalités, influe sur le niveau de risque. Et les obligations de sécurité s’appliquent « à tous les aspects d’un service, y compris la manière dont il est conçu, exploité et utilisé », en citant « la conception des fonctionnalités, des algorithmes et des autres caractéristiques » parmi les domaines où un fournisseur doit agir si c’est proportionné. L’Ofcom en a tiré une mesure concrète : tout fournisseur qui exploite un système de recommandation (recommender system) que son évaluation des risques classe à risque moyen ou élevé « doit configurer ses algorithmes pour filtrer les contenus préjudiciables dans les fils des enfants ».

Ce que la loi ne fait pas, c’est demander ce que le fil cherche à optimiser. Rien dans la loi n’oblige un service à cesser de classer les contenus selon l’engagement, à révéler ce que maximise son système de recommandation, ni à proposer à un adulte un fil qui ne soit pas personnalisé. Les obligations portent sur des catégories de contenus — illicites, ou préjudiciables aux enfants. Un fil peut être aussi captivant que ses concepteurs savent le rendre, du moment que ce qui y circule échappe aux deux listes. Sur ce point, l’UE est allée un pas plus loin : l’article 38 du règlement sur les services numériques (Digital Services Act) impose aux plus grandes plateformes de proposer, pour chaque système de recommandation, au moins une option « qui ne repose pas sur du profilage ».

Trois paris différents

Mis côte à côte, les trois régimes que décrit ce site ne parient pas sur la même chose. Le Digital Services Act parie sur la taille : les obligations les plus lourdes pèsent sur quelques dizaines de très grandes plateformes, sous la supervision de la Commission européenne, et l’obligation centrale consiste à évaluer et à atténuer le risque systémique (systemic risk) qui naît de la conception de leurs propres systèmes. L’Online Safety Act parie sur l’étendue : des obligations comparables s’appliquent à un très grand nombre de services de toutes tailles, sous la supervision de l’Ofcom, et l’obligation centrale porte sur des catégories de contenus définies. La loi australienne sur l’âge minimum parie sur l’accès : aucun compte pour les moins de 16 ans, et peu de choses sur la conception ou le modèle économique. Aucun des trois n’est en vigueur depuis assez longtemps pour être évalué par rapport aux autres.

Les critiques

Du côté des organisations de défense des droits numériques, l’objection est que la loi achète une protection facile à contourner au prix de la vie privée de tous, et que des obligations formulées autour des contenus « préjudiciables » poussent les services à retirer des propos licites. L’Electronic Frontier Foundation, l’Open Rights Group, Big Brother Watch et Index on Censorship ont défendu cette position auprès des responsables politiques britanniques en décembre 2025, en demandant que la loi soit réformée ou abrogée.

Une deuxième contestation est venue d’une direction inattendue. La Wikimedia Foundation et un contributeur de Wikipédia ont attaqué le règlement d’application qui détermine quels services relèvent de la « catégorie 1 », le niveau qui porte les obligations les plus lourdes, en faisant valoir que Wikipédia risquait d’y être rangée aux côtés des plateformes sociales commerciales et que des exigences d’identification exposeraient ses bénévoles. Le 11 août 2025, la High Court a rejeté les quatre moyens ; le juge Johnson a estimé que la question dépendait de ce que l’Ofcom déciderait réellement, et a relevé que les requérants pourraient engager une nouvelle procédure si l’Ofcom classait effectivement Wikipédia de cette manière. La Fondation indique que l’Ofcom lui a notifié le 10 juillet 2026 que Wikipédia n’est pas, à ce stade, un service de catégorie 1, mais qu’elle reste sur une « liste de surveillance » (watch list) des plateformes qui pourraient le devenir plus tard.

Aux États-Unis, l’objection porte sur la portée de la loi. Le rapport intermédiaire des services de la commission judiciaire de la Chambre des représentants, daté du 3 février 2026, qualifie la loi de « peut-être la tentative étrangère la plus notable d’imiter le Digital Services Act » et traite l’une et l’autre comme une menace étrangère pour la liberté d’expression américaine. Comme l’article 4 rattache les obligations aux utilisateurs britanniques plutôt qu’au lieu où se trouve l’entreprise, un service américain qui a des utilisateurs britanniques entre dans le régime — c’est précisément le fait sur lequel porte le débat, et les deux camps l’interprètent différemment.

Comment nous le savons — ce qui est établi ici, et ce qui ne l’est pas +

Établi. Les obligations, les dates, les codes et le plafond des sanctions figurent dans la loi et dans les codes publiés par l’Ofcom, et chaque décision d’application citée plus haut est une décision publiée de l’Ofcom. Ce sont des documents, pas des estimations.

Pas établi. Si tout cela améliore la situation des enfants. Les codes relatifs aux enfants ne sont en vigueur que depuis juillet 2025, et il n’existe encore aucune évaluation indépendante publiée de leur effet. L’Ofcom lui-même décrit franchement le problème de mesure — savoir si l’usage des VPN par les enfants augmente est « difficile à mesurer » — et ses chiffres sur les VPN portent sur l’ensemble des utilisateurs britanniques : à eux seuls, ils ne disent donc rien du groupe que les obligations visent.

Réellement contesté des deux côtés. La question de savoir si des obligations formulées autour des « contenus préjudiciables » peuvent être appliquées sans toucher des propos licites est contestée dans les deux sens, et le jugement Wikimedia montre pourquoi : le tribunal a refusé de trancher la question dans l’abstrait, parce que la réponse dépend de la façon dont le régulateur applique les règles, au cas par cas. Le compromis propre au contrôle de l’âge — un contrôle assez solide pour fonctionner doit en général identifier tout le monde — est le même problème non résolu que celui exposé dans Limites d’âge, et l’exigence « très efficace » de la loi ne le résout pas : elle fixe un résultat, pas une méthode.

Digital Services Act →
Limites d’âge →
Liberté d’expression →