La notification est tombée sur une seule société
Le 16 juillet 2026, l'Ofcom, le régulateur britannique des communications, a ouvert une enquête formelle sur les mesures de vérification d'âge utilisées par TikTok Information Technologies UK Ltd. L'obligation en cause est la section 12 de l'Online Safety Act 2023, et ces obligations sont en vigueur depuis le 25 juillet 2025. Une entité nommée, une disposition légale nommée, un régulateur qui a décidé que la phase informelle était terminée.
La sanction maximale prévue par la loi est de GBP 18 millions ou 10% du chiffre d'affaires mondial pertinent, le montant le plus élevé étant retenu. Pour une société de la taille de TikTok, c'est la seconde branche qui compte, et la première - environ EUR 21 millions au cours actuel - est un plancher plutôt qu'un plafond. L'Ofcom a indiqué que la collecte des preuves prendrait au moins trois mois et qu'une mise à jour serait publiée en octobre 2026.
Lu comme une information, c'est une plateforme sous surveillance. Lu comme un signal, c'est nettement plus large, à cause de ce que l'Ofcom a choisi de contester.
C'est la méthode qui est jugée
Ce que l'Ofcom reproche n'est pas que TikTok n'ait rien fait. C'est que TikTok s'appuie sur l'inférence d'âge - estimer l'âge d'un utilisateur à partir de signaux comportementaux et de profil qu'il émet déjà - plutôt que sur la vérification d'âge. L'inférence d'âge ne figure pas explicitement dans les lignes directrices de l'Ofcom parmi les méthodes susceptibles d'être hautement efficaces.
Cette distinction constitue tout le dossier, et elle ne s'arrête pas à une société. Un régulateur qui ouvre une enquête en partant du principe qu'une technique sort de sa propre liste de méthodes acceptables a mis en garde la technique elle-même, et pas seulement son utilisateur le plus visible. Tout opérateur d'un service tourné vers le Royaume-Uni ayant retenu l'inférence porte la même exposition, sans les gros titres.
Le point gênant pour un conseil est que l'inférence ne ressemble pas à une lacune. Elle ressemble à un contrôle. Elle produit un âge, elle journalise une décision, elle peut être présentée dans un document de conformité comme une vérification d'âge. La position du régulateur est que la décrire ainsi ne la rend pas telle.
L'inférence a été choisie parce qu'elle ne demande rien
L'inférence s'est imposée pour une raison commerciale, non technique. Elle n'exige aucun téléversement de document, ne crée aucun abandon à l'inscription et n'ouvre aucune conversation sur le consentement biométrique à expliquer aux utilisateurs ou à un délégué à la protection des données. C'est la vérification d'âge qui ne coûte rien en haut de l'entonnoir.
C'est précisément le problème. La propriété qui a rendu l'inférence attrayante est celle qui la rend insuffisante : elle fonctionne parce qu'elle ne demande rien. Une méthode conçue pour éviter la friction est, par construction, une méthode conçue pour éviter le moment où un utilisateur affirme quelque chose de vérifiable. Les lignes directrices de l'Ofcom reconnaissent les méthodes qui créent ce moment. L'inférence est faite pour le sauter.
Le raisonnement commercial et le raisonnement de conformité pointent donc dans des directions opposées, et tout opérateur ayant fait cet arbitrage en 2025 l'a fait avant que le régulateur n'abatte ses cartes. Ce n'est pas une erreur de jugement. C'est une position qui doit désormais être réexaminée par écrit.
Le piège du contournement
La seconde moitié de l'exposition est arrivée le même jour, du même régulateur. L'Ofcom a publié le 16 juillet 2026 une recherche établissant que l'usage quotidien de VPN au Royaume-Uni a environ doublé depuis l'entrée en vigueur des obligations de vérification d'âge : environ 2,2 millions d'utilisateurs quotidiens, contre environ 1,2 million avant le 25 juillet 2025. Les utilisateurs contournent les contrôles à un rythme environ deux fois supérieur à celui d'avant.
La secrétaire d'État britannique à la Technologie, Liz Kendall, a déclaré que les VPN ne seraient ni soumis à une barrière d'âge ni interdits, et que la charge d'empêcher le contournement pèse sur les plateformes. C'est un choix politique cohérent. Pour un opérateur, il est aussi difficile à absorber : l'outil employé pour déjouer votre barrière d'âge reste hors champ, et vous répondez tout de même du résultat.
En rapprochant les deux moitiés, la position de conformité est plus tranchée qu'il n'y paraît. Une plateforme peut avoir à répondre d'un taux de contournement qu'elle ne maîtrise pas, au moyen d'une méthode de vérification sur laquelle elle n'est peut-être pas autorisée à s'appuyer. Ce n'est pas ce que suggère la phrase "nous avons ajouté une vérification d'âge" lorsqu'elle apparaît dans un dossier de conseil.
Ce qui entre dans le champ, et ce qui n'y entre pas
Il s'agit de droit britannique. C'est l'UK Online Safety Act 2023, appliqué par un régulateur britannique, et il ne s'applique pas dans l'Union européenne. Les travaux propres de l'UE sur la protection des mineurs et la vérification d'âge avancent sur une voie séparée, et rien dans l'enquête TikTok ne change la situation juridique d'un opérateur présent uniquement dans l'UE.
Le champ qui mord est territorial et non sociétaire. Un opérateur établi n'importe où dans l'UE qui sert des utilisateurs britanniques relève du régime britannique quel que soit son lieu d'immatriculation. Et la catégorie dépasse les plateformes sociales : alcool, jeux d'argent, cosmétiques, couteaux, finance, rencontres et jeux vidéo portent tous des contenus, produits ou fonctions soumis à un âge minimum sur le marché britannique. Notre lecture, proposée comme lecture et non comme droit, est que la direction empruntée est partagée des deux côtés de la Manche, et que la vérification fondée sur l'inférence est la méthode la plus susceptible d'être testée en premier.
L'action est étroite et précise. Déterminez sur quelle méthode de vérification d'âge votre service repose réellement aujourd'hui, et si elle fait partie de celles que les lignes directrices de l'Ofcom reconnaissent comme susceptibles d'être hautement efficaces. "Nous avons une barrière d'âge" ne répond pas à cette question. Posez-la à votre équipe produit avant la mise à jour de l'Ofcom d'octobre 2026, car après cette date la réponse cesse d'être un sujet de planification.
À lire ensuite: L'UE réécrit le RGPD | L'Allemagne dispose désormais d'une autorité de régulation de l'IA désignée
