L’Architecture de la Loi sur la Sécurité en Ligne
La loi britannique sur la Sécurité en Ligne de 2023 est un cadre réglementaire stratifié avec une architecture de conformité hiérarchisée. Comprendre cette architecture est essentiel avant que le registre de catégorisation de juillet 2026 redéfinisse les obligations des plateformes opérant au Royaume-Uni — ou attirant des utilisateurs britanniques.
La loi distingue entre les « services d’utilisateur-à-utilisateur » (plateformes permettant du contenu généré par les utilisateurs ou des interactions : médias sociaux, forums, applications de rencontres, services de partage de fichiers, plateformes de messagerie) et les « services de recherche » (moteurs de recherche). Tous les services réglementés — définis par leur lien avec le Royaume-Uni, c’est-à-dire avoir des utilisateurs britanniques — doivent se conformer aux obligations de base sur les contenus illicites et, pour les services susceptibles d’être consultés par des enfants, aux exigences de sécurité pour les enfants.
Le registre de catégorisation introduit une seconde couche de conformité au-dessus de cette base. Les services qui répondent aux conditions de seuil spécifiques — déterminées par le nombre d’utilisateurs, les fonctionnalités et les niveaux de risque — sont placés dans l’une des trois catégories. La Catégorie 1 porte les obligations les plus lourdes. Les Catégories 2A (grands services de recherche) et 2B (grands services de médias sociaux sans les risques les plus intensifs vis-à-vis des contenus destinés aux enfants) portent un sous-ensemble défini. Ofcom fixe les conditions de seuil ; les services les réunissant ne peuvent pas refuser la catégorisation.
Le registre a été retardé par rapport à sa publication originellement prévue en 2025. Le retard est dû à un recours juridique de la Wikimedia Foundation contestant les réglementations de catégorisation ; Ofcom a conduit un processus de représentations début 2026 permettant aux services réunissant les conditions de seuil de commenter les décisions provisoires de catégorisation avant la finalisation du registre. La publication est confirmée pour juillet 2026.
Ce que Signifie la Catégorie 1 — et le Coût de l’Absence
La Catégorie 1 est la classification la plus conséquente. Les services classés en Catégorie 1 font face à des obligations obligatoires dans sept domaines qui ne s’appliquent pas aux services non catégorisés :
Rapports de transparence : Les services de Catégorie 1 doivent publier des rapports de transparence détaillés, spécifiés par Ofcom, couvrant le volume de modération de contenu, les mesures d’application, les résultats des appels et les descriptions de systèmes algorithmiques. Ce n’est pas une divulgation volontaire — le format, le calendrier et la portée sont spécifiés par Ofcom.
Fonctionnalités d’autonomisation des utilisateurs : Les services de Catégorie 1 doivent fournir aux utilisateurs des outils pour contrôler leur propre expérience de contenu — y compris la capacité à filtrer ou limiter le contenu de comptes non vérifiés et à réduire l’exposition à certains types de contenus. Cette obligation est spécifique : les outils doivent être disponibles, facilement accessibles et fonctionnels.
Vérification d’identification des utilisateurs : Peut-être l’obligation structurelle la plus significative pour les plateformes dont les modèles économiques dépendent d’une interaction anonyme ou sous pseudonyme. Les services de Catégorie 1 doivent offrir — sans nécessairement l’imposer — une option de vérification d’identité pour les utilisateurs. Les utilisateurs peuvent choisir de se vérifier ; la plateforme doit rendre l’option disponible et afficher le statut vérifié aux autres utilisateurs qui l’acceptent.
Protections pour les journalistes et la démocratie : Les services de Catégorie 1 doivent avoir des protections spécifiques pour le contenu journalistique et le discours politique démocratique, y compris des mécanismes d’appel empêchant la suppression algorithmique du contenu d’éditeurs d’information réglementés et de journalistes individuels.
Divulgation pour les utilisateurs mineurs décédés : Tous les services catégorisés (Catégorie 1 et 2A/2B) doivent divulguer, sur demande des parents ou tuteurs, des informations sur l’utilisation de la plateforme par un mineur décédé — disposition née des preuves sur les résultats de santé mentale et de bien-être des adolescents liés à l’utilisation des plateformes.
Prévention des publicités frauduleuses : Les services de Catégorie 1 qui diffusent de la publicité payante doivent mettre en œuvre des mesures pour prévenir les publicités frauduleuses, notamment les contenus d’escroquerie et de phishing.
Évaluations des risques améliorées : Les services catégorisés font face à des obligations d’évaluation des risques plus fréquentes et détaillées par rapport aux services de base, avec des exigences de format spécifiées par Ofcom.
La structure des pénalités pour la non-conformité en Catégorie 1 : amendes pouvant aller jusqu’à 10 % du chiffre d’affaires annuel mondial qualifiant pour une première infraction ; jusqu’à 10 % pour les violations répétées avec possibilité d’escalade supplémentaire ; dans les cas les plus graves, Ofcom peut demander aux tribunaux de bloquer les services au Royaume-Uni. Pour une plateforme avec un milliard de livres sterling de revenus mondiaux, une exposition de 10 % représente 100 millions de livres sterling.
Le Bilan de l’Application avant le Registre
Une lecture courante mais erronée de la chronologie de la loi sur la Sécurité en Ligne est que l’application commence quand le registre de catégorisation est publié. Ce n’est pas le cas. Les obligations de base sur les contenus illicites s’appliquent depuis 2025, et Ofcom applique activement depuis ce moment.
Début 2026 : Ofcom a lancé plus de 90 enquêtes sur des plateformes pour conformité à la loi sur la Sécurité en Ligne. Les actions d’application actives couvrent une gamme de services, des grandes plateformes de médias sociaux aux sites de contenu spécialisés. Ofcom a infligé des amendes totalisant plus d’un million de livres sterling — dont un million contre un opérateur de site pour adultes pour vérification inadéquate de l’âge et 50 000 livres sterling contre le même opérateur pour n’avoir pas répondu aux demandes d’information. Une enquête sur X (anciennement Twitter) est active, concernant les deepfakes sexuels générés par IA impliquant des enfants.
Les domaines d’application prioritaires d’Ofcom pour 2026 sont documentés dans ses bulletins industriels : protection des enfants contre les abus sexuels et la manipulation en ligne ; vérification efficace de l’âge pour les contenus pour adultes ; suppression du matériel terroriste et des discours de haine illégaux ; et mesures de sécurité ciblant spécifiquement les préjudices en ligne envers les femmes et les filles. Facebook, Instagram, TikTok, YouTube et Snapchat ont été nommés explicitement dans les revues publiées d’Ofcom comme plateformes devant renforcer leurs mesures de protection des enfants.
Publicité
Un Cadre de Conformité en Quatre Piliers pour les Opérateurs de Plateformes
Les plateformes qui peuvent être catégorisées — ou qui doivent se conformer aux obligations de base déjà en vigueur — devraient structurer leur conformité autour de quatre piliers.
1. Réalisez une Évaluation de la Portée et une Auto-analyse de Catégorisation
Avant qu’Ofcom envoie des avis de catégorisation provisoire, les plateformes devraient conduire une évaluation interne pour savoir si elles répondent aux conditions de seuil de la Catégorie 1, 2A ou 2B. Les seuils combinent des critères de nombre d’utilisateurs et des critères de fonctionnalité. Les réglementations de seuil publiées d’Ofcom — disponibles via le portail de législation sur la Online Safety Act à legislation.gov.uk — spécifient les conditions exactes.
L’évaluation de la portée détermine également si la plateforme est réglementée du tout. Les services sans lien avec le Royaume-Uni, les services fournissant uniquement des communications d’entreprise à entreprise et les services réglementés sous d’autres législations britanniques spécialisées sont exclus. Se tromper sur cette question de frontière — soit en sur-conformant coûteusement, soit en sous-conformant risqué — est la première erreur évitable.
2. Mappez les Pratiques Actuelles par Rapport aux Obligations Spécifiques à Chaque Catégorie
Une fois la portée et le niveau probable de catégorisation déterminés, mappez les pratiques existantes de la plateforme par rapport à chaque obligation obligatoire. Pour les candidats à la Catégorie 1, cela signifie : existe-t-il une option de vérification d’identification des utilisateurs ? L’infrastructure de rapports de transparence produit-elle les données à la granularité requise par Ofcom ? Les outils d’autonomisation des utilisateurs sont-ils accessibles à toute la population d’utilisateurs britanniques ?
Là où des lacunes existent, priorisez en fonction du risque d’application. La vérification de l’âge et les mesures de protection des enfants sont la priorité d’application documentée d’Ofcom — les plateformes où des enfants peuvent raisonnablement accéder à des contenus nuisibles font face au risque d’enquête à court terme le plus élevé quelle que soit la catégorie. La vérification de l’âge pour les plateformes de contenus pour adultes a déjà généré un million de livres sterling d’amendes.
3. Construisez l’Infrastructure de Documentation qu’Ofcom Exige
La conformité à la loi sur la Sécurité en Ligne n’est pas seulement opérationnelle — elle est documentaire. Ofcom peut demander aux plateformes de produire des évaluations des risques, des registres de modération de contenu, des descriptions de systèmes algorithmiques et des données de rapports de transparence. Les plateformes qui ne peuvent pas produire cette documentation sur demande — soit parce qu’elle n’a jamais été créée, soit parce qu’elle a été supprimée — font face à un désavantage probatoire dans les enquêtes et à une aggravation potentielle des pénalités.
La norme de documentation est : un responsable senior désigné (SRO) — un individu nommé au niveau directorial — doit signer les évaluations des risques. Cela crée une responsabilité personnelle au niveau du conseil d’administration pour le statut de conformité à la loi sur la Sécurité en Ligne. Les plateformes devraient identifier leur SRO, s’assurer que ce responsable a une visibilité sur les lacunes de conformité et établir un rythme de reporting qui maintient le statut de conformité à jour.
4. Préparez la Réponse au Processus de Représentations
Pour les plateformes recevant des avis de catégorisation provisoire d’Ofcom début 2026, le processus de représentations est la dernière occasion de contester ou clarifier la catégorisation avant la publication du registre. Les représentations qui démontrent avec succès qu’une plateforme ne réunit pas les conditions de seuil, ou que des caractéristiques de fonctionnalité spécifiques la placent dans une catégorie inférieure, peuvent réduire significativement la charge de conformité.
Les représentations doivent être factuelles, spécifiques et documentées. Les arguments génériques selon lesquels la catégorisation est lourde ou injuste ne correspondent pas au standard ; le standard est de savoir si la plateforme remplit les conditions de seuil légales telles qu’Ofcom les a interprétées. Les plateformes devraient obtenir des conseils juridiques réglementaires britanniques spécialisés avant de soumettre des représentations si la différence entre les obligations de conformité des Catégories 1 et 2B est significative pour leur modèle économique.
Ce que la Comparaison DSA Révèle
Les commentaires britanniques sur les médias et la politique tech positionnent fréquemment la loi sur la Sécurité en Ligne comme le pendant britannique du Règlement sur les Services Numériques de l’UE. La comparaison est partiellement exacte mais occulte des différences importantes qui affectent la planification de la conformité multinationale.
L’équivalent de catégorisation du DSA — la désignation de Très Grande Plateforme en Ligne (VLOP) — s’applique aux plateformes de plus de 45 millions d’utilisateurs actifs dans l’UE, déclenchant un ensemble spécifique d’obligations améliorées incluant des audits algorithmiques de risque obligatoires et l’accès aux données des chercheurs. Les VLOPs sont désignés par la Commission européenne et soumis à l’application directe de la Commission.
La catégorisation de la loi britannique sur la Sécurité en Ligne s’applique aux plateformes répondant aux conditions de seuil d’Ofcom pour les bases d’utilisateurs britanniques et les profils de risque liés au Royaume-Uni. Une plateforme qui est VLOP sous le DSA est susceptible d’être en Catégorie 1 sous la OSA — mais les obligations ne sont pas identiques, et l’autorité d’application est différente (Ofcom au Royaume-Uni, la Commission ou les Coordinateurs nationaux des Services Numériques dans l’UE).
Pour les plateformes mondiales gérant à la fois la conformité DSA et OSA, l’implication pratique est qu’aucun cadre ne satisfait l’autre. Un audit algorithmique de risque selon le DSA ne remplace pas un rapport de transparence Ofcom. Une implémentation de fonctionnalités d’autonomisation des utilisateurs selon le DSA ne satisfait pas automatiquement les exigences de vérification d’identification des utilisateurs selon la OSA. Les deux cadres doivent être gérés en parallèle, pas séquentiellement.
Où les Plateformes Doivent Se Concentrer avant Juillet 2026
La période entre maintenant et la publication du registre de juillet 2026 est la dernière fenêtre dans laquelle les plateformes peuvent conduire une analyse des lacunes et construire une infrastructure de conformité sans opérer sous des obligations spécifiques à la catégorisation. Après la publication du registre, les obligations s’activent immédiatement pour les services catégorisés — il n’y a pas de période de grâce équivalente à la chronologie de transition VLOP du DSA.
La vérification de l’âge est le domaine prioritaire le plus urgent : c’est à la fois une obligation de base et une obligation améliorée spécifique à la catégorisation, et c’est la priorité d’application démontrée d’Ofcom. Les plateformes dont les utilisateurs britanniques comprennent des mineurs susceptibles d’accéder à des contenus nuisibles ont besoin de systèmes d’assurance de l’âge fonctionnels — pas simplement d’une restriction d’âge par saisie de date de naissance, qu’Ofcom a indiqué ne pas répondre à la norme « hautement efficace » — avant juillet 2026.
L’infrastructure de rapports de transparence est la deuxième priorité : construire les systèmes de collecte de données et de reporting qu’Ofcom exige prend du temps. Les plateformes devraient commencer à configurer l’infrastructure de reporting par rapport aux orientations de rapport de transparence publiées d’Ofcom, même si leur niveau de catégorisation n’est pas encore confirmé.
Questions Fréquemment Posées
La loi britannique sur la Sécurité en Ligne s’applique-t-elle aux entreprises non britanniques ?
Oui. La loi s’applique à tout service ayant un « lien avec le Royaume-Uni » — défini largement comme les services ayant un nombre significatif d’utilisateurs britanniques, les services conçus pour ou susceptibles d’être consultés par des utilisateurs britanniques, ou les services qui génèrent des revenus d’utilisateurs britanniques. La localisation géographique du siège de l’entreprise est sans pertinence. Une plateforme américaine, algérienne ou de toute autre origine non britannique avec un engagement significatif d’utilisateurs britanniques entre dans le champ d’application. La non-conformité est néanmoins applicable : Ofcom peut demander aux tribunaux britanniques des ordonnances de restriction d’accès (blocage) contre des services non britanniques non conformes.
Comment Ofcom détermine-t-il quelles plateformes sont placées en Catégorie 1 versus Catégorie 2B ?
Ofcom fixe les conditions de seuil via une législation secondaire — des réglementations spécifiant des critères quantitatifs et qualitatifs pour chaque catégorie. Les conditions combinent un seuil de nombre d’utilisateurs (les chiffres spécifiques sont fixés dans les réglementations, liés aux volumes d’utilisateurs britanniques) avec des critères de fonctionnalité (si le service permet une interaction anonyme ou sous pseudonyme, le type de contenu hébergé, le profil de risque des utilisateurs probables). Les plateformes qui estiment être près d’une limite de seuil peuvent faire des représentations à Ofcom pendant le processus de représentations début 2026, qui se clôt avant la publication du registre de juillet 2026.
Que signifie la « vérification de l’âge hautement efficace » sous la loi sur la Sécurité en Ligne ?
Ofcom a publié des orientations spécifiant que les méthodes de vérification de l’âge « hautement efficaces » incluent : la correspondance de pièce d’identité photo (comparaison d’un document d’identité soumis avec un selfie en direct), l’estimation de l’âge par reconnaissance faciale avec des algorithmes certifiés, l’Open Banking (utilisation des données d’âge des institutions financières), les services d’identité numérique de fournisseurs certifiés et les vérifications de l’âge par les opérateurs de réseau mobile. Les méthodes considérées comme NON hautement efficaces comprennent : la déclaration de la date de naissance, les confirmations par case à cocher et les vérifications légères qui permettent aux utilisateurs de simplement déclarer être adultes. Les plateformes utilisant des portails d’âge basés sur la déclaration ne sont pas conformes aux exigences de sécurité des enfants de la loi sur la Sécurité en Ligne.
—
Sources et lectures complémentaires
- Online Safety Act : Registre de Catégorisation Reporté à Juillet 2026 — techUK
- Ofcom et la Online Safety Act en 2026 — Burges Salmon
- Online Safety Act : Jalons Clés 2025 et Prochaines Étapes — CMS Law
- Sécurité en Ligne en 2026 : Renforcement et Application dans l’UE et le Royaume-Uni — Taylor Wessing
- Lois sur la Vérification de l’Âge 2026 : Royaume-Uni, UE, États-Unis, Australie — AgeOnce
- Online Safety Act : Explicatif — Gouvernement britannique (gov.uk)
