Jeux vidéo et compagnons IA : quand le RGPD, le RIA et le DSA se cumulent pour protéger les mineurs

Le jeu vidéo n'est plus seulement un espace où l'on joue, c'est également un espace où l'on parle. En mars 2026, Square Enix et Google ont annoncé « Chatty Slimey », un compagnon animé par Gemini pour Dragon Quest X, qui répond par des voix générées, analyse ce qui s'affiche à l'écran et peut engager lui-même la conversation. Fortnite avait ouvert la voie en 2025 avec un Dark Vador vocal généré par IA, rapidement détourné par des joueurs pour lui faire tenir des propos injurieux 1 . Ces « compagnons IA » ne se contentent pas de répondre, ils reposent sur une forme d’empathie computationnelle, c’est-à-dire qu’ils détectent les émotions de l’utilisateur dans ses messages, sa voix ou son comportement, puis adaptent leurs réponses pour entretenir le lien 2 . Le jeu japonais n'est pas distribué en Europe, mais la tendance est mondiale et concerne dès à présent les éditeurs qui s'adressent au public français, souvent composé de mineurs.  

Un public jeune qui se confie 

Publiée le 5 mai 2026, l'enquête Ipsos BVA réalisée pour le Groupe VYV et la CNIL auprès de 3 800 jeunes de 11 à 25 ans dans quatre pays européens donne la mesure du phénomène 3 . En France, près de neuf jeunes sur dix utilisent une IA conversationnelle et 48 % y abordent des sujets personnels ou intimes. Surtout, 56 % pensent qu'elle peut garder leurs échanges secrets, quand 32 % seulement savent ce que deviennent leurs données. 

Trois textes, trois objets 

Le RGPD 4  encadre les données, le RIA 5  encadre le système, le DSA 6  encadre le service en ligne. Ces textes se cumulent : le RIA et le DSA s'appliquent sans préjudice du RGPD. Celui-ci joue dès lors que l'éditeur est établi dans l'Union européenne ou cible des joueurs qui s'y trouvent (article 3 du RGPD). Le RIA interdit les systèmes exploitant les vulnérabilités liées à l'âge (article 50 du RIA). Le DSA, enfin, ne saisit pas la conversation privée avec le compagnon, mais l'environnement du jeu lorsqu'il constitue une plateforme en ligne (chat entre joueurs, contenus partagés) : il y impose un niveau élevé de protection des mineurs et interdit la publicité fondée sur leur profilage (article 28 du DSA), les micro et petites entreprises étant toutefois exemptées (article 19 du DSA). 

Les limites du seuil de 15 ans 

L'article 8 du RGPD fixe à 16 ans l'âge à partir duquel un mineur peut consentir seul au traitement de ses données dans le cadre d'une offre directe de services en ligne, et permet aux États de l'abaisser jusqu'à 13 ans. La France a retenu l’âge de 15 ans (article 45 de la loi Informatique et Libertés de 1978. En deçà, l'accord du titulaire de l'autorité parentale est requis, et le responsable du traitement doit s'efforcer raisonnablement de le vérifier (article 8 du RGPD).  

Ce seuil ne règle pourtant pas tout, il ne vaut que pour les traitements fondés sur le consentement. Le fonctionnement du compagnon peut relever de l'exécution du contrat, mais cette base est fragile au regard de la capacité limitée du mineur à contracter, réservée aux actes courants. L'amélioration du modèle relèverait plutôt de l'intérêt légitime, dont la mise en balance doit intégrer la protection particulière due aux enfants (considérant 38 du RGPD).  

Enfin, c’est l’âge réel du public qui compte, plus que la cible affichée : pour la CNIL, un éditeur qui sait, ou qui devrait savoir, que son jeu est utilisé par des mineurs doit leur appliquer les protections renforcées, même si le jeu ne leur est pas destiné. Encore faut-il identifier ces joueurs : le contrôle de l’âge doit reposer sur des méthodes proportionnées, qui ne collectent pas plus de données qui nécessaire (principe de minimisation, article 5 du RGPD) 7 .  

La Commission européenne recommande de même, au titre du DSA, une assurance de l’âge proportionnée au risque 8 . 

Des données sensibles collectées sans être recherchées 

Une conversation libre échappe par nature à toute maîtrise de son contenu. Un joueur peut confier son anxiété, un problème de santé ou son orientation sexuelle. Or la Cour de justice de l’Union européenne juge que des données révélant, même indirectement, de telles informations relèvent des catégories particulières de l’article 9 du RGPD 9 . Les conséquences sont lourdes : leur traitement est interdit sauf exception (article 9.2 du RGPD), et la seule réellement mobilisable ici, le consentement explicite, est difficile à obtenir d'un mineur en pleine partie ; l’AIPD devient pratiquement incontournable (article 35.3.b du RGPD) ; enfin un traitement illicite de ces données expose aux amendes les plus élevées, jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (article 83.5 du RGPD). 

La voix ajoute un risque propre : elle permet d’inférer l’âge, l’état émotionnel ou l’état de santé du joueur et, si elle sert à l’identifier, constitue une donnée biométrique au sens de l’article 9 du RGPD. Le RIA s’en saisit également : il interdit la reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement (article 5.1.f du RIA), classe les autres systèmes de reconnaissance des émotions fondés sur des données biométriques parmi les systèmes à haut risque (article 6.2 et annexe III, point 1.c du RIA) et impose d’en informer les personnes exposées (article 50.3 du RIA).  

La voie la plus sûre consiste à réduire la collecte : filtres limitant la mémorisation des données sensibles, conservation courte, orientation vers une aide humaine en cas de détresse. S’y ajoute l’exclusion de toute réutilisation des conversations à des fins d’engagement ou de monétisation, sur laquelle convergent l’interdiction des pratiques manipulatrices du RIA, celle de la publicité profilée du DSA et les garanties du RGPD en matière de profilage. 

Éditeur, fournisseur du modèle : qui est responsable ? 

Rares sont les éditeurs qui développent leur propre modèle. Au sens du RGPD, l’éditeur responsable de traitement des conversations. Le fournisseur du modèle n’est en principe que sous-traitant (article 28 du RGPD) tant qu’il traite ces conversations pour le seul compte de l'éditeur. Il devient en revanche responsable de traitement s'il les réutilise pour entraîner son propre modèle, et doit alors disposer d’une base légale propre, en pratique l’intérêt légitime.  

Le Comité européen de la protection des données précise comment apprécier cet intérêt légitime pour les modèles d’IA dans son avis 28/2024 10 , en tenant compte notamment du contexte de collecte et des attentes raisonnables des personnes. S’agissant des enfants, la réutilisation de leurs confidences pèsera lourdement dans la balance (considérant 38 du RGPD). Au sens du RIA, l’éditeur qui intègre le modèle dans son jeu et le propose sous son nom est fournisseur du système d’IA (article 3.3 du RIA) : c’est donc à lui d’informer le joueur qu’il échange avec une IA (article 50.1 du RIA). Son partenaire est fournisseur d’un modèle d’IA à usage général, tenu de lui transmettre la documentation nécessaire à cette intégration (article 53.1.b du RIA).  

Le contrat doit interdire ou encadrer strictement l’entraînement sur des données de mineurs, fixer les durées de conservation, identifier les sous-traitants ultérieurs et les transferts hors de l’Union, et organiser l’exercice des droits. 

Une analyse de risques unique 

Personnes vulnérables, données potentiellement sensibles, usage innovant : selon les lignes directrices européennes, ce cumul rend l'analyse d'impact (AIPD) de l'article 35 du RGPD en principe obligatoire 11 .  

La protection des données par défaut (article 25.2 du RGPD) commande de brider la mémoire sur les comptes de mineurs et d'offrir des outils d'effacement accessibles depuis le jeu. La CNIL l'a rappelé à Discord, sanctionnée en novembre 2022 d’une amende de 800 000 euros, notamment pour défaut d'AIPD et de protection des données par défaut 12 . En Italie, l’autorité a infligé une amende de 5 millions d'euros à l'éditeur du compagnon virtuel Replika en 2025, faute notamment de vérification de l’âge 13 .  

Ce que doivent anticiper les éditeurs 

Trois chantiers se dégagent : qualifier le rôle de chaque acteur au regard des trois textes ; évaluer les risques dans une AIPD intégrée, avec un paramétrage protecteur par défaut et une vérification d'âge proportionnée ; encadrer contractuellement l’usage des données de mineurs par le fournisseur de modèle. En cas de contrôle, l’enjeu sera moins de qualifier le compagnon virtuel que de démontrer, documents à l’appui, que l’éditeur a protégé les joueurs mineurs qui s’y confient.  

Article paru dans Option finance le 5 novembre 2026