Le lapin qui écoute a déjà un serveur

Chez le distributeur de jouets, la fiche produit promet souvent la même chose : le jouet écoute, répond, apprend. La peluche est douce, la LED cligne d’un air complice, et la démo parle d’une voix d’enfant qui n’est pas dans la pièce. Dans la chambre, l’appareil est un microphone avec un cloud. Voix, lieu, horaires d’usage et parfois le visage de la personne de référence quittent la pièce dès que le réglage par défaut porte une adresse de serveur dans un pays tiers. La souveraineté des données n’est pas un abstract ici. C’est la question de savoir qui peut effacer le fichier et qui l’a déjà copié.

Le RGPD s’applique aux enfants de façon plus stricte, pas plus lâche. Le consentement des parents ne remplace pas des mesures techniques et organisationnelles. Un lapin Wi-Fi sans mesures documentées, sans délai d’effacement et sans alternative locale n’est pas un produit malin. C’est une atteinte en attente. Les commerçants qui le référencent portent le risque avec lui. Le risque a une fourrure. Il n’en est pas moins un dossier.

Ce que le microphone emporte vraiment

Une entrée vocale sans traitement local veut dire : l’audio quitte l’appareil. Qu’il arrive en fichier, en vecteur de caractéristiques ou en transcription ne change la protection que dans la forme. Finalité, minimisation et durée de conservation doivent être fixées avant. Une mise à jour de firmware qui ajoute soudain de la reconnaissance faciale est un traitement nouveau. Elle demande une information nouvelle, pas une case cachée. La case cachée dans une mise à jour de nuit est exactement le moment où la chambre change de statut sans que personne ait rallumé la lumière.

Beaucoup de jouets connectés stockent les comptes des parents, les noms de Wi-Fi, les adresses MAC et des profils d’usage. C’est un inventaire, pas un amusement en plus. Une demande d’accès doit pouvoir lister ces données. Sans registre, il manque la licéité. Instituts et commerçants qui vendent ces appareils comme pédagogiques doivent voir la liste avant la vente, pas après la première lettre des parents. La lettre arrive toujours après. Le registre, lui, aurait dû être sur le stand.

Les caméras dans les poupées et les robots sont le cas plus net. Une image dans la chambre est une proximité biométrique, même si le fabricant ne l’appelle que scène. Éteint par défaut, cache physique, LED qui ne peut pas mentir par logiciel. Le reste est un appareil qu’on ne met pas en rayon. Une LED que le logiciel peut éteindre pendant que l’objectif reste ouvert n’est pas un témoin. C’est un décor.

Le défaut décide du pays

Le chemin standard décide. Si le compte se pose automatiquement sur un serveur hors de l’EEE sans mécanisme de transfert valable, la vente dans l’UE est un problème juridique, pas un détail marketing. Clauses contractuelles types, décisions d’adéquation et une mention honnête dans les mentions légales sont le minimum. Un QR code sur la boîte qui mène à une page de confidentialité sans date ne suffit pas. La page sans date est une brochure. Elle n’est pas une politique.

Le traitement local est l’architecture propre. La voix est reconnue sur l’appareil, le cloud reste optionnel et éteint. Qui ne peut pas construire cela doit tenir le cloud assez étroit pour que finalité, délai et effacement tiennent dans une phrase. « Nous améliorons le service » n’est pas une finalité qui porte une chambre d’enfant. L’amélioration du service est le tiroir où l’on range les fichiers que personne n’a demandé à garder.

Un microphone dans une chambre sans traitement local et sans délai d’effacement n’est pas une fonction de jouet. C’est un dossier ouvert.

Les mises à jour doivent être signées. Un port ouvert, un mot de passe par défaut et un firmware sans chemin de mise à jour sont la faille classique des produits pour enfants en réseau. Un appareil peut passer l’EN 71 et livrer quand même un secret qui figure dans la notice. Sécurité mécanique et sécurité des données sont deux essais. Le cylindre de petites pièces ne voit pas le port ouvert. Le port ouvert ne voit pas l’arête. Les deux examens tiennent sur des feuilles différentes, et les deux sont dus.

Vingt-quatre heures, puis soixante-douze

Depuis le 11 septembre 2026, les fabricants ont une obligation de notification issue du Cyber Resilience Act, règlement (UE) 2024/2847, article 14. Les vulnérabilités activement exploitées et les incidents graves qui touchent la sécurité du produit partent dans les 24 heures comme alerte précoce, et dans les 72 heures comme notification, vers la Single Reporting Platform de l’ENISA. Les autres obligations, dont les exigences de cybersécurité du règlement et la durée de support, suivent le 11 décembre 2027. Un stand qui repousse l’acte à 2027 saute l’horloge qui tourne déjà. Une livraison antérieure à septembre ne sort pas l’appareil du champ dès qu’une vulnérabilité est activement exploitée. La date de livraison n’éteint pas une faille en cours.

L’article 8 du RGPD laisse aux États membres l’âge du consentement numérique entre 13 et 16 ans. L’Allemagne a fixé 16 ans. Un compte de jeu avec profil vocal ne s’appuie pas sur le clic de l’enfant. Information et consentement passent par les titulaires de l’autorité parentale, et ils décrivent le microphone en phrases claires : éteint jusqu’à ce qu’un bouton l’ouvre, reconnaissance locale ou flux, effacement après l’ordre ou un délai en jours. Un réglage par défaut qui garde l’audio brut pour entraîner un modèle n’est pas une finalité que ce consentement couvre en silence. Le silence du réglage par défaut est le vrai produit.

Les mesures techniques restent nommables. Chiffrement sur le trajet, clés séparées, accès seulement pour l’exécution de l’ordre, une réinitialisation qui efface aussi le compte serveur quand le jouet change de mains. Un appareil d’occasion sans reset est un compte qui continue d’écouter. C’est la ligne que l’achat veut lire à côté de la voix. La voix de démo est charmante. Le compte qui survit à la revente l’est moins.

Ce que le stand doit sortir de la poche

L’achat ne demande pas la voix la plus mignonne. L’achat demande le registre des traitements, le sous-traitant, la durée de conservation, le lieu, le droit à l’effacement et la conduite en cas de violation. S’il manque une réponse, il manque le référencement. Écoles et prises en charge qui utilisent du matériel en réseau ont en plus besoin d’un contrat de sous-traitance et d’une règle claire sur qui peut réinitialiser l’appareil. Un concept de protection de l’enfance sans volet informatique est incomplet. Les autorités de contrôle ont utilisé à plusieurs reprises les jouets connectés comme exemple. C’est assez connu pour ne pas être une surprise. La surprise, au stand, est de voir que la feuille manque encore.

L’information aux parents va en langage clair. Quelles données, vers où, combien de temps, comment sortir. Pas une clause de 14 pages en anglais en corps 8. Qui ne peut pas livrer cela ne vend pas l’appareil aux familles. Le corps 8 en anglais est une façon de compter sur le fait que personne ne lira. Les parents lisent, le soir, quand l’objet est déjà branché.

Une conversation de stand se termine par des documents. Types de données : audio, compte, lieu, image. Chaque type a une finalité. Lieu et transfert : EEE ou mécanisme valable. Pas de pays tiers silencieux. Effacement : délai, reset, preuve. Supprimer le compte doit vider l’appareil. Mise à jour et mot de passe : signés, pas de secret par défaut, fin de support nommée. Défaut : micro et caméra éteints, cloud optionnel. Notification : chemin CRA depuis le 11 septembre 2026, alerte en 24 heures, voie de support pour 2027 nommée. Ces lignes tiennent sur une page. La peluche, elle, tient dans le bras. Les deux ne se remplacent pas.

Un jouet en réseau peut avoir un sens si l’architecture pense local. Au salon, c’est exactement ce qui sépare les fabricants sérieux des stands qui vendent un microphone d’enfant comme de l’intelligence. L’intelligence, dans la chambre, a une adresse. Si vous ne pouvez pas l’effacer, elle n’était pas un jouet.