Une vidéo problématique reste en ligne. On la signale. Deux jours plus tard, la réponse tombe : aucune infraction détectée. En 2023, une loi votée à l'unanimité a fixé une majorité numérique à 15 ans pour nos enfants. Deux ans après, elle n'a jamais reçu ses décrets. Alors on se pose la question la plus simple du monde : quand quelque chose ne va pas sur TikTok, qui, exactement, est censé venir mettre de l'ordre ?
C'est une question que la commission d'enquête a posée, presque mot pour mot, à presque tous ceux qu'elle a entendus. Le président Arthur Delaporte l'a même formulée à voix haute face au régulateur français : « Comprenez-vous l’impatience des citoyens et leur sentiment que le régulateur est impuissant ? » Pour y répondre, il faut suivre la matière : les 67 auditions ont été analysées, une par une, par une intelligence artificielle qui rattache chaque citation à qui l'a dite et à quand. Et ce que cette matière montre, c'est que la réponse n'est pas « personne ». C'est plus embêtant que ça : plusieurs autorités existent, chacune tient un bout du dossier, et chacune, l'une après l'autre, explique pourquoi ce bout-là s'arrête à sa porte.
1. Le régulateur français peut alerter. Il ne peut pas punir.
Commençons par celui que tout le monde imagine en première ligne : l'Arcom. Et posons le fait le plus net de tout le dossier : l'Arcom ne peut pas sanctionner TikTok. Établi
(président de l'Arcom, l'autorité désignée en France « coordinateur » du DSA — défendait que le cadre européen existe et doit être appliqué plutôt que rediscuté)
Ce n'est pas une supposition de journaliste : c'est le président du régulateur lui-même qui le dit, sous serment, devant la commission.
« En revanche, l’Arcom ne peut pas prendre de sanction contre les plateformes comme TikTok. »
— Martin Ajdari (président de l'Arcom, cr13c, 2025-05-20)
Pourquoi ? Parce que le DSA — le règlement européen sur les services numériques, une sorte de code de la route commun à toute l'Europe pour les grandes plateformes — a confié le pouvoir de sanction contre les très grandes plateformes à la Commission européenne et au pays où elles ont leur siège. L'Arcom, elle, alerte, instruit, transmet. Et elle le fait avec des moyens que son propre président juge insuffisants :
« Actuellement, 23 équivalents temps plein (ETP) se consacrent au règlement sur les services numériques, sur un effectif total de 350 personnes »
— Martin Ajdari (président de l'Arcom, cr13c, 2025-05-20)
Vingt-trois personnes pour surveiller toutes les plateformes au titre du DSA. Face à cela, un constat de vide, porté par un journaliste qui a enquêté sur TikTok.
« Il est tout aussi surprenant de constater l'absence totale de contrôle externe sur l'activité de cette plateforme, l'Arcom se déclarant incompétente et la police ne pouvant agir sans dépôt de plainte préalable, ce qui aboutit à une situation d'autorégulation opaque de l'entreprise. »
— Mathieu Barrère (journaliste, Envoyé spécial / France Télévisions, cr21c, 2025-06-03)
Mais attention à ne pas trancher trop vite. Le mot « impuissance », le régulateur le refuse — et c'est là qu'on quitte le fait pour entrer dans la dispute. Disputé
« Je ne partage donc pas l’idée que cela ne marche pas, même si cela ne marche pas assez, pas assez vite. »
— Martin Ajdari (président de l'Arcom, cr13c, 2025-05-20)
Un côté voit un système hermétique sans contrôle ; l'autre voit un dispositif jeune qui monte en puissance trop lentement. Les deux regardent les mêmes 23 ETP. Ce que le corpus établit, ce n'est pas qui a raison sur l'adjectif — c'est le fait brut : le pouvoir de punir n'est pas à Paris.
2. La CNIL non plus : le dossier TikTok est parti à Dublin.
Deuxième autorité qu'on imagine compétente : la CNIL, la gardienne de nos données. Elle aussi commence par borner son terrain — et sur TikTok, ce terrain la mène à Dublin, pas à Paris. Établi
(présidente de la CNIL, le régulateur français des données personnelles — défendait que la CNIL décrit le mécanisme mais n'a, sur TikTok, ni la compétence ni le pouvoir de contraindre)
La raison est un mécanisme du RGPD — la loi européenne qui protège nos données personnelles — qu'on appelle le « guichet unique » : une plateforme n'a affaire qu'à l'autorité du pays où elle a installé son siège européen. Et TikTok a choisi l'Irlande.
« Attiré par le climat irlandais, il a implanté celui-ci à Dublin, en conséquence de quoi c’est l’autorité de protection des données irlandaises – la Data Protection Commission (DPC) – qui est compétente, en application du système de guichet unique prévu par le RGPD. »
— Marie-Laure Denis (présidente de la CNIL, cr20a, 2025-06-02)
La CNIL peut coopérer avec l'Irlande, mais elle le dit sans détour : hors de ce cadre, elle n'a aucun levier direct sur la plateforme.
« Ce fonctionnement est toutefois informel, et TikTok n’est pas tenu de nous répondre. Nous n’avons aucun moyen de le contraindre, même si nous coopérons avec la DPC. »
— Marie-Laure Denis (présidente de la CNIL, cr20a, 2025-06-02)
Là, une nuance capitale, à mettre dans le même écran : Dublin n'est pas inerte. L'autorité irlandaise, si souvent décrite comme trop conciliante, a bel et bien frappé — deux fois, à neuf chiffres. Établi
« La première procédure a abouti, en septembre 2023, à une amende de 345 millions d’euros. La seconde a très récemment donné lieu à une amende de 530 millions d’euros. »
— Marie-Laure Denis (présidente de la CNIL, cr20a, 2025-06-02)
Voilà tout le nœud. Certains auditionnés tiennent l'Irlande pour structurellement complaisante — le sénateur Claude Malhuret : « Le premier problème est que l’Irlande est le paradis des plateformes : elles s’y sont toutes installées pour des raisons fiscales » (cr06a, 2025-04-29) ; l'experte Rayna Stamboliyska juge que l'autorité irlandaise « a tendance à se montrer conciliante à leur égard » (cr04a, 2025-04-23). Ce sont des appréciations d'auditionnés. En face, un fait : 345 puis 530 millions d'euros d'amendes prononcées. Que le guichet irlandais soit lent ou timide, c'est disputé ; qu'il soit le seul aux commandes sur les données de TikTok, c'est établi. [DISPUTÉ / ÉTABLI]
3. Sur le terrain, les services sont débordés — mais le manque n'est peut-être pas celui qu'on croit.
Descendons d'un cran, vers ceux qui traitent les signalements au quotidien : Pharos, l'Office mineurs. Là, le mot qui revient, c'est « débordé » — et il vient des intéressés eux-mêmes. Établi
L'Office mineurs (Ofmin), qui traque les contenus pédocriminels, résume sa condition en reprenant une image déjà entendue dans la commission :
« On pourrait multiplier par deux, trois, quatre ou cinq les effectifs de l’Ofmin, nous serions tous occupés. Même si nous sommes convaincus de ce que nous faisons, nous avons parfois le sentiment de vider la mer avec une petite cuillère. »
— Cyril Colliou (Office mineurs — Ofmin, cr30a, 2025-06-24)
Et il pointe une dépendance qui change tout : la quasi-totalité des signalements qu'il reçoit ne vient pas d'un contrôle de l'État, mais de la détection faite par les plateformes elles-mêmes.
« En 2024, cette unité a reçu 170 000 signalements, soit 465 par jour en moyenne, dont 164 516 provenant de la détection effectuée par les plateformes du numérique elles-mêmes »
— Cyril Colliou (Office mineurs — Ofmin, cr30a, 2025-06-24)
Autrement dit : à l'échelle de tout le secteur, ce sont en grande partie les plateformes elles-mêmes qui alimentent le radar censé les surveiller — la détection propre à TikTok, elle, reste marginale dans ce total.
Mais ici encore, deux lectures s'opposent — et ce dossier ne les départage pas : il les pose côte à côte. Disputé Pour une partie des auditionnés, le manque est d'abord un manque de bras : l'association Stop Fisha rappelle que « la plateforme d'harmonisation, d'analyse, de recoupement et d'orientation des signalements (Pharos) ne compte ainsi qu'une quarantaine d'agents pour l'ensemble du territoire » (cr12a, 2025-05-16). Pour ceux qui manient l'outil, le problème est ailleurs — dans le droit, pas dans l'effectif :
« Nous n’identifions pas aujourd’hui de véritables failles dans la législation qui nous empêcheraient réellement d’agir. Les plateformes sont surtout incitées à agir face au risque de l’application de sanctions financières en cas de non-suivi des demandes de retrait ou des injonctions de retrait, ces sanctions financières étant particulièrement conséquentes. »
— Cécile Augeraud (Ofac / Pharos, cr18d, 2025-05-27)
Manque de moyens ou manque de textes ? Le corpus ne tranche pas — et l'aveu de l'Ofmin, même en multipliant ses effectifs par cinq, ses agents seraient tous occupés, suggère qu'ajouter des agents ne suffirait pas à lui seul.
4. Le verrou : appliquer le DSA, c'est refermer la porte de la loi française.
Voici le rouage central, celui qui explique le « ça coince ». Presque tout le monde recommande d'appliquer le DSA plutôt que de refaire une loi. Sauf que le DSA, par construction, interdit à la France de faire une loi plus protectrice sur les mêmes sujets. Établi
(directeur du PEReN, le bras technique de l'État qui analyse les plateformes — défendait un constat d'opacité subie : l'expertise publique n'obtient pas les accès qui lui permettraient de trancher)
D'un côté, la thèse de l'application, portée par l'homme qui a fait naître le règlement — Thierry Breton, ancien commissaire européen : « Plutôt que de produire une nouvelle loi, il faut appliquer pleinement et intégralement celle qui existe » (cr18c, 2025-05-27). De l'autre, la conséquence que cette thèse ne dit pas, énoncée comme un fait de droit par le directeur du bras technique de l'État :
« Depuis le DSA, qui est quand même un règlement d’harmonisation maximale, il est très difficile d’établir une quelconque obligation supplémentaire qui viendrait peser sur les plateformes. »
— Nicolas Deffieux (directeur du PEReN, cr18e, 2025-05-27)
« Harmonisation maximale » : le terme est technique, l'effet est concret. Quand l'Europe légifère « au maximum » sur un sujet, les États n'ont plus le droit d'en rajouter par-dessus. L'administration centrale le confirme dans les mêmes termes — le DMA étant le règlement jumeau du DSA, côté concurrence :
« Je tiens à souligner l'importance du caractère d'harmonisation maximale du DSA et du DMA, qui signifie qu'il est impossible d'adopter des mesures nationales poursuivant les mêmes objectifs que ces textes européens. »
— Matthieu Couranjou (DGMIC, M. Loïc Duflot, 2025-06-05)
C'est exactement ce qui est arrivé à la loi de 2023 sur la majorité numérique. Son auteur, devenu ministre, est venu raconter à la commission pourquoi son texte, voté à l'unanimité, dort dans un tiroir.
« le principal aspect du DSA depuis son lancement a été d’empêcher qu’une législation nationale soit mieux-disante. C’est inacceptable car il ne propose aucun dispositif opérationnel pour protéger les mineurs. »
— Laurent Marcangeli (auteur de la loi de 2023 sur la majorité numérique, cr29a, 2025-06-19)
Voilà le paradoxe qu'on peut trancher, parce que c'est un mécanisme et non une opinion : on demande à la France d'appliquer le DSA ; or appliquer le DSA, c'est renoncer à faire mieux toute seule. La rapporteure Laure Miller (EPR) a passé une partie de la commission à chercher la brèche — « Avons-nous la possibilité d’agir en dehors du cadre du DSA, sur le sujet de la santé publique de nos enfants ? » (cr16b, 2025-05-26). Le corpus lui répond, majoritairement, que la marge est étroite.
5. Dans cet interstice, TikTok se tient au bord exact de la règle.
Quand une plateforme n'a en face d'elle ni sanction nationale, ni loi nationale plus stricte, elle peut s'installer précisément là où la règle s'arrête. Et c'est ce que le corpus donne à voir. [ÉTABLI comme propos de la plateforme]
Interrogée sur la vérification de l'âge — le point qui commande tout le reste —, la représentante de TikTok répond par le droit, pas par le résultat.
« Nous évoluons dans le cadre législatif européen, lequel n’impose pas aux plateformes de vérifier l’âge des détenteurs des comptes. »
— Marie Hugon (TikTok, Mme Marlène Masure, 2025-06-12)
Même logique sur la nature de ses obligations : une obligation de moyens, pas de résultat.
« Il s’agit donc plutôt d’une obligation de moyens, au titre de laquelle nous nous efforçons d’obtenir le meilleur résultat possible. »
— Marie Hugon (TikTok, Mme Marlène Masure, 2025-06-12)
La rapporteure conteste frontalement cette lecture : « considérez-vous que le DSA vous confère une obligation de moyens ou une obligation de résultat ? Si c'est une obligation de résultat, elle n'est pas remplie » (Laure Miller, EPR, M. Arnaud Cabanis, 2025-06-12). C'est le cœur du désaccord, et il n'est pas tranché dans le corpus : le texte lui-même se prête aux deux lectures.
D'où la tentation, côté commission, de changer d'approche : requalifier TikTok en « éditeur » — responsable de ce qu'il diffuse, comme un journal l'est de ses articles. C'est une ligne de fracture nette, mais elle ne sépare pas les amis et les ennemis de TikTok : elle sépare les parlementaires des institutions. [DISPUTÉ — NON TRANCHÉ dans le corpus] Le président Delaporte le pose comme un objectif : « Je vous rejoins : ce sont des éditeurs, donc ils ont, à ce titre, une responsabilité majeure. Il reviendra à cette commission d’enquête de le démontrer » (cr06a, 2025-04-29). Le régulateur, lui, refuse la qualification dans le même souffle :
« Leur responsabilité est évidente, mais je ne la qualifierais pas d’éditoriale ; c’est une responsabilité de fournisseur de service en ligne. »
— Martin Ajdari (président de l'Arcom, cr13c, 2025-05-20)
Et l'administration ferme la porte sur l'état réel des négociations européennes :
« Aucun pays, y compris la France, n'a plaidé pour un passage direct au statut d'éditeur. »
— Matthieu Couranjou (DGMIC, M. Loïc Duflot, 2025-06-05)
Ce qu'il faut retenir : le statut d'éditeur est réclamé par des élus, écarté par les institutions, et jamais démontré dans le corpus. Le rapport lui-même, dans sa recommandation n° 10, ne fait que proposer d'étudier la question — c'est sa couche politique qui la referme.
6. L'exécutif : « soit ensemble, soit contre elles » — mais quand ?
Reste l'échelon qui pourrait débloquer les autres : le gouvernement. Il assume le diagnostic d'absurdité, et annonce un plan B. Sans en dater l'exécution. [ÉTABLI que le plan B est annoncé ; NON TRANCHÉ sur son calendrier]
(ministre déléguée chargée de l'IA et du numérique — défendait l'interdiction des réseaux sociaux avant 15 ans via une vérification d'âge imposée aux plateformes, et un DSA appliqué plus fort et plus vite)
La ministre résume elle-même l'absurdité du circuit actuel, celui-là même qui envoie tout à Dublin.
« Faut-il vraiment qu'une ministre de la République se déplace à Dublin à chaque fois qu'un contenu dangereux apparaît sur une plateforme ? Bien sûr que non. »
— Clara Chappaz (ministre déléguée chargée de l'IA et du numérique, cr29b, 2025-06-19)
Elle assume donc une porte de sortie nationale, si l'Europe ne suit pas :
« Si nous n’y parvenons pas, alors, je le dis sans détour, nous prendrons des mesures à l’échelle nationale, comme nous l’avons déjà fait sur d’autres dossiers. »
— Clara Chappaz (ministre déléguée chargée de l'IA et du numérique, cr29b, 2025-06-19)
Mais le président de la commission oppose aussitôt le tempo — et c'est tout le problème d'un dispositif qui se compte en années quand un algorithme change plusieurs fois par jour :
« Quelles sont nos marges de manœuvre au niveau national ? Nous réfléchissons aux moyens d’agir rapidement, mais lorsque nous sommes allés à Bruxelles, on nous a indiqué que le Digital fairness act devrait aboutir à l’horizon 2029. »
— Arthur Delaporte (président de la commission, cr29b, 2025-06-19)
Le Digital fairness act qu'il cite, c'est un futur texte européen sur les pratiques des plateformes ; son échéance, 2029, dit tout du tempo. La formule de la ministre restera comme le résumé de la position gouvernementale : « Soit nous le faisons ensemble, soit nous le faisons contre elles ; mais, dans tous les cas, nous avancerons pour protéger nos enfants » (cr29b, 2025-06-19). Une volonté affichée ; un calendrier, non.
Une question sur ce point ? Le dossier répond.