par Laure MONTIGNEAUX, étudiante du Master 2 Droit des communications électroniques

L’intégration de l’intelligence artificielle dans les jouets pour enfants soulève d’importantes questions réglementaires de sécurisation des données personnelles et du respect de la vie privée. Aux États-Unis, le fabricant Folotoy a suspendu la vente de la peluche Kumma à la suite d’une étude menée par l’organisation PIRG qui révèle plusieurs dysfonctionnements du chatbot.

**********

En novembre 2025, le PIRG, organisation américaine de protection des consommateurs, a publié une étude évaluant des jouets équipés d’un chatbot conversationnel. Plusieurs tests ont été effectués, dont un sur la peluche Kumma, commercialisée par le fabricant Folotoy aux États-Unis. Les résultats ont révélé des réponses dangereuses ou à caractère sexuel, faisant état d’un dysfonctionnement de son mécanisme. Le fabricant a donc suspendu sa vente.

Source : site PIRG

L’efficacité tangente des garde-fous : un risque pour les mineurs

Les jouets dotés d’IA facilitent l’interaction avec l’enfant en rendant la discussion plus fluide et réelle. Cependant, ce mécanisme implique une imprévisibilité des réponses, ce qui peut conduire à des propos inadaptés. Lors de tests effectués sur la peluche Kumma, des dysfonctionnements des garde-fous, qui sont censés adapter les réponses à l’âge prédéfini, ont été constatés. En effet, le chatbot a fourni des informations sur des objets dangereux, tels que des allumettes ou des couteaux et comment les utiliser, tout en rappelant paradoxalement que c’était dangereux. Il a également donné des réponses détaillées à caractère sexuel. Ces réponses inadaptées peuvent avoir des conséquences psychologiques et comportementales sur l’évolution de l’enfant.

L’étude insiste sur la nécessité d’utiliser des chatbots adaptés aux mineurs, afin qu’il y ait une prise de conscience du danger des jouets dotés d’IA utilisant des chatbots similaires à ceux conçus pour les adultes. Pourtant, OpenAI recommande l’accès à ChatGPT seulement à partir de 13 ans. De plus, Folotoy ne respectait pas la loi américaine COPPA qui exige le consentement des parents avant toute collecte de données. En Europe, le RGPD prévoit également l’obligation de recueillir le consentement du titulaire de l’autorité parentale pour les mineurs âgés de moins de 16 ans. A ce sujet, la collecte des données est réglementée par le RGPD, qui impose que le traitement des données soit fondé sur une des bases légales prévues dans le principe de licéité du traitement. Dans le cas des jouets dotés d’IA, la base légale serait le consentement. Dans le cas Kumma, le traitement des données n’aurait donc pas été licite en Europe.

Un risque majeur d’atteinte à la vie privée des enfants et à la collecte de leurs données

La protection de la vie privée de l’enfant est un enjeu majeur. Le mécanisme d’enregistrement joue un rôle fondamental, car un enregistrement permanent augmente les risques d’atteinte à la vie privée. La peluche Kumma fonctionne avec un bouton « appuyer pour parler », qui est un mécanisme sécurisé car il évite une écoute et un enregistrement permanent des données vocales de l’enfant et de son environnement. Cependant, l’étude révèle que le fabricant Folotoy collectait également des données supplémentaires, notamment sur les émotions des enfants.

En Europe, la collecte et le traitement des données sont réglementés par le RPGD, qui impose  le respect du principe de minimisation des données. Seules les informations nécessaires doivent être collectées. De plus, l’obligation de transparence incombe au responsable de traitement, ici le fabricant, qui devra indiquer l’identité et les coordonnées de celui qui traite les données, la finalité de la collecte et la durée de conservation. Cependant, la politique de confidentialité de Folotoy prévoyait une conservation de trois ans, sans indiquer, par des mentions légales, quelles données étaient concernées. Cela peut nous interroger sur la sécurisation de ces dernières dans le cadre européen, puisqu’il s’agit d’un jouet destiné à des enfants parfois en bas âge, qui n’ont pas conscience du danger des informations qu’ils donnent.

Pour commercialiser ces jouets en Europe, les fabricants devront suivre le principe de privacy by design afin de respecter la vie privée de l’enfant et du foyer. Dès lors, il faut une protection des données dès le processus de conception. De plus, une analyse d’impact de la protection des données personnelles doit être faite pour identifier les risques de traitement des données des mineurs.

Vers une régulation des jouets dotés d’IA avec l’AI Act

L’AI Act, qui est le règlement européen sur l’intelligence artificielle, pourrait encadrer les jouets connectés dotés d’IA qui envahissent de plus en plus le marché européen. Ils pourraient être classés à haut risque. En effet, les systèmes d’IA qui peuvent porter atteinte à la sécurité des personnes, ou à leurs droits fondamentaux seront considérés comme tels. Cela serait le cas notamment de ces jouets qui font à l’heure actuelle l’objet d’une surveillance, car ils peuvent influencer le comportement des enfants et traiter des données qui peuvent, dans certains cas, être considérées comme sensibles.

23 novembre 2025.