Le 6 mai, une loi, connue sous le nom de projet de loi n° 73 du Sénat et signée précédemment par le gouverneur Spencer Cox, entrera en vigueur dans l’Utah. C’est la première fois aux États-Unis qu’un législateur aborde explicitement la question de l’utilisation des VPN dans le cadre de la vérification de l’âge des internautes. La nouvelle réglementation stipule qu'un utilisateur physiquement présent dans l'Utah est soumis aux lois locales, qu'il dissimule ou non sa localisation. Le fait de tenter de masquer son adresse IP ne modifie pas l'interprétation de la loi. Par ailleurs, les sites web ne peuvent pas publier d'instructions permettant de contourner le système de vérification de l'âge. L'élément le plus controversé du projet de loi concerne la responsabilité. Les autorités exigent que les propriétaires de sites web surveillent les utilisateurs, même si ces derniers utilisent des outils conçus spécifiquement pour dissimuler leur identité. Pour les entreprises technologiques, ce scénario est difficile à mettre en œuvre. NordVPN a qualifié la nouvelle réglementation de « piège juridique » et a souligné la contradiction entre les exigences légales et la faisabilité technique de leur respect. De son côté, l'Electronic Frontier Foundation avertit que les conséquences pourraient inclure le blocage de plages entières d'adresses IP ou l'instauration d'une vérification d'âge obligatoire pour tous les utilisateurs, quel que soit leur lieu de résidence.

Le problème ne se limite pas à l'interprétation réglementaire. Une limitation technologique fondamentale se profile en coulisses : la détection du trafic VPN ne fournit aucune garantie quant à la localisation réelle de l'utilisateur. Les bases de données d'adresses IP peuvent identifier les serveurs de centres de données connus, mais les fournisseurs de VPN modifient régulièrement leur infrastructure. Les configurations privées, qui ressemblent à du trafic domestique classique, sont également de plus en plus fréquentes. Dans ce cas, il devient pratiquement impossible de distinguer un utilisateur de VPN d'une connexion standard. La méthode d'identification la plus avancée reste l'analyse du trafic réseau au niveau de l'infrastructure de l'opérateur. Ces solutions sont utilisées dans les systèmes de surveillance des pays appliquant des politiques internet restrictives, mais ne sont pas accessibles aux propriétaires de sites web. La nouvelle réglementation pourrait pénaliser avant tout les utilisateurs de VPN à des fins légitimes. Journalistes, militants et personnes soucieuses de leur vie privée pourraient se voir refuser l'accès au service. Pour les utilisateurs moins expérimentés, la situation est encore différente. Les personnes utilisant des services VPN populaires peuvent être automatiquement bloquées, même si leurs activités ne contreviennent pas à la loi.

La décision de l'Utah témoigne d'un intérêt croissant pour la régulation d'Internet en fonction de l'âge. Au Royaume-Uni, une législation restreignant l'accès aux VPN pour les mineurs est en cours d'élaboration, et des mesures similaires sont annoncées en France. Dans certaines régions du monde, les tentatives de blocage des VPN ne sont efficaces qu'avec un contrôle strict des fournisseurs d'accès à Internet. Aux États-Unis, d'autres États suivent de près la situation en Utah et analysent les implications juridiques et techniques potentielles.