La nouvelle proposition urgente du chirurgien général américain visant à instaurer des avertissements sur les réseaux sociaux pourrait bien ne pas aboutir – elle a été accueillie avec scepticisme et nécessiterait une intervention du Congrès –, mais elle a lancé un débat de société que les dirigeants d’entreprise ne devraient pas ignorer.
Le Dr Vivek Murthy a présenté lundi une proposition novatrice visant à imposer des avertissements du chirurgien général sur les plateformes de réseaux sociaux afin de protéger la sécurité des enfants en ligne, dans un contexte de crise croissante de la santé mentale chez les jeunes aux États-Unis.
Même s’il serait facile de considérer cela comme un simple problème lié aux jeunes , un sujet pertinent pour les familles , les enseignants et les entreprises qui ciblent les jeunes, cette proposition offre aux dirigeants de tous les secteurs l’occasion d’examiner leur mode de fonctionnement dans le paysage des réseaux sociaux ainsi que les risques que cette exposition fait peser sur leur marque.
« Oui, en effet, cela devrait avoir des répercussions [dans le monde des affaires et au-delà] », déclare Kathleen M. Carley, titulaire d'un doctorat et professeure d'informatique à l'université Carnegie Mellon.
En tant que directrice du Centre d’analyse computationnelle des systèmes sociaux et organisationnels (CASOS) de l’université , Carley utilise des techniques d’intelligence artificielle et ainsi que des techniques d’apprentissage automatique pour étudier l’influence des bots, des trolls et d’autres acteurs présents sur l’ensemble du paysage des réseaux sociaux, des acteurs susceptibles d’influencer le comportement et le bien-être des adultes comme des enfants.
Compte tenu de l'influence qu'ont eue par le passé les avertissements du ministre de la Santé figurant sur les produits du tabac et de l'alcool sur les comportements sociaux, les dirigeants d'entreprise auraient tout intérêt à réfléchir aux répercussions commerciales potentielles d'un nouvel avertissement sur les réseaux sociaux. À tout le moins, les conseils d’administration devraient commencer à se poser des questions sérieuses – ce qu’ils n’ont probablement pas encore fait, il faut bien l’admettre – concernant l’utilisation des réseaux sociaux par leur organisation en général, ainsi que sur la meilleure façon de se préparer à la réglementation à venir de l’ .
Car, qu'il y ait des étiquettes ou non, cette réglementation va entrer en vigueur.
Les avertissements sur les réseaux sociaux et le pouvoir des rappels
En matière de « épines dans le pied » d’ , les géants de la tech , voici Murthy sous son jour le plus épineux à ce jour. Sa nouvelle demande concernant les étiquettes d'avertissement intervient un peu plus d'un an après la publication, par l' , d'un important avis sanitaire soulignant l'utilisation effrénée des réseaux sociaux par les jeunes, leur caractère addictif et le « risque grave de préjudice » qu'ils représentent pour les enfants.
«Oui, en effet, cela devrait avoir des répercussions. »Kathleen M. Carley, docteure, professeure d'informatique à l'université Carnegie Mellon
« Une mise en garde du ministre de la Santé rappellerait régulièrement aux parents et aux adolescents qu’il n’a pas été prouvé que les réseaux sociaux soient sans danger », a-t-il écrit dans sa récente tribune publiée sur The New York Times. Les résultats d’études menées par l’ ’Tobacco (), a-t-il poursuivi, montrent que « les avertissements peuvent sensibiliser le public et modifier les comportements ». Bien sûr, dans ce cas précis, ces étiquettes s'inscrivaient dans le cadre d'une démarche à plusieurs volets comprenant notamment des campagnes dans les médias de masse et la réduction des scènes de tabagisme dans les séries télévisées, explique Carley à « Focal Point » d' .
Du côté des réseaux sociaux, des projets de loi ont déjà été présentés dans certains États et au Congrès, tels que la loi « Kids Online Safety Act » (), qui obligerait les plateformes à prendre des mesures raisonnables pour prévenir tout préjudice, et la loi « Protecting Kids on Social Media Act » (), qui interdirait à toute personne âgée de moins de 13 ans de créer un compte sur les réseaux sociaux. « Il existe un consensus entre les deux partis sur la nécessité de prendre davantage de mesures », écrit Gabriel R. Sanchez, Ph.D., chercheur senior à la Brookings Institution, dans un rapport intitulé « » ( ) consacré au soutien des familles en faveur des étiquettes d’avertissement.
Et en quoi les avertissements sur les réseaux sociaux destinés aux enfants auront-ils un impact sur les entreprises… exactement ?
Tout commence par le souci du bien-être des enfants, un point sur lequel nous sommes tous d'accord. Mais cela ne s'arrêtera pas là.
«Les avertissements contribuent généralement à réduire la crédibilité des fausses informations et leur diffusion. »Cameron Martel, doctorant et chercheur spécialisé dans les étiquettes d'avertissement, à la Sloan School of Management du MIT
Les appels en faveur d’un renforcement des mesures de protection concernant les contenus en ligne destinés aux utilisateurs de tous âges se multiplient, en raison des inquiétudes liées à l’ , à la mésinformation et à la désinformation – que le Forum économique mondial qualifie de plus grand risque à court terme au monde. Préparés à un déploiement rapide de la technologie d'IA générative (GenAI) d' , les décideurs politiques du monde entier étudient actuellement le recours au tatouage numérique et à d'autres moyens permettant de signaler les contenus générés par l'IA. La Chine a pris des mesures pour interdire les contenus générés par l’IA non identifiés ; le décret présidentiel « » du président Biden, publié à l’automne dernier, a vivement encouragé le secteur à créer et à utiliser des filigranes (Google et OpenAI se sont engagés à les développer) ; et la nouvelle loi européenne sur l’IA oblige les fournisseurs et les utilisateurs d’IA à faire de même.
« Les étiquettes d’avertissement réduisent généralement la crédibilité accordée aux fausses informations et leur diffusion », écrit Cameron Martel, doctorant à la Sloan School of Management du Massachusetts Institute of Technology et coauteur d’une étude publiée dans * * consacrée à la recherche sur les étiquettes d’avertissement. Voilà la bonne nouvelle. Et les points négatifs ? Dans un e-mail adressé à , le référent, Martel, a expliqué que l'efficacité des labels dépendait de la manière dont ils étaient mis en œuvre. Divers facteurs entrent en ligne de compte, notamment la visibilité de l'étiquette, la facilité avec laquelle on peut la faire défiler ou l'ignorer, ainsi que les informations qu'elle fournit réellement aux consommateurs.
Une chose apparaît de plus en plus clairement : l'univers actuel des réseaux sociaux, dépourvu de toute réglementation, n'est pas viable. Outre les préoccupations liées à la sécurité nationale (l'interdiction de TikTok, ça vous dit quelque chose ?), les tentatives de fraude utilisant des « deepfakes » , ainsi que des fichiers audio et vidéo générés par l'IA, inondent les entreprises, avec une hausse de 2 137 % au cours des trois dernières années. Tant les grandes entreprises (notamment , Tesla, le site de vente en ligne , Wayfair, ainsi que, dans le cadre d’une expérience récente, , Chase Bank, entre autres) que les petites ont subi des préjudices causés par des personnes malveillantes publiant de faux contenus ou escroquant des employés par le biais de techniques d’ingénierie sociale. Quel est le butin annuel des pirates informatiques issu de la cybercriminalité liée aux réseaux sociaux ? Soit environ 3,25 milliards de dollars, selon une étude de l' .
Même si les filigranes et les mentions d'avertissement sont encore loin d'être une réalité, les experts s'accordent à dire que de telles mesures de protection sont inévitables. Et tous ceux qui se souviennent des débuts d'Internet savent que nous avons déjà connu cela.
« Il suffit de réfléchir à la manière dont nous avons géré les attaques de type « man-in-the-middle », note Tim Morris, conseiller en chef en matière de sécurité chez Tanium, l'un des principaux fournisseurs de solutions de cybersécurité (et éditeur de ce magazine). » Afin de garantir aux consommateurs qu'ils accédaient bien au site de leur banque lorsqu'ils se connectaient à leur compte, nous avons mis en place le protocole HTTPS, des certificats de signature et une infrastructure désormais courante. « Il faudra qu’il en soit de même pour les contenus », déclare M. Morris. « Nous disposerons d’une sorte de label de qualité, à l’image de celui de l’ , de Good Housekeeping ou d’ , tout comme c’est déjà le cas aujourd’hui pour les logiciels et les sites web. »
Les questions relatives aux réseaux sociaux que les conseils d'administration devraient commencer à se poser dès maintenant
Toutes ces mesures ne verront pas le jour. « Mais les conseils d’administration vont devoir se montrer tournés vers l’avenir », déclare M. Morris. « Chaque entreprise devra, d'une manière ou d'une autre, s'adapter à ce type de réglementation. »
«Les conseils d’administration doivent savoir qui sont leurs clients, à qui s’adressent leurs publicités et qui ils doivent protéger. » Elles ont une responsabilité en matière de citoyenneté d'entreprise. »Tim Morris, conseiller en chef en matière de sécurité chez Tanium
Dans cette optique, les dirigeants d'entreprise et les membres des conseils d'administration devraient commencer à s'interroger sur la place qu'occupe leur organisation dans le paysage des réseaux sociaux, ainsi que sur les risques que cela comporte pour eux. Réunissez donc les responsables de service et les autres parties prenantes chargées de la cybersécurité, du marketing, de la communication et de la conformité. Voici quelques questions à poser :
1. À qui nous adressons-nous, et qui consulte notre site Internet ?
« Je considère cela comme un prolongement du principe KYC – “connaître son client” », explique M. Morris. « Les conseils d'administration doivent savoir qui sont leurs clients, à qui s'adressent leurs publicités et qui ils doivent protéger. » « Elles ont, au titre de leur responsabilité sociale d'entreprise, le devoir de faire tout leur possible pour y voir plus clair. »
2. Dans quelle mesure comptons-nous sur les réseaux sociaux pour mener nos activités professionnelles ?
Les organisations qui utilisent les réseaux sociaux à des fins de marketing et d'engagement client pourraient devoir adapter leurs stratégies afin de s'aligner sur ce nouveau contexte. Cette réorientation pourrait impliquer un renforcement des investissements dans des canaux de commercialisation alternatifs ou l'adoption de nouvelles approches en matière d'interaction avec les utilisateurs et de gestion des données d' .
3. De quels outils de conformité disposons-nous ?
Les entreprises doivent se tenir informées de l'évolution de la législation et veiller à ce que leurs pratiques soient conformes à ces changements. Cela peut impliquer de réviser les politiques de confidentialité , de mettre à jour les conditions d'utilisation et de veiller au respect des nouvelles lois. Il est essentiel de se tenir informé des évolutions réglementaires en matière d' afin d'éviter les écueils juridiques et de préserver la confiance des consommateurs.
4. Comment surveillons-nous les réseaux sociaux afin de détecter d'éventuelles menaces pour la cybersécurité ?
Restez vigilant face aux campagnes de désinformation ou aux attaques d'ingénierie sociale de type « », dans lesquelles des cybercriminels entrent en contact avec des employés via les réseaux sociaux et tentent de les inciter à divulguer des informations confidentielles. Cela implique notamment d'investir dans des outils et des technologies susceptibles de contribuer à identifier et à atténuer ces risques.
5. Pourquoi n'utilisons-nous pas l'authentification multifactorielle (MFA) ?
Sérieusement ? Toujours ? Hélas, c'est vrai. « Très peu de personnes utilisent l’authentification à plusieurs facteurs (MFA) ou appliquent des paramètres de confidentialité rigoureux », écrit Chris McGowan, responsable des pratiques professionnelles en matière de sécurité de l’information à l’ISACA, l’organisation mondiale des professionnels de l’informatique, dans un rapport intitulé « » consacré aux menaces que représentent les réseaux sociaux pour le monde du travail. La mise en place de mesures d'authentification robustes et la mise à jour régulière des protocoles de sécurité constituent des mesures essentielles à prendre pour prévenir les attaques d'ingénierie sociale.
6. Comment sensibilisons-nous nos collaborateurs aux menaces de cybersécurité liées aux réseaux sociaux ?
La formation des employés est indispensable, mais même les collaborateurs les plus avertis en matière de cybersécurité divulguent involontairement une multitude d'informations que les pirates peuvent exploiter, d'autant plus qu'ils recoupent les données provenant de diverses sources et plateformes en ligne. Une publication anodine mentionnant le nom d’un animal de compagnie, publiée par un employé sur le réseau social de son choix, peut être exploitée pour deviner les mots de passe ou les questions de sécurité liés à l’ ; de même, l’annonce, par exemple, d’une prochaine réunion d’anciens élèves pourrait fournir à un acteur malveillant suffisamment d’informations pour se faire passer pour un camarade de classe, gagner la confiance d’une cible et en tirer parti à des fins malveillantes.
Et cela ne concerne pas uniquement les comptes des salariés sur les réseaux sociaux. Le profil d’une organisation sur les réseaux sociaux peut révéler les noms, les fonctions, les coordonnées et d’autres informations concernant son personnel, ce qui permet d’accélérer la collecte de renseignements et de mettre au point des attaques convaincantes de type « », de phishing ( ) ou de «business email compromise» () ( ), note M. McGowan.
Des formations régulières et répétées destinées aux salariés, ainsi que des supports tels que des affiches et des bulletins d'information, constituent des moyens efficaces de sensibiliser et de maintenir cette prise de conscience. En prenant conscience des risques potentiels liés aux réseaux sociaux et en adoptant des mesures proactives pour atténuer ces menaces, les organisations peuvent mieux se protéger et protéger leurs parties prenantes. Quel que soit leur âge.
