L'accord de Meta avec 51 procureurs généraux d'États engage l'entreprise à verser au moins 12,1 milliards de dollars, un montant qui a dominé les gros titres sur cet accord. Mais selon les informations de Security Boulevard, l'argent pourrait être la partie la plus facile à fournir pour Meta. Chaque engagement en matière de sécurité des adolescents intégré à l'accord, de la limitation des contenus nocifs à la restriction des personnes pouvant contacter les mineurs, dépend de la capacité fiable de Meta à savoir lesquels de ses utilisateurs ont moins de 18 ans. Cette capacité n'existe actuellement sous aucune forme éprouvée et respectueuse de la vie privée, ce qui transforme cet accord en quelque chose de plus important qu'un simple paiement : c'est un mandat de vérification de l'âge sans technologie établie derrière lui.

Ce que l'accord de Meta exige réellement au-delà de l'argent

Le chiffre qui fait la une, qu'il soit présenté comme 12,1 milliards de dollars ou le montant plus élevé de 18 milliards de dollars rapporté ailleurs, tend à éclipser les exigences opérationnelles enfouies dans le texte de l'accord. Comme l'a rapporté une précédente couverture sur la façon dont l'accord de 18 milliards de dollars de Meta met la vérification de l'âge à l'épreuve, l'accord n'est pas seulement une pénalité financière. Il oblige Meta à construire et à maintenir des systèmes capables de distinguer les mineurs des adultes sur ses plateformes avec suffisamment de confiance pour justifier des mesures d'application comme la restriction des messages, la modification des flux de contenu et la limitation du ciblage publicitaire.

C'est un problème d'ingénierie beaucoup plus difficile que d'écrire un chèque. Les accords financiers ont un point final défini. Les exigences de vérification de l'âge n'en ont pas : elles exigent que Meta vérifie en continu l'âge à grande échelle, sur des milliards de comptes, d'une manière que les régulateurs et les tribunaux peuvent auditer pour vérifier la conformité. Si la méthode de détection sous-jacente est inexacte ou incohérente, l'entreprise risque de se retrouver à nouveau devant les procureurs généraux, cette fois pour ne pas avoir respecté les termes de l'accord même censé résoudre le litige.

Comment fonctionne la vérification de l'âge et quelles données elle collecte

La vérification de l'âge est le terme générique désignant les méthodes utilisées par les plateformes pour estimer ou confirmer l'âge d'un utilisateur. En pratique, cela se répartit généralement en quelques catégories : les dates de naissance auto-déclarées, faciles à falsifier et offrant peu de protection réelle ; les téléversements de pièces d'identité gouvernementales, qui exigent que les utilisateurs fournissent un scan de leur permis de conduire ou passeport ; les vérifications par moyen de paiement, qui utilisent une carte de crédit comme indicateur approximatif de la majorité ; et l'estimation faciale de l'âge, qui analyse une photo ou une vidéo du visage d'un utilisateur pour deviner une tranche d'âge.

Meta a déjà commencé à expérimenter des éléments de cette pile technologique. L'entreprise a récemment publié ce qu'elle a appelé sa première référence de précision pour ces outils, une tentative de quantifier la fréquence à laquelle les systèmes d'estimation de l'âge voient juste, détaillée dans la couverture de la première référence de précision de Meta pour la vérification de l'âge. Par ailleurs, l'entreprise teste des fonctionnalités de confirmation de l'âge sur de grands marchés, notamment un test couvrant le déploiement par WhatsApp de la confirmation de l'âge pour les 600 millions d'utilisateurs indiens. Chacun de ces programmes pilotes collecte une forme de données biométriques ou d'identité, que ce soit un scan facial, un document d'identité ou des signaux comportementaux utilisés pour déduire l'âge.

Les risques en matière de vie privée et de biométrie d'une technologie de détection de l'âge non éprouvée

C'est ici que le coût réel de l'accord apparaît, non pas en dollars mais en données. Pour convaincre les procureurs généraux qu'il protège réellement les mineurs, Meta a tout intérêt à collecter davantage d'informations de vérification d'identité auprès de davantage d'utilisateurs, pas seulement les adolescents. L'estimation faciale de l'âge nécessite une photo en direct ou téléversée. La vérification d'identité nécessite de scanner un document gouvernemental. Les deux créent des enregistrements sensibles qui n'avaient pas besoin d'exister auparavant pour la plupart des comptes de réseaux sociaux.

Le problème est qu'aucune de ces méthodes n'a fait ses preuves en termes de précision ou de sécurité à l'échelle où Meta opère. Un modèle d'estimation faciale entraîné sur une population peut mal évaluer une autre. Un système de téléversement de pièces d'identité crée un pot de miel de documents gouvernementaux liés à des comptes de réseaux sociaux, une cible attrayante pour quiconque cherche à commettre un vol d'identité ou une prise de contrôle de compte. Et comme l'accord ne précise pas quelle méthode Meta doit utiliser, seulement que l'âge doit être connaissable, l'entreprise a tout intérêt à superposer plusieurs systèmes imparfaits plutôt que de s'engager sur celui qui protège le mieux la vie privée des utilisateurs.

Les adolescents ou les utilisateurs soucieux de leur vie privée peuvent-ils éviter cette couche de surveillance

Pour l'instant, rien n'indique que les utilisateurs, adolescents ou adultes, pourront se soustraire aux contrôles de vérification de l'âge une fois que Meta les déploiera à grande échelle. Les termes de l'accord sur la sécurité des adolescents dépendent de la connaissance de l'âge d'un utilisateur, ce qui signifie que l'entreprise a peu de marge pour rendre la vérification facultative si elle veut éviter de violer l'accord qu'elle vient de signer. Les adultes utilisant les plateformes de Meta doivent s'attendre à ce que toute initiative visant à segmenter les utilisateurs par âge touche éventuellement tous les comptes, pas seulement ceux soupçonnés d'appartenir à des mineurs, car l'entreprise a besoin d'un moyen défendable de prouver le statut d'âge de chacun.

Ce que cela signifie pour vous

Si vous utilisez Facebook, Instagram, WhatsApp ou d'autres produits de Meta, attendez-vous à des invites vous demandant de confirmer votre âge par de nouveaux moyens dans les mois à venir. Cela pourrait inclure des scans faciaux, des téléversements de pièces d'identité ou des vérifications par paiement. Avant de soumettre toute donnée biométrique ou document d'identité, vérifiez ce que Meta dit qu'il fera de ces données, combien de temps elles sont conservées et si elles sont partagées avec des tiers à des fins de vérification. Les parents d'adolescents doivent prêter une attention particulière à la façon dont ces systèmes interagissent avec les contrôles parentaux existants, car une détection inexacte de l'âge pourrait soit sur-restreindre le compte d'un adolescent, soit ne pas détecter un compte qui devrait être signalé.

Points clés à retenir

L'accord de Meta pourrait être mémorisé pour son montant, mais son impact durable se mesurera à la quantité de données d'identité et biométriques que l'entreprise finira par collecter pour prouver sa conformité. La technologie de vérification de l'âge est encore non éprouvée à l'échelle exigée par cet accord, ce qui signifie que les premiers déploiements seront probablement imparfaits et que les compromis en matière de vie privée seront importants. Les utilisateurs qui souhaitent rester informés devraient surveiller les mises à jour sur les références de précision et les programmes pilotes de Meta, car ceux-ci indiqueront à quel point le système final sera intrusif. En attendant, traitez toute demande de scan de pièce d'identité ou de vérification faciale provenant d'une application Meta avec la même vigilance que vous appliqueriez à toute entreprise demandant des documents personnels sensibles, car l'accord garantit que la demande arrivera, pas que la technologie qui la sous-tend est prête.