Le chiffre de 18 milliards a bouffé tous les titres cette semaine. C’est exactement ce que Meta voulait.

Le vrai sujet est enterré une quarantaine de pages plus loin dans l’accord signé mercredi avec 29 États américains. Les procureurs généraux, en échange du chèque, ont accepté « fully, finally, and forever » de ne plus jamais poursuivre Meta au titre de COPPA ou de lois d’État équivalentes sur la collecte de données des mineurs. Toutes poursuites passées, présentes et futures, rayées.

Il y a une contrepartie technique. Meta doit, sous un an, développer un modèle de détection des utilisateurs de moins de 13 ans pour les exclure de ses plateformes. Pour entraîner ce modèle, il faut des données comportementales de mineurs. Beaucoup. L’accord précise que ces données ne serviront ni au ciblage publicitaire, ni au marketing, ni à l’optimisation algorithmique, et qu’un auditeur indépendant vérifiera l’étanchéité.

Voilà où l’affaire devient intéressante.

Sommaire

• Pour protéger les mineurs, on organise leur surveillance massive
• Le vrai coup de business est ailleurs
• Deux modèles de régulation, un seul aboutit
• Ce qu’on est en train d’inventer, sans le dire

Pour protéger les mineurs, on organise leur surveillance massive

Récap. Les États attaquent Meta parce que la firme collecte trop de données sur les mineurs. Pour régler l’affaire, les États autorisent Meta à collecter davantage de données sur les mineurs. Sous condition d’usage restreint.

C’est le paradoxe central de toute régulation « protectrice » à l’ère des modèles. Détecter automatiquement qu’un utilisateur a moins de 13 ans exige de scruter son comportement en continu. Durée de session, style d’écriture, comptes suivis, heure de connexion, choix de contenu, patterns d’interaction. Un modèle statistique performant sur cette tâche est, mécaniquement, un modèle de profilage extrêmement fin. La différence entre « détecter un mineur » et « profiler un mineur » tient à la promesse de ne pas utiliser les signaux ailleurs. Une promesse.

L’auditeur indépendant regardera. Mais comme le note Sarah Perez chez TechCrunch, on ne sait pas encore quelles données Meta retiendra pour l’entraînement, combien de temps, ni comment ces modèles évolueront à mesure que les termes de l’accord sont respectés. Isoler techniquement des signaux comportementaux du reste d’une infrastructure publicitaire de plusieurs centaines de milliards de dollars n’a jamais été fait à cette échelle.

Le vrai coup de business est ailleurs

Les 18 milliards font joli en titre. Décomposons.

Le montant est étalé sur dix ans, en versements annuels. Environ 70 % (12,7 milliards) reviennent effectivement aux États participants. Les 30 % restants, soit 5,3 milliards, ne sont versés que si TikTok et YouTube adoptent le même framework de protection, à savoir une limite d’usage d’une heure par jour, un Night Mode, des mesures d’age-assurance, et acceptent de mettre un montant équivalent au pot. Autrement dit, Meta a introduit une clause qui transforme un tiers de sa sanction en levier contre ses concurrents directs.

Face à ça, Meta estimait dans un filing de juillet une exposition maximale à 1 400 milliards de dollars ; les quatre États meneurs (Californie, Colorado, New Jersey, Kentucky) communiquaient plutôt sur environ 200 milliards de pénalités civiles au procès.

Le procès venait de démarrer le 18 août. Zuckerberg devait témoigner. Mosseri était à la barre depuis deux jours. Meta a signé un règlement à 18 milliards théoriques, dont un tiers conditionnel, étalé sur dix ans, sans reconnaître aucune faute.

C’est un miracle judiciaire.

Les mesures d’age-assurance de cet accord portent toutes les marques d’une négociation lourde, et peut-être hâtive.

Jessica Nall, avocate chez Withers, va dans le même sens à TechCrunch. Le vrai impact en dollars est nettement plus mou que ce que le chiffre de 18 milliards laisse penser. Ce qu’obtiennent les procureurs généraux, c’est surtout une victoire politique et un jeu d’engagements sur les usages adolescents. Ce qu’obtient Meta, c’est de la clarté juridique pour dix ans.

Deux modèles de régulation, un seul aboutit

Comparons avec ce qui se passe en Europe sur exactement le même sujet.

Chat Control repart en trilogue fin septembre sous présidence irlandaise. La loi française sur les moins de 15 ans est vidée par l’article 45 sans que personne ne trouve le levier technique pour l’appliquer. Le DSA multiplie les obligations de reporting. Le DMA impose des architectures qu’Apple contourne au fur et à mesure. Chaque couche de règles vit sa vie, contredit la précédente, sans jamais trancher entre « protéger les mineurs » et « ne pas surveiller tout le monde pour y arriver ».

Aux États-Unis, le régulateur affronte la même contradiction. Il la résout brutalement. Les États plient leur propre loi pour permettre à l’industrie de construire l’outil. C’est autoritaire et contestable, sans doute une erreur pour la vie privée. Mais c’est un aboutissement. En un an, Meta doit livrer un modèle. Dans deux ans, on saura s’il fonctionne. L’Europe, elle, en sera encore à débattre du principe.

Il y a quelque chose de proprement libertarien dans cet accord, au sens américain du terme. La loi cède quand elle empêche le résultat souhaité, et personne ne prétend le contraire. En France on ferait la même chose en catimini, en jurant sur trois textes contradictoires que ce n’est pas le cas.

Ce qu’on est en train d’inventer, sans le dire

La FTC n’est pas partie à cet accord. Philip Yannella chez Blank Rome le note. COPPA est une loi fédérale, principalement appliquée par la FTC, pas par les États. Rien n’empêche donc l’agence fédérale de poursuivre Meta sur les mêmes faits demain, avec les mêmes données. La protection obtenue est étatique, pas fédérale. En pratique, elle limite quand même sérieusement les recours possibles, parce que ce sont les procureurs d’État qui portaient l’attaque frontale.

Le vrai précédent créé par ce deal est ailleurs. Une loi fédérale de protection de l’enfance devient négociable état par état, dans le cadre d’accords privés, sans que le Congrès n’ait jamais eu à trancher la question sous-jacente. Combien de données peut-on collecter sur des mineurs pour construire les outils censés les protéger ?

La réponse, telle qu’elle vient d’être écrite dans un cabinet d’avocats de Californie plutôt qu’au Capitole : autant que nécessaire, tant qu’un auditeur regarde.

On ne peut pas parler ici de victoire pour les mineurs, ni non plus de défaite. Il s’agit d’autre chose. Une privatisation silencieuse de COPPA, et le point qui devrait faire discussion, c’est celui-là, pas le chèque.

Si cet article t’a été utile, n’hésite pas à me le dire en commentaire. Tu peux aussi soutenir le blog en faisant tes achats Amazon via ce lien.