L'Europe avance lentement mais sûrement dans sa mise au pas des géants de la tech

Cette semaine, une étape importante a été franchie dans l’application échelonnée du Digital Services Act (DSA), le règlement européen censé mettre au pas les Gafam et toutes les autres plateformes du Web. Le texte prévoit une liste impressionnante de nouvelles obligations qui protégeront bien plus qu’avant les consommateurs européens. Voici ce qu’il faut retenir des derniers épisodes.

« Il est temps d’ouvrir la boîte noire ». C’est par ces mots qu’un des porte-parole de la Commission européenne annonçait, le 18 avril dernier, l’inauguration à Séville du Centre européen pour la transparence algorithmique. Voilà cinq mois que le règlement européen sur les services numériques, communément appelé « Digital Services Act » ou DSA, est entré en vigueur. Et comme un puzzle qui prend lentement forme, ce 18 avril marquait la toute dernière étape du long processus d’application de ce texte qui a commencé le 16 novembre dernier, date de son entrée en vigueur, et qui s’achèvera le 16 février 2024. Retour sur le chemin parcouru depuis cinq mois par le DSA dont l’objectif est de davantage protéger les consommateurs européens dans le monde impitoyable du Web.

17 février : la déclaration du nombre d’utilisateurs

Les règlements européens sont des textes de loi qui s’appliquent normalement dans toute l’Europe, dès leur publication au Journal officiel de l’Union européenne (UE). Mais le DSA entraîne de tels changements de normes que les législateurs ont opté pour une mise en application échelonnée. Car désormais, tout ce qui est interdit hors ligne va l’être en ligne. Alors que jusqu’à présent, les 10 000 acteurs du Web étaient peu ou rarement responsables des contenus diffusés sur leurs plateformes, les règles vont changer. Et elles vont davantage protéger les droits fondamentaux des Européens. 

Résultat, le chantier est tel qu’après sa date d’entrée en vigueur officielle – le 16 novembre 2022 – il a fallu attendre le 17 février dernier pour qu’une nouvelle étape soit franchie dans l’application du texte.

Les très gros acteurs du Web avaient jusqu’à la mi-février pour déclarer leur nombre d’utilisateurs. Cette phase d’auto-déclaration a permis d’identifier les « très grandes plateformes en ligne » (« Very large online platforms », VLOP) ou les « très grands moteurs de recherche en ligne » (« Very large Online Search engine », VLOSE), ceux qui ont plus de 45 millions d’utilisateurs, un chiffre correspondant à 10% de la population totale de l’UE. Le fait d’être un VLOP ou un VLOSE signifie qu’il faudra respecter des obligations bien plus strictes que celles destinées aux plus petits acteurs. 

La raison ? Ces géants, de par leur puissance, leur force de frappe et leur capacité à influencer les opinions et les élections, représentent « un risque systémique pour l’ensemble de la société », explique la Commission européenne.

Les grandes plateformes déjà en pleins préparatifs

Pour les réguler, l’UE a dressé une liste assez impressionnante de nouvelles obligations à respecter. Et au vu de ce qui est demandé, de nombreuses entreprises se préparent déjà à s’y conformer. Le DSA s’appliquera en effet de manière échelonnée : en février 2024, les 10 000 plateformes du Web utilisées par les citoyens européens – une catégorie qui comprend autant les réseaux sociaux que les places de marché ou les messageries, qu’ils aient ou non leur siège en Europe, devront se plier au nouveau texte, sans exception. Mais ce sont les VLOP et les VLOSE qui devront, les premières – et dès l’été 2023 – montrer patte blanche.

Ils devront par exemple expliquer comment fonctionnent leur modération – et si elle n’est pas suffisante, ils seront obligés d’y remédier. Leurs services publicitaires et les algorithmes utilisés seront aussi étudiés. Ils ne pourront plus recourir aux dark patterns – des interfaces destinées à manipuler l’utilisateur au moment de faire un choix. La publicité ciblée sera plus encadrée. Tous les ans, ces très grosses plateformes devront aussi analyser « les risques systémiques » provoqués par leur service.

Ils devront pour ce faire répondre aux questions suivantes : les contenus diffusés sur leur plateforme mettent-ils en danger les droits fondamentaux des utilisateurs ? La société en question lutte-t-elle contre la désinformation, la haine et la violence en ligne ? Après avoir fait un état des lieux, ils devront adopter des correctifs ou des atténuations. Ils auront aussi l’obligation de réaliser un audit externe tous les ans. Et en cas de non-respect, la sanction est salée : ils devront payer une amende correspondant à 6% de leur chiffre d’affaires annuel mondial.

En avril : les VLOP et VLOSE officiellement listés

Qui sont ces VLOP et VLOSE ? Wikipedia en tient une liste disponible ici. On retrouve, sans surprise, Apple, Google, Booking, Alibaba, Facebook, Microsoft, Amazon, TikTok, Twitter, Snapchat, Pinterest et Wikipedia. Toutefois, malgré ces auto-déclarations, la Commission européenne ne les a pas encore officiellement désignés comme tels. Mais elle a expliqué le 18 avril qu’elle allait très prochainement publier une liste.

Quatre mois pour se conformer au DSA

À compter de cette publication commencera un délai de quatre mois. Les VLOP et les VLOSE auront donc en théorie jusqu’à la fin août, si cette déclaration a lieu avant la fin du mois d’avril, pour se plier aux obligations du DSA. Cette échéance est très courte, et les équipes des sociétés concernées s’attellent déjà à mettre en place des procédures et des équipes pour s’y conformer. Ce n’est cependant pas le cas de Twitter.

En février dernier, le réseau social avait été rappelé à l’ordre par la Commission européenne. Bruxelles avait demandé à certaines sociétés, dont celle d’Elon Musk, en amont de l’application du DSA, de lui fournir un rapport. L’objectif de ce document : lister tous les moyens mis en place pour garantir l’application du code de bonnes pratiques contre la désinformation, une sorte de charte contre les fake news dans l’UE intégrée au DSA.

Twitter a été la seule société à ne pas avoir rendu un dossier complet. Et cela ne serait pas près de s’améliorer. Comme nous l’avons précédemment expliqué, le groupe s’est délesté de ses équipes de modération lors des dernières vagues de licenciements. Elon Musk a expliqué qu’il comptait à la place sur l’IA et à des bénévoles pour gérer la modération, rapportait le Financial Times. Il est donc fort à parier que l’application du DSA ira de pair avec un conflit avec Twitter. 

L’Arcom désignée comme l’autorité nationale en charge des petites plateformes

Autre étape franchie, l’Arcom a été désignée en France pour surveiller les petites plateformes, selon une information de Contexte du 11 avril dernier qui n’a pas encore été confirmée officiellement. L’autorité née de la fusion entre l’Hadopi et le CSA aura donc le rôle de coordinatrice nationale pour les services numériques, chargé de contrôler le respect du DSA en France. La Commission européenne sera, elle, chargée de la surveillance des VLOP et VLOSE dans toute l’Union européenne. 

18 avril : l’ECAT compte 10 salariés

Cette semaine enfin, le Centre européen pour la transparence algorithmique (ECAT) a été inauguré en Espagne. Il devrait à terme être composé de 40 personnes (il n’en compte que 10 pour l’instant, selon Le Figaro). La Commission pourra se reposer sur ces chercheurs spécialistes des systèmes algorithmiques pour analyser les pages des rapports d’évaluation des risques systémiques fournis par les géants du Web. Ce sont eux qui devront mettre les mains dans le cambouis et plonger dans les détails algorithmiques de ces sociétés. Ils seront capables de livrer des analyses techniques et des évaluations d’algorithmes, et étudieront l’impact sociétal à long terme des très grosses plateformes. 

Selon des analystes, tous les regards se tourneront vers ces super assistants IT de la Commission européenne. C’est par eux que la crédibilité du DSA sera jugée. L’UE réussira-t-elle à appliquer son DSA, et à mettre au pas les Gafams ? Les prochains mois nous le diront.