Julia Sieger : Je vous propose qu’on continue à creuser ce sujet de la porosité entre les usages pros et persos, c’est un sujet que vous avez vu dans l’épisode, avec cette frontière qui, finalement, s’estompe de plus en plus. Entre le télétravail, les outils collaboratifs et aussi l’usage intensif des smartphones, nous naviguons en permanence entre ces deux univers sans même vraiment en prendre conscience. Cette porosité crée des nouvelles opportunités de flexibilité mais également, vous le savez, elle introduit des risques, notamment en matière de cybersécurité, de confidentialité des données, de gestion aussi des données.
Je vous propose tout de suite un éclairage avec Serge Tisseron et Francesca Musiani. Merci nous rejoindre.
Bienvenue. Je vous en prie, prenez place. Bonjour Serge.
Peut-être, avant de décrypter un petit peu plus cette frontière, cette porosité, pourrait-on définir déjà ce qu’est la porosité ? De quoi parle-t-on exactement ?

Francesca Musiani : Bonjour à toutes et à tous.
Quand on parle de porosité de manière générale c’est quand on a une frontière qui est censée être une séparation entre deux espaces et qui devient perméable, donc des éléments circulent d’un côté à l’autre.
Si on l’applique au numérique, cela veut dire que la frontière entre la sphère professionnelle et la sphère personnelle, quand on se sert de dispositifs numériques, n’est plus étanche, donc à la fois les outils, les usages et les données passent de l’un à l’autre. On a commencé à le voir avec la cybersécurité, c’est vraiment un enjeu majeur parce que ça brouille les périmètres de protection. Ce qui relève d’un environnement qu’on se plaît à considérer maîtrisé, comme une entreprise, devient mêlé à des environnements qui le sont beaucoup moins à commencer par nos usages personnels.

Julia Sieger : Je voudrais qu’on décortique maintenant un petit peu comment cette porosité, cette limite entre la vie pro et vie perso a évolué. Serge, vous dites que ça va très loin parce que finalement aujourd’hui, en tant qu’individu, on se construit son identité au travers des réseaux sociaux, au travers de nos portables, au travers des chatbots et, finalement, le portable est presque devenu une extension de nous avec une familiarité qui est quand même assez déconcertante.

Serge Tisseron : Tout à fait. Chacun construit son identité en interactivité, en interaction avec les autres, ça commence dès bébé, avec l’environnement, et ça continue toute la vie, les Américains parlent de théorie du miroir social. On se construit en fonction des retours des autres, de leur regard, de leur comportement et quelque chose a tout changé là-dedans, le smartphone. Le smartphone est devenu un espace à travers lequel on cherche des confirmations de soi, on confirme les autres avec un relatif anonymat, on ne regarde pas les yeux de ses interlocuteurs, on interagit sur des plateformes, du coup on a l’illusion que son smartphone créerait l’équivalent ce qu’est l’interaction sociale dans la réalité. Du coup, on devient perméable, on devient extrêmement perméable à de multiples influences qui peuvent être générées par des robots, par des influenceurs de profession, comme si c’étaient des partenaires de proximité que l’on connaît. Le smartphone est devenu aujourd’hui l’outil de porosité entre le monde privé et le monde public. Il faut, chacun, être vigilant sur l’utilisation qu’on fait de son smartphone parce qu’on risque tous d’être piégés, effectivement, de mélanger des photos professionnelles, des photos intimes, de photos coquines, et puis à interagir avec des IA en croyant que ce sont des humains.

Julia Sieger : Francesca.

Francesca Musiani : Je pense qu’on a tendance à baisser sa vigilance dans un cadre qui est privé, ou qu’on perçoit comme privé, et pourtant on a vu qu’une attaque réussie via un usage personnel peut avoir des conséquences professionnelles vraiment hyper importantes.

Julia Sieger : Cette porosité, cette confusion complique, vous l’avez dit un petit peu, de manière considérable la gestion de la sécurisation des organisations. Est-ce que vous pouvez nous en dire plus ?

Francesca Musiani : Je pense que ça la complique au moins à deux égards.
Un premier niveau c’est que ça multiplie les portes d’entrée, les points d’entrée pour les attaques. Un appareil personnel est souvent vraiment moins sécurisé qu’un poste professionnel, les mises à jour sont plus irrégulières, peut-être qu’on y pense moins. Des mots de passe plus faibles – nos chats et nos chiens sont très présents –, des applications qui sont peu ou pas contrôlées. Dès qu’il est utilisé pour le travail, il devient une porte d’accès potentielle au système d’information de l’entreprise.
Le deuxième aspect c’est que ça devient plus difficile de contrôler les accès, de sécuriser les terminaux de ce point de vue-là, de faire respecter les politiques de sécurité quand ça déborde du cadre strict de l’entreprise.

Julia Sieger : En quoi est-ce devenu un sujet de gouvernance ? Je crois que c’est un sujet que vous avez évoqué notamment dans votre dernier livre qui s’intitule La politique dans les réseaux – Pouvoirs et infrastructures numériques.

Francesca Musiani : En effet, c’est intéressant d’aller voir où se mêle la gouvernance dans ces histoires-là. Je pense qu’il y a plusieurs aspects là aussi.
Tout d’abord, ça pose un enjeu de responsabilité. Quand un incident survient via un usage hybride, il devient difficile de déterminer qui est responsable, la gouvernance peut donc aider à clarifier les rôles : ce qui relève de l’organisation, ce qui relève de l’utilisateur, où se situe une responsabilité éventuellement partagée, ce qui est de plus en plus souvent le cas.
Ça impose aussi de repenser les règles, c’est-à-dire que les modèles traditionnels sont basés sur un contrôle très strict et centralisé et on voit bien que ce n’est plus suffisant dans toutes sortes de situations. Il faut donc construire des cadres peut-être plus souples et, en même temps, mieux définis, de façon systémique, avec des exigences minimales de sécurité pour les appareils personnels, recours à l’authentification forte, segmentation des accès. Il y a toujours cet enjeu, un enjeu vraiment de gouvernance, de trouver un équilibre entre la sécurité et l’utilisabilité, avec un enjeu de réalisme, c’est de plus en plus comme cela. Si les règles sont trop contraignantes ou déconnectées des pratiques, elles finiront par être contournées avec tous les risques.

Julia Sieger : On l’a dit en introduction, le but c’est de faire de la cybersécurité un réflexe d’autant plus quand on est dans une situation contraignante, dans une situation d’urgence, finalement on a besoin d’avoir les bons réflexes. Serge, quels nouveaux réflexes faudrait-il développer aujourd’hui ?

Serge Tisseron : Tout d’abord, cette porosité du smartphone repose sur l’illusion de proximité, d’intimité. C’est la première chose contre laquelle il faut lutter parce que c’est le biais cognitif [1] le plus facilement utilisé, le biais de familiarité, on a vu aussi le biais d’urgence, le biais d’autorité, mais le biais de familiarité est le premier parce que tout ce qui passe par notre smartphone nous paraît extraordinairement proche, voire intime, on l’a dans la poche, on l’a contre soi.
Quels réflexes développer ?
Déjà d’établir des règles d’entreprise : quand quelqu’un nous appelle le rappeler, ne pas prendre de décision en urgence, cela a été dit, qui ne soit une décision collective.
Un élément sur lequel je voudrais insister, c’est quand l’attaque a été contenue ou après l’attaque. Il y a un biais qui est ravageur pour les entreprises, c’est le biais de la cause unique : on va chercher le responsable, et même si on ne le cherche pas pour le stigmatiser, chacun, chaque employé a tendance à se dire « ça doit bien être la faute de quelqu’un », c’est un peu l’idéologie du complot, s’il y a eu un problème, c’est la faute de quelqu’un. Il faut absolument lutter contre cela. Je crois que pour construire une résilience dans les entreprises, il y a beaucoup à faire en amont, il y a à faire beaucoup pendant la crise, mais il y a à faire aussi beaucoup après la crise pour éviter que des suspicions, des doutes sur les uns ou les autres, des crises de confiance arrivent. Il faut vraiment rétablir la confiance entre les gens pour que les gens, et c’est une forme de prévention, se sentent à leur aise. Dire « là il y a un truc que je ne comprends pas, qu’est-ce que tu en penses ? », aller voir le collègue, lui demander son avis. Cette espace de confiance mutuelle qui fait qu’on ne craint pas d’être pris pour un imbécile si on dit « qu’est-ce que cela veut dire ? Je ne reconnais pas le style de mon interlocuteur habituel, pourquoi on me demande de décider si vite ? »
C’est vraiment la confiance que les gens se portent les uns aux autres, la liberté qu’ils ont de parler qui va être la meilleure protection non seulement contre des attaques mais aussi contre le risque. Les conséquences des attaques peuvent aussi être délétères pour les entreprises.

Julia Sieger : Je voudrais aussi évoquer votre dernier livre qui s’appelle Machines maternelles – Quand l’IA prend soin de nous. Dans ce livre, vous vous allez encore plus loin dans ce fait de décortiquer un peu comment nous fonctionnons. Vous expliquez que les chatbots sont carrément en train de nous changer au niveau neurologique, ça change notre profil émotionnel et affectif aussi. Je crois que nous disons tous que nous interagissons avec des IA, mais, notamment, elles sont tout le temps en train de nous donner raison avec, aussi, une instantanéité des réponses.

Serge Tisseron : Tout à fait. L’humain apprend par imitation et répétition, à tout âge, et puis on apprend d’autant mieux par imitation et répétition qu’on apprend avec du plaisir. Quand on nous impose, la contrainte, on apprend quand même, mais ce n’est pas la même chose que si on a du plaisir à apprendre quelque chose, on apprend mieux. Il faut reconnaître que l’IA, de ce point de vue-là, est extrêmement gratifiante, est extrêmement encourageante. Il y a évidemment des conséquences cognitives, on peut s’en remettre à elle pour beaucoup de choses et finalement désapprendre, il y a le risque de désapprendre.
Ce qui m’intéresse ce sont les conséquences émotionnelles. N’oublions pas que l’IA n’a pas de corps, c’est une machine à blabla – du texte, du texte, de la parole, de la parole. L’IA va nous inviter à résoudre non seulement nos problèmes concrets en calculant les bénéfices et les risques, mais aussi nos problèmes émotionnels en calculant les bénéfices et risques. Vous connaissez quelqu’un, vous demandez à l’IA quoi faire, elle vous répond « je vais t’écrire un SMS », elle ne vous répond jamais « invite-la à prendre un café, va déjeuner avec elle. » Il y a donc vraiment un risque d’appauvrissement émotionnel parce que l’IA n’a pas d’émotions, tout simplement, qu’elle ne fait que les mimer.
Et, derrière le risque s’appauvrissaient émotionnel, il y a le risque d’isolement social parce qu’on est comblé avec les IA, on peut y passer des nuits, on est toujours gratifié.
Et il ne faut pas oublier, quand même, un risque politique à terme qui est que les gens ne cherchent pas de solutions collectives aux problèmes collectifs, ne cherchent que des solutions individuelles parce que l’IA est toute entière tournée vers les solutions individuelles.

Julia Sieger : Même qu’on ne réfléchisse plus individuellement, avec soi-même.

Serge Tisseron : Et même qu’on ait l’illusion que, finalement, les émotions c’est bien embarrassant, que si on pouvait les évacuer de sa vie, on fonctionnerait aussi efficacement qu’une IA. C’est cette fameuse phrase « Rien de grand ne s’est accompli sans passion », qui est vraiment l’antidote aux IA.

Julia Sieger : Francesca peut-être.

Francesca Musiani : Il y a une leçon que la gouvernance du numérique, pour d’autres sujets, nous a déjà apprise : édicter des règles top down n’est pas toujours la voie à emprunter. Parfois il vaut mieux partir d’une compréhension des usages qui sont souvent très hétérogènes et, après, sûrement encadrer, mais encadrer de manière pragmatique à partir de ces usages-là. Pour les générations à venir, cette idée de porosité professionnelle/personnelle est déjà probablement un peu la norme. On commence à voir les premières générations qui n’ont pas connu autre chose que cela. Cela suppose des évolutions de taille à la fois dans les organisations, qu’elles puissent vraiment intégrer cette réalité dans leur gouvernance et, d’autre part, bien sûr des individus mieux formés, ce qu’est en train de faire le Predictive Cyber Lab, qu’ils puissent développer très tôt les bons réflexes de cybersécurité à la fois individuelle et dans leur capacité de se rapporter à un collectif autour d’un écosystème.

Julia Sieger : Peut-être dans la minute qui nous reste, Serge, qu’est-ce qui vous a touché dans le film [Film de la série L’attaque, saison 2, programme de sensibilisation à la cybersécurité réalisé par le Predictive Cyber Lab, NdT ? Qu’est-ce qui vous a interpellé ?

Serge Tisseron : Dans ce que je viens de voir, c’est cette phrase du hacker qui dit « ce qui est une mine d’or pour nous ce sont les gens qui pensent que l’institution les protège et ils n’ont pas compris que ce sont eux qui protègent l’institution », j’ai trouvé ça formidable. Ça rejoint effectivement le travail de Francesca sur la gouvernance. Francesca dit bien que dans la gouvernance il y a une partie des États, il y a une partie des entreprises, il y a une partie des utilisateurs, c’est-à-dire que nous tous sommes coresponsables au même titre que les entreprises et les États. L’IA fait parfois un peu n’importe quoi mais nous sommes responsables de ce que nous faisons avec l’IA et nous sommes responsables de la manière dont on reçoit les informations que nous donne l’IA.
Ce qui frappe dans le film c’est que tout le monde est d’excellent bonne volonté, le hacker le résume très bien. Le problème c’est qu’il ne faut pas non plus devenir parano, toujours craindre la manipulation. Je crois que ce qui nous protège de ça c’est de prendre conseil auprès des collègues, comme je disais tout à l’heure, faire des réunions le plus souvent possible pour discuter des risques et prendre conscience du fait que l’expérience de chacun peut être utile aux autres. Que ce n’est pas seulement mon expérience intime, c’est aussi une expérience que d’autres peuvent avoir, même s’ils n’arrivent pas très bien en parler, donc parler des choses. Ça vient d’un psy, il ne faut pas que ça vous étonne !

Julia Sieger : Merci beaucoup à tous les deux. Merci de nous avoir aidés à prendre de la hauteur sur ce sujet. Merci infiniment.

[Applaudissements]