Meta MCI et suivi des employés: risques pour la vie privée

Imaginez chaque mouvement de souris, chaque copier-coller et chaque modification de code tard dans la nuit enregistrés et stockés. C'est l'image dressée par des documents internes fuités au sujet d'un nouveau système de suivi de Meta appelé MCI, et cela inquiète les experts en vie privée en Europe.

Meta a déployé MCI comme un outil pour observer la façon dont les employés interagissent avec des logiciels et des sites web, prétendument pour recueillir des données d'utilisation réelles afin d'entraîner des assistants IA. L'entreprise a déclaré au public en avril que le système serait limité au personnel basé aux États-Unis. Mais les documents révèlent une réalité différente : MCI surveillerait plus de 200 applications et sites web, capturerait les clics et les mouvements du curseur, et récupérerait le contenu du presse-papiers, les historiques de navigation, les modifications de code et même les horodatages d'allumage et d'extinction des machines.

Les employés se sont opposés presque immédiatement. Des protestations, des pétitions et des tracts ont circulé au sein des équipes. Certains craignaient que les données soient utilisées pour entraîner des modèles susceptibles de remplacer leurs fonctions. D'autres ont souligné un problème pratique : la forte consommation réseau de l'outil aurait fait fondre les allocations mensuelles d'internet de certains travailleurs en quelques jours.

La révélation la plus alarmante est que MCI enregistre les e-mails et les messages envoyés aux employés basés aux États-Unis, quel que soit le lieu d'expédition, ce qui signifie que le personnel européen qui contacte des collègues américains pourrait voir ses communications enregistrées. Cette admission, selon des juristes, place Meta directement sous la surveillance du Règlement général sur la protection des données en Europe. Même une collecte limitée ou accidentelle des données personnelles des employés de l'UE peut déclencher des obligations au titre du RGPD et des mesures d'application potentielles.

L'analyse d'un initié suggère que les données sont conservées sans chiffrement et pourraient être utilisées pour assembler des profils comportementaux détaillés : comment les ingénieurs écrivent du code, quelles pages web visitent les collègues, et quand les postes de travail sont allumés ou éteints. Les défenseurs de la vie privée avertissent que de tels profils correspondent exactement au type de surveillance susceptible d'étouffer l'autonomie au travail et d'éroder la confiance.

Les porte-parole de Meta affirment que le personnel non américain a été informé de la présence du système lorsqu'il interagit avec des collègues basés aux États-Unis et que l'entreprise conçoit des outils pour se conformer aux lois sur la vie privée applicables tout en atténuant les risques pendant le développement. La Commission irlandaise de protection des données, principal régulateur de Meta dans l'UE, n'a pas publié de réponse formelle au moment de la rédaction. Des groupes de défense des libertés civiles et des avocats spécialisés en données demandent une enquête indépendante rapide.

Il y a ici des questions pratiques et éthiques, pas seulement juridiques. Qui décide quels signaux provenant d'un clavier ou d'un curseur constituent un enseignement produit et lesquels relèvent d'une surveillance intrusive ? Alors que les entreprises technologiques se précipitent pour affiner l'IA avec des données d'utilisation réelles, l'équilibre entre l'innovation et la vie privée des travailleurs sera mis à l'épreuve tant devant les tribunaux que dans les bureaux des régulateurs.