Contexte réglementaire
Le Digital Services Act (DSA) de l’Union européenne, entré en vigueur en 2024, impose aux plateformes qualifiées de very large online platforms (VLOP) de dépasser 45 millions d’utilisateurs actifs mensuels dans l’UE, de publier des informations détaillées sur leurs algorithmes de recommandation, leurs publicités et leurs pratiques de partage de données. Duolingo, Strava et Ticketmaster figurent parmi les VLOP, ce qui les place sous le champ d’application complet du texte.
Obligations techniques de transparence
Le DSA exige que chaque plateforme fournisse une description générale des paramètres principaux qui influencent le classement ou la recommandation de contenus. Concrètement, les équipes produit doivent intégrer dans leurs pipelines de machine‑learning des points d’arrêt (hooks) qui enregistrent les variables de pondération (ex. : score d’engagement, historique de recherche, localisation). Ces logs doivent être exportables dans un format lisible (JSON ou CSV) et accessibles via une interface d’administration interne afin de répondre aux demandes d’audit des autorités européennes.
En outre, les plateformes doivent mettre à disposition un registre public des publicités contenant l’identité du sponsor, le budget, la cible démographique et la durée de diffusion. Cette exigence implique la création d’une API RESTful sécurisée (OAuth 2.0) qui expose chaque campagne publicitaire sous forme d’objet structuré, avec un horodatage ISO 8601 et un identifiant unique fourni par le système interne de gestion des annonces.
Accès aux données pour les acteurs économiques
Le DSA impose aux VLOP de proposer aux entreprises concurrentes un accès « non discriminatoire » aux données générées par leurs services, notamment les flux d’activité (ex. : parcours d’entraînement sur Strava, historiques d’apprentissage sur Duolingo, transactions de billets sur Ticketmaster). Cette obligation se traduit par le déploiement d’API de type GET /v1/users/{id}/activities ou GET /v1/courses/{id}/progress, avec des quotas journaliers clairement définis et un mécanisme de contrôle d’accès basé sur le principe du moindre privilège.
Pour garantir la conformité, les équipes d’ingénierie doivent implémenter des contrôles de cohérence (checksum SHA‑256) afin d’assurer l’intégrité des données exportées, tout en respectant les exigences du RGPD concernant la pseudonymisation et le droit à l’effacement.
Impacts opérationnels et limites
La mise en conformité implique des coûts d’infrastructure non négligeables : stockage supplémentaire pour les logs d’algorithmes, bande passante accrue pour les API publiques, et mise en place d’un processus de revue juridique continu. Les trois entreprises ont annoncé des plans d’investissement de plusieurs dizaines de millions d’euros pour adapter leurs architectures cloud (migration partielle vers des zones de données européennes, chiffrement au repos avec AES‑256). Toutefois, le texte du DSA ne précise pas de métriques de performance pour les explications algorithmiques, ce qui laisse une marge d’interprétation et rend difficile l’évaluation de la charge serveur réelle.
En résumé, Duolingo, Strava et Ticketmaster doivent réviser leurs pipelines de recommandation, créer des interfaces d’accès aux données et publier des registres publicitaires afin de satisfaire les exigences de transparence et d’équité du DSA. Le défi principal réside dans l’équilibre entre la visibilité imposée par la loi et la protection des secrets commerciaux liés aux modèles d’apprentissage automatique.
