L’intangible, toujours plus intangible… jusqu’à néant?

Sans vouloir trop trahir mon âge, je fais partie de la première génération à avoir joué sur une console de jeux. Alors, tu achetais un appareil puis une cartouche et, en principe, pouvait jouer pour toujours, pour le prix d’achat de ton jeu. Comme une boite de Monopoly, c’était simple, durable, permanent même.

Au début de ma pratique en droit des TI (avant 2000, c’est bien dire), on faisait beaucoup de licences de logiciels. C’était ce qui s’avérait pertinent, dont pour nombre de PME québécoises faisant dans le logiciel. Les entreprises vendaient alors des licences, peut-être par la vente de boites et/ou de CD d’installation qu’on accompagnait d’une licence d’utilisation du produit (une fois installé). Ça, c’était il y a 20 ans+. Puis les choses se sont mises à changer quand Microsoft a commencé à envisager opter pour une autre formule.

Plus tard pendant ma carrière, un de mes anciens patrons adorait acheter des outils qu’on utiliserait ensuite dans son entreprise pendant des années et des années, et des années. Il répartissait ainsi un coût unique sur plusieurs années, lui permettant ainsi d’augmenter notre profitabilité par cette petite manœuvre d’économie. Du grille-pain au logiciel de comptabilité, tout y passait. Bien que cela a longtemps fonctionné, aujourd’hui, cette époque est largement révolue, particulièrement en matière de contenus et de logiciels.

Bon exemple: un ami m’apprenait cette semaine que Walt Disney vient de décider de cesser d’offrir dorénavant ses films d’animation en format tangible, tel qu’en format DVD ou Blu-Ray. À l’avenir, vous voulez voir un film de Disney, voyez le en salle ou… sur le service de streaming Disney +. C’est ça ou rien. Plus question pour vous d’acheter The Lion King en DVD puis pour vos enfants de le regarder ad nauseam sans que la société Disney ne puisse continuer à en tirer profit soir après soir. Non, cette époque, c’est du passé.

C’est assez représentatif de l’aboutissement du mouvement global d’abandon des licences et des copies tangibles qu’on voit se pointer depuis 20 ans. Dorénavant, ce que veulent la plupart des entreprises qui produisent quelque chose d’intangible, c’est de nous placer en formule d’abonnement. Le mot d’ordre dorénavant : pas d’abonnement, pas de produit. Après tout, pourquoi demeurer dans une situation où on doit perpétuellement convaincre de nouveaux clients d’acheter? Pas mal plus facile de prévoir en vendant des abonnements et d’éviter (notamment) les clients qui achètent une fois, puis s’entêtent à refuser de migrer vers les versions futures, question d’économiser, puisqu’ayant déjà payé à l’achat initial. Non, en 2022, tu veux être en streaming, ou l’équivalent de.

Première conséquence de cette tendance lourde, nous sommes tous (personnellement et comme entreprise) sujet à un nombre croissant de demandes de nous abonner, c’est à dire d’accepter de payer un frais d’abonnement périodique, pour toujours. Plus question de payer une fois puis de continuer à utiliser le grille-pain pendant 35 ans, ce qu’on veut dorénavant c’est plutôt de nous vendre un service de livraison quotidienne de pain grillé, mois après mois, après mois. C’est évidemment l’attrait pour les entreprises productrices : passer d’un schème de fabrication/vente « un à la fois », à un schème d’abonnement continuel perpétuel, sans possibilité pour l’acheteur de « débarquer », du moins pas sans totalement se priver du produit/service.

Deuxième conséquence, les producteurs des produits/services en question peuvent dorénavant faire évoluer leurs produits et contenus, de façon continuelle, sans jamais risquer qu’une partie des usagers refuser de migrer, encore une fois du moins sans totalement se priver du produit/service. Pas besoin de vendre l’idée d’une belle nouvelle mouture de votre plateforme quand tous les usagers doivent obligatoirement accéder à UNE seule et même version de la plateforme, dès qu’ils veulent l’utiliser. Pas mal plus simple à gérer, dans un sens.

Évidemment, un inconvénient de cette approche, c’est qu’en tant qu’usager, on peut voir disparaitre n’importe quelle caractéristique ou fonctionnalité du «produit», du jour au lendemain. Si le producteur décider d’éliminer une fonctionnalité X, vous pouvez accéder le lundi, bénéficier de X, puis accéder à nouveau le mardi et réaliser que X a tout simplement été éliminé -désolé, cela ne fait plus partie de notre produit. Vous n’aimez pas? Trouvez-vous un autre produit/service. Vous avez déjà payé pour l’année? Eh bien, dommage pour vous mais c’est comme ça. Bien que juridiquement on puisse peut-être y trouver quelque chose à dire, en pratique c’est ce qui arrive bien.

Pire encore, une fois la conversion effectuée vers une vrai formule d’abonnement (ou de location, en un sens), on peut même pousser cela une coche plus loin. En effet, dans les pires cas, on peut même pousser l’odieux jusqu’à faire carrément disparaitre un produit « intangible » de ceux qui sont offerts et pour lesquels des usagers ont peut-être payé. Récemment, par exemple, certains éditeurs de jeux d’ordinateur (ludiciels) « retirent » certains titres des plateformes comme STEAM, par exemple quand il s’agit d’un titre publié il y a déjà plusieurs années. Certains joueurs se voient ainsi privés de pouvoir accéder à certains jeux qu’ils pouvaient pourtant croire avoir plus ou moins acheté sur la plateforme de jeux. Une fois le serveur désactivé par l’éditeur, les joueurs ne peuvent alors plus accéder au ludiciel en question, lequel cesse alors essentiellement d’exister. C’est un peu comme voir votre voiture disparaitre de l’entrée d’un coup de baguette magique. Pouf!

Remarquez, tout cela, c’est un peu l’aboutissement logique de toute cette désincarnation des contenus. À force de rendre le tout numérique de plus en plus désincarné et virtuel, de moins en moins concret, on finit par aboutir à… rien. Ce n’est évidemment pas pour dire que cette tendance se renversera, mais la chose mérite néanmoins réflexion, si vous le demandez, incluant pour ce qui est de l’usage d’outils dont se servent des entreprises.

Et dire que je me souviens encore du rédacteur en chef d’une revue juridique en P.I. bien en vue qui m’avait refusé un article sur le début du déclin du modèle de la licence perpétuelle de logiciel, en disant que cela ne changerait rien à rien. J’aimerais bien le recroiser pour voir ce qu’il en pense maintenant!

Un pas de plus vers l’adoption du projet de loi canadien C-27 et d’une nouvelle loi en matière d’IA

Le projet de loi fédéral C-27, visant à effectuer une mise à jour substantielle des lois canadiennes en matière de renseignements personnels,  passait récemment en deuxième lecture, nous rapprochant ainsi allègrement d’une adoption éventuelle.

Comme on s’en souviendra, C-27 implique une série de modifications visant à renforcer passablement les règles s’appliquant aux entreprises canadiennes (à l’extérieur d’une seule province) en matière de données personnelles. À l’instar de ce qui se fait actuellement au Québec, on a en effet réalisé depuis un moment que nos règles datant de 1999-2000 étaient maintenant dépassées, ce qui justifie une refonte de toute la loi, en plus de l’inclusion de nouvelles règles et même de créer un nouveau tribunal spécialisé qui entendra certaines des affaires en matière de renseignements personnels.

Le Ministre responsable de ce projet de loi réitérait récemment que le but de l’exercice comprend notamment redonner aux consommateurs canadiens le contrôle sur leurs données.

Ce projet comprend aussi l’adoption d’une toute nouvelle loi (la Loi sur l’intelligence artificielle et les données du gouvernement du Canada) qui régirait l’usage de l’intelligence artificielle, incluant par les entreprises canadiennes, notamment par rapport à la conception et la mise en oeuvre de ce genre de système. Cette nouvelle loi spécifique (surnommée « LIAD », en français) interdira entre autres certains comportements vus par la loi comme trop susceptibles de causer de graves préjudices aux Canadiens, incluant pour ce qui est des droits de la personne et des valeurs de la société canadienne. La LIAD obligera notamment ceux qui créés et utilisent l’IA à déployer des mesures d’évaluation et d’atténuation des risques, surveiller la conformité de leurs systèmes, faire preuve de transparence, tenir des registres spéciaux, informer le gouvernement en certains cas, etc.

La nouvelle incarnation de ces nouvelles lois en la matière comprendra notamment des sanctions que plusieurs qualifient de draconiennes, incluant des sanctions basées sur les revenus mondiaux des entreprises délinquantes, etc.

Le Gouvernement canadien réaffirme avoir la ferme intention de voir à adopter ces projets de loi dans la période à venir. La question n’est donc pas tant si ces nouvelles lois seront adoptées mais quand.

Codes 2FA par texto: l’illusion de la sécurité renforcée?

Bien que la technologie d’authentification à deux facteurs («2FA», dans le jargon) s’avère une excellente façon de blinder et sécuriser nos comptes d’accès à des applis et des services en ligne, la réalité demeure que la chaine n’est aussi solide que son maillon le plus faible. Dans le cas de 2FA, un article récent trouvé sur TechRepulic soulignait qu’une pratique laxiste de plusieurs organisations (dont des banques!) nous donne parfois l’illusion de sécurité en configurant mal ce dispositif.

Le problème dont on parle ici c’est le fait que certaines entreprises permettent aux usagers de recevoir leurs codes 2FA par textos (SMS), par opposition à les recevoir directement par l’entremise d’utilitaires logiciels de génération de code 2FA, tel Google Authentificator. En pratique, la vaste majorité des cas où une intrusion se produit (malgré l’activation et l’utilisation de 2FA sur un compte visé), c’est parce qu’on permettait la communication des codes 2FA par SMS. L’inverse se produit, mais cela demeure très marginal.

Pour ceux et celles qui ne le font pas encore, sachez que tous vos comptes qui le permettent (encore plus au travail) devraient être configurés par vous afin d’utiliser une seconde méthode d’authentification, par un dispositif de style 2FA. Dans le monde d’aujourd’hui, ne pas le faire s’avère ni plus ni moins qu’une faute, dont le coup pourrait être l’exposition de vos données ou de celles de vos clients en cas de hack (intrusion informatique, etc.).

En fait, tous les experts en cybersécurité s’entendent pour dire que permettre la transmission de codes 2FA par SMS rend ce genre de système beaucoup plus faible, au point où on recommande dorénavant de complètement retirer cette fonctionnalité des systèmes d’authentification. Dans la mesure où la législation requiert dorénavant se déployer des moyens raisonnables afin de sécurisé les données qu’on détient pour/sur autrui, on arrive rapidement à un point où utiliser une appli ou un service transmettant des codes 2FA par texto pourrait aussi être vu comme de la négligence. Oui, vraiment.

Le hic de ce côté, c’est que nombre d’entreprise, continuent encore de configurer leurs systèmes, pour permettre aux utilisateurs qui le désirent, d’éviter devoir utiliser une application telle Google Authentificator, en se tournant plutôt vers des textos par l’entremise desquels les codes peuvent leur être transmis. En le permettant, ces organisations bernent en quelque sorte leurs usagers, en leur permettant de croire que leur compte est blindé.

Et vous, vos applis et services en ligne permettent-ils encore de vous envoyer vos code 2FA par textos? Si oui, vos comptes en question ne sont pas aussi sécures que vous pouviez le croire -désolé. Si c’est crucial pour votre organisation ou implique l’accès aux données d’autrui, vous voulez peut-être reconsidérer l’utilisation des applis ou des services en question. Alternativement, bon à savoir que plusieurs applis/services permettent dorénavant de désactiver cette combinaison 2FA/SMS, ce que tout usager soucieux de voir à la sécurité de ses données devrait définitivement faire.