Violences en ligne et élections : pourquoi les DSI européens ne peuvent plus déléguer leur sécurité sociale aux plateformes américaines

# Violences en ligne et élections : pourquoi les DSI européens ne peuvent plus déléguer leur sécurité sociale aux plateformes américaines

En 2026, la question n'est plus théorique. Les réseaux sociaux dominants — contrôlés par des acteurs américains dont les orientations politiques et les choix de modération sont désormais publiquement assumés — sont devenus un vecteur documenté de deux phénomènes qui se nourrissent mutuellement : les violences genrées en ligne ciblant des professionnelles exposées, et les campagnes de manipulation autour des scrutins électoraux. Pour le DSI ou le RSSI d'une PME ou ETI européenne, ce n'est pas un sujet de politique éditoriale. C'est un sujet de gestion du risque opérationnel, de réputation et de conformité réglementaire.

La question concrète est celle-ci : vos équipes et vos dirigeants utilisent des comptes professionnels sur des plateformes dont vous ne maîtrisez ni les algorithmes, ni les règles de modération, ni la résilience face aux pressions politiques extérieures. En cas de campagne coordonnée contre une responsable de votre entreprise, ou de manipulation informationnelle liée à une période électorale sensible, vous êtes dépendants d'une décision prise à San Francisco ou à Austin — et vous n'avez aucun levier.

Voici comment reprendre la main, concrètement, sans romantisme technologique.

Ce que le tournant de 2025-2026 a changé pour les équipes IT

Le décrochage de modération des grandes plateformes américaines n'est pas un accident. Il s'est produit sous la pression de changements politiques internes aux États-Unis et s'est traduit, côté européen, par une réduction documentée des équipes de trust & safety dédiées aux marchés non anglophones, une diminution des coopérations avec les autorités de régulation européennes, et un relâchement visible des règles sur les contenus haineux ciblant des femmes en position d'autorité professionnelle.

Pour les équipes IT, cela a une traduction directe : les outils de signalement et les API de modération sur lesquels certaines entreprises avaient construit des workflows de veille et de gestion de crise sont devenus moins fiables, moins prévisibles, et parfois tout simplement indisponibles. Des processus qui fonctionnaient en 2023 — signalement automatisé de contenus hostiles visant des dirigeantes, escalade vers des équipes de support dédiées — ont été silencieusement dégradés.

Parallèlement, les périodes électorales européennes — et 2026 en compte plusieurs, entre scrutins nationaux et cycles régionaux — sont devenues des fenêtres d'exposition maximale pour les entreprises dont des membres du comité de direction ont une visibilité publique. Les campagnes de harcèlement coordonné utilisent désormais des techniques hybrides : usurpation d'identité, amplification algorithmique de faux contenus, création de faux comptes professionnels au nom de vos collaboratrices. Ce sont des incidents de sécurité, pas des problèmes de communication.

Cartographier votre surface d'exposition réelle

Avant tout outillage, le travail du DSI commence par un audit de présence. Ce n'est pas un audit de communication — c'est un audit de surface d'attaque.

La première question est la plus simple et la plus négligée : combien de comptes professionnels actifs votre entreprise possède-t-elle sur des plateformes que vous ne contrôlez pas ? Dans la majorité des ETI, ce chiffre est inconnu. Des comptes ont été créés par des équipes marketing, des assistantes de direction, des anciens salariés. Certains sont actifs sans qu'aucune procédure de sécurité ne les encadre — pas d'authentification forte, pas de processus de récupération documenté, pas de propriétaire identifié dans l'annuaire IT.

La deuxième question concerne les personnes exposées. Vos dirigeantes, vos porte-paroles, vos responsables de projets publics sont-elles identifiées dans votre plan de gestion des incidents ? Un compte LinkedIn ou Mastodon d'une DRH ou d'une DSI publiquement engagée sur des sujets de transformation numérique est une cible potentielle. Si demain ce compte est usurpé ou que son titulaire est ciblée par une campagne coordonnée, quel est votre protocole ? Dans neuf entreprises sur dix, il n'y en a pas.

La troisième question est réglementaire. Le DSA — Digital Services Act — impose depuis 2024 aux très grandes plateformes des obligations de transparence et de réactivité sur les signalements. Mais ces obligations ne s'appliquent qu'aux plateformes dépassant les seuils fixés, et leur application effective reste hétérogène. Votre équipe juridique et votre RSSI ont-ils cartographié ce que vous êtes en droit d'exiger de chaque plateforme utilisée ? La plupart des PME-ETI n'ont pas fait cet exercice.

Reprendre le contrôle : ce que ça change concrètement pour l'équipe IT

Reprendre la main ne signifie pas quitter toutes les plateformes dominantes du jour au lendemain — ce serait une décision métier, pas IT. Mais cela signifie construire une architecture de présence sociale qui ne repose pas uniquement sur des infrastructures dont vous ne contrôlez pas les règles du jeu.

Séparer la présence de la dépendance. La règle de base est celle qu'on applique à n'importe quelle dépendance critique : ne jamais avoir un point de défaillance unique. Si votre communication institutionnelle, vos recrutements et votre veille sectorielle passent exclusivement par une plateforme américaine, vous êtes exposés à une interruption de service qui ne sera pas de votre fait. L'approche pragmatique consiste à maintenir en parallèle une présence sur des espaces que vous contrôlez davantage — une instance Mastodon hébergée chez un opérateur européen, un blog d'entreprise sous votre propre domaine, une newsletter autonome. Ce n'est pas une posture idéologique. C'est de la résilience opérationnelle.

Instrumenter la surveillance des comptes exposés. Il existe des outils européens de veille et de protection d'identité numérique qui permettent de monitorer en temps réel la création de faux comptes au nom de vos collaborateurs, les mentions hostiles coordonnées, et les tentatives d'usurpation. L'intégration de ces outils dans votre SOC ou votre chaîne d'alerte sécurité n'est pas un luxe — c'est une extension logique de la protection des identités numériques professionnelles. L'éditeur français Mailjet a développé des capacités dans ce domaine, et des acteurs comme Tehtris proposent des approches de surveillance des empreintes numériques qui peuvent s'articuler avec ce besoin.

Définir des procédures de gestion de crise adaptées. Un incident de harcèlement coordonné visant une dirigeante en période électorale n'est pas qu'un problème de communication. C'est un incident de sécurité avec des composantes techniques (usurpation de comptes, phishing ciblé, doxing potentiel), des composantes juridiques (signalements ARCOM, saisine des plateformes dans le cadre du DSA, dépôt de plainte), et des composantes RH (soutien à la personne ciblée, communication interne). Le DSI doit être dans la boucle de cette procédure dès sa conception, pas convoqué en urgence quand la crise est déjà là.

Le cadre réglementaire européen comme levier, pas comme contrainte

Beaucoup de DSI vivent le DSA et le RGPD comme des contraintes de conformité. C'est une erreur de cadrage. Dans le contexte des violences en ligne et de la manipulation électorale, ces textes sont des leviers d'action que vos équipes peuvent utiliser activement.

Le DSA contraint les grandes plateformes à offrir des mécanismes de signalement accessibles, à traiter les signalements dans des délais définis, et à rendre des comptes sur leurs décisions de modération. Si une plateforme ne respecte pas ces obligations envers vos collaborateurs ciblés, vous avez des recours que vous n'aviez pas avant 2024. L'ARCOM en France, comme ses équivalents dans les autres États membres, dispose désormais de pouvoirs de sanction réels. Votre équipe juridique doit connaître ces procédures. Votre RSSI doit savoir documenter les incidents de façon à rendre ces signalements exploitables.

Le règlement européen sur la liberté des médias (EMFA), adopté en 2024, ajoute une couche de protection supplémentaire pour les acteurs qui contribuent à l'écosystème informationnel — y compris les entreprises qui publient du contenu professionnel. Ce texte est encore peu connu des équipes IT, mais il crée des obligations nouvelles pour les plateformes en période électorale qui peuvent directement bénéficier à vos collaborateurs exposés.

Enfin, la réflexion sur la souveraineté des données générées par vos présences sociales mérite d'être posée sérieusement. Les interactions de vos comptes professionnels, les données de vos audiences, les métadonnées de vos publications sont hébergées sur des serveurs soumis au droit américain — ce qui inclut le Cloud Act. En période de tension géopolitique ou de scrutin sensible, cette exposition n'est pas neutre. Documenter ce risque dans votre cartographie des risques SI est une étape minimale.

Ce que le DSI doit mettre sur la table du COMEX maintenant

La conclusion opérationnelle n'est pas une liste d'outils. C'est une demande de mandat clair pour trois chantiers qui ne peuvent pas rester dans l'angle mort du SI.

Premièrement, l'audit de présence sociale doit entrer dans le périmètre officiel du DSI. Tous les comptes professionnels de l'entreprise — qu'ils soient gérés par la communication, le marketing, les RH ou les dirigeants individuellement — doivent être inventoriés, rattachés à des propriétaires identifiés, et couverts par des procédures de sécurité minimales : authentification forte, processus de récupération, désactivation en cas de départ.

Deuxièmement, un plan de continuité de présence numérique doit être formalisé. Si une ou plusieurs plateformes devenaient indisponibles ou hostiles demain — pour des raisons techniques, politiques ou réglementaires — votre entreprise a-t-elle les moyens de maintenir ses communications institutionnelles ? Ce plan doit exister et être testé.

Troisièmement, la protection des personnes exposées doit être formalisée comme un volet de la politique de sécurité. Les dirigeantes et porte-paroles de l'entreprise sont des cibles potentielles. Leur protection numérique — surveillance des usurpations, formation aux risques spécifiques, protocole d'escalade en cas d'incident — relève du RSSI autant que de la DRH.

Ces trois chantiers ne demandent pas des budgets extraordinaires. Ils demandent une décision politique interne : accepter que la présence sociale de l'entreprise soit un actif numérique qui relève de la gouvernance IT, et non un territoire laissé en friche entre la communication et le bon vouloir des plateformes américaines.

En 2026, déléguer ce sujet, c'est choisir de subir. Les entreprises européennes qui ont compris ça construisent leur résilience maintenant. Les autres attendent leur premier incident pour découvrir qu'elles n'ont aucun levier.