Ignorer un avertissement de sécurité ne relève pas de la négligence. Une équipe de chercheurs américains a mesuré le phénomène là où il se produit vraiment : dans le cerveau.

Vingt-cinq volontaires dans un tube d’IRM

Le protocole est d’une simplicité désarmante. Vingt-cinq participants allongés dans un appareil d’imagerie par résonance magnétique fonctionnelle, un écran devant les yeux, et des fenêtres d’avertissement affichées de façon répétée pendant l’enregistrement de l’activité cérébrale.

Les résultats ont été publiés en décembre 2016 par Bonnie Brinton Anderson, Anthony Vance, C. Brock Kirwan, Jeffrey L. Jenkins et David Eargle dans le Journal of Management Information Systems (volume 33, numéro 3, pages 713 à 743). Le titre annonce la conclusion sans détour : l’avertissement finit en papier peint. Une version préliminaire de ces travaux avait été présentée un an plus tôt à la conférence CHI, principale rencontre internationale consacrée à l’interaction entre humains et machines.

L’imagerie donne un résultat sans ambiguïté. La réponse neuronale dans les régions chargées du traitement visuel décroît fortement à mesure que le même avertissement réapparaît à l’écran. Pas au bout de cinquante affichages. Dès les toutes premières répétitions.

Le cerveau cesse progressivement de traiter l’image. L’utilisateur ne décide pas d’ignorer la fenêtre : il la voit littéralement de moins en moins.

Un mécanisme décrit dès 1970

L’habituation n’est pas un défaut de caractère. Philip Groves et Richard Thompson en ont proposé la théorie de référence en 1970, en distinguant deux processus antagonistes : l’un atténue la réponse à un stimulus répété et inoffensif, l’autre la renforce lorsqu’une menace est perçue. C’est l’un des mécanismes d’apprentissage les plus élémentaires du vivant, observé jusque chez l’aplysie, ce mollusque marin dont l’étude a valu à Eric Kandel le prix Nobel de médecine en 2000.

Un système nerveux qui ne s’habituerait à rien serait ingérable. Chaque bruit de fond, chaque reflet, chaque notification mobiliserait les mêmes ressources que la première fois.

L’ennui, c’est que les concepteurs d’interfaces ont bâti leurs garde-fous sur l’hypothèse exactement inverse.

Ce que cela change pour toute protection reposant sur un clic

Le résultat déborde largement la question des fenêtres d’alerte. Toute mesure de sécurité qui suppose un arbitrage conscient, répété à chaque occasion, s’expose à la même érosion. Le premier jour, la personne lit puis décide. Le trentième, le geste est devenu un automatisme moteur, et la fenêtre a rejoint le mobilier.

Les dispositifs qui fonctionnent en arrière-plan une fois configurés échappent à ce piège, pour une raison triviale : ils ne demandent plus rien. Le chiffrement systématique du trafic sortant appartient à cette famille, puisqu’il s’applique ensuite sans solliciter la moindre décision. Encore faut-il savoir sur quels critères techniques comparer ces outils, et 01net tient à jour un dossier détaillé sur la question : https://www.01net.com/vpn/

Le phénomène ne s’arrête pas à la porte du laboratoire

Une IRM reste un environnement artificiel, et les auteurs en avaient conscience. Ils ont donc mené une seconde expérience auprès de quatre-vingts personnes, cette fois sur leurs propres ordinateurs, en suivant les déplacements du curseur comme indicateur indirect de l’attention portée à l’écran. Même tendance qu’en laboratoire.

La même équipe a publié la même année dans Decision Support Systems (volume 92, pages 3 à 13) une étude complémentaire fondée sur l’oculométrie. Elle relie l’habituation aux mécanismes de la mémoire : plus l’avertissement est familier, moins le regard s’y attarde, et moins il a de chances d’être traité.

Ce détail compte, parce qu’il écarte l’explication la plus commode. Si l’utilisateur détournait volontairement les yeux, il faudrait incriminer sa motivation. Or la baisse de réponse survient en amont de toute intention, dans des aires qui ne relèvent pas de la décision consciente.

L’avertissement qui change d’apparence résiste mieux

Les chercheurs ne s’en sont pas tenus au constat. Ils ont conçu des avertissements dits polymorphes, qui modifient leur aspect à chaque affichage : couleur, cadrage, animation, position des éléments. Dans le scanner, ces variantes résistent nettement mieux à l’habituation dans les régions cérébrales associées à l’attention. Les quatre plus efficaces ont ensuite été testées en conditions réelles auprès des quatre-vingts participants de la seconde expérience, avec le même bénéfice.

Une décennie plus tard, les navigateurs continuent d’afficher des avertissements strictement identiques d’une fois sur l’autre.

Les bandeaux de consentement rejouent la même partition

Rainer Böhme et Stefan Köpsell avaient présenté à la conférence CHI, en 2010, une expérience de terrain sur les fenêtres de consentement. Celles qui reprenaient l’apparence d’un contrat de licence classique étaient acceptées plus vite et plus souvent. Le clic ne traduisait pas un accord réfléchi, mais un réflexe acquis par des années d’exposition au même gabarit visuel.

La CNIL exige de son côté que le consentement résulte d’un acte positif clair, et détaille ses attentes dans ses lignes directrices consacrées aux cookies et autres traceurs. Entre cette exigence juridique et ce que l’imagerie cérébrale documente, l’écart reste entier : aucun texte ne peut décréter qu’un cerveau continuera de percevoir ce qu’il a appris à filtrer.

Le problème dépasse de loin les écrans

La pharmacovigilance et la sécurité industrielle se heurtent au même mur depuis des décennies, avec des notices que plus personne ne déplie et des pictogrammes devenus décoratifs. La norme américaine ANSI Z535, qui encadre les symboles de sécurité, a été révisée à plusieurs reprises pour cette raison précise.

Ce que l’imagerie apporte, au fond, c’est un déplacement de responsabilité. Tant que l’inattention passait pour un manque de discipline, la réponse consistait à répéter le message plus fort. Une fois établi que la répétition est justement ce qui l’efface, l’effort revient à celui qui dessine l’interface. Reste à savoir combien d’années il faudra pour que cette conclusion atteigne les logiciels que tout le monde utilise chaque jour.