Désapprentissage de l’IA : une piste pour effacer données privées et œuvres

Lorsqu’une personne demande le retrait de ses informations personnelles, ou lorsqu’un titulaire de droits conteste l’usage de son œuvre, supprimer le fichier d’origine ne suffit pas nécessairement. Si ce contenu a servi à entraîner un modèle d’intelligence artificielle, son influence peut déjà être répartie dans les très nombreux paramètres mathématiques du système. Revenir en arrière est donc un défi technique autant que juridique.

Des chercheurs du département d’informatique de l’université de Californie à Riverside, UC Riverside, présentent une voie pour répondre à ce problème. Leur travail, intitulé A Certified Unlearning Approach without Access to Source Data, décrit une méthode de désapprentissage certifié sans accès aux données sources. Son ambition est précise : retirer de l’influence d’un modèle certaines données privées ou protégées par le droit d’auteur, même lorsque les données ayant servi à l’entraînement initial ne sont plus disponibles.

Présentée lors d’une conférence internationale, cette approche ne règle pas à elle seule toutes les questions de responsabilité des systèmes d’IA. Elle apporte toutefois un outil technique susceptible de rendre les demandes d’effacement plus réalistes, sans imposer systématiquement de reconstruire un modèle depuis le début.

Pourquoi l’oubli est-il si difficile pour un modèle d’IA ?

Un modèle d’apprentissage automatique n’est pas un disque dur sur lequel chaque document serait conservé dans un dossier distinct. Durant l’entraînement, il ajuste progressivement ses paramètres afin de repérer des régularités dans d’importants ensembles de données. Une image, un texte ou une information personnelle ne correspond donc généralement pas à un élément simple qu’il suffirait de sélectionner puis d’effacer.

Ce fonctionnement explique la difficulté du désapprentissage, aussi appelé machine unlearning. Lorsqu’une donnée doit être retirée, la solution la plus directe consiste à repartir du modèle initial et à le réentraîner avec un jeu de données dont l’élément concerné a été exclu. Cette opération peut être lourde, longue et énergivore, particulièrement pour les systèmes de grande taille.

Le problème devient encore plus délicat si l’organisation ne possède plus le corpus d’origine. Cela peut arriver si les données étaient détenues par un prestataire, si leur conservation a été limitée pour des raisons de confidentialité, ou si leur provenance est difficile à retracer après plusieurs étapes de préparation. Or l’absence des fichiers sources ne fait pas disparaître les demandes de suppression.

Une réponse aux exigences de vie privée et de droit d’auteur

Les préoccupations sont à la fois individuelles, économiques et réglementaires. Les informations personnelles peuvent inclure des données particulièrement sensibles dans des domaines comme la santé. Les contenus protégés, qu’il s’agisse de textes, d’images ou d’autres œuvres, soulèvent de leur côté des interrogations sur les conditions dans lesquelles ils ont été exploités pour entraîner des systèmes génératifs.

En Europe, le Règlement général sur la protection des données, RGPD, encadre le traitement des données à caractère personnel. En Californie, le California Consumer Privacy Act, CCPA, impose également des obligations aux organisations qui entrent dans son champ d’application. Ces textes ne prescrivent pas une méthode informatique unique pour retirer des données d’un modèle d’IA. Ils renforcent néanmoins la nécessité de savoir où circulent les données, de pouvoir répondre aux droits des personnes concernées et de démontrer les mesures mises en œuvre.

C’est aussi dans ce contexte que les litiges liés au droit d’auteur prennent de l’importance. Pour les développeurs, pouvoir isoler puis retirer l’influence d’un contenu contesté pourrait constituer une alternative plus praticable qu’un réentraînement intégral. Pour les utilisateurs et les créateurs, une telle capacité peut nourrir l’idée d’un contrôle plus concret sur les données et les œuvres versées dans les systèmes d’IA.

Un membre de l’équipe de recherche résume cet enjeu ainsi : « Les gens méritent de savoir que leurs données peuvent être effacées. »

Comment fonctionne le désapprentissage sans données sources ?

La méthode proposée par l’équipe d’UC Riverside repose sur deux éléments complémentaires : un jeu de données substitut et un bruit aléatoire calibré. Le jeu de substitution ne reproduit pas nécessairement les fichiers initiaux. Il doit plutôt présenter des caractéristiques statistiques proches de celles des données d’entraînement originales.

À partir de ce substitut, les chercheurs ajustent les paramètres du modèle pour supprimer l’influence des informations ciblées. Ils ajoutent parallèlement un bruit aléatoire soigneusement calibré. Cette étape est essentielle dans leur cadre : elle doit contribuer à rendre l’effacement irréversible et à fournir une garantie de confidentialité associée au procédé.

Le mot « certifié » mérite ici une explication. Dans la recherche en IA, une certification renvoie à une garantie formalisée selon les hypothèses et le cadre étudiés. Elle ne signifie pas qu’un modèle devient incapable de produire toute information ressemblant de près ou de loin au contenu retiré. Deux textes peuvent, par exemple, partager des faits ou des formulations courantes. La promesse porte sur le retrait de l’influence des données ciblées dans les conditions définies par la méthode, avec des garanties comparables à celles recherchées par un réentraînement complet.

L’intérêt de cette construction est d’éviter une dépendance absolue aux données d’origine. C’est un point important pour les organisations qui cherchent à réduire la conservation de données sensibles, sans renoncer à pouvoir traiter ultérieurement une demande de retrait.

Des résultats validés, mais dans un périmètre encore à élargir

Les chercheurs indiquent avoir validé leur approche à l’aide de jeux de données synthétiques et réels. Ces expériences montrent que la combinaison du jeu substitut et de la calibration du bruit peut retirer les informations visées tout en préservant l’efficacité du modèle dans le cadre évalué.

Cette précision est importante. Une recherche de ce type ne permet pas encore d’affirmer que l’approche peut être appliquée telle quelle à tous les modèles d’IA, ni à des systèmes de l’ampleur des assistants conversationnels les plus connus. Les auteurs prévoient justement d’affiner la méthode pour la rendre applicable à des modèles plus complexes.

La taille d’un modèle, la diversité de ses données d’entraînement et la nature même des contenus demandés au retrait sont autant de paramètres susceptibles de compliquer l’opération. Retirer une donnée individuelle, un ensemble de documents ou l’influence d’une catégorie de contenus ne pose pas exactement les mêmes questions. Il faut aussi vérifier que le modèle conserve une qualité suffisante dans les tâches pour lesquelles il a été conçu.

Quels usages pour les hôpitaux, les médias et les entreprises ?

Les applications envisagées par les chercheurs concernent d’abord les organisations qui manipulent des données sensibles ou des contenus à forte valeur. Dans le secteur médical, un établissement peut avoir besoin de réduire l’exposition d’informations personnelles employées dans un système d’aide ou d’analyse. Une procédure de désapprentissage capable de fonctionner sans les données sources pourrait compléter les mesures de sécurité et de gouvernance déjà nécessaires.

Les organisations médiatiques et les détenteurs de droits constituent un autre terrain évident. Si une œuvre ou un corpus est identifié comme devant être retiré d’un entraînement, il est coûteux de devoir reconstruire tout le système pour chaque demande. Une intervention ciblée serait potentiellement plus compatible avec les contraintes opérationnelles des entreprises développant ou utilisant des modèles.

Pour autant, l’outil technique n’efface pas les obligations en amont. Pour qu’une organisation puisse désapprendre une donnée, elle doit notamment être capable d’identifier le modèle concerné, la version de ses données d’entraînement et la nature précise de la demande. La traçabilité des jeux de données reste donc un maillon central. Sans elle, il devient difficile de déterminer ce qu’il faut retirer et de documenter l’opération.

Cette recherche rappelle aussi que la protection des données ne se limite pas à la sécurité informatique. Elle concerne le cycle de vie entier d’un système : collecte, sélection, entraînement, déploiement, mises à jour et retrait éventuel de certains contenus.

Ce qu’il faut surveiller

La prochaine étape annoncée par l’équipe d’UC Riverside est l’adaptation de son cadre à des modèles et des ensembles de données plus complexes. C’est le principal test de portée pour cette approche. Les grands modèles modernes sont entraînés sur des volumes de données considérables et effectuent des tâches très variées, ce qui rend la mesure précise d’un oubli particulièrement exigeante.

Il faudra aussi suivre la manière dont les développeurs transforment ce type de résultat de recherche en outils utilisables. Une méthode scientifique peut fournir une garantie formelle, mais son adoption pratique dépendra de la disponibilité de jeux substituts pertinents, de la puissance de calcul nécessaire, des procédures d’audit et de la facilité avec laquelle les équipes pourront documenter les suppressions réalisées.

Enfin, le désapprentissage pourrait progressivement s’imposer comme un sujet de dialogue entre ingénieurs, juristes, créateurs et régulateurs. À mesure que les demandes de transparence et de contrôle sur les données progressent, la capacité à faire oublier quelque chose à une IA pourrait devenir aussi importante que la capacité à lui apprendre de nouvelles informations.