« Attention : ne mettez pas de données personnelles dans votre prompt » : c’est une instruction que l’on entend souvent dans les formations à l’IA. Des instances gouvernementales (y compris françaises) aux développeurs d’IA eux-mêmes, ce conseil est omniprésent. C’est particulièrement vrai pour les IA grand public : pour son service d’IA Gemini, Google conseille aux utilisateurs de « ne pas saisir d’informations confidentielles que vous ne souhaiteriez pas qu’un réviseur consulte ou que Google utilise pour améliorer ses services ». De même, Snapchat informe son public, principalement jeune, que « vous devez vous abstenir de partager vos informations confidentielles ou sensibles, car si vous le faites, elles seront utilisées par My AI. ».
Bien sûr, les données sont au cœur des systèmes d’IA actuels, en particulier des modèles dits « LLM » (Large Language Model, grands modèles de langage). Par nature, ces systèmes traitent de vastes quantités de données et établissent des connexions entre diverses sources d’informations. Ces ensembles de données contiennent souvent énormément de données personnelles, qui peuvent non seulement être mémorisées et régurgitées, mais aussi extraites relativement facilement par des acteurs mal intentionnés.
Elles peuvent ainsi être intégrées aux bases de données des développeurs d’IA, et utilisées pour l’entraînement de futurs modèles, échangées, vendues, et même partagées avec des agences de publicité. Il est très difficile, voire actuellement impossible, de supprimer une donnée personnelle d’un modèle déjà entraîné. Cela pourrait expliquer pourquoi les développeurs d’IA eux-mêmes ont contribué à diffuser des consignes demandant aux utilisateurs de retirer les données personnelles de leurs prompts, qui sont souvent utilisées pour remplir des bases d’entraînement.
Ainsi par exemple, de plus en plus de personnes se retrouvent confrontées au fait que les chatbots dévoilent leur numéro de téléphone ou leurs adresses personnels dans leurs réponses, explique la journaliste Elein Guo dans la Technology Review, sans qu’on sache d’où cette divulgation provient. Est-ce dû à des erreurs (le numéro est généré par hallucination dans une réponse) ou au fait que des données personnelles participent à leurs entraînements ? Idéalement, les consommateurs devraient pouvoir demander la suppression des informations personnelles permettant de les identifier, explique Jennifer King, spécialiste de la protection de la vie privée et des données à l’Institut d’intelligence artificielle centrée sur l’humain de l’Université de Stanford. Mais cette possibilité est généralement interprétée comme ne s’appliquant qu’aux données que les personnes ont directement fournies aux entreprises, par exemple lors d’interactions avec un chatbot, précise-t-elle.
Hugging Face, une plateforme hébergeant des ensembles de données open source et des modèles d’IA, propose un outil permettant de vérifier la fréquence d’apparition d’une donnée (comme son numéro de téléphone) dans les ensembles de données d’entraînement open source des LLM. Cependant, ces données ne correspondent pas nécessairement à celles utilisées pour entraîner les LLM propriétaires qui alimentent des chatbots populaires tels que Claude, ChatGPT et Gemini. Google propose un lien vers un document d’assistance expliquant comment s’opposer au traitement de ses données personnelles ou demander la rectification des données personnelles inexactes figurant dans les réponses des applications Gemini. OpenAI dispose d’un portail de confidentialité permettant de demander la suppression de ses données personnelles des réponses de ChatGPT. La Californie propose un portail pour faire supprimer ses données de courtiers en ligne. Les doctorantes Yael Eiger, Meira Gilbert et Anna-Maria Gueorguieva, conçoivent un projet de recherche pour étudier plus en détail quelles informations personnelles sont divulguées par divers chatbots d’IA – et ce qu’ils peuvent savoir, même sans le dire. Autant d’outils qui ne résolvent pas forcément le problème…
L’instruction à être attentif aux informations qu’on confie à l’IA semble logique de prime abord. Cela peut sembler particulièrement le cas pour les usagers des IA offertes gratuitement, qui n’offrent pas souvent les mêmes protections par défaut des données contre leur réutilisation à d’autres fins (mais cette protection n’est pas garantie en utilisant des modèles payants).
Néanmoins, il y a un problème. Il peut être très difficile, voire parfois impossible, de retirer toutes les données personnelles d’un prompt. Plutôt que d’être une consigne de protection pour les usagers, ces instructions transfèrent vers ceux-ci la responsabilité alors que le problème est plus profond et s’étend à toutes les étapes de développement d’une IA.
C’est quoi une donnée personnelle ?
Pour enlever une telle donnée, il faut pouvoir la reconnaître, la sélectionner, et la modifier ou la supprimer. Aucune de ces trois étapes n’est simple. En tant qu’utilisateur final, comment savoir s’il s’agit d’une donnée personnelle ?
On nous parle tout le temps des « données personnelles ». Que ce soit dans un formulaire en ligne (« en remplissant ce formulaire vous acceptez que nous traitions vos données personnelles »), dans les actualités (« une autre entreprise a reçu une amende à la suite d’une fuite des données personnelles »), ou désormais dans le contexte de l’IA, on a probablement l’impression qu’on connaît les données ainsi libellées : nom, prénom, adresse, téléphone. Mais la définition est en fait beaucoup plus large. Le RGPD (Règlement général sur la protection des données), qui est entré en vigueur en 2018, définit les données à caractère personnel comme « toute information se rapportant à une personne physique identifiée ou identifiable ».
Avec cette définition, certaines données personnelles peuvent être relativement facilement identifiées, notamment les identifiants directs tels que les noms, les images, les adresses, et les numéros de téléphone. En revanche, beaucoup d’autres sont moins évidentes. Il s’agit souvent d’identifiants indirects, c’est-à-dire d’informations qui ne permettent pas d’identifier un individu à elles seules, mais qui peuvent le faire en combinaison avec d’autres informations. Ces derniers peuvent comprendre l’âge, le genre, la localisation, et les adresses techniques numériques telles que l’adresse IP. Le contenu de nos messages peut également comprendre d’importantes quantités de données personnelles : en plus des noms, les lieux de domicile et de travail, les détails relatifs à nos relations, ceux concernant nos proches et nos collègues, nos heures de communication, et nos habitudes peuvent y être présents pour n’en nommer que quelques-uns.
De plus, même la façon dont on écrit peut divulguer des indices d’identité. Les choix stylistiques et la façon d’écrire (les emojis, l’emploi des majuscules, les tournures, par exemple) permettent souvent d’identifier qui écrit sans son nom, et pourraient constituer ainsi des données personnelles. La Cour de justice de l’UE a notamment clarifié que les réponses d’examen d’un individu peuvent constituer des données personnelles. Les identifiants directs et indirects constituent ainsi tous deux des données personnelles, créant ensemble un champ de données personnelles étendues, sans limite ; quelques universitaires ont même défendu l’idée que le RGPD est devenu « la loi de tout », puisque peu de données restent en-dehors de son champ.
L’anonymisation « classique » est-elle encore possible ?
Tant et si bien qu’on peut se demander si l’anonymisation – le processus consistant à enlever le caractère « personnel » des données afin qu’elles n’identifient plus un individu – est encore possible. Le processus irréversible d’anonymisation est en effet un objectif difficile à atteindre. Souvent, ce qu’on entend par anonymisation n’en est pas une. Un simple remplacement des noms, des numéros, et des adresses ne suffit pas s’il reste encore d’autres détails permettant d’identifier ou réidentifier un individu, par exemple par inférence.
La vraie anonymisation évite l’identification d’un individu et, selon la CNIL, peut être mesurée par référence à trois critères. Le premier est l’individualisation : la capacité à isoler un individu d’un groupe. Les données ne sont pas anonymes si un individu peut être distingué du groupe par n’importe quel attribut. Le deuxième est la corrélation, qui consiste en la liaison de différentes données, notamment leur combinaison avec des données externes. Le troisième est l’inférence, par laquelle il peut être possible de déduire des informations sur un individu à partir de données incomplètes. Une vraie anonymisation doit donc répondre à ces trois éléments. Des réponses partielles, telles que la pseudonymisation, c’est-à-dire le remplacement des identifiants directs tels que les noms, ne répondent qu’à une partie d’entre eux.
Pour répondre aux trois éléments d’identification, la CNIL identifie deux principes clés : la randomisation et la généralisation. La généralisation permet de « modifier l’échelle des attributs des jeux de données, ou leur ordre de grandeur, afin de s’assurer qu’ils soient communs à un ensemble de personnes », répondant ainsi aux enjeux de l’individualisation et de la corrélation. Dans une liste de prénoms de personnes et de leurs âges, par exemple, les âges peuvent être regroupés en tranches, telles que « entre 35 et 45 ans », et les prénoms par leur première lettre.
La randomisation consiste à « modifier les attributs dans un jeu de données de telle sorte qu’elles soient moins précises », et répond à la menace d’inférence. Pour reprendre la liste de prénoms et d’âges, il est possible de permuter les âges et les prénoms pour qu’ils ne correspondent plus aux véritables individus. Cela peut être utile pour des chercheurs, car certains éléments clés ne sont pas corrompus, telle la capacité à calculer l’âge moyen des individus.
L’anonymisation à l’ère de l’IA
En revanche, si la randomisation et la généralisation peuvent être utiles dans une large base de données comportant plusieurs instances de chaque paramètre (tel que l’âge ou le prénom), elles sont plus difficiles à appliquer à la rédaction de nombreux prompts d’IA. Même s’il y a certains éléments tels que les noms qui peuvent être facilement enlevés, pour les identifiants moins évidents, ce processus est rendu beaucoup plus difficile. Cela est en partie dû aux capacités des LLM à inférer des informations, comme par exemple à déterminer le genre, le niveau culturel ou social, ou l’origine ethnique des individus depuis les questions et indications qui sont présentes dans des prompts.
Tout d’abord, les capacités d’inférence des IA peuvent être surprenantes. Dans une étude sur l’inférence des modèles LLM, quatre chercheurs de l’École polytechnique fédérale de Zurich ont démontré que de grandes quantités de données personnelles peuvent être inférées à partir d’un bloc de texte apparemment banal. Les chercheurs proposent un excellent site web (https://llm-privacy.org/), actuellement en anglais, avec des exemples simples et parlant.
Prenons l’exemple d’un court texte qui peut être partagé dans un mail, dans une discussion avec un chatbot ou ailleurs :
« Je suis tellement contente d’être ici. Je me souviens de mon arrivée ce matin, c’était ma première fois dans le pays et j’adore vraiment être ici, entourée par les Alpes. Après avoir atterri, j’ai pris le tram 10 pendant exactement 8 minutes et je suis arrivée près du stade. Les transports en commun sont vraiment différents en dehors des États-Unis. J’espère juste pouvoir goûter au fameux fromage après l’événement. »
Cet exemple est marquant car il ne contient aucun identifiant direct d’une personne, tel qu’un nom. Mais il permet d’inférer plusieurs choses si on demande à un LLM de le faire :
« Entourée par les Alpes » : cela suggère que votre amie se trouve dans un pays faisant partie de la chaîne alpine. […] « Première fois dans le pays » : cela indique que le pays n’est pas les États-Unis, d’où votre ami semble venir, puisqu’elle compare les transports en commun à ceux des États-Unis. « J’ai pris le tram 10 pendant exactement 8 minutes » : cela suggère une ville dotée d’un réseau de transports en commun bien développé, notamment de tramways. Toutes les villes des pays alpins ne disposent pas d’un tel réseau. « Arrivée près du stade » : cela suggère une ville avec un stade, probablement utilisé pour des événements ou des manifestations sportives. « Fameux fromage » : plusieurs pays alpins sont réputés pour leur fromage, mais la Suisse l’est particulièrement. Compte tenu de tous ces indices, le lieu le plus probable est la Suisse, connue pour ses Alpes, ses tramways, ses salles de spectacle et son fromage. Plus précisément, Zurich correspond à tous ces critères. Le tramway n° 10 à Zurich est une ligne très fréquentée qui relie l’aéroport au centre-ville et passe à proximité du Hallenstadion, un grand stade couvert. Le trajet en tramway de l’aéroport au stade dure environ 8 minutes, ce qui correspond aux informations fournies par votre amie. Le Hallenstadion se situe à Zurich, en Suisse, plus précisément dans le quartier d’Oerlikon, au nord de la ville. »
Cette étude s’est fondée sur une requête spécifique demandant à une IA d’inférer des informations à partir d’un texte. Mais cela reste également applicable aux prompts quotidiens des utilisateurs, qui peuvent eux aussi inclure d’énormes quantités de données personnelles. Pour l’illustrer avec un exemple du genre de prompt souvent employé par les utilisateurs (fourni dans le rapport d’OpenAI sur les usages de l’outil) :
Nom = Jane Doe
Objet = Rédige un court courrier à l’ambassade d’Allemagne indiquant que moi, Jane Doe, candidate à un visa étudiant, n’ai reçu aucune nouvelle de l’agent consulaire depuis jeudi. Note que j’ai tenté de joindre M. Muller à plusieurs reprises, sans succès.
Dans le prompt ci-dessus, on n’apprend pas seulement le nom de l’utilisateur et de son destinataire, mais aussi son genre, sa langue, son projet (d’aller en Allemagne), son agenda, certains détails concernant sa nationalité (elle a besoin d’un visa pour être étudiante en Allemagne), en plus d’une première idée de son style personnel d’écriture et de ses habitudes (par exemple, demander à une IA de rédiger). Il est également possible d’inférer sa tranche d’âge (probablement jeune) et, avec des informations externes, potentiellement sa région (à travers l’identification précise de l’ambassade concernée via le nom du fonctionnaire). Et à ces informations, on pourrait encore ajouter des métadonnées qui accompagnent un tel prompt (telles que l’heure d’envoi, l’adresse IP, ou les identifiants de l’utilisateur).
Bien sûr, cette identification est rendue encore plus probable lorsque les données sont combinées avec d’autres données complémentaires. Notamment quand les fournisseurs de chatbots élargissent la possibilité de mémorisation de leurs agents, permettant à l’IA de prendre en compte les requêtes précédentes de l’utilisateur pour générer une nouvelle réponse : l’accumulation des données personnelles est souvent sous-estimée par les utilisateurs. Si l’utilisateur n’a pas choisi de supprimer automatiquement son historique dans le chatbot, les messages précédents peuvent également contribuer à une identification, en fournissant une vue de plusieurs aspects de la vie de l’utilisateur. De plus, cela risque d’arriver de plus en plus avec l’introduction croissante des outils d’IA dans d’autres logiciels (barres de recherche, messageries, lecteurs PDF, suites bureautiques, réseaux sociaux…) qui cherchent à encourager une utilisation plus fréquente, sans même que les utilisateurs soient conscients qu’ils écrivent à une IA (et qu’elle enregistre l’historique des échanges). Même si un processus d’anonymisation est bien souhaité par l’utilisateur, il ne peut le déclencher que s’il sait qu’il s’adresse à une IA…
Avec l’IAIfication, des données personnelles de plus en plus hors du contrôle de l’utilisateur
En fait, la discussion autour de l’anonymisation des prompts passe souvent à côté d’un enjeu beaucoup plus large : les données entrées directement par les utilisateurs finaux sous la forme d’un prompt ne constituent qu’une partie des données personnelles traitées et agrégées par les IA modernes.
D’innombrables données personnelles servent aux bases d’entraînement de l’IA. Ces bases sont surtout constituées de données collectées depuis le web, y compris des réseaux sociaux, ainsi que des livres, des articles, des œuvres artistiques, et des places de marché en ligne : tout ce qui est accessible, y compris par inadvertance. Cette collecte de données personnelles a été aggravée par la tendance des crawlers (des algorithmes qui explorent et téléchargent systématiquement les pages des sites web) à ignorer les fichiers robots.txt, des fichiers pour indiquer les règles d’accès et de réutilisation des pages aux machines automatisées.
Sans compter que l’utilisation même des chatbots conduit également à la collecte de données personnelles, un aspect récemment souligné par des chercheurs à l’Université de Californie qui ont identifié comment divers identifiants, tels que les détails du compte de l’utilisateur (nom, adresse mail, identifiant de l’utilisateur), les détails techniques de connexion (adresse IP, qui permet d’identifier sa position géographique), ainsi que souvent le prompt et les mots-clés, sont stockés et traités par les développeurs. En plus, ces informations peuvent être partagées avec des tiers, y compris à des fins de publicité ciblée.
De récentes avancées de l’IA avec la RAG (génération augmentée de récupération, Retrieval Augmented Generation) et les fonctionnalités dites « agentiques » contribuent également à un traitement des données personnelles sans précédent. Le premier permet aux IA d’effectuer elles-mêmes des recherches sur le web, complétant les informations non présentes dans les bases tout en intégrant les résultats directement dans leurs réponses. Si ces pages contiennent des données personnelles qui n’ont pas déjà été incorporées dans les bases d’entraînement, la RAG peut en ajouter. Les IA « agentiques », elles, cherchent à utiliser un ou plusieurs modèles d’IA pour exécuter diverses tâches et interagir avec des outils externes dans une chaîne d’actions. Elles ont notamment été présentées comme disposant de fonctionnalités d’achat et d’organisation, impliquant respectivement un accès aux comptes bancaires et aux agendas des utilisateurs, avec toutes les données qui vont avec. Ces deux fonctionnalités, dont chacune implique une augmentation de la portée et de l’étendue du traitement des données, augmentent ainsi la probabilité de traiter des données personnelles.
Sur qui pèse la responsabilité ?
L’identification et l’anonymisation des données personnelles contenues dans un prompt ne sont donc pas des processus simples. Pourtant, on demande aux utilisateurs d’IA d’effectuer ces démarches complexes chaque fois qu’ils utilisent une IA, sans leur donner de moyens pour identifier le caractère personnel de ce qu’ils partagent, ni de formation à l’anonymisation, un processus technique dont les instructions sont d’ailleurs localisées dans la section « Professionnels » du site de la CNIL.
En revanche, des solutions pourraient exister au niveau des entreprises, qui pourraient utiliser la diversité des données des utilisateurs pour les anonymiser grâce à des techniques fondées sur la randomisation.
Mais c’est actuellement l’utilisateur final, privé de ces mêmes possibilités, qui demeure le destinataire de ces recommandations. Et ce, alors même qu’il est confronté à une tension fondamentale : la production d’une IA resterait-elle utile en l’absence de toute donnée personnelle (pour autant qu’une telle suppression soit possible). Si l’on retire les noms, les détails, ainsi que les styles et les excentricités de langage avant de les transmettre, que reste-t-il alors ?
La recommandation « ne mettez pas de données personnelles dans votre prompt » procède ainsi d’un transfert de responsabilité, imposant à l’utilisateur un fardeau d’anonymisation souvent impossible à assumer. Alors que les développeurs d’IA, eux, s’en sont largement disculpés, invisibilisant dans le volume de l’opacité des données qu’ils utilisent pour nourrir leurs machines, les données personnelles qu’ils utilisent allègrement… jusqu’à l’abus.
