# L'IA générative pourrait aussi servir à exploiter des données personnelles en toute sécurité : la piste des données synthétiques

Antoine Boutet, Alexis Leautier

<figure><img src="image_1.png" /></figure>

## To cite this version:

Antoine Boutet, Alexis Leautier. L'IA générative pourrait aussi servir à exploiter des données personnelles en toute sécurité: la piste des données synthétiques. The Conversation France, 2024, pp.1-8.
hal-04901134

HAL Id: hal-04901134

https://hal.science/hal-04901134v1

Submitted on 20 Jan 2025

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_2.png" /></figure>
# L'IA générative pourrait aussi servir à exploiter des données personnelles en toute sécurité : la piste des données synthétiques

Antoine Boutet (INSA Lyon, Inria, CITI), Alexis Leautier (CNIL)
antoine.boutet@insa-lyon.fr, aleautier@cnil.fr

Comment réagiriez-vous si ChatGPT dévoilait votre numéro de téléphone et votre adresse privée ?

Parmi les données présentes sur le Web sur lesquelles le modèle de langage derrière ChatGPT s'entraîne, certaines informations sont personnelles et ne sont pas censées être révélées. Pourtant, ce risque est bien réel, comme l'a démontré une équipe de chercheurs, en poussant ChatGPT à révéler une grande quantité de données personnelles à partir d'une simple requête [1].

Pour garantir la confidentialité des données qui servent à entraîner les systèmes d'intelligence artificielle, une piste est d'utiliser des données synthétiques : des données fictives générées artificiellement qui conservent des propriétés statistiques du jeu de données réelles qu'elles cherchent à imiter et remplacer.

Avec des données synthétiques, on peut entraîner un système de classification ou un agent conversationnel comme ChatGPT, tester des logiciels, ou partager les données sans souci de confidentialité : des données synthétiques reproduisent par exemple les données du système national de données de santé<fnref n="1" />.

Certaines des entreprises présentes sur le marché de la génération de données synthétiques, ainsi qu'une partie de la littérature académique, avancent même qu'il s'agit de données réellement anonymes<fnref n="2" />. Ce terme est fort, car il sousentend qu'on ne peut pas remonter aux données réelles – et donc, à votre numéro de sécurité sociale ou de téléphone.

En réalité, la synthèse de données possède des faiblesses [2, 3] et les garanties mises en avant font encore l'objet d'études<fnref n="3" /> [4].

<footnote n="1">¹https://documentation-snds.health-data-hub.fr/snds/formation_snds/donnees_synthetiques/</footnote>

<footnote n="2">²https://www.itforbusiness.fr/les-donnees-synthetiques-primordiales-pour-la-nouvelle-ere-de-ia-48026</footnote>

<footnote n="3">³https://files.inria.fr/ipop/</footnote>
# Pourquoi tant d'engouement pour les données synthétiques ?

La synthèse de données permettrait de publier des données représentatives des données réelles d'origine mais non identifiables.

Par exemple, des données de recensement de la population peuvent être extrêmement utiles à des fins de statistiques... mais elles rassemblent des informations sur les individus qui permettent leur réidentification : leur publication en l'état n'est donc pas permise par le RGPD (Règlement général sur la protection des données)<fnref n="4" />.

Dans le cas de données personnelles ou de données soumises à propriété intelectuelle, ce procédé permettrait aussi de s'affranchir du cadre réglementaire qui limite souvent leur publication ou leur utilisation.

Il permettrait également de réaliser des expérimentations qui auraient demandé de coûteuses collectes de données, par exemple pour entraîner des voitures autonomes à éviter les collisions<fnref n="5" />.

Enfin, les données synthétiques ne nécessitent pas de nettoyage des données. Cet atout est particulièrement important pour l'entraînement de modèles d'IA, où la qualité de l'annotation des données a un impact sur les performances du modèle.

Pour ces raisons, fin 2022, le marché mondial de la génération de données synthétiques avait déjà généré 163,8 millions de dollars et devrait connaître une croissance de 35 % de 2023 à 2030⁶. L'adoption pourrait être rapide et massive, et représenter selon certaines études jusqu'à 60 % des données utilisées pour l'entraînement des systèmes d'IA en 2024⁷.

La confidentialité est l'un des objectifs de la génération de données synthétiques, mais ce n'est pas le seul. Les acteurs du domaine entendent également profiter de l'exhaustivité des données synthétiques – qui peuvent être générées en quantité quasi illimitée et reproduire toutes les simulations envisagées, mais aussi permettre d'avoir des données sur des cas particulièrement difficiles avec des données réelles (comme la détection d'armes sur une image, ou une simulation de trafic routier avec des conditions bien particulières).

<footnote n="4">⁴https://www.cnil.fr/fr/rgpd-de-quoi-parle-t-on</footnote>

<footnote n="5">⁵https://waymo.com/blog/2022/12/waymos-collision-avoidance-testing/</footnote>

<footnote n="6">⁶https://www.grandviewresearch.com/industry-analysis/synthetic-data-generation-market-report</footnote>

<footnote n="7">⁷https://www.actuia.com/actualite/rapport-gartner-les-donnees-synthetiques-majoritairement-utilisees-pout-lencore</footnote>
# Comment génère-t-on des données synthétiques ?

Imaginons que nous voulons générer des données synthétiques comme l'âge et le salaire d'une population. On modélise d'abord la relation entre ces deux variables, puis on exploite cette relation pour créer artificiellement des données satisfaisant les propriétés statistiques des données d'origine.

Si la synthèse de données était initialement basée sur des méthodes statistiques, les techniques sont aujourd'hui plus élaborées, afin de synthétiser des données tabulaires ou temporelles – voire, grâce à des IA génératives, des données de type texte, images, voix et vidéos.

De fait, les techniques utilisées pour synthétiser des données à des buts de confidentialité sont très similaires à celles utilisées par les IA génératives comme ChatGPT pour le texte, ou StableDiffusion pour les images. En revanche, une contrainte supplémentaire liée à la reproduction de la distribution statistique des données source est imposée aux outils afin d'assurer la confidentialité.

Par exemple, les réseaux antagonistes génératifs (ou GANs pour generative adversarial networks) peuvent être utilisés pour créer des deepfakes<fnref n="8" />.

<figure><img src="image_3.png" /><figcaption>Figure 1: Fonctionnement schématique d'un réseau antagoniste génératif, ou GAN : l'idée de base des GANs est d'opposer deux réseaux de neurones distincts, le générateur et le discriminateur. Tandis que le générateur crée de nouvelles données, le discriminateur évalue la qualité de ces données. Les deux réseaux s'entraînent en boucle, améliorant ainsi leurs performances respectives. Le processus se termine lorsque le discriminateur ne parvient plus à discerner des données réelles de celles issues du générateur (Vincent Barra, The Conversation, CC BY).</figcaption></figure>

<footnote n="8">⁸https://theconversation.com/les-deepfakes-ces-fausses-videos-creees-pour-nous-influencer-131783</footnote>
De leur côté, les auto-encoders variationnels (ou VAEs)<fnref n="9" />, compressent les données d'origine dans un espace de dimension inférieure et tentent de modéliser la distribution de ces données dans cet espace. Des points aléatoires sont ensuite tirés dans cette distribution et décompressés afin de créer de nouvelles données fidèles aux données d'origine.

Il existe d'autres méthodes de génération [5]. Le choix de la méthode dépend des données sources à imiter et de leur complexité.

## Données réelles vs données synthétiques : trouver les différences

La modélisation des données d'origine, sur laquelle repose le procédé de synthèse, peut être imparfaite, erronée ou incomplète. Dans ce cas, les données de synthèse ne reproduiront que partiellement les informations d'origine : on parle d'une perte d'utilité.

Au-delà d'une perte en performance, un générateur de données mal entraîné ou biaisé peut aussi avoir un impact sur des groupes minoritaires, sous représentés dans l'ensemble de données d'entraînement, et par conséquent moins bien assimilés par le modèle.

<figure><img src="image_4.png" /><figcaption>Figure 2: Exemple de génération de données synthétiques fidèles aux données d'entraînement à gauche, et qui ne reproduisent pas fidèlement les données d'entraînement à droite. Les données sont représentées ici par une analyse en composantes principales, un type d'analyse statistique matricielle très répandu dans le monde des données.</figcaption></figure>

La perte en utilité est un risque d'autant plus inquiétant que seul l'organisme à la source de la synthèse est en mesure de l'estimer, laissant les utilisateurs des données dans l'illusion que les données correspondent à leurs attentes.

<footnote n="9">⁹https://theconversation.com/comment-fonctionne-chatgpt-decrypter-son-nom-pour-comprendre-les-modeles-de-lang</footnote>
# Données synthétiques vs données anonymes : quelle garantie en termes de confidentialité ?

Lorsque le partage de données personnelles n'est pas permis, des données personnelles doivent être anonymisées avant d'être partagées<fnref n="10" />. Toutefois l'anonymisation est souvent difficile techniquement, voire même impossible pour certains jeux de données.

Les données synthétiques se placent alors en remplacement des données anonymisées. Cependant, comme pour les données anonymisées, le risque zéro n'existe pas [2].

## Limites des données anonymisées

Il y a un compromis entre la dégradation de l'information et la garantie de confidentialité, qui est difficile à calibrer, avec des risques de ré-identification et d'inférences d'attributs.

<figure><img src="image_5.png" /></figure>

## Limites des données synthétiques

Les données synthétiques sont soumises aux mêmes limitations que les données anonymisées, avec un compromis entre le niveau de fidélité de reconstruction des données synthétiques et les garanties en terme de confidentialité.

<figure><img src="image_6.png" /></figure>

Bien que l'ensemble des données sources ne soit jamais révélé, les données

<footnote n="10">¹⁰https://theconversation.com/comment-anonymiser-des-donnees-personnelles-199922</footnote>
de synthèse, et parfois le modèle de génération utilisé, peuvent être rendus accessibles et ainsi constituer de nouvelles possibilités d'attaques.

Pour quantifier les risques liés à l'utilisation des données synthétiques, les propriétés de confidentialité sont évaluées de différentes façons :

* Possibilité de lier les données synthétiques aux données d'origine [6].

* Divulgation d'attributs [7] : quand l'accès aux données synthétiques permet à un attaquant d'inférer de nouvelles informations privées sur un individu spécifique, par exemple la valeur d'un attribut particulier comme la race, l'âge, le revenu, etc.

* Inférence d'appartenance [2] : par exemple, si un adversaire découvre que les données d'un individu ont été utilisées pour l'entraînement d'un modèle qui prédit le risque de récidive de cancer, il peut en tirer des informations sur la santé de cet individu.

<figure><img src="image_7.png" /><figcaption>Figure 3: Principe d'une attaque par appartenance (image de E. De Cristofaro).</figcaption></figure>

## Des risques non nuls

Il est important de comprendre que dans la plupart des cas, le risque de fuite d'information n'est pas binaire : la confidentialité n'est ni totale ni nulle.

Le risque est évalué au travers des distributions de probabilité en fonction des hypothèses, des données et des menaces considérées. Certaines études [2] ont montré que les données synthétiques offrent peu de protection supplémentaire par rapport aux techniques d'anonymisation. De plus, le compromis entre confidentialité des données d'origine et utilité des données synthétiques est difficile à prévoir.
Certaines mesures techniques permettent de renforcer la confidentialité et de réduire les risques de réidentification. La confidentialité différentielle [8] notamment est une solution prometteuse, encore à l'étude afin de fournir des garanties suffisantes en termes d'utilité des données, de coût computationnel et d'absence de biais [9].

Il faut tout de même noter que si les risques liés à l'utilisation de données de synthèse ne sont pas nuls, leur utilisation peut s'avérer avantageuse pour certains scénarios d'utilisation. Par exemple, on peut calibrer la génération pour qu'elle conserve uniquement certaines propriétés des données sources pour limiter les risques.

Comme pour n'importe quelle solution de protection à mettre en place, il est toujours nécessaire de faire une analyse de risques pour objectiver ses choix<fnref n="11" />. Et bien sûr, la génération de données synthétiques soulève aussi des enjeux éthiques lorsque la génération des données a comme finalité de construire de fausses informations [10].

## References

[1] M. Nasr, N. Carlini, J. Hayase, M. Jagielski, A. F. Cooper, D. Ippolito, C. A. Choquette-Choo, E. Wallace, F. Tramèr, and K. Lee, "Scalable extraction of training data from (production) language models," 2023.

[2] T. Stadler, B. Oprisanu, and C. Troncoso, "Synthetic data - anonymisation groundhog day," in *31st USENIX Security Symposium (USENIX Security 22)*. Boston, MA: USENIX Association, Aug. 2022, pp. 1451-1468. [Online]. Available: https://www.usenix.org/conference/usenixsecurity22/presentation/stadler

[3] T. Lebrun, L. Béziaud, T. Allard, A. Boutet, S. Gambs, and M. Maouche, "Synthetic Data: Generate Avatar Data on Demand," in *Lecture Notes in Computer Science*, ser. Lecture Notes in Computer Science, vol. 15440. Doha-Qatar, France: Springer Nature Singapore, Dec. 2024, pp. 193-203. [Online]. Available: https://hal.science/hal-04715055

[4] T. Allard, L. Béziaud, and S. Gambs, "SNAKE challenge: Sanitization Algorithms under Attack," in *Proceedings of the 32nd ACM International Conference on Information and Knowledge Management (CIKM'23)*, Birmingham, United Kingdom, Oct. 2023. [Online]. Available: https://hal.science/hal-04228115

[5] Y. Lu, M. Shen, H. Wang, X. Wang, C. van Rechem, T. Fu, and W. Wei, "Machine learning for synthetic data generation: A review," 2024. [Online]. Available: https://arxiv.org/abs/2302.04062

<footnote n="11">¹¹https://unece.org/sites/default/files/2022-11/ECECESSTAT20226.pdf</footnote>
[6] E. D. Cristofaro, “Synthetic data: Methods, use cases, and risks,” 2024. [Online]. Available: https://arxiv.org/abs/2303.01230

[7] M. Hittmeir, R. Mayer, and A. Ekelhart, “A baseline for attribute disclosure risk in synthetic data,” in *Proceedings of the Tenth ACM Conference on Data and Application Security and Privacy*, ser. CODASPY ’20. New York, NY, USA: Association for Computing Machinery, 2020, p. 133–143. [Online]. Available: https://doi.org/10.1145/3374664.3375722

[8] J. Yoon, J. Jordon, and M. van der Schaar, “PATE-GAN: Generating synthetic data with differential privacy guarantees,” in *International Conference on Learning Representations*, 2019. [Online]. Available: https://openreview.net/forum?id=S1zk9iRqF7

[9] G. Ganev, B. Oprisanu, and E. D. Cristofaro, “Robin hood and matthew effects: Differential privacy has disparate impact on synthetic data,” 2022. [Online]. Available: https://arxiv.org/abs/2109.11429

[10] M. Naddaf, “Chatgpt generates fake data set to support scientific hypothesis,” *Nature*, vol. 623, 11 2023.