Données synthétiques : évaluer le risque résiduel
Évaluer un jeu de données synthétiques avant son partage : origine, ressemblances, inférences, preuves et limites d’utilisation.
Un fournisseur propose un jeu synthétique généré à partir de dossiers réels et le présente comme anonyme. L’étiquette ne suffit pas. Le responsable doit comprendre la méthode, évaluer les informations que le résultat peut révéler sur des personnes et déterminer les conditions dans lesquelles il peut être utilisé ou partagé.
Ce qu’il faut retenir
- Des données synthétiques ne sont pas systématiquement anonymes.
- Leur génération à partir de données personnelles constitue elle-même un traitement à encadrer.
- La ressemblance globale aux données d’origine ne mesure pas seule le risque pour les individus.
- Le dossier d’évaluation doit préciser les méthodes, le contexte de diffusion et les limites de la conclusion.
Distinguer données fictives et génération à partir du réel
Un jeu construit manuellement pour représenter un parcours n’a pas nécessairement le même risque qu’un jeu produit par un modèle entraîné sur une base personnelle. Demandez quels éléments réels ont servi, à quelle étape et avec quels accès.
La CNIL rappelle explicitement que les données synthétiques ne sont pas toujours anonymes, dans ses recommandations sur le développement des systèmes d’IA. CNIL, mesures de minimisation et données synthétiques.
Le considérant 26 du RGPD exige de tenir compte des moyens raisonnablement susceptibles d’être utilisés pour identifier les personnes. La génération ne dispense pas de vérifier la licéité du traitement source, sa finalité et les garanties applicables. RGPD.
La préparation de données de test doit donc distinguer le statut annoncé du statut réellement évalué du jeu proposé.
Constituer un dossier d’évaluation
| Élément | Question à documenter |
|---|---|
| Source | Quelles données et quelles personnes ont contribué à la génération ? |
| Méthode | Quel procédé et quels paramètres ont été utilisés ? |
| Copies proches | Des lignes, images ou textes reproduisent-ils des éléments réels ? |
| Cas rares | Des particularités permettent-elles une reconnaissance ? |
| Inférences | Peut-on déduire une information sur une personne connue ? |
| Accès | Qui obtient le jeu, le modèle ou des générations répétées ? |
| Conclusion | Quelles garanties et quelles limites sont établies ? |
L’analyse du laboratoire d’innovation de la CNIL décrit notamment les risques d’inférence d’appartenance et d’attribut à partir de données synthétiques. Elle montre pourquoi un examen du seul retrait des identifiants directs reste insuffisant. LINC, analyse des risques des données synthétiques.
Évaluer le contexte de diffusion
Exemple hypothétique : un jeu reproduit des combinaisons rares de parcours et de localisation. Un partenaire connaît déjà certaines de ces situations. Une évaluation réalisée sans prendre en compte ces connaissances peut sous-estimer ce qu’il peut déduire.
La revue des petits groupes et recoupements apporte une grille complémentaire. Examinez également les publications successives et les possibilités de demander plusieurs générations à partir de la même source.
Une mesure technique annoncée, telle qu’une méthode de confidentialité différentielle, doit être comprise dans son implémentation et ses paramètres. Son nom ne remplace pas les preuves ni l’analyse de l’usage. Faites intervenir les compétences nécessaires pour apprécier les résultats et leurs limites.
Décider des usages permis et du suivi
Si l’anonymat n’est pas démontré, ne présentez pas le jeu comme libre de toute contrainte RGPD. Déterminez le traitement, les destinataires, les accès et les garanties applicables. Le jeu peut rester utile dans un environnement restreint sous un cadre approprié.
Indiquez clairement sa nature synthétique afin qu’il ne soit pas pris pour un ensemble de faits vrais sur des personnes. Évaluez aussi son utilité : un jeu qui protège mieux mais déforme un cas critique peut être inadapté à l’objectif du test.
Conservez la version, la méthode d’évaluation et la décision. Un changement de source, de générateur ou de public peut nécessiter une nouvelle revue. La distinction entre pseudonymisation et anonymisation doit rester explicite dans les contrats et la documentation.
FAQ
Un jeu sans correspondance ligne à ligne est-il forcément anonyme ?
Non. Des informations peuvent encore être déduites par recoupement ou inférence. Examinez les moyens raisonnablement utilisables et le contexte réel.
Le fournisseur peut-il simplement certifier que les données sont synthétiques ?
Cette affirmation décrit leur mode de production, pas nécessairement leur anonymat. Demandez les éléments qui étayent les garanties et la portée de l’évaluation.
Peut-on utiliser le jeu pour prendre des décisions sur des personnes réelles ?
Un jeu synthétique ne doit pas être présenté comme un dossier factuel individuel. Analysez la pertinence, l’exactitude et les conséquences de l’usage envisagé, sans attribuer à une personne des informations générées.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.