Accueil › Glossaire › Privacy-Preserving ML

Privacy-Preserving ML (Machine Learning Préservant la Vie Privée)

Le privacy-preserving machine learning (PPML) est l’ensemble des techniques et architectures qui permettent d’entraîner, de déployer et d’utiliser des modèles de machine learning tout en protégeant la confidentialité des données sensibles, en empêchant la reconstruction des données individuelles à partir des modèles ou de leurs résultats.

Pourquoi le PPML est devenu incontournable

Le machine learning est alimenté par les données, et les données les plus précieuses sont souvent les plus sensibles : dossiers médicaux, transactions financières, données de localisation, historiques de navigation, données génomiques. Centraliser ces données pour entraîner un modèle crée trois risques majeurs :

Risque de fuite. Toute centralisation crée un point unique de défaillance. Les violations de données coûtent en moyenne 4,88 millions de dollars en 2024 (IBM Cost of a Data Breach). Mais le risque ne s’arrête pas au stockage : un modèle ML entraîné sur des données sensibles peut lui-même devenir un vecteur de fuite via des attaques d’inversion (model inversion), d’inférence d’appartenance (membership inference) ou d’extraction de propriétés (property inference).

Risque réglementaire. Le RGPD européen impose la minimisation des données et la privacy by design. Le HIPAA protège les données de santé aux États-Unis. La PIPL chinoise restreint les transferts de données transfrontaliers. Le EU AI Act ajoute des exigences de transparence et de robustesse pour les systèmes IA à haut risque. Ne pas respecter ces cadres expose à des amendes pouvant atteindre 4 % du chiffre d’affaires mondial (RGPD).

Risque de silos. Les organisations qui possèdent les données les plus riches (hôpitaux, banques, administrations) ne peuvent souvent pas les partager, même pour des projets bénéfiques. Ce sont les « data silos » qui empêchent des millions d’hôpitaux de collaborer sur un modèle de diagnostic, ou des banques de partager des patterns de fraude. Le PPML brise ces silos sans compromettre la confidentialité.

Taxonomie des techniques PPML

Le PPML n’est pas une technique unique mais un écosystème de méthodes complémentaires qui protègent les données à différentes étapes du pipeline ML. Voici les quatre piliers, auxquels s’ajoutent des techniques émergentes :

Pilier 1 : Differential Privacy (perturbation)

La differential privacy ajoute du bruit calibré aux données ou aux paramètres du modèle pour garantir mathématiquement que la présence ou l’absence d’un individu dans le dataset ne change pas significativement les résultats. DP-SGD est l’algorithme standard pour l’entraînement privé de réseaux de neurones.

Protège : les données individuelles dans les résultats publiés et dans le modèle lui-même.

Phase du pipeline : entraînement (DP-SGD), publication de résultats (mécanismes de Laplace/Gaussien), génération de données synthétiques (DP synthetic data).

Compromis : plus de privacy = plus de bruit = moins de précision du modèle.

Pilier 2 : Federated Learning (distribution)

Le federated learning distribue l’entraînement entre les participants : chacun entraîne localement sur ses données et ne partage que les mises à jour du modèle. Les données brutes ne quittent jamais leur source.

Protège : les données brutes contre la centralisation et le transfert.

Phase du pipeline : entraînement distribué, agrégation de modèles.

Compromis : les gradients partagés peuvent être vulnérables aux attaques d’inversion sans protection complémentaire (DP ou MPC).

Pilier 3 : Homomorphic Encryption (chiffrement)

Le chiffrement homomorphe permet de calculer directement sur des données chiffrées sans les déchiffrer. Le résultat déchiffré est identique à celui qu’on obtiendrait en clair.

Protège : les données pendant le calcul (encryption-at-use).

Phase du pipeline : inférence chiffrée (principal), entraînement chiffré (émergent).

Compromis : overhead de performance très élevé (1 000x à 1 000 000x), taille des ciphertexts.

Pilier 4 : Secure Multiparty Computation (calcul collaboratif)

Le MPC permet à plusieurs parties de calculer conjointement une fonction sur leurs données privées sans qu’aucune partie ne voie les données des autres.

Protège : les inputs de chaque partie pendant le calcul conjoint.

Phase du pipeline : entraînement collaboratif, inférence privée, agrégation sécurisée (FL + MPC).

Compromis : coût de communication entre les parties, complexité d’implémentation.

Techniques émergentes

Zero-Knowledge Proofs (ZKP). Permettent de prouver qu’un calcul a été effectué correctement sur des données privées sans révéler ni les données ni les étapes intermédiaires. De plus en plus utilisés pour la vérification de modèles ML (prouver qu’un modèle a été entraîné selon un protocole DP sans révéler les données d’entraînement).

Trusted Execution Environments (TEE). Enclaves matérielles isolées (Intel SGX, ARM TrustZone) qui protègent le code et les données pendant l’exécution. Moins de overhead que le HE ou le MPC, mais dépendent de la confiance envers le fabricant du matériel.

Données synthétiques DP. Génération de datasets artificiels qui reproduisent les propriétés statistiques des données réelles avec des garanties formelles de differential privacy. Ces datasets synthétiques peuvent être partagés librement sans risque pour les individus originaux.

Split Learning. Variante du federated learning où le réseau de neurones est coupé en deux : le client traite les premières couches localement (sur ses données brutes) et envoie uniquement les activations intermédiaires au serveur qui complète l’inférence. Réduit le calcul client mais les activations intermédiaires peuvent potentiellement être exploitées.

Menaces sur les modèles ML

Le PPML répond à des attaques réelles et démontrées contre les modèles ML :

Architectures hybrides

Les techniques PPML individuelles ont chacune des limitations. La tendance majeure est la combinaison de plusieurs techniques en architectures hybrides qui offrent une protection en profondeur :

FL + DP. L’architecture la plus courante. Le federated learning garde les données locales. La differential privacy protège les gradients partagés contre les attaques d’inversion. C’est l’approche de Google (Gboard), Apple (Siri) et de nombreux déploiements en santé. PPML-Omics (publié dans Science Advances) a démontré cette architecture pour l’analyse de données génomiques multi-omiques avec des garanties mathématiques de privacy.

FL + MPC (Secure Aggregation). Les gradients sont partagés via secret sharing et agrégés sans que le serveur ne voie les contributions individuelles. Plus de protection que FL + DP seul, mais plus coûteux en communication.

FL + DP + HE. Triple protection : données locales (FL), gradients bruités (DP), gradients chiffrés (HE). Maximise la sécurité au prix de la complexité et de l’overhead.

HE + MPC. Le FHE multi-clés permet du calcul collaboratif sans tiers de confiance, combinant les forces du HE (calcul sur chiffrés) et du MPC (multi-parties). Les frameworks hybrides émergents comme ceux proposés par Chimera et Pegasus combinent différents schémas HE pour optimiser le rapport protection/performance.

Applications par domaine

Santé. Le domaine le plus avancé en PPML. L’initiative FeTS (Federated Tumor Segmentation) réunit plus de 70 institutions sur six continents pour améliorer la détection des tumeurs cérébrales (+33 % de précision) sans partager les images de patients. Le système PriMIA combine DP locale et MPC pour garantir la privacy pendant l’entraînement et l’inférence. Les analyses génomiques (GWAS) utilisent le MPC pour identifier des facteurs de risque génétiques entre institutions.

Finance. Le scoring de crédit sur données chiffrées via HE (framework PPCRA) atteint des niveaux de précision proches du texte clair avec des modèles de régression logistique. Les banques utilisent le MPC pour la détection de fraude collaborative et le FL + DP pour les modèles de risque partagés entre filiales.

IoT et edge. La croissance explosive des appareils IoT (smart cities, véhicules, industrie) exige du PPML adapté aux ressources limitées : modèles compressés, DP légère, FL sur edge devices avec 5G. Les approches TinyML-compatible et les schémas DP allégés sont un axe de recherche prioritaire.

Publicité et marketing. Google et Apple utilisent la local DP pour collecter des statistiques d’usage sans identifier les individus. Le PPML permet le ciblage publicitaire et la mesure d’attribution sans tracking individuel, un enjeu critique avec la disparition des cookies tiers.

Administration et secteur public. Le US Census Bureau utilise la DP pour le recensement. Les agences réglementaires (Swissmedic, FDA) explorent le FL pour collaborer sur l’évaluation des dispositifs médicaux sans partager les rapports d’incidents sensibles.

Écosystème d’outils

PySyft (OpenMined) est le seul framework qui unifie FL, DP et MPC sous une interface cohérente, ce qui en fait le point d’entrée idéal pour les architectures hybrides. Pour les déploiements spécialisés, chaque technique a son outil de référence : Opacus pour la DP, Flower/FLARE pour le FL, OpenFHE/Concrete pour le HE, CrypTen pour le MPC.

Le trilemme privacy-utilité-performance

Toute technique PPML impose un compromis entre trois dimensions :

Privacy ↔ Utilité. Plus la protection est forte (ε petit en DP, chiffrement plus robuste en HE), plus le modèle perd en précision ou en fonctionnalité.

Privacy ↔ Performance. Les calculs sur données chiffrées (HE) ou partagées (MPC) sont des ordres de grandeur plus lents que les calculs en clair. La DP est la moins coûteuse en performance (ajout de bruit rapide).

Utilité ↔ Performance. Combiner plusieurs techniques améliore la protection mais augmente la complexité computationnelle et le temps d’exécution.

Le choix de la bonne architecture PPML est un exercice d’ingénierie qui dépend de la sensibilité des données, du modèle de menace, des contraintes réglementaires, du budget de calcul et du niveau de précision requis. Il n’existe pas de solution universelle.

Tendances et futur

PPML pour les LLM. L’inférence privée de LLM via FHE (EncryptedLLM avec GPT-2, accélération GPU 200x) et le fine-tuning DP de LLM sur données sensibles sont les deux frontières actives. Orion (best paper ASPLOS 2025) automatise la compilation de réseaux PyTorch en programmes FHE.

Données synthétiques DP. La génération de datasets synthétiques avec garanties de differential privacy est en plein essor. Le paradigme select-measure-generate produit des données partageables librement, éliminant le besoin de techniques de privacy plus coûteuses pour de nombreux cas d’usage analytiques.

PPML quantum-safe. Les schémas HE et MPC basés sur les réseaux euclidiens (lattices) sont déjà résistants aux attaques quantiques. La préparation du PPML à l’ère post-quantique est un avantage structurel par rapport aux systèmes cryptographiques classiques.

Standardisation et compliance. Le EU AI Act, le RGPD et les régulateurs nationaux poussent vers l’adoption de Privacy-Enhancing Technologies (PET). La MPC Alliance et HomomorphicEncryption.org travaillent sur les standards d’interopérabilité. L’EDPS a publié des directives spécifiques sur le FL et la DP.