Deepfakes et fuites de données : comment l'IA viole la vie privée

Une enquête de MIT Technology Review révèle deux graves menaces pour la vie privée engendrées par l'IA actuelle : des femmes découvrent leur corps dans de fausses vidéos pornographiques créées par deepfake, et de grands modèles de langage divulguent involontairement des numéros de téléphone privés et d'autres données personnelles.

Le porno deepfake, un problème mondial

Quand Jennifer a décroché un emploi en 2023, elle a passé sa photo professionnelle dans un programme de reconnaissance faciale, une procédure standard pour les nouveaux employés. Quelques jours plus tard, le choc : elle a découvert une vidéo où son visage et son corps avaient servi à créer du contenu pornographique sans le moindre consentement.

L'histoire de Jennifer est loin d'être une exception. Selon des études, plus de 99 % des vidéos deepfake sont pornographiques, et l'écrasante majorité des victimes sont des femmes et des filles.

Les outils pour produire ces vidéos deviennent de plus en plus accessibles. Aujourd'hui, des applications gratuites et de simples scripts permettent à n'importe qui, sans compétence particulière, de créer des vidéos convaincantes en quelques heures seulement.

Le problème prend de l'ampleur : les plateformes d'hébergement de contenu luttent contre la vague de porno deepfake, mais supprimer un contenu peut s'avérer impossible une fois qu'il s'est diffusé. Pour les victimes, cela signifie une honte permanente, un traumatisme psychologique et, souvent, l'impossibilité de prouver devant un tribunal que c'était bien elles. De plus, chaque nouvelle mise en ligne de la vidéo provoque un nouveau traumatisme.

Quand l'IA dévoile l'intime

Parallèlement, l'enquête a mis au jour une seconde menace : les grands modèles de langage reproduisent involontairement des données privées. Quand des personnes saisissent leurs numéros de téléphone, adresses e-mail et autres informations personnelles dans des assistants d'IA, ces données peuvent être conservées dans les données d'entraînement, puis reproduites dans des réponses à d'autres utilisateurs.

Pendant l'entraînement, les modèles absorbent d'énormes volumes de texte issus d'internet, y compris des messages privés, des bases de données et des fuites d'entreprises. Le système peut ensuite reproduire ces informations si une requête adaptée tombe dessus par hasard. Les utilisateurs ignorent souvent que leurs informations personnelles ont été copiées dans le modèle lui-même et peuvent être divulguées.

• Les numéros de téléphone sont reproduits dans un pourcentage significatif des tests
• Les adresses e-mail sont divulguées encore plus souvent
• Les numéros de sécurité sociale, adresses et autres données risquent aussi d'être divulgués
• Les utilisateurs ne sont généralement pas informés de ce risque lorsqu'ils utilisent le service

Un vide juridique

Ni le porno deepfake ni les fuites de données via l'IA ne bénéficient d'une protection juridique adéquate dans la plupart des juridictions. L'Europe avance plus vite grâce au RGPD et au nouvel AI Act, mais aux États-Unis, en Russie et dans de nombreux autres pays, les victimes restent généralement sans moyen réel de défendre leurs droits.

Les entreprises qui conçoivent des modèles d'IA assument rarement une responsabilité suffisante. Il n'existe pas de norme commune pour purger les données d'entraînement des informations privées, ni d'amendes sévères en cas de fuite. Certaines entreprises ne révèlent même pas si une fuite a eu lieu et cachent le problème au public.

Ce que cela signifie

Ces deux problèmes dessinent un tableau plus large : l'IA se développe dans un vide juridique, avec une responsabilité minimale des développeurs envers les victimes. Des solutions s'imposent d'urgence à trois niveaux : techniques, pour filtrer les données d'entraînement et se protéger des deepfakes ; juridiques, avec une responsabilité pénale pour la création et la diffusion de deepfakes pornographiques ; et éducatives, car chacun doit connaître ces risques.

Sans approche globale, la vague d'atteintes à la vie privée ne fera que croître. Les développeurs de systèmes d'IA doivent assumer la responsabilité des données qu'ils collectent et de l'usage qu'ils en font. Et les régulateurs doivent enfin passer à l'action.