Données personnelles et secrets (PII)

Ce que c'est

PII — informations personnellement identifiables — désigne toute donnée permettant d'identifier une personne : une adresse e-mail, un numéro de téléphone, un numéro d'identité nationale, un compte bancaire. Les historiques de chat en sont remplis, car les utilisateurs copient leurs coordonnées lorsqu'ils demandent de l'aide. Les secrets tels que les clés d'API et les mots de passe s'y retrouvent pour la même raison. Cette étape les repère dans les données d'entraînement et détermine leur traitement avant que les données ne soient envoyées pour l'entraînement.

Pourquoi un modèle peut divulguer des données d'entraînement

L'entraînement pousse le modèle à rendre chaque réponse cible plus probable. Pour la majorité du texte, cela implique l'apprentissage de modèles, mais pour des chaînes de caractères rares et exactes — un IBAN, une adresse e-mail, une clé — la seule façon de les prédire est de les mémoriser. Ce texte mémorisé peut ensuite ressurgir lorsqu'un prompt ultérieur ressemble au contexte d'origine.

Ce n'est pas une hypothèse. Carlini et al. (2020) ont extrait des centaines de séquences textuelles des données d'entraînement de GPT-2, y compris des noms, des numéros de téléphone et des adresses e-mail, en interrogeant le modèle et en filtrant ses résultats. Des travaux ultérieurs ont révélé que la mémorisation augmente avec la taille du modèle et la fréquence de répétition d'un exemple, et Lukas et al. (2023) ont démontré que les méthodes de nettoyage courantes réduisent, mais n'éliminent pas, les fuites de PII. Les données de fine-tuning constituent un ensemble beaucoup plus restreint, examiné à plusieurs reprises (chaque époque étant un nouveau passage), ce qui facilite, au lieu de compliquer, leur mémorisation.

Comment cela fonctionne

La détection analyse le texte de la conversation à la recherche d'identifiants dotés d'une structure reconnaissable : adresses e-mail, numéros de téléphone, numéros de carte bancaire, IBAN, numéros d'identité nationale et clés d'API. Chaque correspondance est ensuite traitée selon le mode que vous choisissez. Avec Masquer, la valeur est remplacée par un espace réservé du même type :

Email        dana.k@example.com              →  [EMAIL]
Phone        +44 20 7946 0958                →  [PHONE]
Card number  4111 1111 1111 1111             →  [CARD]
IBAN         GB33 BUKB 2020 1555 5555 55     →  [IBAN]
API key      sk_live_…                       →  [API_KEY]

Les espaces réservés maintiennent le signal d'entraînement intact. Le modèle apprend toujours qu'une demande de remboursement mentionne un compte et qu'une bonne réponse demande une confirmation par e-mail ; il ne voit simplement jamais de compte réel. À l'usage, il écrira parfois [EMAIL] à la place d'une valeur, ce qui constitue un échec bien préférable à la divulgation de l'adresse d'un vrai client.

Ce que la détection ne peut pas repérer

La détection de modèles est fiable pour les identifiants ayant un format fixe. Elle est beaucoup plus faible sur le texte libre : le nom d'une personne, une adresse postale rédigée en prose, un diagnostic, ou un détail qui n'identifie quelqu'un que par association (« le directeur financier de notre bureau de Lyon »). Considérez le masquage comme un filet de sécurité, et non comme une garantie, et lisez un échantillon du jeu de données en gardant cela à l'esprit — en particulier lorsque les chats abordent des questions de santé, de Finance, de ressources humaines ou d'ordre Juridique.

Erreurs courantes

• Masquer uniquement les messages de l'utilisateur : les réponses de l'assistant sont les cibles que le modèle est entraîné à reproduire, elles sont donc les plus importantes.
• Considérer le masquage automatique comme exhaustif. Les noms, les adresses et les faits sensibles rédigés en texte libre ne sont pas des identifiants structurés.
• Utiliser Signaler « juste pour le moment » et s'entraîner quand même sur le fichier signalé.
• Oublier les secrets : les clés API collées dans un chat d'assistance sont tout aussi dangereuses dans les résultats d'un modèle que les données personnelles.
• Changer le mode de masquage entre deux préparations, puis comparer les modèles obtenus comme si seuls les paramètres d'entraînement différaient.

Références et lectures complémentaires

Les sources externes s'ouvrent dans un nouvel onglet.

1. 01Extracting Training Data from Large Language Models↗Carlini et al., 2020 · arXiv · arxiv.orgL'étude ayant démontré que les modèles de langage peuvent être incités à révéler des données personnelles issues de leur jeu d'entraînement.
2. 02Quantifying Memorization Across Neural Language Models↗Carlini et al., 2022 · arXiv · arxiv.orgComment la mémorisation augmente avec la taille du modèle, la duplication et la longueur du prompt.
3. 03Analyzing Leakage of Personally Identifiable Information in Language Models↗Lukas et al., 2023 · arXiv · arxiv.orgÉvalue dans quelle mesure le nettoyage et d'autres défenses réduisent réellement les fuites de PII.
4. 04Personal data↗Wikipedia · en.wikipedia.orgDéfinitions des données personnelles et des PII dans les cadres juridiques tels que le RGPD.

Concepts associés