Un cadre inversé : le modèle va vers les données, pas l'inverse

Le ministère indien des Électroniques et des Technologies de l'Information (MeitY) a officialisé le Data Empowerment and Protection Architecture (DEPA), un système conçu pour entraîner des modèles d'intelligence artificielle directement sur des données locales, sans les transférer vers des serveurs étrangers. Selon le Register, cette approche repose sur un principe simple : « le modèle voyage vers les données, plutôt que les données vers le modèle », comme l’a résumé le conseiller scientifique en chef du gouvernement indien, le professeur Ajay Kumar Sood.

Concrètement, les Training Data Providers (TDPs), hôpitaux, banques, administrations ou entreprises, enverront des données anonymisées et chiffrées vers une Data Exchange Platform (DEP). Les Training Data Consumers (TDCs), qu’il s’agisse de startups ou de grands groupes, accéderont à ces données pour entraîner leurs modèles dans des environnements sécurisés et isolés, appelés Secure Data Environments. Ces derniers garantissent que les données restent encryptées et confinées pendant tout le processus, comme l’explique le cadre publié par le MeitY.

DEPA est une révolution dans la gouvernance des données : le modèle d'IA se déplace vers les données, et non l'inverse, préservant ainsi la souveraineté des institutions qui les détiennent.

Des garde-fous techniques et juridiques pour éviter les fuites

DEPA ne se contente pas de sécuriser les données : il impose des règles strictes sur leur utilisation. Les TDPs pourront définir, via des contrats et des permissions contractuelles, comment leurs données peuvent être exploitées par les TDCs. Par exemple, un hôpital pourra interdire l’utilisation de ses données médicales pour des modèles non liés à la santé, selon les détails fournis par The Economic Times.

Pour renforcer la transparence, le cadre intègre des techniques de différenciation privée (differential privacy) afin d’empêcher les modèles d’extraire des informations individuelles, même indirectement. Toutes les activités dans les environnements sécurisés seront enregistrées de manière immuable pour des audits, comme l’indique le MeitY. Cette traçabilité, appelée data provenance, permet de retracer l’origine des données, leurs permissions et leur utilisation tout au long du cycle de formation du modèle.

Enfin, DEPA combine des garanties cryptographiques et des environnements informatiques contrôlés pour isoler les données sensibles. Les tests menés par la HDFC Bank, l’une des premières institutions à adopter DEPA, ont confirmé la viabilité de ce système dans des secteurs soumis à des réglementations strictes, comme le rapporte The Times of India.

Un levier pour des secteurs clés : santé, finance et éducation

DEPA vise à débloquer des données fragmentées dans des secteurs où leur partage est aujourd’hui limité par des contraintes de confidentialité. En santé, par exemple, le cadre pourrait permettre d’agréger des données médicales dispersées entre hôpitaux publics et cliniques privées pour entraîner des modèles d’IA dédiés au diagnostic, à la découverte de médicaments ou à la gestion des épidémies, comme le souligne The Register. En finance, l’accès sécurisé à des données bancaires pourrait aider à étendre le crédit à des populations aujourd’hui exclues, comme les 400 millions d’individus non bancarisés ou les PME en Inde.

Dans l’éducation, DEPA pourrait faciliter l’interopérabilité des données entre établissements pour développer des outils d’apprentissage personnalisé ou des systèmes de certification de compétences transférables, un défi majeur dans les systèmes éducatifs fragmentés. Le MeitY présente ce cadre comme une réponse aux défis d’interopérabilité qui freinent l’innovation dans ces secteurs.

Ce que cela change ici : une piste pour l’Afrique face aux risques de fuite de données

Pour les entreprises et administrations d’Afrique de l’Ouest, où la souveraineté des données et la confiance dans les infrastructures numériques locales restent des enjeux majeurs, DEPA offre un modèle à étudier. Les pays de la région, confrontés à des risques accrus de fuites de données sensibles vers des acteurs étrangers ou à des déséquilibres de pouvoir dans les partenariats technologiques, pourraient s’inspirer de cette approche pour :

• Éviter l’exfiltration des données : comme au Bénin, où les données médicales ou financières sont souvent traitées par des plateformes internationales, DEPA montre qu’il est possible de former des modèles d’IA sans exporter les données brutes, réduisant ainsi les risques de violation de la vie privée ou de non-respect du Règlement Général sur la Protection des Données (RGPD africain) en préparation.
• Renforcer la collaboration sectorielle : des secteurs comme la santé publique ou les services financiers, où les données sont aujourd’hui silotées entre institutions, pourraient bénéficier d’un cadre similaire pour agréger des ensembles de données sans compromettre la sécurité. Par exemple, un système inspiré de DEPA permettrait à des hôpitaux béninois de partager des données anonymisées pour entraîner des outils de télémédecine, tout en gardant le contrôle sur leur utilisation.
• Limiter la dépendance aux géants technologiques : en permettant aux modèles de s’entraîner sur place, DEPA réduit la nécessité de recourir à des acteurs étrangers pour le traitement des données. Pour les administrations africaines, cela pourrait signifier moins de transferts de données vers des serveurs situés hors du continent, et donc moins de risques de censure ou d’ingérence dans l’analyse des données locales.
• Créer un écosystème de confiance : la traçabilité et les audits intégrés dans DEPA pourraient servir de référence pour établir des normes locales de gouvernance des données. Au Bénin ou au Sénégal, où des initiatives comme l’Agence Nationale de la Protection des Données Personnelles (ANPDP) émergent, un cadre technique comme celui de l’Inde pourrait aider à harmoniser les pratiques entre secteurs publics et privés.

Cependant, l’adoption d’un tel système en Afrique de l’Ouest soulèverait des défis spécifiques : la maturité des infrastructures numériques, la formation des acteurs locaux à ces nouvelles technologies, et la coordination entre États pour éviter une fragmentation des règles. Des projets pilotes, comme ceux menés par la Banque Africaine de Développement (BAD) sur la souveraineté des données, pourraient servir de tremplin pour tester des adaptations régionales de DEPA.

Une ambition diplomatique : l’Inde propose un standard pour l’IA mondiale

Au-delà de ses applications locales, DEPA est présenté comme une contribution de l’Inde à la diplomatie scientifique mondiale, alignée sur les efforts de la Banque mondiale et de l’ONU pour un écosystème d’IA plus inclusif. Le MeitY souligne que ce cadre s’inscrit dans la continuité des Digital Public Infrastructures (DPI) indiennes, comme l’Unified Payments Interface (UPI) ou Bharat Taxi, conçues pour réduire la dépendance aux géants technologiques et donner aux citoyens le contrôle de leurs données.

Pour le secrétaire aux Technologies de l’Information, S Krishnan, « les ambitions de l’Inde en IA doivent être accompagnées d’une utilisation responsable et sécurisée des données ». Cette déclaration reflète une préoccupation croissante dans les pays en développement : comment exploiter l’IA sans reproduire les déséquilibres de pouvoir liés aux données ? DEPA pourrait ainsi devenir un modèle pour les nations souhaitant développer leur propre écosystème d’IA, sans sacrifier la souveraineté ou la sécurité des données.