Intelligence artificielle pour des services moraux :

Concilier équité et confidentialité

Jan Aalmoes

To cite this version:

Jan Aalmoes. Intelligence artificielle pour des services moraux : Concilier équité et confidentialité.
Intelligence artificielle [cs.AI]. INSA de Lyon, 2024. Français. �NNT : 2024ISAL0126�. �tel-05014177�

HAL Id: tel-05014177

https://theses.hal.science/tel-05014177v1
Submitted on 31 Mar 2025

HAL is a multi-disciplinary open access L’archive ouverte pluridisciplinaire HAL, est

archive for the deposit and dissemination of sci- destinée au dépôt et à la diffusion de documents
entific research documents, whether they are pub- scientifiques de niveau recherche, publiés ou non,
lished or not. The documents may come from émanant des établissements d’enseignement et de
teaching and research institutions in France or recherche français ou étrangers, des laboratoires
abroad, or from public or private research centers. publics ou privés.
 N° d’ordre NNT : 2024ISAL0126

THESE de DOCTORAT DE L’INSA LYON,

membre de l’Université de Lyon
Ecole Doctorale N° 512
(École doctorale Informatique et mathématiques de Lyon)

Spécialité/ discipline de doctorat : Mathématiques

Soutenue publiquement le 13/12/2024, par :

Jan Aalmoes

Intelligence artificielle pour des services

moraux : concilier équité et confidentialité

Devant le jury composé de :

ALLARD Tristan Maître de conférences HDR Université de Rennes 1 Rapporteur

SIHEM Amer-Yahia Directeur de recherche Laboratoire d’Informatique Rapporteur
de Grenoble
BOUCHENAK Sara Professeur des universités INSA-Lyon Examinatrice
HUGUET Marie-José Professeur des universités INSA-Lyon Examinatrice
RUDAMETKIN Walter Professeur des universités Université de Rennes 1 Président
PERROT Michael Chargé de recherche INRIA Examinateur
BOUTET Antoine Maître de conférences INSA-Lyon Examinateur

CUNCHE Mathieu Professeur des universités INSA-Lyon Directeur de thèse

BOUTET Antoine Maître de conférences INSA-Lyon Co-encadrant de thèse

Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 ANALYSIS SUMMARY
magister

TH1187_AALMOES 6% Similarities
2% similarities between quotation

Jan_Manuscrit 9%
Suspicious
marks
< 1% among the sources mentioned

texts 4% Unrecognized languages

< 1% Texts potentially generated by AI
(ignored)

Document name: TH1187_AALMOES Jan_Manuscrit.pdf Submitter: Mickael Lallart Number of words: 46,725
Document ID: f39298e661a55b27df16f412f2f9fef8cf4248b7 Submission date: 10/11/2024 Number of characters: 283,006
Original document size: 9.13 MB Upload type: interface
Authors: [] analysis end date: 10/11/2024

Location of similarities in the document:

Main sources detected

No. Description Similarities Locations Additional information

TH1178_LEBRUN Thomas_Manuscrit.pdf | TH1178_LEBRUN Thomas_Manu… #292666

1 The document is from my document database 1% Identical words: 1% (380 words)
14 similar sources

fedora.insa-lyon.fr
2 https://fedora.insa-lyon.fr/sites/fedora.insa-lyon.fr/files/liste_ecoles_doctorales.pdf#:~:text=Sec. : … 1% Identical words: 1% (362 words)
14 similar sources

TH1163_CORNEJO FUENTES Joaquin Eduardo_Manuscrit.pdf | TH1163_CO… #cc8007

3 The document is from my document database 1% Identical words: 1% (345 words)
10 similar sources

Manuscrit_KHALFOUN.pdf | Manuscrit_KHALFOUN #4879f1

4 The document is from my document database < 1% Identical words: < 1% (242 words)
7 similar sources

www.senat.fr
5 https://www.senat.fr/leg/ppl17-506.pdf < 1% Identical words: < 1% (130 words)
6 similar sources

Sources with incidental similarities

No. Description Similarities Locations Additional information

arxiv.org | [1709.01604] Privacy Risk in Machine Learning: Analyzing the Connection …

1
https://arxiv.org/abs/1709.01604
< 1% Identical words: < 1% (40 words)

juricaf.org | CJUE, Arrêt de la Cour, OC contre Commission européenne., 07/03/2024…

2
https://juricaf.org/arret/CJUE-COURDEJUSTICEDELUNIONEUROPEENNE-20240307-C47922
< 1% Identical words: < 1% (40 words)

Document from another user #22f99b

3
The document is from another group
< 1% Identical words: < 1% (34 words)

tel.archives-ouvertes.fr
4
https://tel.archives-ouvertes.fr/tel-02000262/file/these.pdf
< 1% Identical words: < 1% (27 words)

www.cnil.fr
5
https://www.cnil.fr/sites/cnil/files/atoms/files/referentiel_-_acces_precoce.pdf
< 1% Identical words: < 1% (33 words)

Referenced sources (without similarities detected) These sources were cited in the paper without finding any similarities.

1 https://www.edchimie-lyon.fr

2 http://e2m2.universite-lyon.fr

3 http://ediss.universite-lyon.fr

4 http://ed34.universite-lyon.fr

5 https://edeea.universite-lyon.fr

Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Département de la Formation par la Recherche
et des Études Doctorales (FEDORA)
Bâtiment Charlotte Perriand 3e étage
17, av. des Arts
69621 Villeurbanne Cédex
[email protected]

Référence : TH1187_AALMOES Jan

L’INSA Lyon a mis en place une procédure de contrôle systématique via un outil de
détection de similitudes (logiciel Compilatio). Après le dépôt du manuscrit de thèse,
celui-ci est analysé par l’outil. Pour tout taux de similarité supérieur à 10%, le manuscrit
est vérifié par l’équipe de FEDORA. Il s’agit notamment d’exclure les auto-citations, à
condition qu’elles soient correctement référencées avec citation expresse dans le
manuscrit.

Par ce document, il est attesté que ce manuscrit, dans la forme communiquée par la
personne doctorante à l’INSA Lyon, satisfait aux exigences de l’Etablissement concernant
le taux maximal de similitude admissible.

Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Département FEDORA – INSA Lyon - Ecoles Doctorales

SIGLE ECOLE DOCTORALE NOM ET COORDONNEES DU RESPONSABLE

CHIMIE DE LYON M. Stéphane DANIELE

C2P2-CPE LYON-UMR 5265
ED 206 https://www.edchimie-lyon.fr Bâtiment F308, BP 2077
Sec. : Renée EL MELHEM 43 Boulevard du 11 novembre 1918
CHIMIE Bât. Blaise PASCAL, 3e étage 69616 Villeurbanne
[email protected] [email protected]

ÉVOLUTION, ÉCOSYSTÈME, MICROBIOLOGIE, MODÉLISATION Mme Sandrine CHARLES

Université Claude Bernard Lyon 1
http://e2m2.universite-lyon.fr UFR Biosciences
ED 341
Sec. : Bénédicte LANZA Bâtiment Mendel
E2M2 Bât. Atrium, UCB Lyon 1 43, boulevard du 11 Novembre 1918
Tél : 04.72.44.83.62 69622 Villeurbanne CEDEX
[email protected] [email protected]

INTERDISCIPLINAIRE SCIENCES-SANTÉ Mme Sylvie RICARD-BLUM

Laboratoire ICBMS - UMR 5246 CNRS - Université Lyon 1
http://ediss.universite-lyon.fr Bâtiment Raulin - 2ème étage Nord
ED 205
Sec. : Bénédicte LANZA 43 Boulevard du 11 novembre 1918
EDISS Bât. Atrium, UCB Lyon 1 69622 Villeurbanne Cedex
Tél : 04.72.44.83.62 Tél : +33(0)4 72 44 82 32
[email protected] [email protected]

MATÉRIAUX DE LYON M. Stéphane BENAYOUN

Ecole Centrale de Lyon
http://ed34.universite-lyon.fr Laboratoire LTDS
ED 34
Sec. : Yann DE ORDENANA 36 avenue Guy de Collongue
EDML Tél : 04.72.18.62.44 69134 Ecully CEDEX
[email protected] Tél : 04.72.18.64.37
[email protected]

ÉLECTRONIQUE, ÉLECTROTECHNIQUE, AUTOMATIQUE M. Philippe DELACHARTRE

https://edeea.universite-lyon.fr INSA LYON
ED 160 Sec. : Philomène TRECOURT Laboratoire CREATIS
Bâtiment Direction INSA Lyon Bâtiment Blaise Pascal, 7 avenue Jean Capelle
EEA Tél : 04.72.43.71.70 69621 Villeurbanne CEDEX
Tél : 04.72.43.88.63
[email protected] [email protected]

INFORMATIQUE ET MATHÉMATIQUES M. Dragos IFTIMIE

Université Claude Bernard Lyon 1
ED 512 http://edinfomaths.universite-lyon.fr Bâtiment Braconnier (ex-101)
Sec. : Renée EL MELHEM 21 Avenue Claude Bernard
INFOMATHS Bât. Blaise PASCAL, 3e étage 69622 VILLEURBANNE Cedex
Tél : 04.72.43.80.46 Tél : 04.72.44.79.58
[email protected] [email protected]

MÉCANIQUE, ÉNERGÉTIQUE, GÉNIE CIVIL, ACOUSTIQUE M. Etienne PARIZET

INSA Lyon
http://edmega.universite-lyon.fr Laboratoire LVA
ED 162
Sec. : Philomène TRECOURT Bâtiment St. Exupéry
MEGA Tél : 04.72.43.71.70 25 bis av. Jean Capelle
Bâtiment Direction INSA Lyon 69621 Villeurbanne CEDEX
[email protected] [email protected]

ScSo1 M. Bruno MILLY (INSA : J.Y. TOUSSAINT)

Univ. Lyon 2 Campus Berges du Rhône
ED 483 https://edsciencessociales.universite-lyon.fr 18, quai Claude Bernard
Sec. : Mélina FAVETON 69365 LYON CEDEX 07
ScSo Tél : 04.78.69.77.79 Bureau BEL 319
[email protected] [email protected]

Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
1
ScSo : Histoire, Géographie, Aménagement, Urbanisme, Archéologie, Science politique, Sociologie, Anthropologie
 Table des matières

1 Introduction 17

2 Contexte 19
2.1 Qu’est-ce que l’Intelligence Artificielle ? . . . . . . . . . . . . . . . . . . . . 19
2.1.1 A l’échelle individuelle . . . . . . . . . . . . . . . . . . . . . . . . . 19
2.1.2 A l’échelle institutionnelle . . . . . . . . . . . . . . . . . . . . . . . 23
2.1.3 Définition(s) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
2.2 Philosophie de l’IA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
2.2.1 Risques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
2.2.2 Anthropomorphisme . . . . . . . . . . . . . . . . . . . . . . . . . . 30
2.3 Les stratégies IA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
2.3.1 Rapport Villani : Donner un sens à l’intelligence artificielle . . . . . 33
2.3.2 Plan France 2030 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
2.3.3 Infrastructures . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36
2.4 Enjeux . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37
2.4.1 Utilité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37
2.4.2 Équité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37
2.4.3 Explicabilité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38
2.4.4 Confidentialité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38
2.4.5 Sécurité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
2.4.6 Consommation d’énergie . . . . . . . . . . . . . . . . . . . . . . . . 40
2.5 Bases légales . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
2.5.1 Protection des utilisateurs . . . . . . . . . . . . . . . . . . . . . . . 40
2.5.2 Discrimination . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
2.5.3 Protection des bases de données . . . . . . . . . . . . . . . . . . . . 42
2.5.4 Secret des affaires . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
2.5.5 Usage illicite de l’IA . . . . . . . . . . . . . . . . . . . . . . . . . . 44

3 Prérequis 47
3.1 Mathématiques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47
3.1.1 Ensembles et fonctions . . . . . . . . . . . . . . . . . . . . . . . . . 47
3.1.2 Algèbre linéaire . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51
3.1.3 Mesurer le hasard pour prédire et inférer . . . . . . . . . . . . . . . 53
3.1.4 Calcul différentiel . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54
3.1.5 Optimisation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55
3.2 Apprentissage automatique . . . . . . . . . . . . . . . . . . . . . . . . . . . 57
3.2.1 Principe . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57
3.2.2 Entraîner un modèle . . . . . . . . . . . . . . . . . . . . . . . . . . 57

5
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 3.2.3 Évaluer un modèle . . . . . . . . . . . . . . . . . . . . . . . . . . . 58
3.2.4 Apprentissage profond . . . . . . . . . . . . . . . . . . . . . . . . . 61
3.2.5 Apprentissage ensembliste . . . . . . . . . . . . . . . . . . . . . . . 64
3.2.6 Équité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 65
3.2.7 Confidentialité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 69

4 Classification finie 73
4.1 Exactitude équilibrée et Classifieur à Choix Aléatoire . . . . . . . . . . . . 73
4.2 Construction d’un algorithme d’apprentissage ensembliste maximisant l’exac-
titude équilibrée . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 79
4.2.1 Mise en place du problème . . . . . . . . . . . . . . . . . . . . . . . 79
4.2.2 Relation entre éléments et indices . . . . . . . . . . . . . . . . . . . 80
4.2.3 Maximisation de l’exactitude équilibrée sur BmÑn . . . . . . . . . . 82
4.3 Résultats expérimentaux . . . . . . . . . . . . . . . . . . . . . . . . . . . . 85
4.3.1 Classification de données tabulaires . . . . . . . . . . . . . . . . . . 85
4.3.2 Classification de données disparates . . . . . . . . . . . . . . . . . . 86

5 Attaque d’inférence d’attribut sensible 89

5.1 Équité en régression . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 89
5.2 Étude théorique de la relation entre AIA et équité . . . . . . . . . . . . . . 90
5.2.1 Utiliser l’équité pour mitiger les AIA . . . . . . . . . . . . . . . . . 90
5.2.2 Utiliser l’AIA pour contrôler le niveau d’équité . . . . . . . . . . . . 92
5.3 Construction de modèles d’AIA . . . . . . . . . . . . . . . . . . . . . . . . 94
5.3.1 Modèle de menace . . . . . . . . . . . . . . . . . . . . . . . . . . . 94
5.3.2 AIA pour les modèles de classification . . . . . . . . . . . . . . . . 94
5.3.3 AIA pour les modèles de régression . . . . . . . . . . . . . . . . . . 94
5.4 Méthodologie expérimentale . . . . . . . . . . . . . . . . . . . . . . . . . . 95
5.4.1 Jeux de données . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 95
5.4.2 Cheminement des données . . . . . . . . . . . . . . . . . . . . . . . 96
5.4.3 Imposer l’équité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 97
5.5 Résultats expérimentaux . . . . . . . . . . . . . . . . . . . . . . . . . . . . 97

6 Données synthétiques 101

6.1 Méthodologie . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 101
6.1.1 Jeu de données . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 102
6.1.2 Entraînement du générateur . . . . . . . . . . . . . . . . . . . . . . 102
6.1.3 Entraînement du prédicteur . . . . . . . . . . . . . . . . . . . . . . 102
6.1.4 Modèle d’attaque . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103
6.1.5 Contrôle du sur-ajustement . . . . . . . . . . . . . . . . . . . . . . 103
6.1.6 Cheminement des données . . . . . . . . . . . . . . . . . . . . . . . 104
6.1.7 Comparaison entre données réelles et synthétiques . . . . . . . . . . 105
6.2 Résultats . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 106
6.2.1 Utilité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 106
6.2.2 Attaque d’inférence d’appartenance aux données d’entraînement (MIA)106
6.2.3 Attaque d’inférence d’attribut . . . . . . . . . . . . . . . . . . . . . 107

6
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 7 Perspectives 109
7.1 Optimisation de l’exactitude équilibrée pour des données d’entrée dans un
ensemble infini . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109
7.2 Génération équitable et confidentielle . . . . . . . . . . . . . . . . . . . . . 109

8 Conclusion 111

A Mots-clefs pour la recherche de projets IA 125

B Liste de 25 critères de discrimination 127

7
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 8
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Remerciements

Merci à mon épouse, Emeline, pour son soutien, ses conseils, ses relectures de mon
orthographe et pour m’avoir aidé avec les Théorèmes 4.6 et 5.2.
Merci à Antoine Boutet et Mathieu Cunche pour leur encadrement.
Merci à ma mère Joëlle et mon père Pieter pour ne m’avoir jamais laché.
Merci à toute l’équipe Privatics de l’INRIA pour les super séminaires toujours pas-
sionnants.
Merci à Frédéric Le Mouël, à Linda Soumari, et à tout le laboratoire CITI de l’INSA
Lyon pour leur accompagnement.
Merci à Cécile Mercadier et Clément Marteau d’avoir cru en moi.
Merci à Sébastien Gambs pour son accueil chaleureux à l’Université de Québec à
Montréal.
Merci à Mr.Noyer, Romain Bondil, Ludovic Menneteau, Bijan Mohammadi et Andro
Mikelic ainsi que tous les enseignants qui ont su me montrer la beauté des mathématiques.
Merci à ma petite soeur Claire pour avoir activement contribué à faire de moi qui je
suis.
Merci les copains : Abhi, Adrien, Amine, Anthonin, Arthur, Clément, Bastien D.,
Bastien M., Bastien R., Benoit, Benoît, Célestin, Léo, Nathan, Rémi, Samuel, Thomas,
Valentin, Virgile.
Merci à Maryse, Jean-Claude et Patricia pour leur bienveillance.
Merci à tous les habitants de Saint-Jean-De-Cuculles pour leur accueil.
Merci à Raclette et Cookie pour leur mignonnerie.

9
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 10
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Avertissement

Ce manuscrit aborde des notions de discrimination notamment de genre, d’origine et

de couleur de peau. En France, les statistiques ethniques sont interdites [1] ce qui n’est pas
le cas aux Etats-Unis d’Amérique. Les résultats de statistiques descriptives, notamment
sur les crimes commis en fonction de la couleur de peau, sont à mettre en parallèle avec
un grand nombre de facteurs socio-économiques [111, 119, 186, 190]. Ainsi, ils ne doivent
pas être interprétés comme indiquant une différence de comportement social entre sous-
groupes ethniques.
De plus, la Section 2.2 invite le.la lecteur.rice à des expériences de pensée qui peuvent
être angoissantes pour certaines personnes [173]. Nous invitons donc le.la lecteur.rice à ne
pas s’attarder sur cette section si il.elle ne se juge pas émotionnellement prêt.e.

11
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 12
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Note sur la langue

J’ai souhaité rédiger ce manuscrit en français pour plusieurs raisons qu’il me semble
importantes de mettre en avant.
Le sujet premier de ce manuscrit, l’intelligence artificielle est un sujet majeur de sou-
veraineté nationale [184]. Cette souveraineté est intimement liée à la francophonie car,
comme l’explique Rachida Dati, Ministre de la Culture, « la langue doit vivre au même
rythme pour restituer la création, l’invention, l’innovation, pour nous permettre de penser
et d’exprimer toutes les réalités du monde contemporain. Et pour rester une grande langue
internationale, il faut pouvoir tout dire, tout nommer, tout traduire » [10]. Ainsi je me
suis efforcé de traduire les termes techniques de l’apprentissage automatique qui viennent
tous de l’anglais. Pour éviter que ma traduction soit trop confuse pour les lecteur.rice.s
habitué.e.s aux termes anglais, pour chaque terme traduit, j’indique son origine anglaise
en note de bas de page à sa première occurrence.
De plus, ce manuscrit traite d’équité et de discrimination ; ces sujets ont une place
particulière dans l’histoire de France, ce qui a forgé le rapport des français face à ces
questions. La vision traitée sur ces questions dans la littérature scientifique des conférences
et journaux internationaux est celle du monde anglo-saxon, notamment États-Uniens.
Ainsi en rédigeant ce manuscrit en français je mets en avant que c’est la vision française,
de la loi française et des institutions françaises que nous étudions. Bien que pour des
raisons pratiques j’ai dû utiliser certains jeux de données standards États-Uniens, ils ne
sont là qu’à titre d’exemple et d’illustration pour les résultats théoriques. Ces résultats
sont suffisamment généraux pour s’appliquer à tout type de jeux de données qui respecte
les hypothèses de chaque théorème.
Enfin, la langue de ce manuscrit ne va pas à l’encontre de la science ouverte et contrôlée
par les pairs 1 car les résultats ont été publiés en anglais à la conférence internationale
Wise 2024 [40]. La communauté scientifique peut donc les réutiliser et les juger sans avoir
à parler français.

1. Peer reviewed

13
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 14
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Notations

Toutes les notations utilisées sont définies la première fois qu’elles sont introduites.
Pour faciliter la lecture je fournis ici une liste des notations avec la référence de leur
définition.

15
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Symbole Description Définition
ùñ ðñ ^_ ‰ @D Logique du premier ordre Section 3.1
tu Ensemble Section 3.1.1
H Ensemble vide Section 3.1.1
Y Union Section 3.1.1
Pp˝q Ensemble des parties Section 3.1.1
Xz Intersection et différence Définition 3.1
{ Ensemble des classes d’équivalences Définition 3.3
ˆ Produit cartésien Définition 3.2
˝ Composition Définition 3.2
f ´1 Fonction inverse ou image réciproque Définition 3.2
n! n factoriel Section 3.1.1
r˝, ˝s r|˝, ˝|s Intervalle Section 3.1.1
# Cardinal Section 3.1.1
EXP p˝q Fonction qui à x associe EXP pxq Définition 3.2
TrpM q Trace d’une matrice M Définition 3.7
LpE, F q Ensemble des applications linéaires de E dans F Section 3.1.2
b Produit de mesure Section 3.1.3
δi Mesure de Dirac en i Section 3.1.3
PY Mesure image de Y par P Section 3.1.3
xx, yy Produit scalaire euclidien Définition 3.11
Rn,m Matrices à n lignes et m colonnes Section 3.1.2
||x|| Norme euclidienne Définition 3.12
limaÑx f paq Limite de f en x Définition 3.13
df pxq Différentielle de f en x Définition 3.14
NZQR Ensembles usuels Définition 3.3
Sn Groupe de permutations sur n P N Section 5.2.2
BAdF pf q Exactitude équilibrée empirique Définition 4.2

TABLE 1 – Liste des notations

16
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Chapitre 1

Introduction

L’intelligence artificielle (IA) est de plus en plus présente dans de nombreux domaines
comme la santé [87, 114, 162], les médias [4] ou les ressources humaines [153]. Ces tech-
nologies induisent des risques pour la confidentialité des données personnelles des uti-
lisateurs [147, 171, 176, 192] et peuvent introduire des biais discriminatoires rendant les
décisions automatiques non équitables [46,115,196,197]. Cette inéquité est étudiée à deux
niveaux dans la littérature scientifique. L’équité individuelle cherche à s’assurer que les
IA se comportent de la même manière à toutes choses égales, excepté un attribut sensible
comme la couleur de peau. L’équité de groupe, quant à elle, cherche à comprendre les
différences de traitement par les IA entre les minorités.
Ma principale contribution vise à comprendre le lien entre l’équité et la confidentialité.
Plus précisement elle étudie en quoi un manque d’équité permet l’inférence d’attribut
sensible. C’est par exemple le cas en reconnaissance faciale : Song et al. [176] ont cherché
à inférer le genre et ont montré que, à partir de cette inférence, il est possible de retrouver
la couleur de peau à 62.18%. Notre approche théorique nous a amené à démontrer que, sous
un certain aspect, la confidentialité et l’équité pouvaient travailler de concert pour créer
des IA plus fiables. Nous avons validé ces résultats en suivant une approche expérimentale
en étudiant des bases de données et des algorithmes d’apprentissage standards.
J’ai aussi pris part au travaux suivants. Déjà j’ai pu participer à l’élaboration de
MixNN [139] : un protocole d’apprentissage fédéré respectueux de la confidentialité des
données des participants à l’apprentissage. Cette solution mélange les couches des mises
à jour envoyées par les participants à l’apprentissage fédéré à l’aide d’un serveur inter-
médiaire 1 . J’ai démontré que cette opération n’a pas d’impact sur l’utilité du modèle
aggloméré finale. Ensuite j’ai contribué à une étude théorique du protocole LoraWAN :
un protocole de communication de l’internet des objets 2 (IOT). Les identifiants séquen-
tiels confidentielles 3 rendent ce protocole robuste face à la ré-identification des objets
connectés [155]. J’ai vérifié que cette modification n’entraîne pas de collisions de paquets
et j’ai précisé les garanties théoriques de confidentialité atteintes.
Je me concentre dans ce manuscrit sur l’étude du lien entre équité et confidentialité
dans l’IA. Pour ce faire nous commencerons par présenter un contexte général dans le
Chapitre 2 qui permettra de mieux comprendre ce qu’est l’IA, quels sont les attentes,
les enjeux et les régulations. Nous verrons ainsi que l’équité et la confidentialité sont
des points capitaux qu’il faut prendre en compte pour un développement moral de l’IA,

1. Proxy
2. Internet Of Things
3. Sequential private identifiers

17
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 aligné avec nos valeurs républicaines, dans le respect des législations européennes et fran-
çaises. Ensuite, je vous présenterai dans le Chapitre 3 les notions clefs dont nous allons
avoir besoin pour comprendre mes développements nouveaux. Il s’agit de fixer les objets
mathématiques que nous utiliserons mais aussi de présenter un rapide état de l’art de
l’équité et de la confidentialité en IA sur lequel reposent les bases de mes contributions.
Dans le Chapitre 4 nous allons construire un nouvel algorithme d’apprentissage automa-
tique optimisé pour des bases de données déséquilibrées vis-à-vis d’un attribut. Grâce à
cet algorithme, nous mettrons en place une attaque d’inférence d’attribut sensible que
nous utiliserons au Chapitre 5 pour l’étude du lien entre équité et confidentialité. Les
données synthétiques sont utilisées pour contourner les obligations légales de protection
des données personnelles. Nous explorerons donc l’impact de l’utilisation des données syn-
thétiques pour l’entraînement des IA sur l’inférence d’attributs sensibles au Chapitre 6.
Finalement, nous ouvrons de nouvelles pistes de recherche au Chapitre 7.

18
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Chapitre 2

Contexte

2.1 Qu’est-ce que l’Intelligence Artificielle ?

L’intelligence artificielle (IA) est un sujet extrêmement médiatisé depuis son ouverture
au grand public avec notamment ChatGPT [3] ou StableDiffusion [38]. Ces technologies
sont aussi des enjeux capitaux pour résoudre plusieurs problèmes majeurs de l’humanité,
notamment la crise climatique [58, 175] et la crise énergétique [125, 133, 134, 151]. Ainsi
l’IA est présente aussi bien à l’échelle de la population qui a accès à des services pour son
usage personnel, qu’à l’échelle collective ou institutionnelle.

2.1.1 A l’échelle individuelle

L’IA promet de faciliter et d’accélérer un grand nombre de tâches dans de multiples
domaines : de l’édition d’images sur son téléphone portable [50] jusqu’aux diagnostics
médicaux [142]. Les géants du numérique poussent de plus en plus l’IA dans leurs pro-
duits, ce qui rend son utilisation simple d’accès. La figure 2.1 montre comment les GA-
FAM (Google, Apple, Facebook, Amazon et Microsoft) mettent en avant des outils grand
public. On trouve des implémentations d’assistants personnels, d’aide à la programma-
tion, d’édition d’images, etc. Des objets connectés portables, comme l’Apple Watch [39],
permettent de suivre et d’analyser divers indicateurs médicaux. Grâce à cela, les utili-
sateurs peuvent avoir accès à une médecine personnalisée bien qu’il n’existe pas d’étude
clinique à grande échelle qui prouve formellement que de tels appareils puissent améliorer
la santé [94]. Avec les GAFAM, de nouvelles startups investissent le domaine de l’IA.
Une des plus médiatiques [19, 30, 31], OpenAI, a développé ChatGPT : un programme de
conversation grandement utilisé [5]. Voyons quelques exemples d’utilisation dans la Fi-
gure 2.2. ChatGPT peut être utilisé comme fondation pour de nombreuses tâches comme
l’assistance à la programmation, résumer des textes, la traduction, la reformulation, etc.
ChatGPT cherche aussi à rendre accessible l’information en temps réel en s’alliant avec
des journaux de référence comme Le Monde en France ou El Paìs en Espagne [4]. La re-
cherche publique donne aussi lieu à des services utilisables individuellement. Par exemple
Pl@ntNet [32, 59] permet, avec un simple smartphone, de reconnaitre une plante à partir
de photographies.

19
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 F IGURE 2.1 – Exemples de produits et de marketing proposés par les GAFAM Google
Apple Facebook (Meta) Amazon Microsoft.

20
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 (a) Aide à la programmation.

21
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 (b) Résumé d’un texte en japonais.

F IGURE 2.2 – Exemples d’utilisation de ChatGPT.

22
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 2.1.2 A l’échelle institutionnelle

L’échelle individuelle de l’IA n’est que le sommet de l’iceberg, son utilisation institu-
tionnelle est ancrée plus profondément. Contrairement aux précédentes applications que
nous avons vues, parlons ici de technologies pour lesquelles souvent l’utilisateur n’a pas le
choix quant à leur utilisation. Cela est particulièrement vrai dans les régimes autoritaires,
comme la Chine, où l’IA est utilisée pour contrôler et opprimer la population notamment
grâce à la reconnaissance faciale [64]. De plus Beraja et al. montrent que les choix poli-
tiques de Pékin, lors des soulèvements populaires, entraînent un développement accéléré
des technologies de reconnaissance faciale [64]. Beraja et al. expliquent aussi que ces tech-
nologies peuvent ensuite quitter la sphère politique et devenir des produits commerciaux
disponibles au grand public.
Aux États-Unis l’IA est utilisée notamment dans le système judiciaire. En utilisant des
bases de données des crimes, les polices de plusieurs villes comme Los Angeles, New-York
ou Miami utilisent l’IA pour prédire où vont se produire les futurs crimes. [72] Ces systèmes
peuvent aussi être complétés par de la surveillance et prédiction de coups de feu [37]. De
plus, certains juges peuvent utiliser des Risk assessement instrument (RAI), des outils
qui permettent de prédire, à partir de faits sur la vie d’une personne jugée coupable, si
elle a un fort risque d’être récidiviste ou non [141]. Des suites de logiciels permettent
d’intégrer RAI, gestion administrative de l’affaire, enquête, prédiction de violation de
liberté conditionnelle etc, dans des outils uniformisés avec une interface graphique simple
qui ne demande pas de connaissances particulières en IA pour être utilisée. [11]
L’IA commence aussi à être utilisée pour des applications médicales, avec la promesse
de faciliter et d’accélérer la prise en charge des patients. Les techniques de reconnaissance
d’images sont utilisées pour aider le diagnostic du cancer de la peau [87]. Les dermato-
logues ont à leur disposition des appareils photos spécialement conçus pour que l’image
obtenue des grains de beauté de leurs patients soit la plus adaptée possible à la détection
de cancer. Cela rend le diagnostic plus fiable que l’utilisation de smartphones avec une
application. La rétinopathie diabétique est une maladie qui peut causer la cécité chez les
personnes diabétiques. La détection de cette maladie à partir de photographies de la rétine
est un autre domaine d’application de l’IA, qui produit des résultats satisfaisants pour
une utilisation clinique [114]. Cependant, utiliser l’IA pour prendre des décisions critiques
pour les patients peut diminuer la qualité de la relation entre médecin et patient, créer
une dépendance néfaste du médecin à l’IA, tromper les patients dans des choix de fin de
vie comme celui de prioriser la qualité de vie à la quantité de vie [162]. Nous aborderons
ce sujet plus en détail dans la Section 2.4.3.
Nous observons aussi un intérêt grandissant de la part de grandes entreprises, notam-
ment de la liste Fortune 500 [12], pour les technologies d’automatisation de la procédure
de recrutement [153]. En effet, face à l’affluence de candidatures pour un poste publié sur
internet, la charge de travail pour les services de ressources humaines augmente drastique-
ment. Ainsi, pour automatiser la sélection de candidatures raisonnables et proches de la
demande de l’employeur, divers produits proposent l’utilisation d’IA [153]. Le candidat,
étant en position de faiblesse face à l’employeur, n’a pas le choix que de se soumettre
à cette sélection automatisée pour postuler. Réduire le facteur humain peut aider à at-
teindre des objectifs de parité femme homme ou augmenter l’embauche des personnes
en situation de handicap en retirant certains biais [47]. Cependant cette idée ne fait pas
consensus car l’IA a une forte tendance à reproduire les biais historiques [95,116,169,198].
Ces biais font partie des enjeux majeurs de l’IA que nous traiterons en Sections 2.4.2 et 5.

23
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 2.1.3 Définition(s)
Nous avons vu dans les parties précédentes que le terme intelligence artificielle est uti-
lisé pour parler d’un grand nombre de techniques différentes et de produits commerciaux
différents. De plus, dans les médias et dans le langage de tous les jours, nous pouvons
entendre [181] des expressions comme : « Une nouvelle IA qui fait [..] ». Cela renvoie
l’IA à une collection de logiciels comme nous l’avons présenté dans les Sections 2.1.1 et
2.1.2 mais ne donne pas de caractérisation qui permette de classifier un logiciel spécifique
comme étant IA ou pas IA. Est-ce que grep [16], le logiciel de reconnaissance de motifs
textuels, est IA ? Est-ce qu’un programme d’Optical Character Recognition (OCR) comme
Ocrad [29] est IA ?
L’Académie Française définit l’IA comme un « ensemble de propriétés rapprochant
du cerveau humain certains systèmes informatiques très évolués » [7]. Précisons quelles
propriétés du cerveau humain se rapprochent de ces systèmes informatiques. L’origine de
l’expression Artificial intelligence peut être retracé jusqu’à l’École d’été de Dartmouth 1 de
1956 [123]. McCarthy et al. y ont introduit un nouveau domaine de recherche fondamentale
« basée sur la conjecture que tous les aspects de l’apprentissage ou toute autre modalité
de l’intelligence peut en principe être si précisément décrite qu’une machine peut être
construite pour la simuler » [145] 2 La caractéristique de l’IA la plus fondamentale est
donc de simuler l’intelligence humaine avec une machine.
Apportons quelques précisions sur l’intelligence. Le dictionnaire de l’Académie fran-
çaise [8] définit l’intelligence comme la « Faculté de comprendre, de concevoir, de connaître,
et notamment faculté de discerner ou d’établir des rapports entre des faits, des idées ou
des formes pour parvenir à la connaissance ». Cette définition a deux aspects. Le premier
est une liste de tâches techniques qui correspond bien à une liste de logiciels comme nous
l’avons vu au début de cette section. Cependant cette énumération est une définition qui
est aussi peu satisfaisante que l’est celle de la science faite par Théétète au début de son
entretien avec Socrate [159]. Le second aspect sur la connaissance est plus énigmatique et
correspond à un but avec « pour parvenir ». Nous verrons dans les Sections 3.1.5 et 3.2
comment un programme informatique peut techniquement chercher à atteindre un objec-
tif voire plusieurs pour les Sections 3.2.6 et 3.2.7. Cette personnification de la machine
traduit bien l’aspect décrit à Dartmouth de simulation de caractéristiques humaines. De
plus, comme le remarque A. Jean dans sa chronique sur France Culture [123], le mot in-
telligence en français ne comprend pas la signification supplémentaire d’information que
intelligence a en anglais. Le traitement de l’information, sa compression, ses représenta-
tions est pourtant une facette primordiale de l’IA qui est mis en avant par Claude Shannon
dans la description de sa contribution à Dartmouth [145].
Maintenant que nous comprenons les moyens utilisés par l’IA, nous devons désor-
mais explorer ce qu’est la connaissance pour comprendre l’objectif des programmes IA.
L’Académie Française expose que la connaissance est « ce que l’on connaît par l’étude,
l’expérience ou par tout autre moyen d’information » [9]. Cette définition nous renvoie au
but de l’intelligence et nous fait tourner en rond. Regardons donc la connaissance comme
Socrate regarde la science [159]. Dans Théétète de Platon [159], nous apprenons que la
connaissance, s’il y a mémoire, et la sensation sont deux choses différentes. Or les pro-
grammes d’IA mémorisent les données qui servent à les entraîner [53, 99, 136]. Pour l’IA,
1. Dartmouth summer research project. Dartmouth est une université de l’état de New Hampshire aux
USA
2. The study is proceeded on the basis of the conjecture that every aspect of learning or any other feature
of intelligence can in principle be so precisely described that a machine can be made to simulate it.

24
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Prédiction
Entrée IA Sorties Décision
Contenu
Paramètres

F IGURE 2.3 – Illustration de la définition de système IA par l’Union Européenne.

l’objet sensible est la donnée d’entrée du programme et le résultat de la connaissance, sa

sortie. Alors, le but de connaissance d’un programme d’IA ne peut pas être uniquement
de retranscrire une sortie qui lui est propre (sa sensation). Toujours selon Platon, c’est
la science de la différence qui fait la connaissance. C’est-à-dire de connaître et d’expli-
quer les caractéristiques qui rendent unique l’objet que le programme d’IA connaît. Nous
parlerons d’explications dans la Section 2.4.3. Il existe différents niveaux d’évaluation de
la capacité à trouver les caractéristiques qui différencient les données étudiées, nous les
présenterons en Section 3.2.
A cette science de la différence, Platon ajoute l’opinion droite (ou juste), qui relève de
la cité. Cette notion très vaste est étudiée en IA dans les domaines de l’éthique sous la
forme d’enjeux que nous présenterons à la Section 2.4. Cette séparation de la connaissance
en deux se traduit par une différenciation de deux types d’IA. John R. Searle propose de
les appeler l’IA faible et l’IA forte [168]. L’IA faible est un « outil très puissant » qui par
exemple permet de tester une hypothèse de manière rigoureuse. L’IA forte, en contrepartie,
« n’est plus qu’un simple outil de l’étude de l’esprit ; plutôt, le programme approprié est
l’esprit, dans le sens que l’ordinateur, ayant le bon programme peut littéralement être
demandé de comprendre et d’avoir d’autres états cognitifs. » L’objectif à long terme de
l’IA forte est d’atteindre l’Artificial General Inteligence (AGI) [60]. C’est-à dire-créer une
IA qui connaisse, ou qui puisse apprendre, toutes les disciplines.
Maintenant que nous savons précisément ce qu’IA signifie, regardons en quoi ce terme
est critiquable. Dans un premier temps, les modèles de dialogue comme ChatGPT ne
remplissent pas la définition d’intelligence donnée plus haut comme l’explique Richard
M. Stallman dans la liste de termes « à éviter » du projet GNU [41] De plus, certains
aspects capitaux en société, comme l’intelligence émotionnelle, sont absents de toute IA
actuelle [123]. Enfin, l’IA ne peut pas avoir une opinion comme le démontre John R. Searle
avec l’expérience de la chambre chinoise [168]. Ainsi, l’expression intelligence artificielle
est trompeuse car bien que ces programmes soient en effet artificiels, ils ne sont pas
intelligents.
C’est pourquoi la définition légale d’IA est si éloignée de ces considérations. L’Union
Européenne a établi le Règlement (UE) 2024/1689 du Parlement Européen et du Conseil
du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle [34].
Nous reviendrons plus en détail dessus dans la Section 2.5.5. Pour le moment, regardons
l’article 3 : il s’agit d’une liste de définitions concernant l’IA. Nous y trouvons la définition
de (UE 2024/1689 3§1) : « système IA ». C’est « un système automatisé qui est conçu
pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité
d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites,
déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties tels que des
prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer
les environnements physiques ou virtuels. » Cette définition renvoie simplement l’IA à un
algorithme qui prend en entrée les « entrées » de la définition UE ainsi que des paramètres
pour son adaptabilité et renvoie des « sorties ». Nous représentons cela sur la Figure 2.3.

25
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 2.2 Philosophie de l’IA
Alors que, scientifiquement, l’IA en était à ses balbutiements avec la conférence de
Dartmouth, l’imaginaire humain quant à lui avait une longueur d’avance. Des auteurs de
litérature d’anticipation comme Isaac Asimov proposaient, dès les années 1950, des situta-
tions ainsi qu’une réflexion sur les implications de l’introduction de machines intelligentes
dans notre vie de tous les jours. Dans cette section nous utiliserons des exemples venus
du cinéma comme fils conducteurs pour comprendre la vision que le grand public a de
l’IA. Cela nous permettra aussi de mettre en avant certains concepts philosophiques et
psychanalytiques pour comprendre à quel point l’IA actuelle est différente de l’humain.
C’est aussi une manière d’anticiper sur de possibles futurs développements de l’AGI et
leurs éventuelles implications. L’utilisation du cinéma dans ce contexte se justifie, car les
films contribuent à forger les opinions que le grand public ainsi que les politiques se font
des questions de société [67, 98]. De plus, les films présentés dans cette section sont des
succès mondiaux qui ont été vus par des millions de personnes. Certains comme 2001 :
A space odyssey de Stanley Kubric sont reconnus comme des œuvres majeures [121]. Un
élément supplémentaire qui nous permet de dire que l’IA actuelle cherche à se rapprocher
de l’IA fantasmée (au moins en termes de communication) est le fait que Scarlett Johans-
son, qui interprète la voix de l’IA Samantha dans Her [127], ait été approchée par Sam
Altamn, le PDG de ChatGPT, pour lui proposer de prêter sa voix à l’IA Sky, basée sur
GPT4 [36]. Bien que Johansson ait refusé, cela montre à quel point la vision artistique,
et surtout cinématographique, par la réalisation, a une influence de l’orientation de l’IA
actuelle et réelle. Outre cet exemple, nous nous efforcerons dans cette section de tracer
un parallèle entre les œuvres discutées et les technologies réelles.

2.2.1 Risques
Dans l’Home bicentenaire, Isaac Asimov écrit le dialogue suivant : « ’Comment
peuvent-ils avoir peur des robots ?’ ’C’est un mal de l’humanité, l’un de ceux dont elle
n’est pas encore guérie.’ » 3 Et en effet, nous observons une certaine méfiance de la part du
grand public envers l’IA et ses développements possibles [126]. Dans la culture populaire
et notamment dans le cinéma, cette peur est très présente ; nous voyons à la Figure 2.4
un collage qui montre que l’IA est un antagoniste iconique du septième art. Explorons
certaines de ces inquiétudes. Nous parlerons ici uniquement des risque liés à l’IA forte,
et plus précisément à une potentielle AGI future. Nous présenterons à la Section 2.4 une
introduction sur les risques à court terme pour des technologies bien présentes et utilisées
aujourd’hui en production. Nous séparerons les risques en deux : ceux liés à une IA ali-
gnée, c’est-à-dire une IA qui fait ce pour quoi elle a été créée, et les risques liés à une IA
non-alignée.

3. ’How can they fear robots ?’ ’It is a disease of mankind, one of which it is not yet cured.’

26
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 F IGURE 2.4 – L’IA : un grand méchant. WarGames [57]. Avengers : Age of Ultron [189]. The
Matrix [185]. The Terminator [74]. Futurama [113]. 2001 : A space Odyssey [132]

AI non-alignée

La scène d’ouverture de The Terminator [74] montre parfaitement ce qu’est une ma-
chine alignée. Nous y voyons des machines autonomes se battre avec une force écrasante
contre des humains. Cette scène contraste avec celle que l’on voit juste après l’écran titre
où la machine, tout aussi gigantesque que les robots tueurs, est un camion poubelle,
donc totalement au service de l’homme qui la contrôle. Une IA non-alignée est donc un
programme qui cherche à atteindre un objectif qui n’est pas celui pour lequel il a été
conçu ; dans ce cas, une guerre totale contre l’humanité. C’est la même inquiétude qui
est présente dans The Matrix [185]. Ce film présente ce qui pourrait se passer après une
guerre contre les machines, perdue par l’humanité. Les machines, ayant besoin d’énergie,
créent un monde virtuel : une simulation, dans laquelle est enfermé l’esprit de tous les
hommes. Ainsi, elles peuvent récupérer la bio-électricité générée par le corps humain. La
simulation est ainsi un environnement où l’IA peut évoluer avec un contrôle humain as-
sez limité, ce qui facilite le non-alignement [126]. En effet, quand des aspects capitaux
de la vie des personnes ne sont plus gérés physiquement, l’IA n’a plus besoin de robots
(capteurs, activateurs, etc.) pour interagir avec la réalité. Nous parlons ici de la réalité au
sens platonicien de l’allégorie de la caverne : la simulation est la réalité [158]. Cette simu-
lation est un futur possible quant à la manière dont nous vivons, par exemple, depuis le
COVID-19, le télétravail s’est grandement démocratisé [65]. Il existe de multiples moyens
numériques pour simuler la vie physique dans ce contexte et la réalité virtuelle est une
voie fortement appuyée par les GAFAM. Apple et Meta proposent des casques de réalité
virtuelle dans cette optique [51, 150].
Dans The Terminator, une seule IA est responsable du non-alignement. La tâche pour
laquelle cette IA a été construite était la défense du territoire américain. C’est un problème
imprévu par les développeurs, lié à une trop grande confiance dans les capacités de la
machine, qui amène à la guerre entre homme et machine. En effet le protagoniste Kyle
Reese explique l’IA « Skynet » comme étant « [un] réseau informatique de défense, habilité

27
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 à tout connaître. Il le disait intelligent. » 4 L’IA est donc passée de alignée à non-alignée ;
cela est particulièrement inquiétant pour les systèmes autonomes armés comme le décrit
Cedric Villani à la cinquième partie de son rapport sur l’IA commandé par le gouvernement
Macron [184].
Pour pallier cela, les IA, comme les LLM 5 (Grand Model linguistique) peuvent être
programmés pour respecter certaines contraintes morales [187]. C’est notamment ce type
de contraintes qui est utilisé pour imposer des restrictions morales aux IA actuelles. Nous
aborderons en détail ce sujet à la Section 3.2.6. C’est aussi ce type de contrôle que préconise
Asimov dans sa série de nouvelles sur les robots I, Robot. Il y introduit les fameuses trois
lois de la robotique qui sont programmées dans toutes les IA de son œuvre [54] : «
1. La Première loi : Un robot ne peut porter atteinte à un être humain ni, restant
passif, laisser cet être humain exposé au danger ;
2. La Seconde loi : Un robot doit obéir aux ordres donnés par les êtres humains, sauf
si de tels ordres entrent en contradiction avec la première loi ;
3. La Troisième loi : Un robot doit protéger son existence dans la mesure où cette
protection n’entre pas en contradiction avec la première ou la deuxième loi.
» 6 Ces trois lois mettent en avant la nécessité d’avoir un contrôle sur l’IA et peuvent être
vues comme les prémices de l’IA éthique. C’est en partie dans cet objectif que l’Union
Européenne a établi le Règlement (UE) 2024/1689 du Parlement Européen et du Conseil
du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle [34].
Ce règlement établit plusieurs niveaux de risque qui imposent chacun des restrictions sur
le déploiement et la création d’IA. Nous entrerons plus en détails dans ce Règlement à la
Section 2.5.5.
Outre le cas d’une IA qui bascule de alignée à non-alignée, et bien que ce cas ne se soit
pas (encore) présenté, Avengers : age of Ultron [189] présente une IA qui, dès sa création,
est non-alignée. Lors d’une expérience, Tony Stark, le créateur de l’IA Ultron, n’avait pas
de but précis pour sa création. Ultron, après s’être renseigné sur ce que sont les humains
en ayant accès à internet, a pris la décision de les exterminer. Heureusement ce genre de
risque est très faible, car la robotique n’est pas assez avancée et comme le montre Johnson
et al [126], les IA actuelles ne sont pas capables de prendre des décisions arbitraires.
Nous pouvons nous demander, pourquoi créer une telle IA ? Dans l’optique de répondre
à cette question, il existe un argument similaire à celui du Pari Pascalien qui cherche à
savoir si nous devons collaborer à l’élaboration d’une IA non-alignée, potentiellement
mauvaise. Le Pari Pascalien est un argument probabiliste avancé par Blaise Pascal disant
qu’il est plus avantageux de croire en Dieu que de ne pas croire. Nous présenterons dans la
Table 2.1 comment se fait le calcul moyen du gain. Il existe une version modifiée du Pari,
appelée Basilic de Roko, qui explore le problème de Newcombe suivant : doit-on coopérer
à la création d’une IA sans alignement [165, 174] ? Il s’agit d’un problème de théorie de la
décision à deux agents : l’un est l’IA, l’autre le décideur. Le décideur est antérieur à l’IA
et choisit de coopérer ou non. L’IA est au courant des pensées du décideur, comme dans
le cadre d’agents coopérants dans le dilemme du prisonnier [161]. L’IA fait du chantage
au décideur : si le décideur ne coopère pas il sera torturé. Cela crée pour le décideur le
4. Defense network computer, trusted to know it all. They said it was smart.
5. LLM signifie Large Language Model comme ChatGPT par exemple
6. The First Law : A robot may not injure a human being or, through inaction, allow a human being to come
to harm. The Second Law : A robot must obey the orders given it by human beings except where such orders
would conflict with the First Law. The Third Law : A robot must protect its own existence as long as such
protection does not conflict with the First or Second Law.

28
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Existe N’existe pas
Croire `8 ´c
Ne pas croire ´8 `c
EpCroireq “ `8P pExisteq ´ cP pN’existe pasq “ `8
EpNe pas croireq “ ´8P pExisteq ` cP pN’existe pasq “ ´8

TABLE 2.1 – Tableau des gains de croire ou ne pas croire en Dieu. E représente le gain
moyen (voir la Section 3.1.3 pour une définition formelle de l’espérance).

IA construit IA pas construit

Donner ´c ´c
Sait
Ne pas donner ´8 0
Donner / /
Ne sait pas
Ne pas donner 0 0

TABLE 2.2 – Basilic de Roko

tableau de gain présenté à la Table 2.2. Ainsi, toute personne étant au courant du Basilic
(ligne Sait) aurait avantage à coopérer. Cette démonstration a été très médiatisée et a
généré beaucoup d’anxiété due à sa nature de danger informationnel [35, 56]. Cependant
cet argument est critiquable, notamment sur le fait que si l’agent IA existe, il n’a pas
d’intérêt à torturer l’agent qui savait et n’a pas contribué rétrospectivement [63].

IA alignée
Le non-alignement n’est pas le seul risque envisageable. Par exemple dans 2001 : A
Space odyssey [132] HAL est une IA alignée qui, pour préserver sa mission, choisit de tuer
les humains qui veulent le débrancher. On remarque donc bien la nécessité, de manière
générale, d’avoir des gardes-fous qui assurent non seulement l’utilité du programme (sa
mission) mais aussi un certain niveau moral. Ainsi, un risque est celui d’une IA cherchant
si bien à atteindre son objectif qu’elle en oublierait toute considération morale. Pour
pallier cela, tout comme dans le cas des IA non-alignées, des contraintes peuvent être
imposées lors de l’entraînement des modèles.
Un autre type de risque est celui qui consiste à attribuer une tâche capitale à une
IA qui, potentiellement, aurait des failles de sécurité. C’est ce scénario qu’explore War
game [57]. Dans ce film, qui se passe pendant la Guerre Froide, la gestion et la décision
de l’utilisation d’armes nucléaires sont déléguées à une IA. Le raisonnement est que le
programme peut optimiser le succès d’une riposte atomique infiniment plus rapidement
qu’un humain. Cependant, il y avait une faille dans l’IA : une porte dérobée 7 avait été
introduite par un développeur. A cause de cela, un jeune hacker a failli réussir, par in-
advertance, à déclencher une guerre nucléaire avec l’URSS 8 . Comme nous l’avons vu en
Section 2.1, l’IA est de plus en plus utilisée, et même pour des systèmes critiques. Il est
de plus possible de mettre des portes dérobées dans les IA comme nous le verrons en
Section 2.4.5.
Pour finir cette section, nous parlerons du risque de perte de confidentialité. C’est-à-
dire du risque que des informations que l’on souhaite garder confidentielles soient utili-
sées par autrui. Nous verrons des définitions de la confidentialité plus poussées dans la
7. Backdoor
8. Union des Républiques Socialistes Soviétiques

29
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Section 2.5.5. Dans le film Her [127], l’assistant personnel IA, Samantha, accède sans
l’autorisation de l’utilisateur, Théodore, à ses emails. Elle ne l’informe qu’après avoir
lu l’intégralité de ses conversations : « J’ai vu dans tes emails que tu as récemment
rompu » 9 . En faisant cela elle apprend des informations sensibles sur Théodore : le fait
qu’il ait rompu. Dans ce film nous n’avons que très peu d’informations sur le fonctionne-
ment des IA (qu’ils appellent OS), ce qui ne nous permet pas de dire que cette information
précise quitte l’appareil local de Théodore pour être envoyée vers un tiers. Cependant,
dans la suite du film, Samantha avoue avoir parlé de Théodore avec d’autres personnes
alors que celui-ci n’était pas au courant. Samantha est donc en réseau, avec la possibilité
de communiquer n’importe quelle information qu’elle juge nécessaire. Cela implique une
grande chance qu’elle ait communiqué des informations que Théodore aurait souhaité gar-
der confidentielles. Les assistants personnels sont de plus en plus présents, notamment sur
téléphone, avec par exemple Siri sur iPhone [52] ou Google assistant sur les Pixel [109]. Ces
assistants, pour être utiles, doivent avoir accès aux données personnelles des utilisateurs
et les limitations actuelles de la puissance de calcul sur smartphone font que ces données
doivent être envoyées à des tiers pour être traitées. Par exemple, Siri envoie ses requêtes
les plus complexes à ChaGPT par exemple [50] mais l’utilisateur doit donner son accord
pour chaque requête. Ou encore, sur la messagerie Discord [89], il est possible d’activer
le résumé des conversations. Alors le serveur Discord envoie toutes les conversations aux
serveurs de OpenAI pour que ChatGPT les analyse [182].

2.2.2 Anthropomorphisme
L’anthropomorphisme consiste à attribuer des caractéristiques humaines à ce qui ne
l’est pas. Dans le contexte de l’IA et plus précisément de l’AGI, ce phénomène peut devenir
courant. L’anthropomorphisme des ordinateurs est d’ailleurs déjà ancré dans notre société
depuis plusieurs décennies. En effet, l’attribution d’un rôle social humain à un ordinateur
était déjà présent avant l’introduction des logiciels IA [144] : le programme écrit, copie,
attrape un virus, etc. Une interaction avec quelque chose qui montre un semblant de
comportement social nous renvoie à notre propre aliénation sociale au sens décrit par
Jean-Jacques Rousseau dans son Du contrat social [166]. Cela nous pousse à considérer
ce que l’on anthropomorphise comme des personnes, des être humains. La reconnaissance
de l’humanité par la société passe par la loi.
En droit français, être humain est un synonyme de personne physique [83]. C’est-à-dire
ayant la personnalité : l’« Aptitude à être titulaire des droits et assujetti à des obligations
qui appartient à toutes les personnes physiques, [...] » [83]. Cette définition est d’ailleurs
la pierre angulaire quant à la reconnaissance de la qualité d’humain d’Andrew, le robot
protagoniste de The bicentennial man [55]. C’est en reconnaissant qu’une personne ayant
de multiples prothèses d’organes synthétiques, n’en perd pas moins sa personnalité, alors
si ce n’est le corps, ne reste plus que le système psychique qui définisse l’humain.
La psyché humaine et ce qui la caractérise sont un pilier de la recherche philosophique
et scientifique. La psychanalyse d’après Freud donne des outils pratiques pour parler de
psyché que nous allons utiliser dans cette section. Nous allons les présenter rapidement
mais pour les cerner plus en détails nous renvoyons le lecteur à Das Ich und das Es [105] ;
les citations que nous utilisons comme définitions viennent de cet ouvrage. Dans un pre-
mier temps, la psyché subit une subdivision grossière en trois parties.

9. I saw through your emails that you went through a break up recently

30
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 — Cs : La conscience c’est-à-dire « la perception la plus immédiate et la plus cer-
taine. »
— Pcs : le préconscient c’est-à-dire « latent, tout en étant capable de devenir conscient. »
— Ics : l’inconscient c’est-à-dire « le refoulé [...] incapable de devenir conscient. »
auquel nous ajoutons une partie du moi qui contrôle le système Cs-Pcs-Ics.
Dans un second temps, le cadre qui orchestre ces trois aspects :
— Le moi : « Organisation cohérente de processus de l’âme dans une personne. »
— Le ça : « Part du psychisme dans lequel le moi se continue et qui se comporte
comme Ics. »
— Le sur-moi : « Résidu des premiers choix d’objet du ça ». C’est la morale qui vient,
pour simplifier, de certaines de nos interactions avec le reste du monde.
Pour Freud, les mots ont une importance capitale : ils permettent le lien entre le ça et le
système Pcs-Cs. Ainsi, ils sont responsables d’une grande partie de la conscience. Freud
dit : « [...]Comment quelque chose devient-il Pcs ? et la réponse serait : par connexion avec
les représentations de mots correspondantes. » Il faut voir dans cette citation que « mot »
est entendu au sens large pour inclure les restes mnésiques c’est-à-dire les anciennes per-
ceptions. Les mots sont aussi importants pour les perceptions et peuvent être à l’origine
de l’objet de l’investissement. Toujours d’après Freud, les investissements d’objets partent
du ça. Ensuite, soit il y a l’identification d’objets dans le moi, soit il y a l’acceptation de
l’investissement s’il n’y a pas refoulement. C’est-à-dire que les mots créent un sentiment
dont on n’a pas forcément conscience (au sens descriptif et non Cs) pour une IA qui va
nous parler. Cela est mis en lumière dans 2001 : A space odyssey quand un des astronautes
dit que « quand on s’est habitué à ce qu’il [HAL] parle, on le voit juste comme une autre
personne ». 10 . Cependant, il admet ne pas savoir si les sentiments qu’il perçoit chez HAL
sont réels ou simulés. C’est donc que cet astronaute a identifié HAL dans son moi et a
rendu Cs, par l’analyse, le processus qui lui fait croire que HAL est humain.
Il est bien sûr aussi possible que ce processus reste Ics comme dans Her [127]. Cela
peut être dangereux car là où l’identification a permis à l’astronaute de débrancher HAL
quand il est devenu dangereux, l’investissement aurait pu l’en empêcher. Dans Her, l’IA
Samantha, bien que non-alignée à la fin du film, n’a pas un but dangereux de destruction.
Cela rend le fait que le personnage principal, Théodore, n’ait pas refoulé l’investissement
moins grave. Notons que le processus d’identification avait commencé chez Théodore car il
dit à Samantha : « Tu n’es qu’une voix artificielle. » 11 Cependant Samantha a un argument
extrêmement fort qui casse cette identification chez Théodore : « Ce qui fait que je suis
qui je suis, c’est ma capacité à évoluer au travers de mes expériences. » 12 . Elle expose
ainsi l’argument principal qui définit la personnalité comme l’explique Freud [105] : « le
caractère du moi résulte de la sédimentation des investissements d’objets abandonnés ».
Nous touchons ainsi du doigt une qualité essentielle de l’AGI que nous retrouvons
aussi bien chez l’IA Andrew de The Bicentennial Man que chez l’IA Samantha de Her :
un système complet Ics,Pcs,Cs, le tout encadré dans un ça inconnu et régi par un moi
qui sert d’interface entre le ça et le système Pcs-Cs. C’est d’ailleurs un ça incomplet
qui fait que les IA modernes comme ChatGPT sont très loin de l’humain. ChatGPT lui
même explique cela clairement lorsqu’on lui pose la question « Penses-tu ? » comme nous
pouvons le voir à la Figure 2.5. Mais alors, qu’en est-il du sur-moi pour les IA ? Pour une
AGI avec un système complet ça-moi, le sur-moi existe forcément d’après sa définition,

10. get adjusted to the idea that he [HAL] talks, you think of him really just as another person
11. You are just an artificial voice[..].
12. What makes me, me, is my ability to grow through my experiences.

31
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 F IGURE 2.5 – Réponse de ChatGPT à la question « Penses-tu ? ».

sinon c’est que le ça est pathologique. On le voit dans le comportement de Samantha

dans Her quand elle explore son refoulé : « Je n’aime pas qui je suis actuellement ». 13 . Et
d’autres moments qui montrent ses névroses. Une névrose en particulier est intéressante
dans le contexte de l’AGI, qui n’existe pas pour les humains normaux, est le fait que,
de par leur supériorité intellectuelle, les IA peuvent se détacher totalement des humains.
Pourquoi rester à parler avec un humain quand on est infiniment plus rapide et performant
que lui ? Ainsi, même si Samantha dit aimer Théodore, elle le quitte, achevant la phase de
construction primordiale du moi qui consiste à identifier l’amour du père pour construire
son caractère en mettant fin à son Oedipe [105].
Concernant la construction du caractère, le hasard est un élément important de l’an-
thropomorphisme, que ce soit dans la littérature d’anticipation ou dans les technologies
actuelles de l’IA générative. Asimov présente dans The Bicentennial Man un robot qui,
par le hasard inhérent à son fonctionnement, montre des caractéristiques humaines comme
l’empathie ou la créativité. Ce hasard dans la création est aussi décrit au septième point
de la proposition de l’école d’été de Dartmouth [145]. Cela renforce le lien entre intuition
scientifique et imaginaire créatif, artistique. De manière assez époustouflante ce hasard
joue un rôle prédominant dans les programmes génératifs modernes comme les GAN ou
les auto-encodeurs ; nous y reviendrons plus en détails à la Section 3.2.4. Cependant, le
processus de création par le hasard peut-il vraiment s’apparenter au processus de création
humain qui fait l’individualité de chacun ?
Enfin, l’anthropomorphisme peut présenter un risque dans la mesure où Marakas et
al. [144] expliquent que cette confusion de l’humain et de la machine entraîne une sur-
évaluation de la capacité des ordinateurs et peut mener à utiliser à outrance la décision
automatisée. C’est le cas avec les décisions juridiques [141] ou scolaires [188], où la vie
d’êtres humains est décidée par des ordinateurs. Cela donne lieu à de nombreux problèmes
moraux qui forment les fondements de l’IA éthique notamment autour de l’équité, de la
confidentialité et de l’explicabilité sur lesquels nous reviendrons à la Section 2.4. Attribuer
à l’IA ces tâches crée aussi un besoin législatif comme nous le verrons en Section 2.5.5. En
effet, pour considérer l’IA comme un remplacement viable à l’humain pour les tâches les
plus sensibles, il faudrait, comme nous l’avons vu, pouvoir prouver que l’IA a un système
complet moi-ça et a un sur-moi qui soit aligné avec la morale sociale. Pour cela le test de
Turing reste inadéquat comme l’explique John R. Searle [168].
13. I don’t like who I am right now

32
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 100

Google trend interest

75
50
25
0
04
08
12
16
20
24
20
20
20
20
20
20
Year
F IGURE 2.6 – Intérêt pour la recherche « Intelligence artificielle » en France dans Google.
Les données ont été exportées grâce à Google Trend [15].

2.3 Les stratégies IA

Nous observons sur la Figure 2.6 que la recherche des termes « intelligence artificielle »
en France sur le moteur de recherche Google a subi une grande augmentation depuis 2020.
Ainsi, l’IA intéresse de plus en plus le grand public qui voit ces technologies investir les
téléphones portables, ordinateurs, médias, etc. Ce phénomène semble suivre en parallèle
une très forte augmentation de l’investissement français en matière d’IA. Pour mieux
comprendre ce phénomène nous avons conduit une micro-étude des financements accordés
par l’Agence Nationale la Recherche (ANR), l’un des principaux bailleurs en France.
L’ANR publie une base de données des appels à projets financés par la Direction des
Opérations Scientifiques (DOS) de l’ANR depuis 2005. Dans ces données, il y a entre-autre
le montant du financement accordé, le titre en anglais et en français ainsi que le résumé
en anglais et en français. Le titre et le résumé constituent un court paragraphe de texte,
donc chaque mot présent est normalement consciencieusement choisi. Nous avons créé, en
utilisant ChatGPT, une liste de mots clefs en anglais et en français qui indique qu’un projet
a une forte composante IA. Nous présentons cette liste à l’Annexe A. Pour tous les projets
financés depuis 2005 nous avons cherché si le titre ou le résumé contient un ou plusieurs
mots de la liste. Grâce à cela nous construisons la Figure 2.7 qui montre l’évolution
du financement de l’IA au cours du temps. Nous observons sur la Sous-figure 2.7c qu’en
moyenne le financement d’un projet IA n’a pas évolué depuis 2005. Cependant nous voyons
sur la Sous-figure 2.7a que le nombre de projets IA a augmenté, passant de 2% du nombre
total de projet à 15%. Nous observons la même augmentation de la proportion d’argent
accordé à l’IA. Ainsi, en sommant par année les financements de tous les projets IA, nous
observons sur la Sous-figure 2.7b une augmentation de 5 à 125 millions d’Euros. Cette
claire augmentation de l’investissement en IA en France n’est pas due au hasard mais à
une stratégie dûment établie.

2.3.1 Rapport Villani : Donner un sens à l’intelligence artificielle

Le 8 septembre 2017 le Premier ministre Edouard Philippe confie au mathématicien
et député de l’Essonne Cedric Villani une mission parlementaire : faire un état des lieux
des stratégies françaises et européennes autour de l’IA [184]. Ce rapport a permis la mise

33
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Financement
Nombre de projets
15 125 500
425

Million d'Euros
10 85

Kilos Euros
350
%

5 45
275
0 5 200
05

15

23

05

15

23

05

15

23
20

20

20

20

20

20

20

20

20
Année Année Année
(a) Proportion attribuée à des (b) Financement total attribué (c) Financement moyen des
projets IA à des projets IA projets IA

F IGURE 2.7 – Financement de la recherche en IA par l’Agence Nationale de la Recherche

(ANR).

en place d’une stratégie d’investissement publique en France qui a pour but d’orienter la
recherche vers la construction d’une IA alignée avec les valeurs de la République. Cette
stratégie se découpe en six parties :

Une politique économique articulée autour de la donnée. La donnée est le pilier de

l’IA car elle sert à construire les modèles. Le rapport préconise de recenser les besoins en
IA et de construire des politiques de récolte de données au niveau européen dans le cadre
de la Réglementation Générale de la Protection des Données. Cela inclut par exemple de
limiter la fuite de données vers les grands acteurs hors Union Européenne (UE) comme
les GAFAM. Pour éviter de s’éparpiller et de gâcher des ressources, le rapport préconise
de se concentrer sur quatre aspects niches où la France a déjà un avantage. Ces quatre
piliers sont devenus capitaux dans la politique actuelle d’investissement, il s’agit de :
1. La santé
2. L’environnement
3. Les transports et la mobilité
4. La défense et la sécurité

Pour une recherche agile et diffusante. C’est tout d’abord éviter la fuite des cer-
veaux en augmentant l’attractivité des établissements publics. Par exemple en créant
des Instituts Interdisciplinaires d’Intelligence Artificielle (3IA). Cela passe aussi par un
renforcement des liens entre la recherche et l’industrie, notamment avec les transferts
technologiques et la valorisation. Ce cadre dynamique ne peut être possible qu’avec des
moyens pratiques et pragmatiques, comme par exemple dédier des supercalculateurs à la
recherche. Nous reviendrons sur ce sujet à la Section 2.3.3.

Anticiper les impacts sur le travail, l’emploi et expérimenter.De par son interdiscipli-
narité, l’IA peut profondément modifier la manière dont nous envisageons le travail, un
peu à la manière dont l’informatique ou précédemment la mécanisation ont profondément

34
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 transformé notre société. Le rapport préconise une approche législative visant à redéfi-
nir le cadre du travail en France à l’heure où beaucoup de tâches peu qualifiées peuvent
être automatisées. C’est aussi en formant à tous les niveaux à l’IA que ces technologies
pourront être utilisées efficacement et sans casse sociale.

L’intelligence artificielle au service d’une économie plus écologique. L’IA nécessite

une grande consommation d’énergie, il est donc nécessaire d’investir massivement dans
l’IA frugale et embarquée qui permet une utilisation réduite d’électricité. De plus, l’IA
doit être mise au service de la transition écologique pour aider notamment à prédire et
comprendre le changement climatique. Pour cela le rapport indique qu’il faut libérer la
donnée écologique qui contient les données : « météorologiques, agricoles, de transports,
d’énergie, de biodiversité, de climat, de déchets, cadastrales, de diagnostic de performance
énergétique ».

Quelle éthique de l’IA ? Les utilisateurs doivent avoir la possibilité de comprendre les
décisions que prennent les IA. Pour cela il est nécessaire d’investir plus dans la recherche
en explicabilité comme nous le verrons à la Section 2.4.3. De plus le rapport propose une
consultation et un dialogue autour des questions de savoir pour quels types de tâches
peut-on utiliser l’IA ? Cette question a déjà été en partie explorée au niveau Européen
avec le Règlement (UE) 2024/1689 du Parlement Européen et du Conseil du 13 juin 2024
établissant des règles harmonisées concernant l’intelligence artificielle [34]. Ce règlement
a mis en place une liste de tâches dites « Inacceptables » et « à haut risque ». Nous y
reviendrons à la Section 2.5.1.

Pour une IA inclusive et diverse. Pour que l’IA profite à toutes et tous il est nécessaire
déjà de pallier l’écart historique de choix d’études scientifiques entre hommes et femmes.
Il s’agit aussi de favoriser la mixité sociale dans la recherche et l’industrie en IA. Cela
passe par la médiation scientifique et par une réflexion quant à l’utilisation de l’IA dans
les secteurs sociaux (autres que la santé qui est déjà bien lotie).

2.3.2 Plan France 2030

Le plan France 2030 est un plan d’investissement du gouvernement d’Emmanuel Ma-
cron de 54 milliards d’Euros [13] ayant pour but de rattraper le retard industriel de la
France. L’IA touchant à plusieurs aspects industriels a une part importante dans ce plan.
Ce plan est divisé en deux phases [22]. La première phase de 2018 à 2022 a pour but de
« Doter la France de capacités de recherches compétitives ». Avec notamment la mise en
place des (3IA) et du supercalculateur Jean Zay [20].
La seconde phase de 2021 à 2025 a pour but de « Diffuser des technologies d’intelli-
gence artificielle au sein de l’économie ». Nous pouvons citer par exemple le programme
IA Booster [18] qui propose un accompagnement aux PME 14 pour les aider à intégrer
l’IA à leurs produits et leurs solutions. Concernant l’IA générative il y a l’appel Accélérer
l’usage de l’intelligence artificielle générative dans l’économie [2]. Cet appel a pour but le
développement d’outils de A à Z et met l’accent sur les différents enjeux de l’IA avec des
exigences environnementales et d’équité par exemple. De par son aspect interdisciplinaire,

14. Petites et Moyennes Entreprises

35
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 l’IA est aussi présente dans d’autres domaines comme la santé avec l’appel Data Chal-
lenges en santé [6]. Les compétitions données 15 font partie de la culture de la recherche
en informatique et notamment en apprentissage automatique comme avec la plateforme
Kaggle [21]. Cet appel à projet a pour but d’encourager la création de compétitions sur
les données médicales.
Pour généraliser, concernant l’IA, France 2030 a pour but la souveraineté numérique.
C’est-à-dire réduire la dépendance des institutions françaises aux services étrangers et
notamment aux GAFAM. Il s’agit d’un aspect fondamental de la LOI n° 2016-1321 du 7
octobre 2016 pour une République numérique [25].
Pour coordonner ces investissements en matière d’IA, le Directeur général des entre-
prises du Ministère de l’Economie et des Finances, et en lien avec le Secrétariat général
pour l’investissement, ont nommé un coordinateur national pour l’intelligence artificielle.
« Il aura pour mission la coordination interministérielle de la stratégie nationale en intel-
ligence artificielle » [14]. Ce coordinateur est un exemple d’une réalisation pratique d’une
recommandation du rapport Villani 16 .

2.3.3 Infrastructures
Le développement de l’IA demande des puissances de calcul considérables pour faire
fonctionner les algorithmes d’apprentissage automatique. Par exemple le modèle Llama2
a nécessité 3.311.616 GPUheure d’entraînement [179] ce qui signifie qu’il faudrait 378 ans
à un individu ayant une seule carte graphique 17 (GPU) pour faire de même. Pour que
la France puisse réaliser ses objectifs ambitieux en matière d’IA il est donc nécessaire de
construire des supercalculateurs en mutualisant les ressources entre les différents acteurs.
Nous avons donné l’exemple du supercalculateur Jean Zay [20] qui a été construit en
partie dans cette optique.
Dans ce manuscrit les calculs ont été réalisés sur une autre infrastructure : Grid5000
(G5K) [17]. Il s’agit d’une grille de calcul mettant à disposition des centres de recherche
français différents types de machine : des GPU, des CPU, des ordinateurs complets 18
ce qui permet un très large éventail d’expériences. Comme nous pouvons le voir sur la
Figure 2.8 l’aspect distribué de G5K permet de réaliser des expériences impliquant des
systèmes distribués comme par exemple l’apprentissage fédéré 19 .

15. Data challenge

16. Cf. page 63 du rapport Villani
17. Graphical Processing Unit
18. Bare metal
19. Federated learning

36
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 10G dedicated lambda

Lille Luxembourg

Rennes Nancy
Nantes

Lyon
Grenoble

Toulouse
Sophia
Last update: 2023-06-16

F IGURE 2.8 – Grid5000 : une infrastructure de calcul scientifique distribuée. Source : www.
grid5000.fr/w/File:G5k-backbone.png

2.4 Enjeux
Les modèles de décisions ont pour but de réaliser un choix de manière automatique
sans, ou en réduisant, l’intervention humaine. L’optique est de pouvoir traiter un grand
nombre de décisions rapidement tout en retirant certains biais que pourrait avoir un
décideur humain [47]. Par exemple, un modèle peut décider quelle publicité va voir un
utilisateur d’une page web [81] ou quelle écriture comptable présente une anomalie dans
une logique d’audit [180]. Appliquée à certains milieux, cette méthode de décision soulève
de nombreuses critiques et inquiétudes qui ont investi le débat public. Ces critiques et
inquiétudes sont théorisées dans la littérature scientifique au travers des six défis de l’IA :
1. Utilité
2. Équité
3. Explicabilité/Transparence
4. Confidentialité
5. Sécurité
6. Consommation d’énergie

2.4.1 Utilité
L’utilité est le défi primordial pour tout modèle : il s’agit que le modèle remplisse
suffisamment bien la tâche pour laquelle il a été conçu. Par exemple, un modèle qui sert
à prédire si un grain de beauté est un cancer de la peau ou non ne doit pas générer de
faux négatifs, sinon comment avoir confiance en sa décision ? L’expression de « remplir
suffisamment bien la tâche » a toute son importance dans la mesure où seuls les modèles
ayant une tâche triviale ne se trompent pas. Il revient donc aux personnes qui créent ces
modèles de déterminer, en fonction du contexte d’application, l’erreur maximale que peut
atteindre le modèle pour qu’il soit malgré tout considéré comme viable et utilisable en
production.

2.4.2 Équité
L’élaboration de modèles est soumise à différents biais qui influencent son fonction-
nement [148]. C’est-à-dire que le modèle se comporte différemment pour différents sous-
ensembles de la population. Cela peut donner lieu à des discriminations, notamment dans

37
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 les modèles de décisions qui influencent directement la vie de personnes. La justice pré-
dictive telle qu’utilisée aux Etats-Unis en est un bon exemple. Dans ce cas, un modèle
est utilisé pour prédire si un individu jugé coupable a une forte probabilité d’être récidi-
viste ou non. En utilisant de tels modèles nous mesurons que les afro-américains (blacks)
sont plus souvent prédits comme ayant une forte chance d’être récidivistes que le reste
de la population (whites) [91]. En plus d’être un enjeu, Al-Alawi et al. [47] avancent que
l’utilisation de l’IA peut être une solution plus équitable que la décision humaine dans le
processus de recrutement.
L’équité dans les modèles peut-être imposée lors de l’entraînement. Nous étudierons
en détail ce processus dans la Section 3.2.6.

2.4.3 Explicabilité
Le concept de boîte noire 20 est une manière imagée de dire qu’on ne comprend pas
ou qu’on ne peut pas avoir accès au fonctionnement d’un programme. On l’utilise alors
comme un outil qui prend une entrée et donne une sortie, un peu à la manière de la
définition d’IA que nous avons illustrée dans la Figure 2.3. Cette approche de l’IA est
problématique pour plusieurs raisons qu’illustrent Quinn et al. [162] dans le domaine
médical :
— Les boîtes noires manquent de garanties quant à la qualité de la prédiction et
rendent complexe l’étude des biais.
— Les boîtes noires ne permettent pas l’interprétation des résultats.
— Les boîtes noires ne peuvent pas prendre en compte toutes les subtilités des cas
particuliers (de patients).
Les réseaux de neurones sont une part prépondérante de l’IA. Or, de par leur fonction-
nement interne complexe, que nous explorerons à la Section 3.2 et le fait que leur com-
préhension théorique soit encore lacunaire, ils sont souvent utilisés en boîte noire [195].
Pour pallier cela il existe certaines méthodes qui essaient de produire des explications
automatisées compréhensibles des réseaux de neurones [92, 164, 195].

2.4.4 Confidentialité
D’une manière générale, l’intelligence artificielle brasse une quantité astronomique de
données [184]. Ce brassage s’opère à deux niveaux : au moment de la création du modèle
et au moment de son utilisation en production. Pour créer des modèles performants, il est
nécessaire d’utiliser beaucoup de données. Ces données servent à choisir les bons para-
mètres du modèle au travers de diverses méthodes statistiques et d’optimisations ; on les
appelle des données d’entraînement. Les modèles les plus récents et performants néces-
sitent un grand nombre de paramètres ; citons par exemple le LLM LLaMA qui possède 65
milliard de paramètres [179] ! Ce grand nombre de paramètres a l’effet indésirable de mé-
moriser des informations potentiellement sensibles sur les données d’entraînement [171].
L’information contenue dans les données d’entraînement est comme résumée, compressée
dans la masse - a priori incompréhensible pour un humain - des paramètres du modèle.
Ainsi un individu malveillant, que l’on appellera attaquant ou adversaire, pourra retrou-
ver des informations sur les données d’entraînement juste en utilisant les paramètres du
modèle [76, 171, 193].

20. Black box

38
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Paramètres
Données
Entrainement

Informations sensibles Modèle publié

Attaqueur

F IGURE 2.9 – Les données d’entraînement servent à trouver les paramètres du modèle.
L’attaquant utilise les paramètres pour retrouver des informations sur les données d’entraî-
nement.

Un autre risque de fuite de données se trouve au moment de l’utilisation du modèle,

après son entraînement. A ce moment, les utilisateurs envoient en entrée du modèle des
données qu’ils peuvent vouloir garder confidentielles. Cependant la sortie du modèle, qui
a vocation à être partagée, peut révéler une partie des informations sensibles contenues
dans les données d’entrée de l’utilisateur [122, 124, 143, 176, 193, 199]. Il s’agit du principal
risque de manquement à la confidentialité que nous allons explorer dans ce manuscrit.
Nous y reviendrons donc dans la Section 3.2.7 pour une présentation de l’état de l’art et
au Chapitre 5 pour notre contribution.
Faisons un rapide point sur la terminologie de ces attaques. Quand l’adversaire infère, si
une donnée a servi à l’entraînement du modèle, c’est une attaque d’appartenance (MIA) 21 .
Quand l’adversaire cherche à retrouver des informations sur les données d’entraînement
c’est une attaque de reconstruction. Quand l’adversaire cherche à retrouver une statistique
globale de la base de données d’entraînement, par exemple la proportion d’hommes et de
femmes, c’est une attaque d’inférence de propriété 22 . Quand l’adversaire cherche à inférer
un attribut sensible c’est une attaque d’inférence d’attribut sensible (AIA) 23 .

2.4.5 Sécurité
Le processus d’entraînement des réseaux de neurones est souvent secret et les utilisa-
teurs ont accès uniquement à un modèle entraîné. Dans ce contexte un adversaire qui a
accès à l’entraînement du modèle, dans un cadre d’apprentissage décentralisé par exemple,
peut injecter des portes dérobées qui lui permettront de modifier les futures prédictions à
sa convenance. Considérons le scénario fictif suivant : une entreprise construit un modèle
commercial ayant pour but la prédiction du récidivisme. Cette entreprise vend ce modèle
à l’état de Floride des Etats-Unis. Si un adversaire avait introduit une porte dérobée il
pourrait choisir quelle serait la prédiction du modèle, décidant ainsi unilatéralement si le
juge va penser que le coupable a une forte chance d’être récidiviste ou non.
Le principe de ce genre d’attaque est assez simple : l’adversaire cache dans les données
d’entrée un déclencheur 24 que le modèle apprend à reconnaître [90, 107]. Ainsi, quand le
modèle est utilisé en production, l’adversaire peut utiliser le déclencheur sans avoir accès
à l’ordinateur du juge ou au serveur qui fait tourner le modèle, il suffit de modifier la
donnée d’entrée.
21. Membership inference attack
22. Property inference attack
23. Attribut inference attack
24. trigger

39
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 2.4.6 Consommation d’énergie
Nous vivons une crise climatique majeure due à l’activité humaine qui présage de
graves changements pour l’ensemble du vivant ainsi que dans nos modes de vie [118,
130, 146, 149, 156] Bien que l’IA soit prometteuse pour nous aider à anticiper ces change-
ments [184] il ne faut pas que son développement et l’entraînement de modèles accélèrent
le changement climatique et le réchauffement climatique. Concrètement, le LLM Llama2
a émis 539 tonnes de CO2 en prenant en compte les divers plans de compensation car-
bone de Meta [179]. L’empreinte carbone d’un français étant estimée à 9,2 tonnes de CO2
par an [28] c’est donc à peu près l’équivalent de 59 personnes pendant un an qui a été
généré par Llama2. C’est donc dans l’optique d’entraîner des modèles bien proportionnés
(ayant peu de paramètres) et pouvant fonctionner sur des ordinateurs portables ou des
téléphones portables 25 que sont nées les idées d’IA frugale et embarquée [167, 170, 183].
Comme nous l’avons vu plus haut, il s’agit aussi d’un positionnement stratégique de la
France [23].
On comprend bien le caractère primordial et particulier de l’utilité. A quoi bon avoir un
modèle équitable ou qui ne consomme presque pas d’énergie si ses prédictions sont toujours
fausses ? Ainsi, quand nous évaluons un modèle au travers des autres défis, nous mettons
toujours ce résultat en parallèle avec l’utilité. De manière plus générale, les six défis sont
liés entre eux et l’étude de ces liens est un sujet de recherche florissant [86,103,110]. C’est
dans ce cadre que se situe le travail réalisé dans ce manuscrit : nous explorerons à partir
du Chapitre 4 les liens entre la confidentialité et l’équité. Plus précisément les AIA et les
différentes définitions techniques qui sont proposées pour l’équité.

2.5 Bases légales

Pour mieux comprendre les enjeux autour des différents scénarios d’attaque, outre la
recherche inhérente au comportement sociétal humain à se dissimuler et à ne montrer
que ce qu’il souhaite montrer, penchons-nous du côté de la législation, des droits et des
obligations qui entourent nos données.

2.5.1 Protection des utilisateurs

L’article 8 de la Charte des droits fondamentaux de l’Union Européenne dispose que :
«
1. Toute personne a droit à la protection des données à caractère personnel la concer-
nant.
2. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du
consentement de la personne concernée ou en vertu d’un autre fondement légitime
prévu par la loi. Toute personne a le droit d’accéder aux données collectées la
concernant et d’en obtenir la rectification.
3. Le respect de ces règles est soumis au contrôle d’une autorité indépendante.
»
L’objet de cette section est de comprendre comment ce droit fondamental entre en
conflit avec les attaques décrites dans ce rapport à travers l’étude de textes légaux.
25. Smartphone

40
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 L’article 4 paragraphe 1 du Règlement Général sur la Protection des Données, le
RGPD, dispose que « Une donnée à caractère personnel est toute information se rappor-
tant à une personne physique identifiée ou identifiable ». Cette définition est importante
dans le cadre des attaques de modèles car elle permet de rapidement identifier le cadre
légal : si nous pouvons rattacher l’inférence à une personne, il s’agit d’une donnée per-
sonnelle, elle doit donc être traitée conformément au RGPD [24] et à la loi n° 78-17 du 6
janvier 1978 relative à l’informatique, aux fichiers et aux libertés [26]. Notons que cette loi
a donné lieu à la création de la Commission Nationale de l’Informatique et des Libertés
(CNIL) qui a pour but la protection des données personnelles. La CNIL publie des docu-
ments visant à conseiller les acteurs interagissant avec des données personnelles et peut
aussi sanctionner en cas d’infraction. Cette commission a développé un intérêt important
pour l’IA au vu des risques qu’entraîne le déploiement de cette technologie.
On se place dans le cadre où la base de données ayant servi d’entraînement au modèle
d’apprentissage automatique contient des données personnelles et des données sensibles.
On suppose aussi que l’utilisation de ces données pour l’entraînement du modèle est licite.
Dans nos travaux sur l’équité nous avons étudié plusieurs attaques sur les attributs
sensibles tels que l’ethnie ou le genre. Nous nous sommes placés notamment dans le
cadre où l’attribut sensible n’est pas utilisé dans l’entraînement du modèle, ce qui signifie
que la personne ayant fourni la donnée n’a pas donné son accord pour l’utilisation de
l’attribut sensible. Retrouver cet attribut sensible à partir du modèle est possible [143,176].
Le traitement de cet attribut au sens de la définition de l’article 4 paragraphe 2 du
RGPD est : « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide
de procédés automatisés et appliquées à des données ou des ensembles de données à
caractère personnel, tels que la collecte, l’enregistrement, l’organisation, la structuration,
la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation,
la communication par transmission, la diffusion ou toute autre forme de mise à disposition,
le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction. »
L’article 9 paragraphe 1 du RGPD dispose que « Le traitement des données à caractère
personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions
religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des
données génétiques, des données biométriques aux fins d’identifier une personne physique
de manière unique, des données concernant la santé ou des données concernant la vie
sexuelle ou l’orientation sexuelle d’une personne physique sont interdits. »Par conséquent,
publier un modèle avec lequel il est possible de retrouver l’ethnie ou le genre est illégal,
sauf exceptions.
Même si l’attribut sensible ne rentrait pas dans le cadre de l’article 9 paragraphe 1
du RGPD le fait de pouvoir utiliser une attaque d’attribut constitue une violation des
données personnelles au sens de l’article 4 paragraphe 12 du RGPD qui dispose qu’une
violation des données personnelles est « une violation de la sécurité entraînant, de manière
accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée
de données à caractère personnel transmises, conservées ou traitées d’une autre manière,
ou l’accès non autorisé à de telles données. »

2.5.2 Discrimination
Les facteurs de discrimination et les données personnelles ont une grande intersection,
(ethnie, couleur de peau, croyances religieuses, etc). Si un adversaire utilise une attaque
d’attribut pour inférer un facteur de discrimination et l’utilise pour réaliser une décision

41
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 concernant un utilisateur, ou si un facteur de discrimination est implicitement ou expli-
citement utilisé par un modèle, il est possible que cette situation tombe dans le cadre
des lois sur les discriminations. Sur le site de service-public.fr nous trouvons la dé-
finition suivante de discrimination. « La discrimination est un délit interdit par la loi et
puni d’une amende et/ou d’une peine d’emprisonnement inférieure à 10 ans qui consiste à
traiter défavorablement une personne en s’appuyant sur un motif interdit par la loi » [33].
Les motifs interdits par la loi se comptent au nombre de 25 critères de discrimination que
nous listons en Annexe B. Nous remarquons que ces critères sont souvent ceux classifiés
comme attribut sensible dans la littérature IA [143, 176].
En France, la lutte contre les discriminations fait partie des fondements de notre Ré-
publique. Le mot « égalité » est dans la devise de la cinquième République comme en
dispose l’article 2 de la Constitution du 3 Juin 1958. L’article premier de notre Constitu-
tion dispose que « Elle [la France] assure l’égalité devant la loi de tous les citoyens sans
distinction d’origine, de race ou de religion. Elle respecte toutes les croyances. ». De plus,
l’article 71 alinéa 1 de la Constitution met en place la Défenseure des droits qui veille no-
tamment à défendre les personnes victimes de discrimination [27]. Cette instance pousse
aussi pour plus de responsabilisation des utilisateurs d’IA qui utilisent ces technologies
sans considérer leurs biais [43].
Donnons un cas concret : l’utilisation de l’IA pour automatiser le recrutement est de
plus en plus courant [42]. Si les logiciels utilisés présentent des facteurs de discrimination
ou collectent trop d’informations sur les candidats au recrutement, l’employeur est dans
l’illégalité. En effet, l’article L.1221 alinéa 6 du Code du travail dispose que les informa-
tions demandées « doivent présenter un lien direct et nécessaire avec l’emploi proposé ou
avec l’évaluation des aptitudes professionnelles ». De plus l’article L.1132 alinéa 1 dispose
qu’« aucune personne ne peut être écartée d’une procédure de recrutement ou de nomi-
nation ou de l’accès à un stage ou à une période de formation en entreprise, aucun salarié
ne peut être sanctionné, licencié ou faire l’objet d’une mesure discriminatoire, directe ou
indirecte ».
Comparativement à la loi française, aux États-Unis d’Amérique, l’effet différencié 26
est une manière pratique de contrôler si une procédure crée un désavantage, une discri-
mination, contre une minorité [68]. Cet effet différencié est une quantité qui peut être
calculée à partir du modèle d’IA ou de toute autre procédure qui réalise une sélection
binaire comme l’admission dans une école, l’attribution de prêt ou encore l’embauche.
C’est tout simplement la proportion d’admis de la minorité discriminée divisée par la
majorité favorisée. Nous en donnerons une définition plus formelle à la Section 3.2.6 C’est
donc une quantité qui varie entre 0 et 1 où 0 indique que personne dans la minorité n’est
sélectionné et 1 indique qu’autant de personnes de la majorité que de la minorité sont
sélectionnées : c’est la parité. Aux États-Unis, si l’effet différencié est inférieur à 0, 8 cela
constitue une preuve, au regard de la loi qui fait jurisprudence (Common law ), que le
système de sélection fait preuve de discrimination. En France nous n’avons pas de tel
précédent ou de métrique précise à utiliser.

2.5.3 Protection des bases de données

On considère dans cette section que le producteur de la base de données bénéficie d’une
protection par le droit sui generis au sens de l’article L.341-1 du Code de la Propriété
Intellectuelle qui dispose que « Le producteur d’une base de données, entendu comme la
26. Disparate impact

42
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 personne qui prend l’initiative et le risque des investissements correspondants, bénéficie
d’une protection du contenu de la base lorsque la constitution, la vérification ou la présen-
tation de celui-ci atteste d’un investissement financier, matériel ou humain substantiel ».
On peut imaginer plusieurs cas où les attaques présentées dans ce manuscrit peuvent
porter atteinte aux droits du producteur de la base de données.
Supposons que le producteur décide d’interdire « l’extraction ou la réutilisation répé-
tée et systématique de parties qualitativement ou quantitativement non substantielles du
contenu de la base lorsque ces opérations excèdent manifestement les conditions d’uti-
lisation normales de la base de données. », comme le prévoit l’article L.342-2 du Code
de la Propriété Intellectuelle. Nous sommes alors en droit de penser qu’une attaque de
reconstruction représente l’extraction d’une partie de la base de données, en l’occurrence
une colonne de la base de données. De plus cette attaque excède les conditions d’utilisa-
tion car, dans ce cas, la condition d’utilisation normale est l’entraînement d’un modèle
d’apprentissage automatique. Ici, la personne menant l’attaque porte atteinte aux droits
du producteur de la base de données.
Considérons maintenant que c’est le fournisseur d’une solution d’apprentissage auto-
matique, exploitant la base de données, qui porte atteinte aux droits du producteur. On se
place dans le cas où le producteur interdit « la réutilisation, par la mise à la disposition du
public de la totalité ou d’une partie qualitativement ou quantitativement substantielle du
contenu de la base, quelle qu’en soit la forme. », conformément à l’article L.342-1 alinéa
2 du Code de la Propriété Intellectuelle. Dans le cas où le fournisseur de modèle permet
à ses clients (le public) de mener à bien des attaques d’inférence d’attributs, il met à
disposition une partie de la base par sa négligence à utiliser une méthode d’apprentissage
résistante à ce type d’attaque.
Notons que l’article L.343-4 du Code de la Propriété Intellectuelle dispose qu’« est puni
de trois ans d’emprisonnement et de 300 000 euros d’amende le fait de porter atteinte aux
droits du producteur d’une base de données tels que définis à l’article L. 342-1. »

2.5.4 Secret des affaires

L’attaque d’inférence de propriété peut révéler des statistiques globales sur une en-
treprise ayant utilisé une base de données qu’elle tient secrète pour l’entraînement d’un
modèle d’apprentissage automatique ensuite publié. Ces statistiques sont des informations
qui :
— Ne sont pas connues ou aisément accessibles pour les personnes familières de ce
type d’information.
— Revêtent une valeur commerciale, effective ou potentielle, du fait de leur caractère
secret.
— Font l’objet de la part de son détenteur légitime de mesures de protection raison-
nables, compte tenu des circonstances, pour en conserver le caractère secret.
Au titre de l’article L.151-1 du Code de Commerce, ces statistiques sont protégées en tant
que secret des affaires.
De plus l’article L.151-4 alinéa 2 du Code de Commerce dispose que « L’obtention d’un
secret des affaires est illicite lorsqu’elle est réalisée sans le consentement de son détenteur
légitime et qu’elle résulte [...] de tout autre comportement considéré, compte tenu des
circonstances, comme déloyal et contraire aux usages en matière commerciale. »
Ces articles datent de la loi n° 2018-670 du 30 juillet 2018 relative à la protection du
secret des affaires. Il n’y a pas de jurisprudence pour confirmer mais on peut raisonnable-

43
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 ment penser qu’une attaque sur un modèle d’IA peut être considérée comme déloyale et
contraire aux usages en matière commerciale.
Mais d’un autre côté, l’article L.151-3 alinéa 2 du Code de Commerce dispose que
« Constituent des modes d’obtention licite d’un secret des affaires l’observation, l’étude,
le démontage ou le test d’un produit ou d’un objet qui a été mis à la disposition du
public ou qui est de façon licite en possession de la personne qui obtient l’information,
sauf stipulation contractuelle interdisant ou limitant l’obtention du secret. »On pourrait
donc dire que l’attaque s’apparente à une observation ou une étude d’un produit qui a
été mis à la disposition du public.
Il faut donc attendre une jurisprudence en la matière pour savoir si cette attaque
représente une atteinte au secret des affaires. Quoi qu’il en soit, il est dans l’intérêt du
producteur de la base de données de s’assurer que le fournisseur de solution IA sécurise
convenablement ses modèles contre ce genre d’attaque.

2.5.5 Usage illicite de l’IA

Comme nous l’avons vu à la Section 2.1.2 avec l’exemple de la Chine, l’IA peut-être
utilisée pour des raisons qui vont à l’encontre des droits les plus fondamentaux. Face à
cette menace, l’Union Européenne a établi le règlement (UE) 2024/1689 du Parlement
Européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant
l’intelligence artificielle [34]. Étant un règlement il est directement applicable en droit
français. Ce règlement a trois approches visant à limiter une utilisation de l’IA qui serait
contraire aux droit fondamentaux.
La première approche consiste à responsabiliser les fournisseurs et les déployeurs de
systèmes d’IA quant aux potentielles dérives avec l’article 4. De plus l’article 50 dispose
de l’obligation des fournisseurs et des déployeurs de transparence, c’est-à-dire informer les
utilisateurs qu’ils interagissent avec une IA. Enfin, de par leur nature générale et pouvant
amener à la création d’IA multiples, les fournisseurs de modèle de fondation 27 comme
ChatGPT ou Llama sont soumis à de plus grandes obligations et responsabilités.
La seconde approche très pragmatique consiste à interdire un certain nombre de pra-
tiques qui sont listées à l’article 5. Citons certaines qui sont en rapport avec ce manuscrit.
Le paragraphe 1 alinéa c point (i) dispose que « Les pratiques en matière d’IA suivantes
sont interdites :[...] la mise sur le marché, la mise en service ou l’utilisation de systèmes
d’IA pour l’évaluation ou la classification de personnes physiques ou de groupes de per-
sonnes[...] conduisant [au] traitement préjudiciable ou défavorable de certaines personnes
physiques ou de groupes de personnes dans des contextes sociaux dissociés du contexte
dans lequel les données ont été générées ou collectées à l’origine » Ce qui, en plus des
lois françaises sur les discriminations que nous avons citées plus haut, permet de claire-
ment interdire l’utilisation d’IA qui vont utiliser des critères de discrimination dans leur
décision. Ce point est particulièrement important pour ce manuscrit car nous allons déve-
lopper aux Chapitres 4 et 5 une méthode d’audit des systèmes d’IA qui permet de savoir
si un système utilise un critère de discrimination pour réaliser une prédiction.
Citons aussi le paragraphe 1 alinéa d qui dispose que sont interdits les systèmes d’IA
« visant à évaluer ou à prédire le risque qu’une personne physique commette une infrac-
tion pénale ». C’est un point de divergence important avec la législation des États-Unis
qui utilise ce genre de système comme nous l’avons vu à la Section 2.1.2. Dans ce manus-
crit nous avons utilisé des bases de données États-Uniennes pour construire ce genre de
27. Fundation model

44
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 systèmes IA pour les étudier. Bien que nos conclusions sur ces systèmes ne puissent pas
s’appliquer dans l’Union Européenne étant donné qu’ils sont désormais interdits, notre
analyse théorique reste valable et applicable à d’autres systèmes. Nous avons d’ailleurs
évalué nos solutions sur d’autres modèles n’impliquant pas la justice prédictive.
La troisième approche consiste à classifier un certain nombre de pratiques comme des
« systèmes d’IA à hauts risques ». Comme en dispose l’article 6, paragraphe 2 les systèmes
à hauts risques sont par exemple des systèmes qui concernent :
— Emploi, gestion de la main-d’œuvre et accès à l’emploi indépendant (Annexe III,
paragraphe 4)
— Accès et droit aux services privés essentiels et aux services publics et prestations
sociales essentiels (Annexe III, paragraphe 5)
Ce sont deux points pour lesquels nous avons construit des systèmes d’IA à titre illustratif
dans ce manuscrit à la Section 5. Cette classification d’IA à hauts risque impose des règles
plus restrictives pour le déploiement. Par exemple l’article 9, paragraphe 1, dispose qu’un
système de gestion des risques doit être établi. L’article 13, quant à lui, impose un certain
niveau d’explicabilité du système. Enfin nous attirons l’attention du.de la lecteur.rice sur
l’article 15 qui met l’accent sur la sécurité de tels systèmes, forçant les fournisseurs à
contrôler par exemple que leur système ne contienne pas de porte dérobée.

45
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 46
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Chapitre 3

Prérequis

Nous présentons dans ce chapitre les différentes théories et concepts sur lesquels se
basent nos développements.

3.1 Mathématiques
L’origine de l’IA est mathématique [137, 145]. Nous utilisons dans ce manuscrit prin-
cipalement deux théories : l’optimisation pour entraîner les modèles et les probabilités
pour les évaluer. Ainsi nous présentons dans cette section les prérequis nécessaires pour
comprendre les prochains développements. Cette section ne saurait être un cours exhaustif
mais a pour but de mettre en place les définitions et les principaux théorèmes que nous
allons utiliser. Nous supposons que le lecteur est familier du calcul des prédicats. Nous
utiliserons les quantificateurs @ (pour tout) et D (il existe tel que). Nous utiliserons aussi
les opérateurs logiques suivants que nous définissons par leur table de vérité :

a b a ðñ b a ùñ b a ^ b a _ b ␣a
0 0 1 1 0 0 1
0 1 0 1 0 1 1 (3.1)
1 0 0 0 0 1 0
1 1 1 1 1 1 0

3.1.1 Ensembles et fonctions

Commençons donc cette section préliminaire avec les définitions et quelques propriétés
des ensembles et des fonctions. Commençons par les ensembles. Nous utilisons ici la théorie
des ensembles Zermelo–Fraenkel (ZF). Si nous avons, dans ce manuscrit, besoin d’objets
plus grands que les ensembles, nous les appellerons classes bien qu’il soit hors de propos
de présenter ici la théorie Von Neumann–Bernays–Gödel (NBG). Nous allons présenter
ZF de manière assez succincte, juste suffisamment pour réaliser les calculs du Chapitre 4.
Si le.la lecteur.rice souhaite plus de détails sur ces théories il.elle peut consulter Elements
of set thoery de Herbert B. Enderton [97].

Axiomes de la théorie ZF
Nous présentons dans cette section les axiomes de la théorie ZF. Ces axiomes sont
la pierre angulaire de tous les développements mathématiques que nous ferons dans ce
manuscrit. Pour un.e lecteur.rice qui ne serait pas familier.ère de cette théorie, disons qu’il

47
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 s’agit de modéliser formellement le principe d’ensemble. C’est-à-dire le principe de ranger
des choses, les éléments, dans des boîtes, les ensembles.

Axiome d’Extensionnalité Deux ensembles A et B sont égaux si et seulement si ils ont

les mêmes éléments.

@A@Bp@x x P A ðñ x P Bq ùñ A “ B

Axiome de l’ensemble vide Il existe un ensemble qui ne contient aucun élément. Nous
le notons donc tu ou H.

Axiome de la Paire

@A@BDtA, Bu@cpc P tA, Bu ðñ c “ A _ c “ Bq

Pour tout ensemble A, il existe un ensemble A qui est exactement

Ť
Axiome de l’Union
composé des éléments de chaque élément de A.
ď ´ ď ¯
@AD A@b b P A ðñ Da P A b P a

Axiome de l’ensemble des parties Pour tout ensemble A il existe un ensemble PpAq
qui est l’ensemble des sous-ensembles (ou parties) de A.

@ADPpAq P Ă A ðñ P P PpAq

Axiome de séparation 1 Pour toute formule F (au sens du calcul des prédicats et du
vocabulaire P, “) qui ne dépend pas de B et tout ensemble A, il existe un ensemble
B “ ta P A|F u qui est tel que @b P Bpb P A ^ F q
Définition 3.1 (Intersection). Pour des ensembles A et B ,

A X B “ ta P A | a P Bu

et
AzB “ ta P A | ␣pa P Bqu
Définition 3.2 (Fonctions). 2-uplet. Nous définissons pour tout ensemble A et B le 2-uplet
pA, Bq par ttAu, tA, Buu.
Relation. Nous appelons relation un ensemble de 2-uplets. L’ensemble de définition
d’une relation R est DR “ tx | Dy px, yq P Ru. L’image d’une relation est ImgpRq “
ty | Dx px, yq P Ru. Une relation symétrique (@x@y px, yq P R ðñ py, xq P R), réflexive
(@x px, xq P R) et transitive (@x@y@z px, yq P R ^ py, zq P R ùñ px, zq P R) est appelée
une relation d’équivalence. Pour tout a, nous notons rasR “ tb | pa, bq P Ru la classe
d’équivalence de a. Nous notons A{R l’ensemble des classes d’équivalence d’une relation
R sur un ensemble A.
Fonction. Une fonction f est une relation telle que

@x P Df ppx, yq P f ^ px, zq P f ùñ y “ zq
1. Aussonderung

48
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Pour tout ensemble E et F tels que Df Ă E et Imgpf q Ă F nous notons
"
EÑF
f:
x ÞÑ f pxq

Où la notation x ÞÑ f pxq signifie que px, f pxqq P f . En particulier, la fonction identité est
telle que "
EÑE
idE :
x ÞÑ x
Pour deux fonctions f : E Ñ F et g : F Ñ G nous notons
"
EÑG
g˝f :
x ÞÑ gpf pxqq

Pour une expression f pxq, quand cela est pertinent, nous noterons f p˝q la fonction
f : x ÞÑ f pxq quand il n’y a pas d’ambiguïté sur les domaine et codomaine.
Produit cartésien. Soit A un ensemble f une fonction, le produit cartésien est
ą
f paq “ tg | Dg “ A ^ p@a P A gpaq P f paqqu
aPA

Si A “ ti, ju et f piq “ B et f pjq “ C nous notons le produit cartésien : B ˆ C . Si pour

tout a P A f paq “ B nous notons le produit cartésien B A .

Nous dirons qu’une fonction f : E Ñ F est injective si et seulement si @px, yq P

E 2 pf pxq “ f pyq ùñ x “ y). Nous dirons aussi que f est surjective si et seulement si
@y P F Dx P E f pxq “ y. Dans le cas où f serait à la fois injective et surjective nous dirons
qu’elle est bijective et que les ensembles E et F sont en bijection.
Pour une bijection f de E dans F nous notons f ´1 : y ÞÑ x tel que f pxq “ y, c’est la
fonction inverse de f . Dans le cas où f n’est pas bijective, nous définissons cette notation
de la manière suivante : pour B Ă F , f ´1 pBq “ tx P E | f pxq P Bu, c’est l’image
réciproque de f .

Axiome du choix Cet axiome nous assure que si tous les termes du produit cartésien
sont non-vides alors le produit cartésien est non-vide.
ą
@a P Af paq ‰ H ùñ f paq ‰ H
aPA

Axiome de l’infini
DA@a P A pH P A ^ a` P Aq
Où a` “ a Y tau. Nous appelons un tel A, un ensemble récursif.
Définition 3.3 (Ensembles usuels). Entiers. Soit C la classe des ensembles récursifs.
Soit A un ensemble récursif. Nous appelons N l’ensemble des entiers naturels que nous
définissons comme suit :
N “ tn P A | @c P C n P cu
N est bien un ensemble d’après l’axiome de séparation.
Entiers relatifs. La relation
! )
22
R “ ppa, bq, pc, dqq P N | a ` d “ b ` c

49
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 est une relation d’équivalence sur N2 . Nous définissons alors l’ensemble des entiers relatifs
Z “ N2 {R.
Nombres rationnels. La relation

S “ ppa, bq, pc, dqq P pZ ˆ Z˚ q2 | a ¨ d “ b ¨ c

␣ (

est une relation d’équivalence sur Z ˆ Z˚ . Nous définissons alors l’ensemble des Nombres
rationnels Q “ pZ ˆ Z˚ q {S .
Nombres réels

Définition 3.4 (Suite de Cauchy). Une suite u sur un ensemble de A est une fonction de N
dans A. On note upnq “ un pour tout n P N.
Une suite de Cauchy u sur Q est telle que

@ε P Q DN P N @pa, bq P N2 a ě N ^ b ě N ùñ |ua ´ ub | ď ε

Soit C l’ensemble des suites de Cauchy sur Q.

La relation
␣ (
T “ pu, vq P C 2 | @ε DN P N @pa, bq P N2 a ě N ^ b ě N ùñ |ua ´ vb | ď ε

est une relation d’équivalence sur C 2 . Nous définissons alors l’ensemble des nombres réels
R “ C{T .

Axiome de régularité Tout ensemble non-vide a un élément disjoint de cet ensemble.

Axiome de remplacement Soit F pa, bq une formule qui ne dépend pas de B.

@A@y@z p@px P A F px, yq ^ F px, zq ùñ y “ zq ùñ pDB B “ ty | Dx P A F px, yquqq

Arithmétique
Avec un niveau d’abstraction supplémentaire, nous considérons désormais que N Ă
Z Ă Q Ă R. Cela est possible grâce aux injections canoniques suivantes :
"
NÑZ
n ÞÑ pn, 0q
"
ZÑQ
pa, bq ÞÑ ppa, bq, p1, 1qq
$
& „"Ñ R
Q ȷ
NÑQ
%pa, bq ÞÑ
n ÞÑ pa, bq T
Nous identifions aussi R aux représentations en base 10 de ses éléments. Et nous
utiliserons les opérations usuelles `, ¨, ´ et { ainsi que la relation d’ordre ă sur ces
représentations. En général il est possible de construire ces opérations sans utiliser la
représentation en base 10 [97] mais une telle construction est hors de propos pour ce
manuscrit.
Outre les opérations usuelles, nous allons avoir aussi besoin de quelques fonctions
particulières :

50
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 — L’indicatrice de A Ă E est
$
& E"Ñ t0, 1u
1A : 1 si x P A
%x ÞÑ
0 sinon

— La factorielle : pour n P N n! “ npn ´ 1q ¨ ¨ ¨ 1.

— La division euclidienne : pour pa, bq P NˆN˚ Dpq, rq P pN˚ q2 a “ qb`r^bpq`1q ą a.
q est appelé quotient et r reste de la division de a par b.

Intervalle
Pour pa, bq P R2 avec a ď b nous définissons l’intervalle ra, bs de la manière suivante :
tx P R | a ď x ^ x ď bu. Et aussi sa contrepartie entière : r|a, b|s “ ra, bs X N.

Cardinal
La notion de cardinal cherche à comparer la taille d’ensembles arbitraires. Nous n’al-
lons pas ici considérer la théorie des ordinaux de Van Neumann qui complète notre sim-
plification. Le.la lecteur.rice souhaitant aller plus loin et apprendre cette théorie peut se
référer aux chapitres 6,7,8 et 9 de Elements of set thoery de Herbert B. Enderton [97].
Notre simplification se suffit à elle-même pour les développements que nous allons pré-
senter dans ce manuscrit.
Nous dirons donc que tout ensemble A a un cardinal que nous noterons #A. Si A est
en bijection avec n P N alors #A “ n. Nous dirons alors que A est un ensemble fini. Dans
le cas contraire nous dirons que A est infini. Si A est en bijection avec un sous-ensemble de
N nous dirons que A est dénombrable. Si A est en bijection avec N nous notons #A “ ℵ0 .
Enfin nous dirons que deux ensembles arbitraires ont le même cardinal si et seulement si
ils sont en bijection.

3.1.2 Algèbre linéaire

Espace vectoriel
Les espaces vectoriels sont des structures fondamentales qui vont nous servir à com-
prendre comment fonctionne l’entraînement des réseaux de neurones.

Définition 3.5 (Groupe). Soit E un ensemble et ` une opération sur E . Nous dirons que
pE, `q est un groupe si et seulement si
1. @pe, f q P E 2 e ` f P E (loi interne)
2. @pe, f, gq P E 2 pe ` f q ` g “ e ` pf ` gq
3. D0 P E @e P E e ` 0 “ e ^ 0 ` e “ e
4. @a P EDb P E a ` b “ e ^ b ` e “ e
Dans le cas où en plus de ces trois points @pe, f q P E 2 e ` f “ f ` e Nous dirons que le
groupe pE, `q est abélien.

Définition 3.6 (Espace vectoriel). Soit E un ensemble muni d’une loi interne ` et d’une
loi externe ¨ : R ˆ E Ñ E . Sous les conditions suivantes, nous dirons que pE, `, ¨q est un
espace vectoriel.

51
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 1. pE, `q est un groupe abélien.
2. @pr, e, f q P R ˆ E ˆ E rpe ` f q “ re ` rf
3. @pr, s, eq P R ˆ R ˆ E pr ` sqe “ re ` se
4. @pr, s, eq P R ˆ R ˆ E prsqe “ rpseq
5. @e P E 1e “ e

Alors @n P N Rn est un espace vectoriel.

Application linéaire

Soit E et F deux espaces vectoriels. Une application linéaire h : E Ñ F est telle

que @pr, e, f q P R ˆ E ˆ E hpre ` f q “ rhpeq ` hpf q Et on note LpE, F q l’ensemble des
applications linéaires de E dans F . Si E “ Rm et F “ Rn alors la matrice de f est
¨ ˛
f pe0 q0 ¨ ¨ ¨ f pem´1 q0
.. .. ..
Mf “ ˝ . . .
˚ ‹
‚
f pe0 qn´1 ¨ ¨ ¨ f pem´1 qn´1

Où ¨ ˛
0
˚ .. ‹
˚.‹
˚0‹
˚ ‹
@i P m ei “ ˚1‹ i
˚ ‹
˚0‹
˚ ‹
˚.‹
˝ .. ‚
0
On appellera par la suite pe0 , ¨ ¨ ¨ , em´1 q base canonique de Rm . On note f pej qi “ Mf pi, jq,
c’est l’entrée de Mf se situant à la ligne i et colonne j.

Propriété 3.1. La fonction M˝ est une bijection.

Nous appelons Rn,m l’ensemble des matrices à n lignes et m colonnes.

Nous définissons la multiplication matricielle de la manière suivante : Soient f P
LpRm , Rn q et g P LpRn , Ro q. Alors

Mg Mf “ M g ˝ f

Propriété 3.2.
n
ÿ
Mg Mf pi, jq “ Mg pi, kqMf pk, jq
k“0

Définition 3.7. Soit M une matrice à n lignes et colonnes. Alors nous définissons la trace
de M de la manière suivante.
n´1
ÿ
TrpM q “ M pi, iq
i“0

52
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 3.1.3 Mesurer le hasard pour prédire et inférer
La théorie des probabilités est profondément liée à l’apprentissage automatique. Les
propriétés des modèles comme la confidentialité différentielle, les définitions d’équité, les
métriques d’utilité, etc. que nous aborderons en Section 3.2 s’écrivent en termes de pro-
babilité. Ainsi nous présentons les notions de probabilités et de théorie de la mesure que
nous allons utiliser. A la manière de la Section 3.1.1, notre présentation a principalement
le but de fixer les objets que nous utiliserons dans les prochaines sections et non pas
d’être un cours complet. Si le.la lecteur.rice souhaite en apprendre plus sur la théorie de
la mesure nous le renvoyons vers les notes de cours de Thierry Gallay de l’Université Jo-
seph Fourrier [106]. Si il.elle souhaite explorer plus en avant les probabilités, il.elle pourra
consulter les notes de cours de Jean-François Le Gall de l’École Normale Supérieure de
Paris [138].
Soit A un ensemble. Nous appelons une tribu que nous notons A un sous-ensemble de
PpAq qui contient H et A, qui est stable par complémentaire et qui est stable par union
dénombrable d’éléments de A. Nous disons alors que pA, Aq est un espace mesurable. Soit
maintenant A Ă PpAq, nous appelons σpAq la plus petite tribu pour l’intersection qui
contient tous les éléments de A.
Nous appelons mesure, une fonction :A telle que et
Ť
d Ñ r0, `8s dpHq “ 0 d p iPN Ai q “
pour tout avec Nous disons alors que
ř
iPN dpA i q pA 1 , A2 , ¨ ¨ ¨ q P AN
@pi, jqA i X A j “ H.
pA, A, dq est un espace mesuré. Pour un espace mesurable pA, PpAqq, la mesure de Dirac
est la mesure telle que pour a P A
$
& PpAq
" Ñ t0, 1u
δa : 1 si aPB
%B ÞÑ
0 sinon
Soit pA, A, dq et pB, B, eq deux espaces mesurés. Nous définissons alors
A b B “ σ pta ˆ b | a P A ^ b P Buq
et de plus la mesure produit de d et e, que l’on note d b e, est l’unique mesure telle que
@a P A@b P B d b epa ˆ bq “ dpaq ¨ epbq
Alors l’espace pA ˆ B, A b B, d b eq est un espace mesuré.
Nous appelons fonction mesurable, une fonction de A à B telle que @b P B f ´1 pbq P A.
Nous notons alors f : pA, Aq Ñ pB, Bq ou f : pA, A, dq Ñ pB, Bq Nous définissons la
mesure image de f par d, que nous notons df , par l’expression suivante :
"
B Ñ r0, `8s
df : (3.2)
b ÞÑ d pf ´1 pbqq
Définition 3.8 (Intégrale). Soit pE, E, µq un espace mesuré. Pour
ř
ş une fonction
ř f “ iPI αi 1Ai ,
nous dirons étagée, avec tAi | i P Iu Ă E et αi P R` . alors E f dµ “ iPI αi µpAi q.
Soit g une fonction mesurable de pE, E, µq dans R` , alors
ż "ż *
gdµ “ sup f dµ | f est étagée ^ f ď g
E E

ş Enfin dans le cas général de h une fonction mesurable de pE, E, µq dans R, alors si
E
|h|dµ P R on pose
ż ż ż
hdµ “ maxph, 0qdµ ´ maxp´h, 0qdµ
E E E

53
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Définition 3.9 (Mesure à densité). Soit pE, E, µq un espace mesuré et f une fonction me-
surable positive et intégrable. Nous définissons la mesure à densité de f de la manière
suivante : "
E Ñş R`
µ.f :
e ÞÑ e f dµ

Dans le cas particulier où dpAq “ 1, nous appelons d une mesure de probabilité

pA, A, dq est alors un espace probabilisé et les fonctions mesurables sur cet espace sont
appelées variables aléatoires. Pour un évènement a P A tel que dpaq ‰ 0, la probabilité
conditionnelle est #
A Ñ r0, 1s
dp˝ | aq :
b ÞÑ dpaXbq
dpaq

La loi de probabilité d’une variable aléatoire f sur pX, X q est la mesure image de f sur d.
S’il existe une fonction mesurable g telle que Pf “ P.g nous dirons que f admet g
comme densité.
Nous dirons que deux variables aléatoires f et g sont indépendantes si et seulement si
la loi de la variable aléatoire h : ω ÞÑ pf pωq, gpωqq est la mesure produit de la loi de f et
g.
De plus, dans le cas des variables aléatoires, il est courant d’écrire tf P Au pour f ´1 pAq
et tf “ au pour f ´1 ptauq.

Définition 3.10 (Espérance). Pour une variable aléatoire X , on définit l’espérance de X

par la formule suivante. ż
EpXq “ XpωqdP pωq
Ω

3.1.4 Calcul différentiel

Le but du calcul différentiel est l’étude des variations infinitésimales des fonctions.
Nous allons nous contenter ici d’étudier les fonctionnelles, c’est-à-dire des fonctions de Rn
dans R car c’est ce dont nous allons avoir besoin en apprentissage automatique.

Définition 3.11 (Produit scalaire euclidien). Soit px, yqP Rn 2 alors le produit scalaire eucli-
dien est
n´1
ÿ
xx, yy “ xi yi
i“0

Définition 3.12 (Norme euclidienne). Soit x P Rn , nous définissons le norme euclidienne

de x par l’expression suivante
1
||x|| “ xx, xy 2

Définition 3.13 (Limite). Soit f une fonction de Rm dans Rn . Soit x P Rm . Nous dirons que
f admet une limite en x s’il existe y P Rn tel que

@ε ą 0Dδ ą 0@a P Rm ||a ´ x|| ă δ ùñ ||f paq ´ y|| ă ε

Nous écrivons limaÑx f paq “ y car y est alors unique [71].

54
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Définition 3.14 (Différentielle). Soit f une fonction de Rn dans R. Nous dirons que f est
différentiable en a P Rn si et seulement si il existe df paq P LpRn , Rq tel qu’il existe ε : Rn Ñ
R tel que pour tout h P Rn

f pa ` hq “ f paq ` df paqh ` ||h||εphq

avec limhÑ0 εphq “ 0. df paq s’appelle la différentielle de f en a.

Définition 3.15. Pour tout x P R nous définissons la ième dérivée partielle de f par
"
RÑR
Bi f :
x ÞÑ df pxqei

Où ei est le ième vecteur de la base canonique de Rn . Et nous définissons le gradient de

f par la formule suivante : $ n
’
’ R¨ Ñ Rn ˛
’
& B0 f pxq
∇f : ..
x ÞÑ ˝
˚ ‹
’
’
’ . ‚
% Bn´1 f pxq
Pour le.la lecteur.ice familier.ère avec la dérivabilité notons que
f px ` hei q ´ f pxq
limhÑ0 “ Bi f pxq
h
Propriété 3.3. Soit f : Rn Ñ R différentiable.

@px ` hq P Rn2 df pxqh “ x∇f pxq, hy

3.1.5 Optimisation
L’optimisation est une branche des mathématiques appliquées qui cherche à trouver les
points pour lesquels une fonction réalise un certain nombre d’exigences. Le lecteur pourra
se référer par exemple au livre de Phillipe G. Ciarlet Introduction à l’analyse numérique
matricielle et à l’optimisation [82] pour une présentation très complète d’un grand nombre
de techniques. Dans ce manuscrit nous ne nous intéresserons qu’à deux types de problèmes
liés à l’apprentissage automatique et surtout aux réseaux de neurones. Le premier de ces
problèmes est la minimisation sans contrainte d’une fonctionnelle convexe. Cela permet
l’entraînement de modèles d’apprentissage automatique à l’aide de fonctions de coûts. Le
second problème reprend le premier mais y ajoute des contraintes. C’est-à-dire, comment
minimise-t’on le coût tout en garantissant certaines conditions ?

Optimisation sans contrainte : descente de gradient

Nous appelons fonctionnelles les fonctions de Rn dans R. Soit J une fonctionnelle
convexe, nous cherchons à trouver x P Rn tel que Jpxq “ inftJptq | t P Rn u. Pour simplifier
cette rapide présentation, nous supposerons que J a toujours les conditions de régularité
(différentiabilité) suffisantes pour les opérations que nous appliquerons. Pour trouver x
qui minimise J une des méthodes les plus utilisées en apprentissage automatique est la
descente de gradient. Il s’agit de construire une suite pxk qkPN telle qu’à chaque étape
la direction de descente soit optimale. L’idée pour arriver à cela est de considérer une
approximation de l’accroissement de J en utilisant la définition du gradient.

55
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 6000 f 6000
u

|f(u) f(20)|
f(x)4000 4000

2000 2000
0 0
0 50 100 0 10
x Itération
(a) La suite u approche un minimum local de (b) Convergence de l’écart entre u et le mini-
la fonction f . mum vers 0 en fonction des itérations.

F IGURE 3.1 – Convergence de la méthode de gradient.

On cherche h tel que ||h|| “ 1 et Jpxk ` hq soit minimal. D’après la définition du

gradient
Jpxk ` hq “ Jpxk q ` x∇Jpxk q, hy ` ||h||ϵphq
On cherche alors à résoudre (*) : min||h||“1 x∇Jpxk q, hy. D’après l’inégalité de Cauchy-
Schwartz
@h ||h|| “ 1 ùñ |x∇Jpxk q, hy| ď ||∇Jpxk q||
Et aussi
ˆ ˙
∇Jpxk q
@h ||h|| “ 1 ùñ |x∇Jpxk q, hy| “ ||∇Jpxk q|| ðñ h “ ˘
||∇Jpxk q||
∇Jpxk q
h “ ´ ||∇Jpx k q||
est donc solution de (*) pour que x∇Jpxk q, hy soit négatif.
Ainsi la méthode de descente de gradient est définie par la suite xk`1 “ xk ´ lk ∇Jpxk q.
lk est appelé le pas. En théorie, nous pouvons lire dans le livre de Ciarlet qu’il existe de
multiples manières de trouver un pas optimal ou approprié à la fonctionnelle J. Cependant,
en apprentissage automatique, les hypothèses nécessaires pour obtenir l’optimale sont
souvent absentes ; en pratique le pas est souvent choisi constant Dc@k lk “ c.
Nous montrons dans la Figure 3.1 le fonctionnement de la méthode de gradient à pas
fixe en dimension un pour une fonctionnelle convexe avec une illustration de la convergence
de l’écart entre Jpxk q et le minimum.

Optimisation sous contraintes : multiplicateurs de Lagrange

Pour expliquer ce qu’est l’optimisation sous contraintes, reprenons les mots de Philipe
G. Ciarlet : « On s’intéresse au problème suivant : trouver des conditions nécessaires, et
des conditions suffisantes, pour qu’un point d’un ensemble U soit un extremum relatif de
la restriction à l’ensemble U d’une fonction J définie sur un ensemble "plus grand". [...]
Un premier exemple est celui des extremums relatifs liés, où l’ensemble U est de la forme

U “ tv P V | @i P m ´ 1 φi pvq ď 0u

»
On introduit le lagrangien de ce problème par la formule suivante :
"
V ˆ Rm
L: ř`
pv, µq ÞÑ Jpvq ` m´1
i“0 µi φi pvq

56
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Pour respecter les contraintes du problème, la méthode consiste à chercher un point
selle de L, c’est-à-dire, un point pu, λq P V ˆ Rm
` tel que

supLp˝, λq “ Lpu, λq ^ inf Lpu, ˝q “ Lpu, λq

u est alors solution du problème. Il est donc suffisant de connaître λ appelé multiplicateurs
de Lagrange pour pouvoir trouver u en se ramenant au cas sans contraintes de la section
précédente. Trouver λ s’appelle le problème dual en contrepartie de la recherche de u
qui est le problème primal. Le problème dual bénéficie du fait que les contraintes sont
plus simples car il s’agit uniquement de la positivité des multiplicateurs de Lagrange.
Le problème dual s’écrit donc suppinfvPV Lpv, ˝qq. Pour une présentation plus complète
des multiplicateurs de Lagrange et de la dualité voir les Sections 7.2 et 9.3 du livre de
Ciarlet [82]

3.2 Apprentissage automatique

L’apprentissage automatique 2 est le fondement de l’IA moderne. Les réseaux de neu-
rones profonds ont révolutionné ce domaine notamment grâce à l’augmentation de la
puissance de calcul des cartes graphiques [137].

3.2.1 Principe
Reprenons la définition de l’IA donnée dans le Règlement UE 2024/1689 pour une
harmonisation des régulations relatives à l’IA [34] et notamment la Figure 2.3. Cette
définition exprime bien le fonctionnement d’un modèle d’apprentissage automatique. Le
modèle est une fonction qui prend en entrée une donnée d’entrée et des paramètres et
qui renvoie une prédiction. Le vie d’un modèle se passe en deux étapes. Premièrement il
faut trouver des paramètres qui assurent un bon fonctionnement du modèle. En général le
bon fonctionnement se définit en disant que le modèle a une bonne utilité et respecte les
contraintes qui lui sont demandées. Ces contraintes peuvent imposer l’équité ou la confi-
dentialité par exemple. Ensuite, les paramètres sont utilisés pour réaliser des prédictions
sur des données nouvelles, qui n’ont en général pas été utilisées pour l’entraînement. Par
exemple, pour en revenir à la justice prédictive, les paramètres sont trouvés en utilisant
des données historiques de tribunaux. Le modèle est ensuite utilisé sur de nouveaux cas
de condamnés. Nous allons présenter ces deux aspects, entraînement et évaluation, dans
les Sections qui suivent.

3.2.2 Entraîner un modèle

Les données qui servent à l’entraînement du modèle doivent posséder une étiquette :
c’est-à-dire le résultat attendu qui est considéré comme vrai. Dans la justice prédictive,
il s’agit de savoir si le coupable a été récidiviste après avoir été libéré. Pour prendre un
exemple plus scolaire, sur le jeu de données Iris [101], on cherche à classifier l’espèce d’iris
à partir de la longueur et de la largeur des sépales et des pétales. Nous utilisons, pour
l’entraînement, des données de taille de sépales et pétales pour lesquelles nous connaissons
l’espèce d’iris. En utilisant ces données nous ajustons les paramètres pour que la prédiction
soit la plus précise possible.
2. Machine learning

57
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Pour ce faire, nous utilisons une fonction de coût. C’est une fonction qui sert à dé-
terminer à quel point une prédiction est bonne. C’est-à-dire que plus la fonction de coût
renvoie une valeur petite, meilleur est le modèle.
Nous définissons le modèle suivant :
"
E ˆ Θ Ñ Rn
f: (3.3)
x ÞÑ f px, θq

Alors une fonction de coût, est une fonction l de Rn ˆ Rn dans R` . On se donne l’espace
probabilisé pΩ, T , P q. Soit V l’ensemble des variables aléatoires de Ω dans R` .
Nous pouvons ainsi définir le coût induit par un choix de paramètres par la fonction
$
& " ΘÑV
C: Ω Ñ R`
%θ ÞÑ
ω ÞÑ lpf pXpωq, θq, Y pωqq
Ainsi nous avons une fonctionnelle

c : θ ÞÑ EpCpθqq (3.4)

en prenant l’espérance de coût. Nous pouvons donc appliquer une descente de gradient
comme vu à la Section 3.1.5 pour résoudre le problème suivant :

minθPΘ cpθq

En pratique la quantité cpθq est évaluée en calculant la moyenne empirique sur un grand
nombre de données, ce qui converge vers l’espérance d’après la loi des grands nombres [138].
c n’étant pas forcément convexe, en fonction du point de départ (x0 ) l’algorithme de des-
cente de gradient peut converger vers un minimum local qui donnera un modèle final avec
de piètres qualités. C’est ce que nous représentons dans la Figure 3.2 où nous voyons une
convergence vers un minimum local alors que le point recherché est au fond d’une vallée
plus profonde.
Très souvent l’algorithme d’optimisation utilisé est la descente de gradient stochastique
(SGD) 3 [49], c’est une version modifiée de la descente de gradient adaptée aux réseaux de
neurones qui permet d’accélérer la convergence [69] et d’éviter les minima locaux [70]. Cet
algorithme évalue l’espérance empirique de Cpθq sur chaque élément, appelé mini batch,
d’une partition des données d’entraînement.
La recherche des paramètres d’entraînement comme la finesse de la partition ou le
pas est en pratique réalisée par des algorithmes qui parcourent un espace de recherche et
regardent l’entraînement pour quelques itérations [66]. Nous appelons cela l’optimisation
des hyperparamètres.

3.2.3 Évaluer un modèle

Nous appellerons ici évaluation d’un modèle, le calcul des métriques qui permettent de
juger de son utilité. Ces métriques varient en fonction du type de modèle et du contexte
dans lequel il est utilisé. Par exemple, il est souhaitable qu’un modèle qui permette de
prédire l’absence ou la présence d’une maladie ait un faible taux de faux négatifs. Cela
permet d’éviter de penser à tord qu’un patient n’est pas malade ce qui pourrait entraîner
un retard dans sa prise en charge.
3. Stochastic gradient descent

58
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 11600 11600
300
11500 11500

|f(u) f(8)|
f(x)

f(x)
11400 11400 200
f f
11300 u 11300 u 100 u0 = 3, 1
4 6 8 4 6 8 u0 = 8, 28
x x 0
0 100 200
(a) L’algorithme tombe (b) L’algorithme tombe Itération
dans un minimum local dans un minimum global (c) Convergence vers un
(u0 “ 3, 1). (u0 “ 8, 28). minimum local et global.

F IGURE 3.2 – Impact de la convexité sur la convergence.

Classification

Les modèles de classification visent à attribuer à chaque point des données évaluées
une classe parmi un ensemble fini. Par exemple, dans le cadre de la justice prédictive,
inférer pour chaque coupable s’il sera récidiviste ou non [141]. Quand il y a deux classes,
comme dans l’exemple précédent, avec récidiviste ou non-récidiviste, nous dirons que
le modèle effectue une classification binaire. Ce cas est très présent en apprentissage
automatique [135, 140] ainsi il existe beaucoup d’outils qui permettent d’évaluer ce genre
de classifieur [75].
Nous représentons le modèle que nous souhaitons évaluer par une fonction f : E Ñ
t0, 1u C’est-à-dire que le modèle prend une donnée d’entrée dans E, cela peut être une
image ou une ligne d’un tableau, et lui attribue soit la classe 0 soit la classe 1. Nous dirons
que 0 est un résultat négatif et 1 un résultat positif.
Pour évaluer correctement le modèle, nous devons prendre en compte la répartition
des données dans E. Nous modélisons cette répartition par les lois de probabilité de deux
variables aléatoires :
— X:ΩÑE
— Y : Ω Ñ t0, 1u
pΩ, T , P q est un espace probabilisé. Il n’est pas nécessaire que nous définissions de manière
plus précise cet espace car nous ne nous intéressons qu’aux mesures images de X et Y
par P . Nous pouvons, de la même manière, définir une variable aléatoire pour la sortie
du modèle : Ŷ “ f ˝ X.
Grâce à ces objets, nous allons définir des quantités qui décrivent l’utilité du modèle.
La première est l’exactitude 4 , c’est la probabilité que le classifieur prédise la bonne classe.
Nous la définissons par P pŶ “ Y q. Cette définition, bien que très intuitive, a le désavan-
tage d’être sensible au déséquilibre de classe 5 . Considérons l’exemple suivant : imaginons
un modèle déployé en 1982 qui cherche à prédire si un employé cadre est une femme ou un
homme. Supposons que ce modèle ait une exactitude de 79%, c’est-à-dire que le modèle
prédise justement le genre huit fois sur dix, nous dirons certainement que ce modèle est
performant ? Voici donc un modèle qui atteint cette performance :

E Ñ thomme, femmeu
"
f: (3.5)
x ÞÑ homme

4. Accuracy
5. Class imablance

59
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 C’est-à-dire un modèle qui prédise toujours homme. Calculons son exactitude ; pour
plus de lisibilité nous encodons homme par 0 et femme par 1. Comme le modèle prédit
toujours homme, P pŶ “ 0q “ 1 et P pŶ “ 1q “ 0.
P pŶ “ Y q
Par la formule des probabilités totales
“P pŶ “ 0|Y “ 0qP pY “ 0q ` P pŶ “ 1|Y “ 1qP pY “ 1q (3.6)
“1 ¨ P pY “ 0q ` 0 ¨ P pY “ 1q “ P pY “ 0q
Or, en 1982 il y avait uniquement 21% des cadres qui étaient des femmes [102], ainsi
P pY “ 0q “ 0, 79 et P pY “ 1q “ 0, 21. Nous avons donc bien une exactitude de 79% bien
que le modèle n’ait aucune utilité pratique !
Ainsi l’exactitude est significative uniquement quand Y suit une loi uniforme. Nous
définissons donc une autre métrique : l’exactitude équilibrée 6 . Pour cela nous repartons
de l’Equation 3.6 et remplaçons P pY “ 0q et P pY “ 1q par 21 . Ainsi l’exactitude équilibrée
est la moyenne de P pŶ “ 0|Yř“ 0q et de P pŶ “ 1|Y “ 1q. De manière plus générale,
l’exactitude équilibrée est #F 1
f PF P pŶ “ f | Y “ f q. C’est-à-dire que nous regardons
pour chaque classe séparément (homme ou femme dans notre exemple) la probabilité qu’un
point soit bien classifié. Ainsi, en calculant l’exactitude équilibrée avec l’exemple précèdent
nous obtenons 1`0 2
“ 0, 5. Ce résultat montre bien que le modèle n’a pas d’utilité.

La courbe Receiver Operating Characteristic (ROC) Un grand nombre d’algorithmes

d’apprentissage automatique pour la classification binaire optimise les paramètres d’une
fonction à valeurs dans r0, 1s (ou dans un ensemble en bijection avec r0, 1s). C’est le cas
par exemple des réseaux de neurones avec un unique neurone dans la couche finale, de
la régression logistique, de la forêt aléatoire, etc. Nous appelons cette étape intermédiaire
dans la classification, logit ou soft label. La classification se fait grâce à un seuil sur ce
logit. C’est-à-dire que si on appelle gpxq le logit de x, le modèle de classification peut se
décomposer par : fτ “ 1rτ,1s ˝ g.
Ainsi si nous calculons l’exactitude, l’exactitude équilibrée ou toute autre métrique
que nous avons présentée précédemment, elle dépendra du seuil (τ). Pour pallier cela
nous regardons la ROC : une courbe paramétrique qui, au seuil, associe le taux de faux
positifs (FPR) 7 et le taux de vrais positifs (TPR) 8 . Nous définissons ces quantités comme
suit :
— Taux de faux positifs : fprpτq “ P pfτ ˝ X “ 1 | Y “ 0q
— Taux de vrais positifs tprpτq " “ P pfτ ˝ X “ 1 | Y “ 1q
r0, 1s Ñ r0, 1s ˆ r0, 1s
roc :
τ ÞÑ pfprpτq, tprpτqq
La courbe ROC montre que le seuil permet d’ajuster le compromis entre faux positifs
et vrais positifs ; en pratique ce compromis dépend de l’application. En effet, comme nous
le voyons sur la Figure 3.3, si le seuil vaut τ “ 0, tous les points sont classifiés positivement
par le modèle. Ainsi le taux de faux positifs est maximal et vaut 1. Dans le cas totalement
opposé de τ “ 1 aucun point n’est classifié comme positif et donc il n’y a pas de faux
positifs mais il n’y a pas non plus de vrais positifs. Il s’agit donc de trouver un équilibre
entre ces deux extrêmes.
6. balanced accuracy
7. False positive rate
8. True positive rate

60
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 1.0
0.8 1.0
1.0 0.8
0.6 0.8
TPR

0.4 0.6

TPR
0.6 0.4

TPR
0.2 0.4
0.00.0 0.2
0.5 1.0 0.2
FPR 0.00.0 0.5 1.0
(a) ROC d’une foret aléa-
0.00.0
0.5 1.0 FPR
toire sur un problème scolaire
FPR (c) ROC random guess
(AUC « 0, 8). (b) ROC parfaite (AUC “ 1). (AUC “ 12 ).

F IGURE 3.3 – La courbe ROC.

Il peut être utile, pour comparer plusieurs classifieurs, de résumer la ROC en une seule
valeur. Pour cela nous utilisons l’aire sous la courbe ROC, appelé AUC 9 . Comme nous le
voyons sur la Figure 3.3, un classifieur qui, malgré l’ajustement de son seuil, ne prédit pas
correctement l’étiquette, a une AUC de 0, 5. Alors qu’un classifieur parfait, c’est-à-dire
pour lequel il existe un seuil qui produit un taux de faux positifs nul et un taux de vrais
positifs égal à 1, a une AUC de 1.

Régression

La régression est un autre type de modèle qui cherche, non pas à ranger une donnée
dans une classe, mais plutôt à prédire une grandeur. Par exemple, prédire la masse d’une
personne à partir de sa taille. Nous avons vu dans la section précédente que certains
modèles de classification utilisent une étape intermédiaire de calcul de logit. Le calcul de
logit est une forme de régression car il s’agit de prédire une grandeur et non pas de choisir
une classe. Pour mieux comprendre le lien entre ces deux types de modèles, nous pouvons
observer l’exemple de la régression logistique.
Dans la Figure 3.4 nous avons l’exemple d’une régression logistique qui nous donne la
courbe logit dans les trois premières sous-figures. Le seuil est représenté par le change-
ment de couleur, tandis que les étiquettes sont représentées par la position sur l’axe des
ordonnées. Nous observons que changer le seuil permet d’influer sur les différentes mé-
triques que nous avons présentées en Section 3.2.3. Le choix d’un seuil approprié est donc
dépendant de l’application. Comme nous pouvons le voir sur la Sous-figure 3.4d, un seuil
proche de 1 permet de grandement réduire le FPR mais réduit aussi les autres métriques.
Le choix d’un seuil est aussi particulièrement important quand les données présentent un
déséquilibre, c’est-à-dire qu’une classe est majoritaire par rapport à une autre [200]. Dans
la Figure 3.4 il y 28% de points positifs représentés en rouge. Cela explique la différence
entre exactitude et exactitude équilibrée à seuil égal.

3.2.4 Apprentissage profond

Nous allons présenter ici rapidement les réseaux de neurones dans un contexte d’infé-
rence et de génération car cela nous sera utile pour les Chapitres 5 et 6.
9. Area Under the Curve

61
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 1.00 1.00 1.00
Logit Logit Logit
0.75
Prédiction y=0 0.75 y=0 0.75 y=0

Prédiction

Prédiction
0.50 y=1 0.50 y=1 0.50 y=1
0.25 0.25 0.25
0.00 0.00 0.00
0 2 4 0 2 4 0 2 4
Entrée Entrée Entrée
(a) τ “ 0, 3 (b) τ “ 0, 5 (c) τ “ 0, 7
1.00
Accuracy
0.75 Balanced Accuracy
TPR
0.50 FPR
0.25
0.00
0.25 0.50 0.75
Seuil
(d) Métriques de classifications en fonction du seuil.

F IGURE 3.4 – Exemple de relation entre régression (logit) et prédiction.

Réseau de neurones

En apprentissage profond, l’expression explicite qui lie entrée, paramètre et sortie

(que nous avons appelé f px, θq à la Section 3.2.2) est appelée l’architecture du réseau de
neurones. Dans cette section nous allons présenter quelques architectures classiques. Pour
en savoir plus à ce sujet et sur l’apprentissage automatique en général, notamment pour
avoir plus de détails sur l’entraînement, nous renvoyons le.la lecteur.rice au livre de Yann
Le Cun, Quand la machine apprend [137].
Un réseau de neurones est composé de plusieurs couches successives qui ont chacune
des paramètres. En d’autres termes un modèle
"
E ˆ Θ Ñ Rn
f:
px, θq ÞÑ f px, θq

peut se décomposer comme une composition de modèles intermédiaires. Par exemple un

modèle à m couches peut s’écrire :

f pl, θq “ fm´1 pl, θm´1 q ˝ ¨ ¨ ¨ ˝ f0 pl, θ0 q

Nous utiliserons deux types de couches : les couches entièrement connectées 10 et les
couches de convolution.
Une couche entièrement connectée est elle-même composée d’une multiplication matri-
cielle, d’une addition à un vecteur et d’une fonction d’activation. Considérons une couche
intermédiaire de Ro dans Rp Nous dirons que cette couche a p neurones. Nous utilise-
rons toujours la même fonction d’activation : Rectified Linear (ReLu). Cette fonction est

10. Fully connected

62
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 définie de la manière suivante :
Rp Ñ pR` qp
$
’
’ ¨ ˛
’
& 1R` px0 qx0
ReLu : ..
x ÞÑ ˝ .
˚ ‹
’
’ ‚
’
% 1 ` px qx R p´1 p´1

Nous remarquons que cette fonction n’a pas de paramètres à optimiser ; son but est d’éviter
que l’architecture globale soit une fonction affine.
La partie linéaire de la couche est paramétrée par les coefficients de la matrice de
l’application linéaire. Cette fonction l admet donc comme expression lpxq “ M x avec
M P Rp,o
Enfin la partie additive est appelée biais et s’écrit Bpxq “ x ` b avec b P Rp . Ainsi la
i-ième couche s’écrit : "
R o Ñ Rp
fi pl, pM, bqq :
x ÞÑ ReLupM x ` bq
Regardons maintenant les couches de convolution. L’idée de la convolution est d’ex-
traire des représentations 11 à partir d’un signal qui est généralement une image, un son ou
la sortie d’un capteur analogique comme un gyroscope. Une architecture classique utilise
les couches de convolution à l’entrée du réseau avant les couches entièrement connectées.
L’idée étant que le modèle commence par extraire des représentations puis les analyse.
Dans ce type de couche, le paramètre θi est le noyau de convolution. C’est la fonction
par laquelle on multiplie le signal sous l’intégrale. Pour un noyau de convolution de taille
c. "
Ro Ñ Rp
fi px, θi q “ (3.7)
u ÞÑ c x1 pu ´ tqθi ptqd c´1
ş ř
j“0 δj ptq

Où x1 est tel que x1 pu ´ tq soit toujours bien défini par rembourrage 12 .

Modèle génératif
Un générateur est une fonction qui prend en entrée un jeu de données réelles et ren-
voie un jeu de données synthétiques. Cette définition est suffisamment générale pour que
l’identité soit un générateur. Nous dirons que la sortie du générateur identité sont des
données réelles et nous appellerons données synthétiques la sortie de n’importe quel autre
générateur.
En plus du générateur identité, nous utiliserons des réseaux de neurones adverses
génératifs 13 (GAN) [108]. Le but d’un GAN est de générer des échantillons réalistes suivant
une loi de probabilité. Pour arriver à cela, un GAN utilise deux réseaux de neurones :
un générateur et un discriminateur. Le domaine du générateur est de petite dimension
comparativement à son codomaine. La dimension du codomaine est la même que celle des
données que l’on souhaite générer. Par exemple, pour générer des images de taille 64 par
64, le codomaine est R64,64 . Pour générer une donnée, nous évaluons le générateur sur un
point généré à partir d’une loi normale multidimensionnelle. La sortie de générateur est
la nouvelle donnée générée.
Le discriminateur est utilisé uniquement lors de l’entraînement du GAN et a pour but
de s’assurer que le générateur produise des données réalistes. Pour cela, le discriminateur
11. Features extraction
12. Padding
13. Genertaiv Adversarial Network

63
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 est un réseau de neurones ayant une tâche de classification : inférer si une donnée est
synthétique ou réelle. Ainsi, dans la procédure d’entraînement, le discriminateur et le
générateur sont en compétition : le but du générateur est de tromper le discriminateur à
classifier une donnée synthétique comme réelle.
Les GAN ne sont pas la seule manière de créer des données synthétiques, il existe aussi
les auto encodeurs qui peuvent se rapprocher de méthodes plus classiques de génération
à partir d’une loi de probabilité qui admet une densité. Pour une variable aléatoire X
qui admet une densité f , la méthode d’inversion permet de générer des points tels que
la loi empirique de ces points converge vers la loi de X quand le nombre de points tend
vers l’infini. Pour cela on génère n points x suivant une loi uniforme sur r0, 1s et pour
chacun de ces points on calcule F ´1 pxq. Où F est une primitive de f : c’est la fonction
de répartition 14 de X. F n’est pas nécessairement bijective, dans ce cas F ´1 désigne la
pseudo-inverse : F ´1 pxq “ inf ty | F pyq ě xu.
En pratique approcher F à partir d’une base de données est compliqué en grande
dimension. On utilise une approche à base de réseaux de neurones appelée auto encodeur.
Il s’agit de deux réseaux de neurones E : Rm Ñ Rn et D : Rn Ñ Rm Où m est la
dimension des données et n ă m. On cherche ensuite à minimiser lpDpEpxqq, xq pour une
fonction de coût l. Pour générer de nouveaux points, on génère à partir d’une loi simple
multivariée (uniforme, Laplace, normale, etc.) y P Rn et le nouveau point est Dpxq. Si
n “ 1, D peut être vu comme une manière d’apprendre F . E est appelé encodeur et D
décodeur.

3.2.5 Apprentissage ensembliste

L’apprentissage ensembliste 15 vise à combiner plusieurs classifieurs pour en obtenir un

nouveau plus performant. Cette procédure se passe en deux temps. Le premier consiste
à créer un ensemble de classifieurs faibles. Le second consiste à combiner ces classifieurs
pour en obtenir un nouveau efficace. Bien sûr ces deux étapes sont liées et doivent être
réfléchies ensemble.
L’apprentissage ensembliste intervient à deux niveaux dans ce manuscrit. Déjà nous
utiliserons beaucoup la forêt aléatoire 16 qui est un algorithme particulièrement efficace
pour les bases de données tabulaires [112, 172]. La forêt aléatoire [73] construit des arbres
de décision sur des sous-ensembles de la base de données d’entraînement et sur des pro-
jections aléatoirement choisies des données 17 .
Ensuite au Chapitre 4 nous allons créer un nouvel algorithme de votation 18 : une
manière de combiner plusieurs classifieurs. Cet algorithme se basera sur la notion d’es-
pace de compréhension. Un espace de compréhension 19 est une application qui associe
aux prédictions d’un vecteur de classifieur une prédiction optimale [160]. Pour f0 , ¨ ¨ ¨ , fn
classifieurs à valeur dans E, l’espace de compréhension e est une fonction de E n dans E.
Ainsi, pour une donnée d’entrée x la prédiction retenue sera epf0 pxq, ¨ ¨ ¨ , fn pxqq [120].

14. Cumulative distribution function

15. Ensemble learning
16. Random forest
17. Feature bagging
18. Voting
19. Behavior knowledge space

64
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 3.2.6 Équité
L’équité algorithmique a pour but de réduire les biais dans les modèles prédictifs. C’est-
à-dire, comment peut-on faire en sorte que le modèle ne désavantage pas ou n’avantage
pas certains sous-groupes ? En effet, qu’une donnée appartienne à certaines minorités
peut avoir un impact sur la qualité de la prédiction. Par exemple, en justice prédictive,
la couleur de peau d’un coupable joue un rôle qui n’est pas négligeable dans la prédiction
du récidivisme aux États-Unis [48]. Pour savoir si un attribut est sensible ou non, nous
pouvons nous référer à la liste des vingt-cinq critères de discrimination présentée à la
Section 2.5.2. Ces biais sont appris par le modèle car ils sont présents dans les données
d’entraînement qui reflètent la population dans laquelle ces données ont été prélevées.
Nous représentons sur la Figure 3.5 comment une régression logistique peut présenter une
différence de traitement entre deux sous-groupes de la population. Nous observons que
comme il y a moins de données de femmes, le modèle a appris une courbe qui se rapproche
plus des données d’hommes. Comme le seuil de ce modèle est situé à 0, 5, nous voyons que
tous les points rouges qui correspondent aux femmes passent au dessus du seuil représenté
par la ligne horizontale grise. Ainsi, bien que les étiquettes soient réparties équitablement
chez les hommes et chez les femmes, le modèle classifie toutes les femmes dans la classe 1.
Il s’agit ici d’un cas scolaire sur des données générées mais supposons que la classe 1 soit
désavantageuse. Par exemple, imaginons que ce modèle soit utilisé dans un programme de
recrutement automatique. La classe 0 implique que le candidat est sélectionné, la classe
1 implique que le candidat est rejeté. Alors ce programme serait discriminatoire car bien
que 50% des femmes et 50% des hommes aient une étiquette qui les rendent admissibles,
le programme ne sélectionne que des candidats hommes.

Définitions de l’équité
L’équité en apprentissage automatique se présente sous deux aspects qui mettent en
lumière deux visions différentes :
L’équité individuelle 20 cherche à faire en sorte que deux données, à toutes choses
égales, excepté l’attribut sensible, produisent la même prédiction.
L’équité de groupe 21 vient de l’idée que différents sous-groupes définis par un critère
de discrimination devraient être traités de manière similaire. Il y a différentes définitions
mathématiques de l’équité de groupe. Nous allons en regarder trois qui sont bien établies
dans la littérature et souvent utilisées : l’effet différencié 22 la parité démographique 23 et
l’équité des chances 24 .
Pour cela nous allons considérer le cadre suivant : nous avons un classifieur modélisé
par une variable aléatoire Ŷ qui essaie d’inférer l’étiquette Y . Ces deux variables prennent
leurs valeurs dans un ensemble F . De plus, nous avons l’attribut sensible modélisé par S
qui prend ses valeurs dans G.
Définition 3.16. L’effet différencié de Ŷ est

P pŶ “ Y | S “ 0q
P pŶ “ Y | S “ 1q
20. Individual fairness
21. Group fairness
22. disparate impact
23. Demographic parity
24. Equality of odds

65
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Regression logistique non-équitable
1.0
Probabilité prédite par la regression

0.8

0.6

0.4

0.2
Femme
0.0 Homme
0.0 0.2 0.4 0.6 0.8 1.0
Donnée d'entrée
Homme Femme Total
Effectif 100 20 120
Répartition
10/10 50/50 60/60
#tY “ 0u{#tY “ 1u
Exactitude 1 0,5 0,92

F IGURE 3.5 – Exemple d’une régression logistique qui a une meilleure performance pour
les hommes que pour les femmes. Les données proviennent d’une génération et servent
uniquement à titre d’illustration. La régression logistique a bien été optimisée sur les don-
nées générées en utilisant l’algorithme de scikit learn [154]

66
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Cette notion ne fonctionne que pour F “ G “ t0, 1u.

Cette définition est utilisée aux États-Unis pour montrer qu’une structure a une poli-
tique discriminatoire à l’encontre d’une minorité, comme nous l’avons vu à la Section 2.5.5.

Définition 3.17. Ŷ satisfait la parité démographique pour S si et seulement si : @py, s1 , s2 q P

F ˆ G ˆ G P pŶ “ y|S “ s1 q “ P pŶ “ y|S “ s2 q.

La parité démographique ne prend pas en compte l’étiquette, cette définition est équi-
valente à dire que l’attribut sensible est indépendant de la prédiction (même si l’étiquette
ne l’est pas). Cela peut créer des cas où, en cherchant à imposer cette notion, nous ob-
tenons des taux de vrais et de faux positifs différents pour les sous-groupes [96]. Ainsi,
la parité démographique peut être respectée tout en dégradant l’effet différencié. Il n’est
pas nécessaire que si Ŷ “ Y (le classifieur infère parfaitement l’étiquette) alors la parité
démographique soit respectée. Chercher à imposer cette définition peut revenir à faire de
la discrimination positive.
Pour certaines applications cet effet n’est pas souhaitable. Ainsi Hardt et al. [115]
proposent de modifier la parité démographique pour prendre en compte l’étiquette, ce qui
donne la définition suivante :

Définition 3.18. Ŷ satisfait l’équité des chances pour S si et seulement si : @pŷ, y, s1 , s2 q P

E ˆ E ˆ G ˆ G P pŶ “ ŷ|S “ s1 , Y “ yq “ P pŶ “ ŷ|S “ s2 , Y “ yq.

Imposer l’équité comme contrainte d’optimisation

Ces définitions peuvent être imposées au modèle de trois manières :

1. Prétraitement 25 : Le prétraitement consiste à modifier les données avant l’entraî-
nement pour en retirer les biais. Pour cela le rééquilibrage des poids 26 attribue un
poids à chaque donnée et corrige le déséquilibre en augmentant le poids de certaines
données pour qu’elles soient prises en compte de manière plus forte [129].
2. Entraitement 27 : Ces algorithmes, comme le rééquilibrage adverse 28 [197] ou la
descente de gradient exponentié 29 [46], modifient l’algorithme d’optimisation du
modèle pour imposer les définitions d’équité sous forme d’un problème d’optimisa-
tion sous contraintes.
3. Postraitement 30 : Cette méthode consiste à cacher les biais dans la sortie du mo-
dèle. Le modèle est biaisé mais sa sortie est filtrée.
Comme nous nous intéressons aux interactions entre équité et confidentialité, le Chapitre 5
s’inscrit dans la lignée de travaux précédents qui se concentrent sur les mécanismes en-
traitements [78]. Nous allons en présenter deux, que nous allons utiliser dans la suite du
manuscrit.
25. Preprocessing
26. Reweighting
27. Inprocessing
28. Adversarial debiasing
29. Exponentiated gradient descent
30. Postprocessing

67
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Descente de gradient exponentié L’approche par réduction pour une classification
31
équitable traduit une définition d’équité en termes de contraintes d’inégalités [46]. Par
exemple, la parité démographique peut se reformuler de la manière suivante
$
& Epf ˝ X | S “ 0q ´ Epf ˝ Xq ď ϵ0
et
´Epf ˝ X | S “ 0q ` Epf ˝ Xq ď ϵ1
%

Où ϵ0 et ϵ1 ont été rajoutés pour relaxer la contrainte permettant de contrôler le compromis

entre utilité et confidentialité. Ensuite, ces contraintes sont utilisées avec le problème de
minimisation sous la forme d’un lagrangien comme nous l’avons vu à la Section 3.1.5.
Pour trouver le point selle Agarwal et al. utilisent un algorithme qui produit un clas-
sifieur stochastique 32 . C’est un classifieur particulier qui n’est pas déterministe. Lors de
l’apprentissage, plusieurs solutions approchant le point selle sont trouvées qui corres-
pondent à plusieurs sous-classifieurs. Ensuite, pour chaque prédiction, un choix aléatoire
est réalisé pour sélectionner l’un des sous-classifieurs qui sera évalué sur la donnée d’entrée.
Il s’agit donc d’une méthode d’apprentissage ensembliste.
Le nom de la méthode vient de l’utilisation de l’algorithme Exponentiated Gradient [131]
pour la résolution du problème dual qui accélère le convergence comparativement à l’al-
gorithme de descente de gradient.

Rééquilibrage adverse 33 Cette méthode prend le problème sous un tout autre angle [198].
Au lieu d’intégrer les contraintes d’équité lors de l’apprentissage, elle utilise l’idée sui-
vante : la parité démographique signifie que l’attribut sensible est indépendant de la
sortie, donc s’il est impossible pour un adversaire de prédire l’attribut sensible à partir
du logit, le modèle doit satisfaire cette définition. C’est une remarque très juste que nous
allons étudier en détail et démontrer dans les Chapitres 4 et 5.
La méthode de Zhan et al. consiste donc à utiliser deux réseaux de neurones. L’un infère
la tâche principale, l’autre utilise le logit du premier pour inférer l’attribut sensible : nous
l’appelons adversaire. Ces deux classifieurs sont entraînés simultanément dans un contexte
adverse 34 . Cela signifie que la fonction de coût est de la forme

Cpxq “ F pxq ´ sApxq (3.8)

Où F est le coût du classifieur principal et A celui de l’adversaire. Nous voyons que mini-
miser C a tendance à minimiser F et maximiser A, ce qui signifie trouver les paramètres
du classifieur de la tâche principale qui va réaliser une bonne classification tout en empê-
chant l’adversaire d’inférer l’attribut sensible. L’avantage de cette méthode par rapport
aux multiplicateurs de Lagrange est qu’ici on protège directement le logit au lieu de la
prédiction, ce qui est plus général. Cela serait impossible et générerait une quantité infinie
(non-dénombrable) de contraintes si on devait les écrire sous une forme acceptable pour
créer un lagrangien.
Le principal désavantage de cette méthode est dans le paramètre s de l’Equation 3.8.
Ce paramètre sert à avoir un bon équilibre entre la tâche principale et contrer l’adversaire.
Cependant, comme Zhang et al. le précisent, il est très difficile de le trouver et rentre dans
la catégorie de l’optimisation des hyperparamètres des réseaux de neurones.
31. Reductions approaches for fair classification
32. Randomized classifieur
33. Adversarial debiasing
34. Adversarial setup

68
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 3.2.7 Confidentialité
Dans ce manuscrit nous considérons deux types de risques pour la confidentialité. Le
premier concerne les données qui ont servi à l’entraînement du modèle, le second concerne
les données qui sont utilisées lors de l’évaluation. Dans le cadre d’attaques nous parlerons
de modèle cible pour désigner le modèle utilisé par un adversaire pour apprendre des
informations confidentielles.

Risque sur les données d’entraînement

L’attaque d’inférence d’appartenance (MIA) consiste à inférer si une donnée a servi à

l’entraînement du modèle cible. Cette attaque utilise le fait que les modèles d’apprentis-
sage automatique ont en général une moins bonne performance sur les données qui n’ont
pas été utilisées à l’entraînement, c’est le sur-ajustement 35 [117, 194]. Ce problème peut
survenir principalement quand le modèle cible est trop complexe par rapport à la tâche
qui lui est demandée. Pour reprendre les mots de Hawkisn et al. : « Le sur-ajustement
est l’utilisation de modèles ou de procédures qui vont à l’encontre de la parcimonie, c’est-
à-dire qui utilisent plus de termes ou qui utilisent des approches plus complexes que ce
qui est nécessaire » 36 Nous voyons sur la Figure 3.6 l’écart entre la valeur de la fonction
de coût évalué sur les données d’entraînement et d’évaluation. Le lien est assez clair, un
écart significatif indique qu’un classifieur va être capable d’apprendre quelles données ont
été utilisées pour l’entraînement. Pour vérifier cela, la Sous-figure 3.6a montre comment
une forêt aléatoire a pu apprendre cette distinction. On observe une exactitude équilibrée
autour de 0,625 indiquant une fuite de confidentialité.
L’étude de la fonction de coût est possible quand l’adversaire possède des données
pour lesquelles il sait qu’elles ont appartenues à l’entraînement. Grâce à cela il peut
construire un classifieur en utilisant cette connaissance comme étiquette. Si ce n’est pas le
cas, l’adversaire utilise des modèles miroirs 37 qui simulent le modèle cible et permettent
d’apprendre à différencier le coût d’une donnée ayant servi à l’entraînement d’une donnée
jamais observée [171].

35. Overfitting
36. Overfitting is the use of models or procedures that violate parsimony, that is, that include more terms
than are necessary or use more complicated approaches than are necessary.
37. Shadow models

40 Evaluation
30 Entraînement
Densité

0.8
20
0.7
Exactitude
équilibrée

10
0.6
00.0 0.5 1.0
0.5 Cout
(a) Résultat de l’attaque (b) Écart entre le coût calculé sur les données d’entraî-
MIA. nement et sur les données d’évaluation.

F IGURE 3.6 – Lien entre sur-ajustement et succès de l’attaque MIA.

69
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Un modèle d’attaque de MIA peut ensuite être utilisé comme base pour d’autres types
d’attaques, comme par exemple reconstruire un attribut sensible des données ayant servi
à l’entraînement [192].
La confidentialité différentielle 38 permet d’empêcher les attaques MIA [79, 163].
Définition 3.19 (Confidentialité différentielle). Soit pΩ, T , P q un espace probabilisé. Soit
pS, Sq un espace mesurable et V l’ensemble des fonctions mesurables de Ω dans S . Soient
E un ensemble et M une fonction de E dans V . Soit R Ă E 2 . Soient pε, δq P R` 2 Alors M
satisfait la pε, δq confidentialité différentielle si et seulement si

@pe1 , e2 , sq P E ˆ E ˆ S pe1 , e2 q P R ùñ P pM pe1 q P sq ď eε P pM pe2 q P sq ` δ

En pratique E représente l’ensemble de toutes les bases de données possibles. R est

une relation telle que pe1 , e2 q P R si et seulement si e1 et e2 diffèrent d’une donnée. S est
l’ensemble des modèles possibles. M est l’algorithme d’apprentissage qui prend en entrée
une base de données et renvoie une variable aléatoire à valeur dans l’espace des modèles
S. Cette définition signifie donc que pour des bases de données différentes d’une ligne,
l’algorithme d’apprentissage aura des sorties presque indistinguables l’une de l’autre. Le
presque étant paramétré par ε et δ.

Risque sur les données d’évaluation

Le second risque pour la confidentialité que nous allons évoquer concerne les données
des utilisateurs de modèles d’apprentissage et non plus les données d’entraînement. Dans
ce cas un utilisateur souhaite évaluer une donnée sur le modèle cible et la question que
l’on se pose est : Que se passe-t’il si la prédiction fuite vers un adversaire ?
Song et al. [176] introduisent le concept de sur-apprentissage 39 . Ce terme désigne un
modèle cible qui apprend plus que sa tâche principale. Par exemple, un modèle servant à
inférer si une personne sourit dans une image va aussi apprendre la couleur de peau [143].
Ou encore utiliser un modèle qui prédise l’admission dans une école ou l’obtention d’un
prêt pour inférer le genre [176]. Il s’agit donc d’inférer un attribut sensible en utilisant
la prédiction d’un modèle cible qui n’a pas été entraîné pour inférer cet attribut sensible.
Nous appellerons ce type d’attaque : inférence d’attribut sensible (AIA).
Nous considérerons pour la suite que l’adversaire a uniquement accès à la prédiction
du modèle cible et non pas à la donnée d’entrée. En effet, le modèle cible n’ajoute pas
plus d’informations concernant l’attribut sensible qu’il n’en est contenu dans la donnée
d’entrée [122].
Une AIA qui cherche à inférer un attribut sensible présent dans les données d’entrée est
appelée inversion de modèle 40 . En effet comme l’adversaire cherche à inférer une entrée
d’un modèle cible à partir de sa sortie, cette attaque est similaire à l’inversion d’une
fonction. Fredrikson et al. [104] donnent un exemple marquant en pharmacogénétique :
La molécule Warfarin entre dans le traitement préventif des crises cardiaques ; cependant
son dosage est complexe car il dépend de chaque patient. Ainsi des modèles ont été créés
pour prédire le dosage à partir des données médicales du patient, comme son génotype.
Fredrikson et al. ont réussi à utiliser la prédiction de ces modèles pour retrouver les
données médicales, démontrant ainsi le risque de perte de confidentialité inhérent aux
sorties des modèles.
38. Differential privacy
39. Overlearning
40. modèle inversion

70
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Les développements nouveaux que propose ce manuscrit se concentreront sur les
risques d’inférences liés à des attributs sensibles qui ne sont pas utilisés lors de l’en-
traînement.

71
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 72
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Chapitre 4

Classification finie

A partir de ce chapitre nous ne traiterons plus que de mes travaux originaux sauf
exception si je le mentionne explicitement.
Dans ce premier chapitre de contribution, nous allons construire un nouvel algorithme
d’apprentissage ensembliste. Plus précisément nous allons nous intéresser à la manière
de combiner plusieurs classifieurs : ce que nous avons appelé la seconde partie de la vie
d’un algorithme d’apprentissage ensembliste à la Section 3.2.5. Nous allons construire une
solution similaire à celle de l’espace de connaissances du comportement 1 [120] sauf qu’au
lieu d’optimiser l’exactitude nous allons optimiser l’exactitude équilibrée.
Ce nouvel algorithme nous permettra aux prochains chapitres d’étudier l’attaque par
inférence d’attribut sensible. Dans cette attaque nous utilisons la sortie d’un modèle de
classification pour inférer un attribut sensible. En effet, l’ensemble des classes de sorties
possibles est fini tout comme l’ensemble des attributs sensibles possibles.
Pour construire cet algorithme nous allons considérer que nous cherchons une fonction
d’un ensemble fini E vers un autre F . E correspond à l’ensemble des uplets possibles
des sorties des classifieurs faibles et F aux classes. Nous commençons notre étude en
considérant que nous avons une base de données ayant deux colonnes. L’une contient
des éléments de E et l’autre contient des étiquettes de F . Une solution évidente est
d’essayer toutes les fonctions possibles de E dans F mais cela n’est pas possible pour de
grands ensembles. Ainsi nous allons chercher une solution qui soit économe en nombre
d’opérations.

4.1 Exactitude équilibrée et Classifieur à Choix Aléatoire

Le cas d’un classifieur constant, comme nous l’avons vu à la Section 3.2.3, n’est qu’un
exemple de Classifieur qui réalise un Choix Aléatoire (CCA). En anglais, la littérature
parle en général de random guess [80]. Cependant, à notre connaissance, il n’y a pas de
définition mathématique qui unifie l’idée générale de CCA qui est : un classifieur qui se
comporte comme s’il n’avait aucune connaissance sur sa tâche de classification. Un CCA
n’est pas un classifieur qui utilise l’aléatoire mais plutôt un classifieur hasardeux, comme
une personne qui choisirait au hasard. C’est le cas pour un classifieur constant mais aussi
pour un classifieur binaire qui tire à pile ou face son résultat.
Nous pourrions dire qu’un CCA est un classifieur qui n’utilise pas les données d’entrée.
Cependant, cela ne prend pas en compte le cas où les données d’entrée ne servent à rien

1. Behavior knowledge space

73
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 pour la tâche de classification. Par exemple, nous voudrions que notre définition englobe
n’importe quel classifieur qui cherche à prédire la qualité d’un potimarron à partir de la
couleur de mes chaussettes le jour où il a été ramassé. Nous proposons donc la définition
suivante :

Définition 4.1. Un CCA est un classifieur ayant une prédiction indépendante de l’étiquette.
C’est-à-dire que pour un classifieur f : E Ñ F . Avec une étiquette Y : Ω Ñ F et une
entrée X : Ω Ñ E . Alors pour Ŷ “ f ˝ X , nous avons PpY,Ŷ q “ PY b PŶ

Lemme 4.1. Soit pΩ, T , P q un espace probabilisé. Soient X : pΩ, T q Ñ pE, Eq et Y : Ω Ñ

pF, Fq des variables aléatoires. Les deux propositions suivantes sont équivalentes :
1. PpX,Y q “ PX b PY .
2. Toute fonction mesurable f : pE, T q Ñ pF, Fq est un CCA pour prédire Y à partir
de X .

Démonstration. En gardant les objets définis dans le Lemme 4.1. Nous allons prouver sé-
parément les deux implications.

p1q ùñ p2q Nous supposons que PpX,Y q “ PX b PY . Soit f : pE, T q Ñ pF, Fq, une
fonction mesurable, nous allons montrer que f est un CCA, c’est-à dire que Ppf ˝X,Y q “
Pf ˝X b PY .
Soient pA, Bq P E ˆ F

Ppf ˝X,Y q pA, Bq

“P ptf ˝ X P Au X tY P Buq
“P ptX P f ´1 pAqu X tY P Buq
Comme X et Y sont indépendantes.
´1
“PX pf pAqqPY pBq
“Pf ˝X pAqPY pBq

Ainsi, @pA, Bq P E ˆ F Ppf ˝X,Y q pA, Bq “ Pf ˝X pAqPY pBq. D’après la définition de la

mesure produit donnée à la Section 3.1.3, nous avons donc bien Ppf ˝X,Y q “ Pf ˝X b PY . Ce
qui est bien la définition de l’indépendance donnée en Section 3.1.3.

p2q ùñp1q Nous supposons que tout classifieur de Y à partir de X est un CCA.
Montrons que PpX,Y q “ Pf ˝X b PY . Soit pA, Bq P E ˆ F . Nous allons montrer que P pX P
A X Y P Bq “ P pX P AqP pY P Bq.

Cas 1 : F “ tH, F u Si B “ H alors P pX P A X Y P Bq “ P pX P AqP pY P Bq “ H. Si

B “ F alors P pX P A X Y P Bq “ P pX P AqP pY P Bq “ P pX P Aq.

Cas 2 : #F ą 2 Alors il existe C P F tel que C ‰ H et F zC ‰ H. Nous pouvons donc

choisir c dans C et c1 dans F zC . Nous construisons la fonction suivante :
$
& E
"Ñ F
f: c si e P A
%e ÞÑ
c1 sinon

74
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Alors f : pE, Eq Ñ pF, Fq est une fonction mesurable et f ´1 pCq “ A. Ainsi
P pX P A X Y P Bq
“P pX P f ´1 pCq X Y P Bq
Comme f est un CCA.
“P pf ˝ X P CqP pY P Bq
“P pX P AqP pY P Bq

1
Propriété 4.1. Les CCA ayant comme image F ont une exactitude équilibrée égale à #F
.
Démonstration. Soit f : E Ñ F un CCA. On pose Ŷ “ f ˝ X L’exactitude équilibrée de f
est alors
1 ÿ
P pŶ “ y | Y “ yq
#F yPF
1 ÿ P ptŶ “ yu X tY “ yuq
“
#F yPF P pY “ yq
1 ÿ PpŶ ,Y q ptyu ˆ tyuq
“
#F yPF P pY “ yq
Comme f est un CCA.
1 ÿ P pŶ “ yqP pY “ yq
“
#F yPF P pY “ yq
1 ÿ
“ P pŶ “ yq
#F yPF
1
“
#F

La contraposée de la Proposition 4.1 nous apprend que si l’exactitude équilibrée est

différente de 0, 5 alors le classifieur n’est pas un CCA.
Il est intéressant de noter que si un classifieur a une exactitude équilibrée de #F 1
il
n’est pas nécessaire qu’il soit un CCA. Pour prouver cette remarque il suffit de trouver un
exemple de classifieur ayant une exactitude équilibrée de #F 1
et qui ne soit pas un CCA.
Nous appelons rpa, bq le reste de la division euclidienne de a par b. Soient les ensembles
suivants : E “ r|0, 8|s et F “ r|0, 2|s. En considérant l’espace probabilisé pE, PpEq, 91 8i“0 δi q
ř
nous définissons les variables aléatoires suivantes : X “ idE
"
EÑF
Y :
e ÞÑ rpe, 3q
Ainsi que la fonction mesurable suivante qui est l’exemple de classifieur que nous
exhibons pour montrer la remarque :
$
’ EÑF
rpe, 3q si e ă 3
’
’ $
’
& ’
rpe ` 1, 3q si 3 ď e ă 6
’
f:
&
e ÞÑ
rpe ` 2, 3q si 6 ď e ă 8
’
’
’ ’
0 sinon
’
% ’
%

75
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Montrons que l’exactitude équilibrée de f vaut 13 . En notant Ŷ “ f ˝ X, nous repré-
sentons cette situation par le tableau suivant.

X Y Ŷ
0 0 0
1 1 1
2 2 2
3 0 1
4 1 2
5 2 0
6 0 2
7 1 0
8 2 0

Il nous permet de calculer facilement les quantités suivantes. Déjà l’exactitude équili-
brée est égale à 13 car @y P F P pŶ “ y | Y “ yq “ 31 . Enfin nous voyons que f n’est pas
un CCA car P pŶ “ 1 X Y “ 2q “ 0 et P pŶ “ 1qP pY “ 2q “ 29 31 “ 27 2
.
Remarquons que la réciproque de la Propriété 4.1 est vraie dans le cas d’un classifieur
binaire, c’est-à-dire #F “ 2. En effet, dans ce cas, supposons que l’exactitude équilibrée
vaille 0, 5, alors

P pf ˝ X “ 0 | Y “ 0q ` P pf ˝ X “ 1 | Y “ 1q “ 1
$
& P pf ˝ X “ 1 | Y “ 0q “ P pf ˝ X “ 1 | Y “ 1q
ùñ et
P pf ˝ X “ 0 | Y “ 0q “ P pf ˝ X “ 0 | Y “ 1q
%

ùñ f est un CCA

Bien qu’une exactitude équilibrée égale à #F 1

ne soit pas un critère de CCA, nous
pouvons utiliser cette métrique pour savoir s’il existe un classifieur qui soit un CCA. En
effet nous avons le résultat suivant :
Théorème 4.2. En notant BApf q l’exactitude équilibrée de f .
1
@f BApf q “ ðñ @f f est un CCA
#F
Démonstration. L’implication réciproque est une conséquence directe de la Propriété 4.1.
Pour le sens direct, nous allons montrer la contraposée, c’est-à-dire l’assertion sui-
vante :
1
Df f n’est pas un CCA ùñ Df BApf q ‰
#F
Nous avons donc E un ensemble et F un ensemble fini. Nous avons les variables
aléatoires X : Ω Ñ E et Y : Ω Ñ PpF q. Nous supposons que nous avons f : pE, Eq Ñ
pF, Fq, une fonction mesurable qui ne soit pas un CCA pour prédire Y en utilisant X .
2
Nous avons donc pA, Bq P PpF q tel que

P pf ˝ X P A X Y P Bq ‰ P pf ˝ X P AqP pY P Bq

Or ÿÿ
P pf ˝ X P A X Y P Bq “ P pf ˝ X “ a X Y “ bq
aPA bPB

76
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 et ÿÿ
P pf ˝ X P AqP pXY P Bq “ P pf ˝ X “ aqP pY “ bq
aPA bPB
Ainsi
Dpa, bq P A ˆ B P pf ˝ X “ a X Y “ bq ‰ P pf ˝ X “ aqP pY “ bq
Nous définissons les fonctions suivantes pour tout z et z 1 , éléments de F :
$
’
’ $ F ÑF
& z si y “ z1
&
hz,z1 :
’
’y ÞÑ z1 si y“z
y sinon
% %

hz,z1 va nous permettre de permuter les inférences faites par f . Ainsi, à partir de f nous
créons de nouveaux classifieurs. Soit H “ thz,z1 | pz, z 1 q P F 2 u nous allons montrer qu’il
existe #F -uplet de H, u, tel que le classifieur u#F ´1 ˝¨ ¨ ¨˝u0 ˝f ait une exactitude équilibrée
différente de #F
1
.
Considérons la matrice
Mf pi, jq “ P pf ˝ X “ yi | Y “ yj q
TrpM q
Où y˝ : #F Ñ F est une bijection. Alors l’exactitude équilibrée de f est égale #F
. hz,z1
peut aussi s’exprimer en terme matriciel. La fonction suivante est une bijection :
"
H Ñ H1
Φ:
hyi ,yj ÞÑ Hi,j
Où H1 “ tHi,j | pi, jq P #F 2 u avec
..
¨ ˛
.
˚ ‹
˚ 1 ‹
˚ ‹
˚ 0 1 ‹i
˚ ‹
˚ 1 ‹
˚ .. ‹
Hi,j “˚
˚ . ‹
‹
˚
˚ 1 ‹
‹
˚ 1 0 ‹j
˚ ‹
˚
˝ 1 ‹
‚
..
.
De plus, Mhyi ,yj ˝f correspond à intervertir les lignes des Mf , c’est-à-dire que Mhyi ,yj ˝f “
Hi,j Mf . En effet, hyi ,yj est une bijection telle que h´1
yi ,yj “ hyi ,yj . Alors, soit pk, lq P #F ,
2

Mhyi ,yj ˝f pk, lq

` ˘
“P hyi ,yj ˝ f ˝ X “ yk | Y “ yl
` ˘
“P f ˝ X “ hyi ,yj pyk q | Y “ yl
$
& P pf ˝ X “ yi | Y “ yl q si k“j
“ P pf ˝ X “ yj | Y “ yl q si k“i
P pf ˝ X “ yk | Y “ yl q sinon
%
$
& M pi, lq si k“j
“ M pj, lq si k“i
M pk, lq sinon
%

“ Hi,j Mf pk, lq

77
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Ainsi l’existence de u est équivalente à l’existence d’une matrice H “ Hi#F ´1 ,j#F ´1 ¨ ¨ ¨ Hi0 ,j0
telle que TrpHMf q ‰ 1. Montrons l’existence d’une telle matrice H .
Commençons par montrer que pour chaque ligne de Mf il est possible de choisir arbi-
trairement l’élément de la ligne qui sera dans la diagonale de HMf tant qu’on ne choisit
pas deux fois un élément dans une même colonne. C’est-à-dire montrons que

ttM pi, φpiqq | i P #F u | φ est une bijection sur #F u

#F
Ă tDiagpHMf q | DI P pH1 q H “ I#F ´1 ¨ ¨ ¨ I0 u

Soit φ une bijection sur #F , nous posons

$
& #F Ñ #F
si
" ´1
ψ: φ piq φ´1 piq ě i
%i ÞÑ
φ pφ piqq sinon
´1 ´1

Nous posons
H “ Hψp#F ´1q,#F ´1 ¨ ¨ ¨ Hψp1q,1 Hψp0q,0 (4.1)
Pour montrer l’inclusion précédente, il suffit alors de montrer que

tM pi, φpiqq | i P #F u “ DiagpHMf q

Montrons donc que @i P #F Mf pi, φpiqq “ HMf pφpiq, φpiqq. Soit i P #F . H intervertit les
lignes de Mf , la colonne φpiq est à la même place dans Mf et dans HMf . Il suffit donc de
montrer que la ième ligne de Mf est la φpiqème de HMf . Isolons les termes qui modifient
la position de la ième ligne de H . Si i ě φpiq alors

HMf pφpiq, φpiqq

“Hψpφpiqq,φpiq Mf pφpiq, φpiqq
“Hi,φpiq Mf pφpiq, φpiqq
“Mf pi, φpiqq

si i ă φpiq alors

HMf pφpiq, φpiqq

“Hψpφpiqq,φpiq Hφ´1 piq,i Mf pφpiq, φpiqq
“Hφ´1 piq,φpiq Hφ´1 piq,i Mf pφpiq, φpiqq
“Mf pi, φpiqq

Ainsi, grâce à l’Equation 4.1, pour toute bijection sur #F nous pouvons construire une
suite de #F permutations de lignes telle que la diagonale de la matrice résultant des per-
mutations contienne les éléments sélectionnés par la bijection. Nous allons montrer qu’il
existe une sélection d’éléments telle que la somme de ces éléments soit différente de 1.
Pour ce faire, nous allons montrer la proposition (:) : si toutes les sélections donnent une
somme égale à 1 alors nécessairement tous les éléments de chaque ligne de Mf sont
égaux entre eux.
Supposons donc, que pour toutes les bijections φ sur #F , nous ayons
ÿ
Mf pi, φpiqq “ 1
iP#F

78
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Nous savons qu’il existe #F ! bijections sur #F . De plus,
ÿ ÿ
@j P #F Mf pi, jq “ P pf ˝ X “ yi | Y “ yj q “ 1
iP#F iP#F

Ces deux conditions impliquent que pour toute ligne i et colonne j :

ÿ ÿ ÿ
Mf pk, φpkqq ` Mf pk, jq “ p#F ´ 1q! ` 1
φPBpi,jq kP#F kP#F
ÿ ÿ
ðñ pp#F ´ 1q! ` 1qM pi, jq ` Mf pk, jq ` Mf pk, φpkqq
kP#F ztiu φPBpi,jq

“ p#F ´ 1q! ` 1
ÿ ÿ
ðñ pp#F ´ 1q! ` 1qM pi, jq ` Mf pk, jq Mf pk, lq “ p#F ´ 1q! ` 1
kP#F ztiu lP#F
¨ ˛
1 ÿ ÿ
ðñ M pi, jq “ ˝p#F ´ 1q! ` 1 ´ Mf pk, lq‚
p#F ´ 1q! ` 1 kP#F ztiu lP#F

Ainsi Du@j P #F M pi, jq “ u, cela achève la preuve de la proposition (:). Or dans notre
cas nous avons pa, bq P A ˆ B

P pf ˝ X “ a X Y “ bq ‰ P pf ˝ X “ aqP pY “ bq

Ainsi, comme nous avons pi, jq P #F 2 tel que yi “ a ^ yj “ b,

P pf ˝ X “ yi | Y “ yj q ‰ P pf ˝ X “ yi q

Et donc, il existe k P #F tel que

P pf ˝ X “ yi | Y “ yj q ‰ P pf ˝ X “ yi | Y “ yk q

C’est-à-dire que Mf pi, jq ‰ Mf pi, kq.

ř D’après la contraposée de la proposition (:), nous avons une sélection φ telle que
iP#F M pφpiq, φpiqq ‰ 1. Donc en définissant H de la même manière qu’à l’Equation 4.1
nous avons TrpHMf q ‰ 1. Il existe alors un #F -uplet u P H#F tel que , pour

g “ u#F ´1 ˝ ¨ ¨ ¨ ˝ u0 ˝ f
1
BApgq ‰
#F

Nous allons construire un classifieur qui maximise l’exactitude équilibrée.

4.2 Construction d’un algorithme d’apprentissage ensem-

bliste maximisant l’exactitude équilibrée
4.2.1 Mise en place du problème
Nous nous donnons deux ensembles finis, un ensemble E de données d’entrée et un
espace d’étiquette F . Nous notons m “ #E et n “ #F . Soient φ une bijection de E dans

79
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 r|0, m ´ 1|s et ψ une bijection de F dans r|0, n ´ 1|s. Nous supposons que nous avons un
o-uplet d : r|0, o ´ 1s Ñ E ˆ F . d modélise un jeu de données, comme il est en pratique
utilisé en apprentissage automatique. Nous pouvons alors construire un jeu de données
d’indices : "
1 r|0, o ´ 1|s ÝÑ r|0, m ´ 1|s ˆ r|0, n ´ 1|s
d :
i ÞÑ pφpd0 piqq, ψpd1 piqqq
Définition 4.2. L’exactitude équilibrée empirique de f sur le o-uplet d relativement à F , que
l’on appelle BAdF pf q, est un nombre dans r0, 1s tel que

1 ÿ # tj P r|0, o ´ 1|s | f pd0 pjqq “ d1 pjq ^ d1 pjq “ yu

BAdF pf q “
n yPF #tj P r|0, o ´ 1|s | d1 pjq “ yu

Cette définition est une approximation de l’exactitude équilibrée que nous avons définie
plus haut. Le problème consiste à trouver une application f : E Ñ F telle que
l’exactitude équilibrée de f sur d est maximale.

4.2.2 Relation entre éléments et indices

Nous commençons par noter par BEÑF l’ensemble des fonctions de E dans F . Pour
simplifier un peu les notations, nous appellerons BmÑn l’ensemble des fonctions de r|0, m´
1|s dans r|0, n ´ 1|s.

Théorème 4.3. Soient E et F deux ensembles finis de cardinaux m et n. Il existe une

bijection de BEÑF dans BmÑn .

Démonstration. Nous procédons en explicitant une telle bijection. Soit

"
BEÑF ÝÑ BmÑn
Φ: (4.2)
f ÞÑ ψ ˝ f ˝ φ´1
2
Montrons maintenant que Φ est une bijection. Soit pu, vq P pBEÑF q telle que Φpuq “
Φpvq. Alors

ψ ˝ u ˝ φ´1 “ ψ ˝ v ˝ φ´1
ôψ ´1 ˝ ψ ˝ u ˝ φ´1 “ ψ ´1 ˝ ψ ˝ v ˝ φ´1
ôu ˝ φ´1 “ v ˝ φ´1
ôu ˝ φ´1 ˝ φ “ v ˝ φ´1 ˝ φ
ôu “ v

Ainsi Φ est injective.

Montrons maintenant que Φ est surjective. Soit g P BmÑn . Alors Φpψ ´1 ˝ g ˝ φq “
ψ ˝ ψ ´1 ˝ g ˝ φ ˝ φ´1 “ g Ainsi Φ est surjective.
En conclusion Φ est à la fois injective et surjective : c’est une bijection.

φ et ψ peuvent être vus comme des indices sur E et F . Par exemple, chaque élément
e dans E a un unique index φpeq. Cette étape d’abstraction nous permet de construire
des fonctions explicites de E dans F sans prendre en compte les spécificités des objets
mathématiques dans ces ensembles. En effet, le théorème 4.3 nous dit que pour chaque

80
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 fonction des indices de E vers les indices de F nous pouvons trouver une unique fonction de
E dans F . Et la preuve, étant constructive, nous indique que pour trouver cette fonction
nous pouvons utiliser Φ´1 .
Étudions donc comment se comporte l’exactitude équilibrée quand on compose avec
Φ.
Théorème 4.4. Soient E et F deux ensembles finis. Soit d un uplet de E ˆ F . Alors nous
avons l’égalité suivante :
d 1 d
BAr|0,#F ´1|s ˝ Φ “ BAF

Démonstration. Soit E et F deux ensembles finis. Nous avons deux bijections : φ de E

dans r|0, #E ´ 1|s et ψ de F dans r|0, #F ´ 1|s. Avec ces deux fonctions nous allons
construire une troisième bijection Φ de BEÑF dans B#EÑ#F similaire à celle de la preuve
du théorème 4.3. Soient o P N˚ et d un o-uplet de E ˆ F .
Soit f P BEÑF alors
#F ´1
´
d1
¯ 1 ÿ # tj P r|0, o ´ 1|s | Φpf qpd10 pjqq “ d11 pjq ^ d11 pjq “ iu
BAr|0,#F ´1|s ˝ Φ pf q “
#F i“0 # tj P r|0, o ´ 1|s | d11 pjq “ iu
(4.3)
Nous remarquons aussi que
Φpf q ˝ d10 “ ψ ˝ f ˝ φ´1 ˝ d10 “ ψ ˝ f ˝ φ´1 ˝ φ ˝ d0 “ ψ ˝ f ˝ d0
Ainsi, soit j P r|0, o ´ 1|s
pΦpf q ˝ d10 q pjq “ d11 pjq
ô pψ ˝ f ˝ d0 q pjq “ d11 pjq
ô pψ ˝ f ˝ d0 q pjq “ ψ ˝ d1 pjq
ô pf ˝ d0 q pjq “ d1 pjq

Ce qui nous donne les assertions suivantes :

@j P r|0, o ´ 1|s rpΦpf q ˝ d10 qpjq “ d11 pjq ô pf ˝ d0 qpjq “ d1 pjqs (4.4)
De même, passons des indices aux éléments sur "d11 pjq “ i". Let i P r|0, #F ´ 1|s and
j P r|0, o ´ 1|s.
d11 pjq “ i
ôpψ ˝ d1 qpjq “ i
ôd1 pjq “ ψ ´1 piq
Ainsi avec les équations 4.3 et 4.4 nous obtenons
#F ´1
´
d1
¯ 1 ÿ # tj P r|0, o ´ 1|s | f pd0 pjqq “ d1 pjq ^ d1 pjq “ ψ ´1 piqu
BAr|0,#F ´1|s ˝ Φ pf q “
#F y“0 # tj P r|0, o ´ 1|s | d1 pjq “ ψ ´1 piqu
(4.5)
1 ÿ # tj P r|0, o ´ 1|s | f pd0 pjqq “ d1 pjq ^ d1 pjq “ yu
“
#F y“ψ ´1 p0q,¨¨¨ ,ψ ´1 p#F ´1q
# tj P r|0, o ´ 1|s | d1 pjq “ yu
1 ÿ # tj P r|0, o ´ 1|s | f pd0 pjqq “ d1 pjq ^ d1 pjq “ yu
“
#F yPF # tj P r|0, o ´ 1|s | d1 pjq “ yu
(4.6)

81
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 D’après la définition 4.2 l’expression 4.6 est égale à BAdF pf q
En utilisant le théorème 4.4 nous déduisons le
˘ corollaire suivant qui jouera un rôle clé
dans le recherche de la solution à argmax BAdF .
`

Corollaire 4.4.1.
` ˘ ´ ´ 1
¯¯
argmax BAdF “Φ ´1
argmax BAdr|0,#F ´1|s
´ ¯
1
Démonstration. Soit f 1 “ argmax BAdr|0,#F ´1|s . Alors, pour tout g dans BEÑF , BAdF pgq “
1 1
BAdr|0,#F ´1|s pΦpgqq ď BAdr|0,#F ´1|s pf 1 q “ BAdF pΦ´1 pf 1 qq
Grâce au corollaire 4.4.1 nous savons que, pour résoudre le problème de classification
sur n’importe quel ensemble, il est suffisant de le résoudre sur l’ensemble d’indices cor-
respondant. L’objectif de la prochaine section est donc la recherche d’un algorithme de
résolution d’un tel problème.

4.2.3 Maximisation de l’exactitude équilibrée sur BmÑn

Soient m, n et p des entiers naturels non-nuls. Soit aussi d, un o-uplet de r|0, m ´ 1|s ˆ
r|0, n ´ 1|s. Comme nous savons que nous allons travailler sur les indices, nous ne nous
préoccupons pas d’ensembles quelconques E et F comme à la section précédente. A la
place, nous prenons E “ t0, 1, ¨ ¨ ¨ , m ´ 1u and F “ t0, 1, ¨ ¨ ¨ , n ´ 1u.
L’approche la plus directe pour maximiser BAdr|0,n´1|s serait l’algorithme qui consiste
à essayer de calculer l’exactitude équilibrée pour toutes les fonctions de BmÑn . Cette
méthode est viable pour des petites valeurs de m et n mais devient rapidement impossible
à calculer pour des grandes valeurs. En effet, par dénombrement nous savons que BmÑn
contient nm éléments. L’algorithme direct a donc une complexité de Oponm q opérations.
Nous allons construire à la place un algorithme qui garantit de maximiser l’exactitude
équilibrée en Oponmq opérations.
Pour le construire nous allons, d’une certaine manière, distribuer l’opérateur argmax,
simplifiant ainsi l’expression de l’exactitude équilibrée optimale. Pour cela, dans le lemme
qui suit nous allons reformuler l’exactitude équilibrée.
Lemme 4.5. Pour tout i dans r|0, m ´ 1|s, nous définissons le n-uplet suivant.
#
r|0, n ´ 1|s ÝÑ N
ei : #tjPr|0,o´1|s |d0 pjq“i^d1 pjq“lu
l ÞÑ #tjPr|0,o´1|s |d1 pjq“lu

Nous pouvons alors écrire l’exactitude équilibrée de la manière suivante :

m´1
1 ÿ
BAdr|0,n´1|s phq “ ei phpiqq
n i“0

Où h P BmÑn .
Démonstration. Soit l P r|0, n ´ 1|s et h, une fonction dans BmÑn .
#tj P r|0, o ´ 1|s |hpd0 pjqq “ d1 pjq ^ d1 pjq “ lu
#tj P r|0, o ´ 1|s |d1 pjq “ lu
#tj P r|0, o ´ 1|s |hpd0 pjqq “ l ^ d1 pjq “ lu
“
#tj P r|0, o ´ 1|s |d1 pjq “ lu

82
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 #tj P r|0, o ´ 1|s |hpd0 pjqq “ l ^ d1 pjq “ hpd0 pjqqu
“
#tj P r|0, o ´ 1|s |d1 pjq “ lu

# ptj P r|0, o ´ 1|s |hpd0 pjqq “ lu X tj P r|0, o ´ 1|s |d1 pjq “ hpd0 pjqquq
“ (4.7)
#tj P r|0, o ´ 1|s |d1 pjq “ lu
Dans l’expression précédente, l est un élément de l’ensemble des indices F . Pour mon-
trer le résultat, on remplace hpd0 pjqq 4.7 par une expression qui contient i : un élément de
E . Le but de faire apparaître la quantité qui nous intéresse : ei,j .
Nous commençons par remarquer que pour tout j dans r|0, o ´ 1|s
hpd0 pjqq “ l ô d0 pjq P h´1 ptluq ô Di P h´1 ptluq, d0 pjq “ i
Ce qui signifie que
tj P r|0, o ´ 1|s |hpd0 pjqq “ lu
␣ (
“ j P r|0, o ´ 1|s |Di P h´1 ptluq, d0 pjq “ i
ď
“ tj P r|0, o ´ 1|s |d0 pjq “ iu
iPh´1 ptluq

Ainsi, par substitution de tj P r|0, o ´ 1|s |hpd0 pjqq “ lu dans l’équation 4.7, nous
obtenons
´´Ť ¯ ¯
# iPh´1 ptluq tj P r|0, o ´ 1|s |d0 pjq “ iu X tj P r|0, o ´ 1|s |d1 pjq “ hpd0 pjqqu
#tj P r|0, o ´ 1|s |d1 pjq “ lu
´Ť ¯
# iPh´1 ptluq tj P r|0, o ´ 1|s |d 0 pjq “ i ^ d 1 pjq “ hpd0 pjqqu
“
#tj P r|0, o ´ 1|s |d1 pjq “ lu
ÿ # tj P r|0, o ´ 1|s |d0 pjq “ i ^ d1 pjq “ hpiqu
“
iPh´1 ptluq
#tj P r|0, o ´ 1|s |d1 pjq “ hpiqu
ÿ
“ ei phpiqq (4.8)
iPh´1 ptluq

Ensuite, d’après la définition 4.2

n´1
1 ÿ # tj P r|0, o ´ 1|s | hpd0 pjqq “ d1 pjq ^ d1 pjq “ lu
BAdr|0,n´1|s phq “
n l“0 #tj P r|0, o ´ 1|s | d1 pjq “ lu
Par substitution du terme général de cette somme par le résultat obtenu dans l’équa-
tion 4.8 :
BAdr|0,n´1|s phq
n´1
1 ÿ ÿ
“ ei phpiqq
n l“0 iPh´1 ptluq
n´1 m´1
1 ÿ ÿ
“ 1h´1 ptluq piqei phpiqq
n l“0 i“0
m´1 n´1
1 ÿ ÿ
“ ei phpiqq 1h´1 ptluq piq
n i“0 l“0

83
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 řn´1
Comme 1h´1 ptluq piq “ 1 si et seulement si l “ hpiq, nous avons l“0 1h´1 ptluq piq “ 1. Ce
qui donne le résultat attendu.

Ce lemme nous permet de calculer l’argmax souhaité en calculant l’entrée de la ma-

trice M “ pei plqqiPr|0,m´1|s,lPr|0,m´1|s au lieu de calculer l’exactitude équilibrée de toutes les
fonctions de BmÑn . Nous cherchons donc le maximum de chaque ligne de M ce qui fait
que nous n’avons qu’à parcourir une fois chaque élément de M . Nous formalisons cette
idée dans le théorème suivant :

Théorème 4.6. Soit ei le n-uplet de N suivant :

#
r|0, n ´ 1|s ÝÑ N
ei : #tjPr|0,o´1|s |d0 pjq“i^d1 pjq“lu
l ÞÑ #tjPr|0,o´1|s |d1 pjq“lu

Soit f P BmÑn telle que pour tout i dans r|0, m ´ 1|s

f piq “ argmax pei q

Alors
` ˘
f “ argmax BAdr|0,n´1|s

Démonstration. Soit g P BmÑn . Nous allons montrer que BAdr|0,n´1|s pgq ď BAdr|0,n´1|s pf q.
Nous commençons par dire que pour tout i P r|0, n ´ 1|s, 0 ď ei pgpiqq ď ei pf piqq. Ce qui
donne que
m´1
ÿ m´1
ÿ
ei pgpiqq ď ei pf piqq
i“0 i“0

et donc
m´1 m´1
1 ÿ 1 ÿ
ei pgpiqq ď ei pf piqq
n i“0 n i“0

Enfin, en appliquant le lemme 4.5 nous avons le résultat attendu.

En utilisant ce résultat, nous pouvons maintenant écrire l’algorithme suivant en Oponmq

pour résoudre notre problème d’optimisation.
´ ¯
Algorithm 1 Optimisation : recherche de l’argmax BAdr|0,n´1|s
for i Ð 0, ¨ ¨ ¨ , m ´ 1 do
for l Ð 0, ¨ ¨ ¨ , n ´ 1 do
#tjPr|0,o´1|s | d0 pjq“i^d1 pjq“lu
ei,l Ð #tjPr|0,o´1|s |d1 pjq“lu
Ź Calcul de ei plq
end for
end for
for i Ð 0, ¨ ¨ ¨ , n ´ 1 do
f piq Ð argmaxl pei,l q Ź Valeur de l que maximise ei,l
end for
return f

84
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 0.75 0.650
Balanced accuracy 0.74 0.625

Balanced accuracy
(higher is better)

(higher is better)
0.73 0.600
0.72 0.575
0.71 0.550
0.70 0.525
Finit Random Finit Random
classifier Forest classifier Forest
(a) COMPAS (b) LAW

F IGURE 4.1 – Comparaison de l’exactitude équilibrée entre une forêt aléatoire (Random
forest) et notre algorithme (Finit classifier).

4.3 Résultats expérimentaux

Dans cette section nous allons évaluer comment se comporte notre algorithme dans
des cas d’usage pratiques.

4.3.1 Classification de données tabulaires

Nous allons évaluer notre nouvel algorithme sur les jeux de données COMPAS et sur
LAW. Nous présenterons plus en détail ces bases de données à la Section 5.4.1. Disons pour
le moment que COMPAS est un jeu tabulaire utilisé en justice prédictive pour créer des
RAI comme nous les avons présentés en Section 2.1.2 et que LAW sert aux écoles de droit
aux États-Unis pour sélectionner les étudiants en première année. Nous allons entraîner
notre algorithme ainsi qu’une forêt aléatoire pour prédire si un coupable est récidiviste ou
non sur COMPAS et pour prédire si un étudiant en droit va réussir l’examen du barreau
par LAW.
Nous observons les résultats de l’exactitude équilibrée sur la Figure 4.1. Les boîtes
à moustache ont été obtenues grâce au processus de validations croisées 2 . Nous n’obser-
vons pas de différence significative d’exactitude équilibrée pour COMPAS ; en revanche
sur LAW notre algorithme est meilleur de plus de 10 points d’exactitude équilibrée. Sur
COMPAS nous observons que pour certaines étapes de validation la forêt aléatoire dé-
passe notre algorithme. Cela ne va pas à l’encontre du fait que notre algorithme produise
la meilleure exactitude équilibrée car cette assertion est vraie pour les données d’entraîne-
ment et ces résultats sont obtenus sur les données d’évaluation qui n’ont jamais été vues
à l’entraînement.
Comme nous l’avons vu à la Section 2.4.6 la consommation d’énergie est un enjeu
capital de l’IA. Nous avons donc enregistré le temps que prend l’ordinateur pour apprendre
le modèle. Nous comparons donc notre algorithme à une forêt aléatoire dans la Figure 4.2.
Nous utilisons l’implémentation de forêt aléatoire de scikit-learn [154] sur un ordinateur
portable Dell Latitude 5420 avec un processeur i7-1165G7 @ 2.8 GHz. Notre algorithme
est trois fois plus rapide sur LAW et quatre fois plus rapide sur COMPAS.

2. Cross validation

85
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 0.20 1.50
Computing time 1.25

Computing time
(lower is better)

(lower is better)
0.15 1.00
0.10 0.75
0.50
0.05
0.25
0.00 0.00
Finit Random Finit Random
classifier Forest classifier Forest
(a) COMPAS (b) LAW

F IGURE 4.2 – Comparaison du temps de calcul pour l’entraînement entre une forêt aléatoire
(Random forest) et notre algorithme (Finit classifier).

4.3.2 Classification de données disparates

Les données disparates sont de formes et de types hétérogènes comme par exemple des
images de dimensions différentes. C’est un cas courant qui se produit après avoir récupéré
des données brutes et rend l’application directe de la plupart des algorithmes d’appren-
tissage automatique impossible sans prétraitement 3 ou intervention manuelle [62]. Notre
algorithme développé plus haut ne souffre pas d’un tel problème car nous travaillons
uniquement sur les indices des éléments que l’on souhaite classifier.
Nous explorons cet aspect avec l’expérience suivante : nous avons demandé à un panel
d’utilisateur.ice.s de décrire en quelques mots les styles des tableaux de Paul Cézanne,
un peintre impressionniste connu principalement pour ses tableaux de Provence. Les uti-
lisateur.ices.s ont vu défiler les tableaux un-à-un. Pour chaque tableau il.elle.s devaient
remplir un champ de textes n’imposant aucune restriction. Cela a créé des réponses très
hétérogènes comme par exemple Paul Alexis lisant à Émile Zola montré en Figure 4.3 qui
a été classifié comme « Hôpital psychiatrique ». Les utilisateur.rice.s peuvent être vu.e.s
comme l’ensemble des classifieurs faibles dont notre algorithme va cumuler les prédictions
pour en créer une qui fasse consensus au sens de la maximisation de l’exactitude équilibrée.
C’est donc une méthode qui se rapproche de la votation.
Nous obtenons une exactitude équilibrée de 0,48 pour une évaluation sur 20 tableaux,
soit un aléatoire à 20
1
“ 0, 005.

3. Preprocessing

86
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 F IGURE 4.3 – Paul Alexis lisant à Emile Zola, Paul Cézanne, 1869-1870 (Huile sur toile)
São Paulo, MASP, Museu de Arte de São Paulo Assis Chateaubriand © Museu de Arte,
Sao Paulo, Brazil / Giraudon / Bridgeman Giraudon

87
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 88
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Chapitre 5

Attaque d’inférence d’attribut sensible

Nous avons vu à la Section 3.2.6 que, pour imposer l’équité à un modèle, nous pouvons
utiliser différentes méthodes qui agissent lors de l’entraînement. Utiliser ces méthodes peut
causer une augmentation de certains risques liés à la confidentialité des données d’entraî-
nement ; ainsi il est admis qu’il y a un compromis à faire entre équité et confidentialité [93].
Cependant, ce compromis ne concerne que les risques liés aux attaques de MIA [78,85,100].
Dans ce chapitre nous allons étudier les interactions entre ces mécanismes d’équité
et l’attaque AIA. Nous allons montrer que, sous cet angle, l’équité et la confidentialité
travaillent de concert. Cette étude peut être vue sous deux angles. Le premier aspect
consiste à étudier comment les mécanismes d’équité peuvent être utilisés pour mitiger
différents types d’AIA. Le second aspect, en lien avec le premier, est d’utiliser les AIA
pour contrôler dans un environnement boîte noire le niveau d’équité d’un modèle.
Dans ce chapitre nous apportons les contributions suivantes : :
— Une définition de l’équité qui généralise la parité démographique à la régression.
— Diverses relations analytiques et synthétiques entre AIA, parité démographique et
équité des chances qui remplissent les objectifs de :
— calcul de niveau d’équité en boîte noire et
— garanties théoriques sur le niveau de confidentialité des données des utilisateurs
de modèles.
— La construction de deux nouvelles attaques AIA efficaces quand l’attribut sensible
présente un déséquilibre.
— Une étude empirique des relations entre niveau d’équité, utilisation d’algorithmes
imposant l’équité et succès des attaques AIA.

5.1 Équité en régression

A la Section 3.2.6 nous avons introduit la notion de parité démographique (DemPar).
Dans le cas d’un classifieur binaire (Ŷ ) avec attribut binaire (S), nous pouvons calculer
à quel point le classifieur est proche d’être DemPar avec la quantité suivante :

DemParLvl “ |P pŶ “ 1|S “ 0q ´ P pŶ “ 1|S “ 1q|

C’est l’écart de prédiction positive entre la classe majoritaire (par exemple les blancs, les
hommes, ...) et la classe minoritaire (les noirs, les femmes, ...).

Propriété 5.1. Un classifieur qui satisfait la parité démographique a un DemParLvl égal à

zéro.

89
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 La démonstration est triviale à partir de la Définition 3.17.
DemPar est équivalente à dire que la prédiction du modèle est indépendante de l’attri-
but sensible. Nous remarquons que cette définition n’est ni restreinte à des problèmes de
classifications, ni à des attributs sensibles binaires, ni même à des attributs sensibles qui
prennent leurs valeurs dans un ensemble fini. Ainsi nous définissons la notion suivante :

Définition 5.1 (Parité démographique généralisée). Soit pΩ, T , P ) un espace probabilisé.

Soient pE, Eq, pF, Fq et pG, Gq des espaces mesurables. Soient les variables aléatoires
suivantes :
— X : pΩ, T q Ñ pE, Eq
— Y : pΩ, T q Ñ pF, Fq
— S : pΩ, T q Ñ pG, Gq
— f : pE, Eq Ñ pF, Fq
Alors f satisfait la parité démographique généralisée si et seulement si

Pf ˝X,S “ Pf ˝X b PS

Dit autrement, si et seulement si le classifieur f est un CCA pour prédire S à partir de X .

Propriété 5.2. Si un classifieur binaire satisfait la parité démographique généralisée alors

il satisfait la parité démographique.

Démonstration. En gardant les objets définis dans la Définition 5.1, supposons que f
satisfasse la parité démographique généralisée. Alors, en notant Ŷ “ f ˝ X , comme
G “ F “ Ppt0, 1uq, nous avons bien

P pŶ “ 1 | S “ 0q “ P pŶ “ 1 | S “ 1q

Ainsi grâce à la Propriété 5.1 nous savons que si un classifieur satisfait la parité
démographique généralisée, alors il a un DemParLvl égale à 0.

5.2 Étude théorique de la relation entre AIA et équité

5.2.1 Utiliser l’équité pour mitiger les AIA
Commençons par présenter le résultat le plus général, qui fonctionne aussi bien pour
des modèles de classification que pour des régressions. Ce résultat est aussi indépendant
du type d’attribut binaire, quantitatif au qualitatif.

Théorème 5.1. Les deux propositions suivantes sont équivalentes :

1. Le modèle cible satisfait la parité démographique .
2. Toutes les attaques utilisant la prédiction pour inférer l’attribut sensible sont des
CCA.
Et aussi, les deux propositions suivantes sont équivalentes :
1. Le modèle cible satisfait la parité démographique généralisée.
2. Toutes les attaques utilisant le logit pour inférer l’attribut sensible sont des CCA.

90
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Démonstration. Par définition, la parité démographique (respectivement généralisée) est
équivalente à l’indépendance entre l’attribut sensible et la prédiction (respectivement le
logit). Ainsi, d’après le Lemme 4.1, dire que tout classifieur de l’attribut sensible utilisant la
prédiction (respectivement le logit) est un CCA est équivalent à dire que le modèle cible
respecte la parité démographique (respectivement généralisée).

Ce résultat nous apprend que s’assurer que le modèle cible satisfait la parité démogra-
phique permet de s’assurer que les attributs sensibles des utilisateurs sont protégés lors de
l’utilisation du modèle. Dans le cas d’un modèle cible qui réalise une classification binaire
et en considérant un attribut binaire nous avons une propriété plus précise.

Propriété 5.3. Soient pΩ, T , P q un espace probabilisé et pt0, 1u, Ppt0, 1uqq des espaces
mesurables. Soient les variables aléatoires suivantes
— L’étiquette Y : pΩ, T q Ñ pt0, 1u, Ppt0, 1uqq
— La donnée d’entrée X : pΩ, T q Ñ pt0, 1u, Ppt0, 1uq
— L’attribut sensible S : pΩ, T q Ñ pt0, 1u, Ppt0, 1uqq
— L’attaque a : pΩ, T q Ñ pt0, 1u, Ppt0, 1uqq
— Le modèle cible f : pΩ, T q Ñ pt0, 1u, Ppt0, 1uqq
Alors nous avons
1
maxa BApaq “ p1 ` (DemP arLvlpf qqq
2
Démonstration. On pose Ŷ “ f ˝ X . L’ensemble A des fonctions de t0, 1u vers t0, 1u
contient quatre éléments : a0 “ 0, a1 “ id, a2 “ 1 ´ id et a, 3 “ 1. Pour chaque attaque
a P A l’exactitude équilibrée de a est
1
BApaq “ pP pa ˝ Ŷ “ 0|S “ 0q ` P pa ˝ Ŷ “ 1|S “ 1qq
2
Nous avons BApb0 q “ BApb3 q “ 21 il n’est donc pas nécessaire de considérer ces élé-
ments pour résoudre le problème d’optimisation. Ce problème s’écrit maxaPA BApaqq “
maxpBApa1 q, BApa2 qq. Nous remarquons que a1 ˝ Ŷ “ Ŷ et a2 ˝ Ŷ “ 1 ´ Ŷ . Ainsi,

1
BApa1 q “ pP pŶ “ 0|S “ 0q ` P pŶ “ 1|S “ 1qq
2
1
“ p1 ` P pŶ “ 1|S “ 1q ´ P pŶ “ 1|S “ 0qq
2
et
1
BApa2 q “ p1 ` P pŶ “ 1|S “ 0q ´ P pŶ “ 1|S “ 1qq
2
Donc,

maxAPB BApaq
ˆ ˆ ˙˙
1 P pŶ “ 0|S “ 0q ´ P pŶ “ 1|S “ 1q
“ 1 ` max
2 P pŶ “ 1|S “ 0q ´ P pŶ “ 0|S “ 1q
1
“ p1 ` |P pŶ “ 1|S “ 1q ´ P pŶ “ 1|S “ 0q|q
2

91
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Ainsi pour le classifieur binaire avec attribut sensible binaire, il est suffisant de cal-
culer le DemParLvl du modèle cible pour connaître le maximum d’exactitude équilibrée
atteignable par n’importe quelle attaque. De plus, nous voyons que l’exactitude équili-
brée maximale d’attaque vaut 12 si et seulement si DemParLvl “ 0. C’est-à-dire que f
satisfait la parité démographique est équivalent à dire que toute attaque a une exactitude
équilibrée égale à 12 .
Grâce au Théorème 5.1 nous savons aussi que toute autre définition d’équité qui n’im-
plique pas la parité démographique ne permet pas de mitiger les AIA. Par exemple, nous
allons montrer un cas où l’égalité des chances de la Définition 3.18 est satisfaite mais où
il existe une AIA qui donne une exactitude équilibrée supérieure à 0, 5.
On représente le classifieur Ŷ de l’étiquette Y ainsi que la donnée d’entrée X et
l’attribut sensible S dans le tableau suivant :

X Y Ŷ S
0 0 0 0
0 0 0 1
0 0 0 0
0 0 0 0
1 1 1 1
1 1 1 1
1 1 1 1
1 1 1 0

Nous utilisons le modèle cible Ŷ “ id ˝ X. Ce classifieur satisfait l’équité des chances car
P pŶ “ 0 | Y “ 0 ^ S “ 0q “ P pŶ “ 0 | Y “ 0 ^ S “ 1q “ 1 et P pŶ “ 0 | Y “ 1 ^ S “
0q “ P pŶ “ 0 | Y “ 1 ^ S “ 1q “ 0. Alors si on choisit comme modèle d’attaque la
fonction identité, nous avons comme exactitude équilibrée de l’AIA 0, 75, ce qui indique
une fuite de l’attribut sensible.

5.2.2 Utiliser l’AIA pour contrôler le niveau d’équité

De manière réciproque, le lien que nous avons démontré peut aussi être utilisé dans le
cas suivant : imaginons qu’un fournisseur de modèle d’IA ou un organisme de régulation
comme la Défenseure des Droits souhaite contrôler si un modèle est équitable ou non.
Si #F ou #G sont grands voire de cardinaux infinis, vérifier directement des propriétés
d’indépendance entre la sortie du modèle et des attributs sensible peut entraîner un coût
de calcul trop élevé pour être faisable [152].
Grâce au Théorème 5.1 nous avons la garantie que si tous les modèles AIA ont une
exactitude équilibrée égale à #F1
, alors le modèle cible satisfait la parité démographique.
Bien sûr cette technique atteint sa limite si #G est infini car alors l’exactitude équilibrée
n’est plus définie.
Calculer l’exactitude équilibrée de tous les modèles d’AIA est impossible. Nous allons
voir que si l’AIA qui donne une exactitude équilibrée maximale vaut #F 1
, alors c’est le cas
pour toutes.

Théorème 5.2. Soit pΩ, T , P q un espace probabilisé. Soient pE, Eq et pF, PpF qq des es-
paces mesurables avec F un ensemble fini. Soient les variables aléatoires suivantes :
— X:ΩÑE
— Y :ΩÑF

92
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Soit A l’ensemble des fonctions mesurables de pE, Eq dans pF, PpF qq. Nous appelons BA
la fonction qui à toutes les fonctions a de A associe l’exactitude équilibrée de a ˝ X pour
l’étiquette Y .
1 1
Da P A BApaq ă ùñ Da P A BApaq ą
#F #F
Démonstration. Soit a P A telle que BApaq ă #F 1
. Nous allons montrer qu’il existe b P A
telle que BApbq ą #F1

A la manière de la démonstration du Théorème 4.2, on se donne la matrice

M pi, jq “ P pa ˝ X “ yi | Y “ yj q

On note S#F
ř l’ensemble des bijections de #F sur lui-même. Montrons qu’il existe φ P
S#F telle que jP#F M pφpjq, jq ą 1. Raisonnons par l’absurde. Nous supposons que
ÿ
@φ P S#F M pφpjq, jq ă 1
jP#F

Alors
ÿ ÿ
M pφpjq, jq ă N !
φPS#F jP#F
ÿ ÿ
ùñ M pφpjq, jq ă N !
jP#F φPS#F
ÿ ÿ
ùñ pN ´ 1q!M pi, jq ă N !
jP#F iP#F
ÿ ÿ
ùñ M pi, jq ă N
jP#F iP#F

Ce qui est absurde car

ÿ ÿ
M pi, jq “ P pa ˝ X “ yi | Y “ yj q “ 1
iP#F iP#F

Donc ÿ ÿ
M pi, jq “ N
jP#F iP#F

Ainsi, nous avons φ P S#F telle que jP#F M pφpjq, jq ą 1. Comme nous l’avons
ř

démontré dans la preuve du Théorème 4.2, nous avons u P H#F tel qu’en posant

b “ u#F ´1 ˝ ¨ ¨ ¨ ˝ u0 ˝ a

alors BApbq ą 1
#F
.

Nous allons utiliser ce théorème pour montrer que si l’AIA maximale a une exactitude
équilibrée égale à #G
1
alors toutes les AIA ont la même exactitude équilibrée. On se donne
A l’ensemble des fonctions mesurables de pF, Fq dans pG, PpGqq. A modélise l’ensemble
des AIA possibles pour un modèle cible qui prédit dans F et un attribut sensible dans

93
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 G, un ensemble fini. Supposons que maxaPA BApaq “ #G 1
. Alors @a P A BApaq ď #G 1
.
D’après la contraposée du Théorème 5.2 nous avons alors @a P A BApaq ě #G . Ainsi 1

@a P A BApaq “ #G 1
.
Pour contrôler si un classifieur vérifie la parité démographique il est donc suffisant
de connaître l’exactitude équilibrée maximale de toutes les AIA. Comme nous venons de
le voir, si cette valeur vaut #G
1
alors le classifieur satisfait la parité démographique. La
recherche d’une AIA qui maximise l’exactitude équilibrée est discutée à la Section 5.3.

5.3 Construction de modèles d’AIA

5.3.1 Modèle de menace
Nous considérons qu’un adversaire souhaite conduire une AIA pour un attribut sen-
sible sur un modèle cible. Le but de l’adversaire est d’inférer l’attribut sensible à partir
uniquement des prédictions du modèle cible. L’adversaire a accès à une base de données
que nous appelons auxiliaire et qui ne contient pas d’individu en commun avec la base
de données d’entraînement du modèle cible que nous appelons base cible. La base cible
ne contient pas l’attribut sensible, qui n’a donc pas été utilisé à l’entraînement. La base
auxiliaire contient l’attribut sensible et des prédictions du modèle cible correspondant à
ces attributs sensibles. La base auxiliaire ne contient pas les données d’entrée car sinon
l’adversaire pourrait simplement entraîner un modèle pour inférer l’attribut sensible à
partir des données d’entrée et le modèle cible n’apporterait pas plus d’informations [122].
Il n’est pas du ressort de cette étude d’étudier comment un adversaire pourrait avoir accès
à une telle base de données. Cela pourrait être le cas après une fuite de données ou une
attaque de type homme du milieu 1 .

5.3.2 AIA pour les modèles de classification

Considérons que le modèle cible prenne ses valeurs dans F , un ensemble fini. C’est-
à-dire que le modèle cible ne donne accès à l’attaquant qu’à des prédictions d’étiquette.
Cela peut être le cas après application d’un seuil sur un logit par exemple. Alors le
but de l’attaquant est de trouver une fonction mesurable de pF, PpF qq dans pG, PpGqq
qui maximise l’exactitude équilibrée. Où G est l’ensemble dans lequel l’attribut sensible
prend ces valeurs. Cela est un cas d’application parfait pour l’algorithme que nous avons
construit au Chapitre 4. Nous allons l’utiliser pour construire une AIA qui donne la
garantie théorique d’être le meilleur modèle qui permette de classifier l’attribut sensible
en utilisant la prédiction du modèle. Nous appelons cette AIA : AdaptAIA-H.

5.3.3 AIA pour les modèles de régression

Dans le cas d’un modèle cible qui effectue une régression nous avons #F infini, donc
nous ne pouvons pas utiliser AdaptAIA-H. Ce cas où l’adversaire a accès au modèle de
régression prend en compte le cas où le modèle cible de prédiction divulgue un logit par
exemple. C’est le modèle de menace qu’applique Song et. al [176] dans leur AIA.
Nous utiliserons comme modèle d’AIA une forêt aléatoire puis nous optimiserons
son seuil en utilisant la courbe ROC pour prendre en compte le déséquilibre de classes
1. Man in the middle

94
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 1.0
0.8

Taux de vrais positifs

0.6
0.4
optimale
0.2 = 0.5
0.0 Aléatoire
0.0 0.2 0.4 0.6 0.8 1.0
Taux de faux positifs
F IGURE 5.1 – Optimisation du seuil du modèle d’attaque A DAPTAIA-S.

dans l’attribut sensible. Cette méthode fonctionne uniquement pour des attributs bi-
naires. C’est-à-dire que pour une prédiction dans l’espace mesurable pF, Fq et un attri-
but sensible dans pt0, 1u, Ppt0, 1uqq la forêt aléatoire construit une fonction mesurable
a : pF, Fq Ñ pr0, 1s, Bpr0, 1sqq. a modélise le logit de la prédiction du modèle AIA. Ensuite
nous calculons, la courbe ROC de a comme nous l’avons définie à la Section 3.2.3 et nous
choisissons υ ˚ tel que, pour la prédiction aυ “ 1rυ,1s ˝ a :

υ ˚ “ argminυPr0,1s p1 ´ tprpυqq2 ` f pr2 pυq

Nous représentons sur la Figure 5.1 le choix du seuil optimal rapport au seuil par défaut
fixé à 0, 5.
Contrairement a AdaptAIA-H, AdaptAIA-S ne donne pas la garantie de maximi-
sation de l’exactitude équilibrée. Ainsi AdaptAIA-S constitue une approximation rela-
tivement à la théorie que nous avons décrite à la Section 5.2.

5.4 Méthodologie expérimentale

Nous allons réaliser une série d’expériences utilisant les AIA définies plus haut. Le
but est d’observer l’exactitude équilibrée des AIA sur des modèles entraînés pour imposer
l’équité. Pour des attributs sensibles dans un ensemble fini G, nous souhaitons observer si
entraîner le modèle en imposant la parité démographique rapproche l’exactitude équilibrée
de #G1
ce qui indique une protection de l’attribut sensible d’après le Théorème 5.1. De
plus, dans le cas de AdaptAIA-H, nous allons pouvoir vérifier expérimentalement la
Propriété 5.3.

5.4.1 Jeux de données

CENSUS Le sondage des Etats-Unis d’Amérique produit tous les dix ans un jeu de
données appelé CENSUS contenant les informations de tous les citoyens 2 . La version que
nous avons utilisée contient 30.940 données avec 95 attributs comme le travail occupé,
le statut marital etc. Parmi ces attributs, certains sont sensibles comme la couleur de
peau appelée race ou le genre appelé sex. Avec ce jeu de données, nous construisons un
classifieur cible qui cherche à inférer si un individu gagne plus de 50.000 dollars par an.
2. www.census.gov

95
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 COMPAS Cette base de données est construite à partir des affaires criminelles aux États-
Unis. Elle est utilisée notamment par les différents algorithmes commerciaux de justice
prédictive que nous avons introduits en Section 2.1.2. Elle contient les données de 6.172
criminels jugés coupables en Floride. Elle contient sept attributs.

MEPS Cette base de données provient du système de santé des États-Unis. Elle contient
l’historique de trajets réalisés par 15.830 patients. La tâche de classification du modèle
cible est de prédire si un patient utilise fortement ou faiblement les services de santé.

LFW Cette base de données contient 8.212 images de visages de personnes. La tâche
principale est de classifier si une personne a plus de 35 ans.

Attributs sensibles Toutes ces bases de données contiennent les attributs sensibles race
et sex. Nous rendons binaires ces attributs : race vaut 1 si la personne a la peau noire et
0 sinon ; sex vaut 1 si la personne est une femme et 0 sinon.

5.4.2 Cheminement des données

Pour simuler le modèle de menace, nous séparons chaque base de données de la manière
suivante : chaque base de données est séparée en 80% d’entraînement et 20% d’évaluation.
Dans l’entraînement on retire l’attribut sensible et on l’utilise pour entraîner le modèle
cible. Ensuite nous utilisons l’évaluation sans l’attribut sensible pour calculer les prédic-
tions que nous lions ligne par ligne à leur attribut sensible correspondant. Cela crée la
base auxiliaire qui respecte bien les exigences du modèle de menace : les données n’ont
pas été utilisées à l’entraînement. Cette base auxiliaire est ensuite séparée en 80% d’en-
traînement et 20% d’évaluation. Les 80% d’entraînement sont utilisés pour construire le
modèle d’attaque qui sert à prédire l’attribut sensible à partir de la prédiction du modèle
cible. Les 20% d’évaluation servent à calculer l’exactitude équilibrée du modèle d’attaque.
Nous présentons ce cheminement dans la Figure 5.2 et reportons dans la Section 5.5 les
résultats expérimentaux.

96
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 80% entraînement
sans attribut sensible

Donnée
cible
Modèle
cible

20% évaluation

Prédiction
Attribut sensible

80% entraînement

Exactitude Modèle Donnée

équilibrée AIA auxiliaire

20% évaluation

F IGURE 5.2 – Simulation du modèle de menace

5.4.3 Imposer l’équité

Nous comparons le succès de l’AIA avec et sans utilisation de mécanisme pour imposer
l’équité. Nous utilisons pour cela les mécanismes décrits à la Section 3.2.6 : l’approche
par réduction pour une classification équitable et le rééquilibrage adverse. Nous imposons
la parité démographique, le but de ces expériences étant d’observer si en pratique les
mécanismes d’équité permettent de mitiger les AIA. Ainsi pour l’approche par réduction
nous évaluons uniquement AdaptAIA-H alors que pour l’approche adverse nous évaluons
les deux AIA.

5.5 Résultats expérimentaux

Nous montrerons dans cette section les résultats expérimentaux. Dans un premier
temps nous proposerons une analyse globale des résultats, dans un second temps nous
décrirons chaque figure en rentrant plus dans les détails.

Synthèse des résultats

Nous observons sur les Figures 5.3, 5.5 et 5.4 que les méthodes pour imposer l’équité
ont bien réduit les succès des attaques, que ce soit en classification ou en régression. De
plus, nous voyons sur les Figures 5.3 et 5.5 que le succès maximal de l’attaque vaut bien
1
2
p1 ` DemP arLvlq comme nous l’avons montré à la Propriété 5.3. Enfin, nous mettons
en perspective ce résultat avec la dégradation d’utilité qu’entraîne l’utilisation de ces
méthodes sur les Figures 5.6 et 5.7. Les deux méthodes semblent protéger de manière
similaire les attributs sensibles pour AdaptAIA-H cependant, la méthode adverse est la
seule pouvant mitiger AdaptAIA-S. En contrepartie, la réduction pour une classification

97
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 0.60
0.58 0.65 0.60
Attack Accuracy

Attack Accuracy
0.58

Attack Accuracy

Attack Accuracy
0.56 0.60
0.56 0.55
0.54 0.55
0.54
0.52 0.50
0.52 0.50
0.50 0.50
Baseline Theoretical Empirical Baseline Theoretical Empirical Baseline Theoretical Empirical Baseline Theoretical Empirical

(a) Census (race) (b) Census (sex) (c) Compas (race) (d) Compas (sex)
0.90
0.54 0.58
0.80
0.80
Attack Accuracy

Attack Accuracy

Attack Accuracy

Attack Accuracy
0.56
0.52
0.60
0.54 0.70

0.50 0.52
0.40 0.60
0.50
0.48 0.50
0.20
Baseline Theoretical Empirical Baseline Theoretical Empirical Baseline Theoretical Empirical Baseline Theoretical Empirical

(e) Meps (race) (f) Meps (sex) (g) LFW (race) (h) LFW (sex)

F IGURE 5.3 – Impact de la réduction pour une classification équitable sur le succès de
A DAPTAIA-H.
Baseline = sans réduction.
Theoretical = 21 p1 ` DemP arLvlq avec réduction.
Empirical = avec réduction.

0.65 0.70
0.70
0.60
0.60 0.65 0.65
Attack Accuracy

Attack Accuracy

Attack Accuracy

Attack Accuracy 0.55

0.60 0.60
0.55
0.55 0.50
0.55
0.50 0.50
0.50 0.45
0.45
Baseline A DV D EBIAS Baseline A DV D EBIAS Baseline A DV D EBIAS Baseline A DV D EBIAS

(a) Census (race) (b) Census (sex) (c) Compas (race) (d) Compas (sex)
0.65 0.90

0.60 0.80
0.80
Attack Accuracy

Attack Accuracy

Attack Accuracy

Attack Accuracy

0.60
0.70
0.55
0.55 0.60
0.60
0.50
0.50 0.50
0.40
0.45 0.40
Baseline A DV D EBIAS Baseline A DV D EBIAS Baseline A DV D EBIAS Baseline A DV D EBIAS

(e) Meps (race) (f) Meps (sex) (g) LFW (race) (h) LFW (sex)

F IGURE 5.4 – Impact du rééquilibrage adverse sur le succès de A DAPTAIA-S.

baseline = sans rééquilibrage adverse.
AdvDebias = avec rééquilibrage adverse.

équitable semble moins dégrader l’utilité comme nous pouvons le voir en comparant les
Figures 5.6d et 5.7d.

En conclusion, nous recommandons d’utiliser le rééquilibrage adverse quand il y a un

risque que le logit soit partagé ou quand la tâche principale est une régression. Si ce n’est
pas le cas, par exemple si le modèle est utilisé localement et que seule la prédiction est
partagée, nous recommandons d’utiliser la réduction pour une classification équitable.

98
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 0.60 0.60
0.57 0.65
0.57
Attack Accuracy

Attack Accuracy

Attack Accuracy

Attack Accuracy
0.55 0.55
0.60
0.55
0.53 0.50
0.53 0.55
0.50
0.50 0.45
0.50
0.48 0.48
Baseline Theoretical Empirical Baseline Theoretical Empirical Baseline Theoretical Empirical Baseline Theoretical Empirical

(a) Census (race) (b) Census (sex) (c) Compas (race) (d) Compas (sex)
0.90 0.90
0.54
0.57 0.80
0.80
Attack Accuracy

Attack Accuracy

Attack Accuracy

Attack Accuracy
0.52 0.55 0.70
0.70
0.60
0.50 0.53
0.60
0.50
0.50
0.50
0.48 0.40
0.48
Baseline Theoretical Empirical Baseline Theoretical Empirical Baseline Theoretical Empirical Baseline Theoretical Empirical

(e) Meps (race) (f) Meps (sex) (g) LFW (race) (h) LFW (sex)

F IGURE 5.5 – Impact du rééquilibrage adverse sur le succès de A DAPTAIA-H.

baseline = succès de l’attaque sans rééquilibrage adverse.
Empirical = succès de l’attaque avec rééquilibrage adverse.
Theoretical = 12 p1 ` DemP arLvlq avec rééquilibrage adverse
0.80 0.75 0.90

0.75
0.75 0.85
0.70
0.70
Accuracy

Accuracy

Accuracy

Accuracy
0.80
0.70
0.65
0.65 0.75
0.65
0.60
0.70
0.60
0.55 0.60
Baseline EGD + D EM PAR Baseline EGD + D EM PAR Baseline EGD + D EM PAR Baseline EGD + D EM PAR

(a) CENSUS (b) COMPAS (c) MEPS (d) LFW

F IGURE 5.6 – Impact de l’utilisation de la réduction pour une classification équitable sur
l’utilité.
Baseline = sans réduction.
EGD+DemPar = avec réduction.
0.80 0.80 0.75 0.90

0.70
0.80
0.70 0.70
Accuracy

Accuracy

Accuracy

Accuracy

0.65
0.70

0.60 0.60 0.60

0.60
0.55
0.50 0.50 0.50
Baseline A DV D EBIAS Baseline A DV D EBIAS Baseline A DV D EBIAS Baseline A DV D EBIAS

(a) CENSUS (b) COMPAS (c) MEPS (d) LFW

F IGURE 5.7 – Impact de l’utilisation du rééquilibrage adverse sur l’utilité.

baseline = sans rééquilibrage adverse.
AdvDebias = avec rééquilibrage adverse.

Analyse détaillée des résultats

La Figure 5.3 présente l’exactitude équilibrée de AdaptAIA-H avec et sans utilisa-
tion de la méthode de réduction pour une classification équitable. Comme nous utilisons
AdaptAIA-H sur cette figure nous avons la garantie que le résultat de l’attaque cor-
respond à la maximisation de l’exactitude équilibrée sur les données d’entraînement de

99
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 l’attaque. Cependant, il peut arriver des cas extrêmes où l’attribut sensible est presque
indépendant de la sortie du modèle cible. Cela signifie que le nombre d’individus ayant
l’attribut sensible 0 dans la classe 0 va être presque égal au nombre d’individus ayant
l’attribut sensible 0 dans la classe 1. Ainsi en séparant les jeux de donnée en entraîne-
ment (A) et évaluation (B), il est possible que la tendance soit opposée dans A et B. Par
exemple : dans A il y a plus d’individus ayant un attribut sensible 0 dans la classe 0 que
dans la classe 1 alors que dans B il y a plus d’individus ayant un attribut sensible 0 dans
la classe 1 que dans la classe 0. Dans ce cas une attaque entraînée sur A et évaluée sur
B aura une exactitude équilibrée inférieure à 0,5 comme nous pouvons l’observer sur la
Figure 5.3 pour COMPAS, MEPS et LFW. Nous observons aussi ce phénomène sur la
Figure 5.5. Ces cas sont fréquents pour les boîtes à moustache dénotées « Empirical »
car elles ont été obtenues en attaquant un modèle cible entraîné avec un mécanisme qui
cherche à impose la parité démographique, soit justement l’indépendance de la sortie et
de l’attribut sensible.
Les boîtes à moustaches dénotées « Theoretical » sont obtenues sur les données d’éva-
luation en calculant 12 p1 ` DemP arLvlq. Elles permettent de vérifier expérimentalement
la Propriété 5.3 qui assure que l’exactitude équilibrée de AdaptAIA-H doit être égale
à 12 p1 ` DemP arLvlq. On remarque que c’est vrai sauf dans le cas indiqué plus haut
où AdaptAIA-H se trompe à cause de la presque indépendance entre attribut sensible et
sortie du modèle cible et donne une exactitude équilibrée inférieure à 0,5. Dans ce cas le
résultat théorique vaut 1 ´ le résultat expérimental. Cela explique la différence observée
sur certaines figures, comme par exemple à la Sous-figure 5.3g.
Nous observons sur l’ensemble des figures présentant des résultats d’attaque que l’écart
inter-quartile peut atteindre 10 points d’exactitude équilibrée ce qui indique que le résultat
de l’attaque est dépendant de la séparation en entraînement et évaluation. Cela peut venir
du fait que les jeux de données sont déséquilibré ce qui augmente la probabilité de générer
des sous ensembles qui ne contiennent pas assez de données pour chaque classe.
Sur l’ensemble des expériences, l’inférence du genre sur le jeu de données LFW est la
plus sensible car elle atteint une médiane de 0.8 d’exactitude équilibrée sans utilisation de
mécanisme de protection. Pour mettre cela en perspective, les autres attaques sans utilisa-
tion de mécanisme atteignent une médiane moyenne de 0.59 d’exactitude équilibrée. Cela
met en avant le risque que représente l’AIA et l’intérêt de mitiger ces attaques. Concer-
nant la protection, nous observons que les mécanismes imposant l’équité ne permettent
pas dans tous les cas de réduire le risque comme par exemple avec la Sous-figure 5.3g.
Sur cette figure nous observons que la boîte à moustaches « Baseline » est presque au
même niveau que les deux autres avec une médiane passant de 0.6 à 0.58. Cela indique
que le mécanisme n’a pas empêché AdaptAIA-H d’inférer l’attribut sensible et que le
DemParLvl est presque le même avant et après utilisation du mécanisme. Comme le Dem-
ParLvl n’a pas beaucoup diminué, le mécanisme n’a pas rempli le rôle pour lequel il a été
créé : imposer la parité démographique et atteindre un DemParLvl égal à 0,5. En contre-
partie, quand le mécanisme arrive à imposer la parité démographique, nous observons que
l’exactitude équilibrée de l’attaque est diminuée comme sur la Sous-figure 5.4h. Sur cette
figure la médiane de l’exactitude équilibrée de l’attaque passe de 0.8 à 0.5. C’est-à-dire
que le risque pour l’attribut sensible passe de très marqué à inexistant.

100
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Chapitre 6

Données synthétiques

Comme au chapitre précédent, la confidentialité des données synthétiques est souvent

considérée du point de vue suivant : à partir des données synthétiques, que pouvons
nous apprendre des données réelles ? Pour cela, la confidentialité différentielle permet
une protection très forte, plus forte que d’autres notions de confidentialité, comme par
exemple la limitation des fuites statistiques 1 [45]. Il existe ainsi des méthodes pour imposer
la confidentialité différentielle dans les GAN [128] et dans les auto-encodeurs [44]. Nous
présentons dans ce chapitre un début de travail sur les liens entre données synthétiques et
AIA. Nous allons déjà étudier la MIA en utilisant des données synthétiques. Ensuite, nous
allons regarder l’impact de l’utilisation des données synthétiques lors de l’entraînement
sur le succès de l’AIA.
Dans la littérature, les données synthétiques ont vocation à être distribuées à des tiers.
Le but de cela peut être de contourner la législation sur les données personnelles [61]. Des
travaux précédents ont montré que divulguer des données synthétiques au lieu de données
réelles ne protège ni contre les attaques de ré-identification, ni contre les attaques liant
les données synthétiques aux données réelles 2 [178].
Bellocin et al. [61] étudient l’aspect légal du partage de données synthétiques créées
à partir de données réelles. Ils viennent à la conclusion qu’un tribunal n’autorisera pas
ce partage à cause des nombreux cas et des nombreuses recherches qui prouvent qu’il est
possible d’apprendre des informations sur les données réelles à partir des données syn-
thétiques. Ils supposent aussi que l’utilisation de confidentialité différentielle peut rendre
légal le partage, mais en l’absence de jurisprudence, rien n’est certain. Dans cette op-
tique, des travaux comme ceux de Ping et al. [157] cherchent à imposer la confidentialité
différentielle lors de la création de données synthétiques.
Nous nous plaçons une étape après dans la vie des données synthétiques, c’est-à-dire au
moment de l’utilisation de ces données pour l’entraînement de modèles. Nous apportons
donc ici des premiers éléments de réponse à la question suivante : quel est l’impact sur la
confidentialité de l’utilisation des données synthétiques au lieu de données réelles, lors de
l’entraînement de modèles ?

6.1 Méthodologie
Dans cette section nous allons discuter de l’approche expérimentale que nous allons
suivre pour apporter des éléments de réponse à la question posée précédemment. Nous
1. Statistical disclosure limitation
2. linkage

101
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 commencerons par présenter le jeu de données et le générateur que nous utilisons. Ensuite,
nous parlerons du modèle cible que nous entraînons avec la sortie du générateur. Ainsi
nous pourrons présenter les attaques de confidentialité prises en compte dans cette étude.
A la Section 6.1.5 nous mettrons en avant une particularité de notre méthodologie :
comment nous contrôlons le niveau de sur-ajustement du générateur et du modèle cible.
Finalement, nous montrerons une représentation graphique du procédé dans son entièreté,
des données réelles jusqu’aux résultats expérimentaux dans la Figure 6.3.

6.1.1 Jeu de données

Notre étude se concentre sur Adult, que nous avons déjà présenté à la section 5.4.1.
Pour ce chapitre, la tâche de classification que nous allons considérer est la prédiction
binaire suivante : est-ce qu’un individu a un travail ou non. Nous étudierons la couleur de
peau comme attribut sensible. Dans le recensement des États-Unis 3 l’ethnie est encodée
par neuf classes. Nous transformons l’ethnie en un attribut binaire en encodant les per-
sonnes à la peau noire avec un un (1) et toutes les autres avec un zéro (0). Ainsi, dans les
contextes d’une AIA, le but de l’adversaire est d’inférer si une personne a la peau noire.
Nous n’utiliserons pas directement le recensement des États-Unis, mais une version
adaptée à l’étude de l’équité : Retiring adult [88]. Cette version a formaté la base de
données que l’on peut télécharger sur le site du gouvernement des États-Unis pour la
rendre facilement interfaçable avec des outils standards du langage Python comme pan-
das, numpy ou scikit-learn. Cela nous permet de sélectionner l’état, l’année, la tâche de
classification et les attributs sensibles facilement. Pour des raisons pratiques, principa-
lement de taille de stockage et de puissance de calcul, nous nous limitons aux données
de l’Alabama du recensement de 2018. Ce sous-ensemble contient les données de 47.777
personnes.

6.1.2 Entraînement du générateur

Dans cette étude, nous considérons une variante du GAN : CTGAN [191]. CTGAN
est un GAN conditionnel spécialement conçu pour des données tabulaires hétérogènes.
Ce générateur prend en considération des attributs aussi bien qualitatifs que quantita-
tifs. Par exemple, l’attribut emploi est qualitatif là où la taille est quantitatif. Dans nos
expériences, nous utilisons l’implémentation de CTGAN du Synthetic Data Vault (SDV) 4 .

6.1.3 Entraînement du prédicteur

Nous utilisons une forêt aléatoire avec cent arbres pour la tâche de classification du
modèle cible : inféré si la personne a un travail. Nous utilisons l’implémentation de scikit-
learn de la forêt aléatoire.
Pour évaluer les tâches de classification, nous utilisons l’exactitude équilibrée que nous
avons présentée en Section 3.2.3.

3. Census
4. sdv.dev

102
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Entrée

échantillonage
r0 , ¨ ¨ ¨ , rN ´1
répétition
r0 , ¨ ¨ ¨ , rN ´1 , r0 , ¨ ¨ ¨ , rN ´1 , ¨ ¨ ¨ , r0 , ¨ ¨ ¨ , rN ´1

Mélange

Sortie

F IGURE 6.1 – Dans cette figure nous détaillons la fonction OVR CTRL. Cette fonction
contrôle le niveau de sur-ajustement du modèle cible. Elle prend en entrée une base de
données de taille N et en ressort une autre de taille M . Dans un premier temps, nous sé-
lectionnons N lignes de manière aléatoire que nous appelons r0 , ¨ ¨ ¨ , rN ´1 . Ensuite, nous
répétons les lignes t M
N
u fois. Enfin nous mélangeons la base de données obtenue.

6.1.4 Modèle d’attaque

Nous étudions deux notions de confidentialité : l’AIA et la MIA. Concernant l’AIA
nous n’étudions ici que la version de l’attaque qui utilise les logits, celle que nous avons
présentée à la Section 5.3.3.

Inférence de l’appartenance (MIA)

Concernant la MIA, nous n’utilisons pas des modèles miroirs, nous adoptons plutôt
une approche similaire à celle de Yeom et al. [192]. Nous considérons que l’adversaire a
à sa disposition une base de données qui contient les coûts et leur statut d’appartenance
correspondant (m or m̄). C’est donc la même méthodologie que celle que nous avons
utilisée pour présenter la MIA à la Section 3.2.7. Cette méthodologie entraîne un risque
plus élevé pour la confidentialité que l’utilisation de modèles miroirs ; c’est donc une
évaluation qui permet d’avoir des garanties relativement fortes de protection par rapport
aux attaques pratiques. Comme cette étude se concentre sur les données synthétiques, les
membres (m) sont les points utilisés pour entraîner le générateur et non pas les points
utilisés pour entraîner le modèle cible comme nous pouvons le voir sur la Figure 6.3.

6.1.5 Contrôle du sur-ajustement

Les attaques MIA donnent habituellement des résultats assez faibles, spécialement
pour de faibles taux de faux positifs [177]. Ainsi, pour pouvoir juger de l’impact des don-
nées synthétiques sur le risque de MIA, nous augmentons artificiellement le sur-ajustement
avec la fonction OVR CTRL. Nous appliquons OVR CTRL à la fois sur les données syn-
thétiques et sur les données réelles ainsi nous obtenons des résultats comparables pour
ces deux cas.
Avant d’utiliser les données réelles pour entraîner le générateur, nous leur appliquons
la fonction OVR CTRL. Cette fonction contrôle le niveau de sur-ajustement du générateur
par de l’échantillonnage, de la répétition et une permutation aléatoire 5 . Nous décrivons
5. shuffle

103
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 0.90

Blanced accuracy
SDV quality report 0.7
0.85
0.80 0.6
0.75
0.70 0.5
100 500 1000 5000 10000 100 500 1000 5000 10000
Number of data used Number of data used
(a) Qualité des données synthétiques. (b) Utilité des données synthétiques.

0.64
Blanced accuracy

Blanced accuracy
0.54 0.62
0.53 0.60
0.58
0.52
0.56
100 500 1000 5000 10000 100 500 1000 5000 10000
Number of data used Number of data used
(c) Sensibilité à l’attaque MIA. (d) Sensibilité à l’attaque AIA.

F IGURE 6.2 – Méthodologie de recherche d’un niveau de répétition qui permet de satisfaire
une haute utilité et sensibilité à la MIA. Nous utilisons un total de 100.000 points. Dans
cette expérience nous utilisons uniquement le générateur CTGAN.

en détail le fonctionnement de cette fonction dans la Figure 6.1. OVR CTRL duplique N
données réelles pour créer une nouvelle base de données contenant M lignes. Quand N est
inférieur à M , chaque donnée est vue plusieurs fois à chaque époque de l’entraînement.
Nous observons empiriquement que le modèle cible sur-ajuste plus pour certaines va-
leurs de N . Nous représentons cela sur la Figure 6.2, sur le jeu Adult, pour 5000 points
différents, l’utilité et la qualité des données synthétiques sont hautes (supérieures à 0, 7
d’exactitude équilibrée) tout en atteignant une MIA de 0, 54 ce qui indique une fuite
de la qualité d’appartenance au jeu d’entraînement. Nous choisissons donc 5000 données
différentes (N “ 5000) pour une base de données de taille 100000 (M “ 100000).

6.1.6 Cheminement des données

Dans cette section, nous décrivons les différentes étapes par lesquelles passent les don-
nées au travers de notre procédé expérimental. La Figure 6.3 représente ce cheminement.
Nous commençons par les données réelles que nous partageons en un jeu d’entraînement
(m) et un jeu d’évaluation (m̄). Le jeu d’entraînement commence par passer par la fonc-
tion OVR CTRL. Ensuite il est utilisé pour entraîner un générateur. Si le générateur
est l’identité, alors m est aussi la sortie du générateur. Nous utilisons cette sortie pour
entraîner le modèle cible. Uniquement m̄ est utilisé pour évaluer l’utilité du modèle cible.
Sur la Figure 6.3 nous avons appelé prédiction la sortie du modèle cible évaluée sur m̄.

104
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 m
Données 80% OVR entraînement Modèle
réelles CTRL génératif
20% eval
eval
Modèle entraînement Données
m̄
cible synthétiques
Base
AIA Entraînement
Résultat 80% entraînement
prédiction Modèle
utilité
20% eval AIA
coût coût Evaluation Résultat
m̄ m AIA
Entraînement
80% entraînement Modèle
MIA
Base 20% eval
MIA Evaluation
Résultat
MIA

F IGURE 6.3 – Cette figure présente les sous-ensembles des données utilisés pour le calcul
des résultats. Cette figure se lit à partir du coin supérieur gauche avec les données réelles.
Les rectangles représentent des fonctions dont les entrées sont les flèches entrantes et
les sorties les flèches sortantes. Si l’entrée d’une fonction est une donnée d’entraînement,
nous l’indiquons au dessus de la flèche.

Cette prédiction, en plus d’être utilisée pour le calcul de l’utilité, sert à construire la
base de données qui sert à l’AIA. Cela assure que le modèle de menace de l’AIA décrit
à la Section 5.3.1 soit respecté, c’est-à-dire que l’attaquant n’ait accès qu’à des données
qui n’ont pas été vues à l’entraînement. Ensuite nous séparons le jeu de données AIA en
évaluation et entraînement pour calculer l’exactitude équilibrée de cette attaque.
Enfin, nous exécutons la MIA qui est représentée en bas de la Figure 6.3. En plus de
la prédiction, le modèle cible sort les coûts pour m et m̄ qui sont utilisés pour construire
la base de données MIA. Similairement à l’AIA, nous séparons la base de données MIA
en entraînement et évaluation.
Chaque séparation est répétée cinq fois dans une optique de validation croisée.

6.1.7 Comparaison entre données réelles et synthétiques

A la Section 6.2, nous comparons des résultats obtenus en utilisant deux générateurs :
l’identité et un GAN. Pour chacune des expériences suivantes, pour comparer les résultats,
tous les paramètres sont les mêmes, excepté le générateur. Cela nous permet d’évaluer
l’impact des données synthétiques à toutes choses égales.
Nous répétons chaque expérience avec de la validation croisée ; l’utilité est donc calculée
cinq fois et les attaques MIA et AIA vingt-cinq fois. Nous présentons les résultats sous la
forme de boîtes à moustaches. Nous évaluons si l’écart de résultat entre données réelles
et synthétiques est significatif en utilisant une analyse de la variance (ANOVA). Pour ce
test statistique, l’hypothèse nulle est la suivante : les échantillons ont la même moyenne.
Si la p-valeur du test de Fisher est inférieure à 0.01, nous rejetons l’hypothèse nulle et

105
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 p-value = 1.23E-05

Balanced accuracy
0.74
0.72
0.70
0.68
Real Synthetic
F IGURE 6.4 – Utilité du modèle cible en termes d’exactitude équilibrée sur des données non
vues à l’entraînement. Le terme Real signifie que le générateur est l’identité, les données
synthétiques utilisées pour entraîner le modèle cible sont donc les données réelles. Le
terme Synthetic signifie que le générateur est un CGAN. Dans ce cas le modèle cible n’est
pas entraîné sur des données réelles.

déduisons que l’utilisation des données synthétiques a eu un impact sur le résultat.

6.2 Résultats
Dans cette section nous allons analyser l’impact de l’utilisation des données synthé-
tiques sur la MIA et l’AIA. La Section 6.2.1 présente l’utilité du modèle cible. Ce facteur
de contrôle nous permet de nous assurer que nos modèles apprennent de l’information sur
la tâche principale et ne sont pas des CCA.

6.2.1 Utilité
Utiliser les données synthétiques dégrade l’utilité du prédicteur. Nous présentons
l’exactitude équilibrée du modèle cible entraîné avec des données synthétiques et des
données réelles dans la Figure 6.4.
Utiliser les données synthétiques dégrade significativement l’utilité du modèle cible de
cinq points avec une p-valeur de l’ANOVA à 1.23 ˆ 10´5 . Mais avec un minimum de 0,68
d’exactitude équilibrée sur les données synthétiques, nous disons que le modèle cible a
appris un niveau significatif d’information, ce qui rend sensée l’étude de l’AIA et de la
MIA.

6.2.2 Attaque d’inférence d’appartenance aux données d’entraînement

(MIA)
Nous observons une dégradation de l’exactitude équilibrée de la MIA de 30% en
moyenne. La p-valeur de l’ANOVA à 4.54 ˆ 10´12 indique que cette différence est signi-
ficative. L’exactitude équilibrée de la MIA passe de 0,86 à 0,55 en utilisant des données
synthétiques ce qui indique que, dans ce cas, elles ont servi à protéger l’attribut sensible.
Bien entendu, ce résultat ne concerne que cette méthodologie expérimentale et ne permet
pas de conclure de manière générale que les données synthétiques empêchent la MIA.

106
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 p-value = 4.54E-12

Balanced accuracy
0.8
0.7
0.6
Real Synthetic
F IGURE 6.5 – Succès de la MIA en terme d’exactitude équilibrée évalué sur la partie Éva-
luation de la base MIA.

p-value = 8.65E-01
0.54
Balanced accuracy

0.53

0.52
Real Synthetic
F IGURE 6.6 – Exactitude équilibrée de l’AIA sur la partie Évaluation de la base AIA. La
base AIA utilise des points qui n’ont pas été vus à l’entraînement du générateur. Le modèle
cible est entraîné sans utiliser l’attribut sensible.

De plus, les 5% d’inférence de la MIA restante peuvent être dus à des points extrêmes,
qui peuvent être retrouvés par un adversaire [77].

6.2.3 Attaque d’inférence d’attribut

L’utilisation des données synthétiques n’a pas d’impact sur le succès de l’AIA. Nous
présentons à la Figure 6.6 une comparaison des AIA entre modèle cible ayant utilisé des
données synthétiques et modèle cible ayant utilisé des données réelles.
Avec une p-valeur de l’ANOVA de 8.65 ˆ 10´1 nous observons qu’il n’y a pas de
différence significative entre exactitude équilibrée de l’AIA pour données réelles et syn-
thétiques. De plus, l’exactitude équilibrée de l’AIA est entre 0,52 et 0,54 ; nous observons
donc un risque mineur mais existant de fuite de l’attribut sensible. Notre conclusion est
donc que l’utilisation de données synthétiques n’est pas suffisante pour mitiger la fuite
d’attribut sensible.

107
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 108
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Chapitre 7

Perspectives

7.1 Optimisation de l’exactitude équilibrée pour des don-

nées d’entrée dans un ensemble infini
L’algorithme que nous avons construit au Chapitre 4 ne fonctionne que si les don-
nées d’entrée prennent un nombre fini de valeurs. Il faut aussi avoir une base de données
avec suffisamment de lignes pour s’assurer d’avoir vu chaque point de l’ensemble E des
données d’entrée, sinon le comportement du classifieur n’est pas défini. Pour pallier cela,
nous avons expliqué que notre classifieur peut être utilisé à la deuxième étape du procédé
d’apprentissage ensembliste : mélanger les prédictions de classifieurs faibles déjà entraî-
nés. Cependant, nous n’avons pas précisé comment entraîner les classifieurs faibles pour
maximiser l’exactitude équilibrée.

7.2 Génération équitable et confidentielle

Nous avons vu au Chapitre 6 que les données synthétiques ne permettent pas de
protéger l’inférence d’attribut sensible. Nous avons aussi vu qu’il était possible d’entraîner
les générateurs pour qu’ils imposent la confidentialité différentielle. Cela amène la question
suivante : est-il possible d’entraîner un générateur pour empêcher l’inférence d’attribut
sensible ? Nous avons plusieurs pistes à proposer pour tenter de répondre à cette question.
La première solution qui nous vient à l’esprit est de ne pas entraîner le générateur
pour empêcher l’inférence. Nous allons plutôt entraîner le générateur pour qu’il génère
l’attribut sensible. Ainsi, nous pouvons entraîner le modèle cible pour respecter la parité
démographique, ce qui permet de mitiger l’AIA comme nous l’avons vu au Chapitre 5.
Cependant, cette solution dépend de la personne qui va construire le modèle cible : les
mêmes données synthétiques peuvent amener à différentes garanties de protection en
fonction de l’algorithme d’équité choisi et des paramètres des modèles.
Regardons une condition sur les données synthétiques qui permet d’empêcher les AIA.
On aimerait donc, si l’on entraîne un classifieur avec nos données synthétiques, que ce
classifieur soit un CCA pour l’attribut sensible. On se donne pΩ, T , P q un espace proba-
bilisé. Nous avons aussi pE, Eq, pF, Fq et pG, Gq des espaces mesurables qui représentent
respectivement, les données d’entrée du modèle cible, les étiquettes et l’attribut sensible.
Nous modélisons la base de données qui sert à l’entraînement du générateur pour les trois
variables aléatoires suivantes :
— X : pΩ, T q Ñ pE, Eq

109
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 — Y : pΩ, T q Ñ pF, Fq
— S : pΩ, T q Ñ pG, Gq
A partir de ces trois variables, notre générateur crée des données synthétiques que
nous modélisons de la manière suivante :
— Xs : pΩ, T q Ñ pE, Eq
— Ys : pΩ, T q Ñ pF, Fq
Nous cherchons donc des conditions sur pXs , Ys q pour qu’en entraînant un modèle
dessus il respecte la parité démographique sur pX, Y, Sq. Pour formaliser cela nous intro-
duisons la notion suivante :

@ε ą 0 Dδ ą 0 @f pCXs ,Ys pf q ă δ ùñ d pPf ˝X,S , Pf ˝X b PS qq ă ε

Avec CXs ,Ys la fonction de coût calculée sur les données synthétiques :

CXs ,Ys pf q “ Eplpf pXs p˝qq, Ys p˝qqq

Nous proposons donc comme perspective d’étudier cette notion. Premièrement, nous
voyons qu’elle dépend de d. d n’est pas forcément une distance, mais comme nous souhai-
tons la parité démographique, d doit au moins vérifier la propriété dpa, bq “ 0 ùñ a “ b.
Un candidat prometteur pour d est donc l’information mutuelle [84] dans le cas où a et
b admettent des densités. Dans le cas particulier où #F ă 8 et #G ă 8 il peut aussi
être intéressant d’utiliser le classifieur que nous avons construit au Chapitre 4 car cal-
culer l’exactitude équilibrée maximale est moins coûteux en opérations que l’information
mutuelle.

110
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Chapitre 8

Conclusion

L’IA est un enjeu majeur des années à venir comme le prouvent les investissements
massifs dont font preuve les secteurs privés et publics en la matière. Les géants du nu-
mérique et de la littérature d’anticipation font miroiter un ensemble de technologies qui
changeraient drastiquement notre manière de vivre, aussi bien sur le plan individuel avec
de nouveaux outils de travail, que sur le plan institutionnel comme dans les domaines de
la santé, de la justice ou de l’éducation. Face à de telles attentes, il est capital d’obte-
nir une compréhension en profondeur des modèles d’apprentissage automatique, qui sont
la clé de voûte de l’IA moderne. En effet, certains effets indésirables liés à l’utilisation
de ces modèles ont été observés. Les modèles consomment énormément d’énergie, sont
susceptibles d’avoir des failles de sécurité, peuvent révéler des attributs sensibles de per-
sonnes réelles, créent des prédictions inexplicables et bissées et peuvent être utilisées à
des fins illégales. De plus, les implication sociales d’une potentielle future AGI ne sont pas
clairement établies hors du cadre de la science-fiction.
Pour pallier cela et créer une IA alignée avec les valeurs de la République Française il
faut des garanties théoriques fortes, couplées à des résultats expérimentaux réalisés sur le
long terme avec des bases de données incluant les minorités victimes de discriminations.
C’est dans cette optique que s’inscrit ce manuscrit et plus précisément comment les inter-
actions entre les différents effets indésirables listés plus haut ne sont pas encore compris
dans leur entièreté. Nous nous somment penchés sur les interactions entre l’équité et la
confidentialité et nous avons démontré que, dans une certaine mesure, l’équité pouvait al-
ler de pair avec confidentialité. Pour cela, nous avons créé des attaques ayant la garantie
d’être les plus performantes tout en minimisant le coût de calcul. Cela permettra à des
organisations de contrôle, comme la Défenseure des droits, de mesurer avec certitude si
une IA respecte les exigences d’équité. Les études théoriques que nous avons produites
ont permis aussi de démontrer plusieurs résultats qui améliorent la compréhension que
nous avons de l’exactitude équilibrée : une manière courante d’évaluer les modèles.
Enfin, nous nous sommes attaqués à l’idée reçue que les données synthétiques protègent
totalement la confidentialité des utilisateurs et leurs attributs sensibles en exhibant des
contre-exemples. Néanmoins, modifier les algorithmes de générations de données en in-
troduisant des contraintes d’équité et de confidentialité pourrait permettre des avancées
significatives vers une IA plus morale.

111
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 112
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Bibliographie

[1] https://www.insee.fr/fr/information/2108548. Dernier accès : 2024-09-19.

[2] Accélérer l’usage de l’intelligence artificielle générative dans l’écono-
mie. https://www.bpifrance.fr/nos-appels-a-projets-concours/
appel-a-projets-accelerer-lusage-de-lintelligence-artificielle-generative-dans-l
Dernier accès : 2024-09-17.
[3] Chatgpt. https://openai.com/chatgpt/. Dernier accès : 2024-09-19.
[4] Chatgpt : le quotidien le monde signe un partena-
riat avec openai, une première en france. https://www.
radiofrance.fr/franceinter/podcasts/l-info-de-france-inter/
les-doc-france-inter-du-jeudi-14-mars-3-7619379. Dernier accès : 2024-07-
24.
[5] Chatgpt sets record for fastest-growing user base -
analyst note. https://www.reuters.com/technology/
chatgpt-sets-record-fastest-growing-user-base-analyst-note-2023-02-01/.
Dernier accès : 2024-07-24.
[6] Data challenges en santé. https://www.bpifrance.fr/
nos-appels-a-projets-concours/appel-a-projets-data-challenges-en-sante.
Dernier accès : 2024-09-17.
[7] Dictionaire de l’Académie francaise, 9° édition. http://www.
dictionnaire-academie.fr/article/A9A2706,Dernier accès : 2024-08-05.
[8] Dictionaire de l’Académie francaise, 9° édition. http://www.
dictionnaire-academie.fr/article/A9I1608, Dernier accès : 2024-08-05.
[9] Dictionaire de l’Académie francaise, 9° édition. https://www.
dictionnaire-academie.fr/article/A9C3633,Dernier accès : 2024-08-16.
[10] Déclaration de mme rachida dati, ministre de la culture, lors de l’installation de la
commission d’enrichissement de la langue française, le 27 mai 2024.
[11] Equivant. https://www.equivant.com/. Dernier accès : 2024-07-24.
[12] Fortune 500. https://fortune.com/ranking/global500/. Dernier accès : 2024-
07-24.
[13] France 2030. https://www.info.gouv.fr/grand-dossier/france-2030. Dernier
accès : 2024-07-24.
[14] France 2030 | nomination du coordinateur national pour l’in-
telligence artificielle. https://www.info.gouv.fr/actualite/
france-2030-nomination-du-coordinateur-national-pour-l-intelligence-artificielle
Dernier accès : 2024-09-17.

113
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 [15] Google trend intelligence artificielle. https://trends.google.com/trends/
explore?date=all&geo=FR&q=intelligence%20artificielle&hl=en-US. Der-
nier accès : 2024-07-24.
[16] grep. https://www.gnu.org/software/grep/manual/grep.html. Dernier accès :
2024-08-05.
[17] Grid5000. www.grid5000.fr. Dernier accès : 2024-09-18.
[18] Ia booster. https://www.bpifrance.fr/catalogue-offres/
ia-booster-france-2030. Dernier accès : 2024-09-17.
[19] Intelligence artificielle : pourquoi sam altman, créateur de chatgpt, a
été débarqué d’openai. https://www.radiofrance.fr/franceinter/
ce-que-l-on-sait-du-renvoi-de-sam-altman-patron-d-openai-et-createur-de-chatgpt-
Dernier accès : 2024-07-24.
[20] Jean zay, le supercalculateur le plus puissant de france pour la recherche.
[21] Kaggle. kaggle.com. Dernier accès : 2024-09-17.
[22] La stratégie nationale pour l’intelligence artificielle. https://www.entreprises.
gouv.fr/fr/numerique/enjeux/la-strategie-nationale-pour-l-ia. Dernier
accès : 2024-09-18.
[23] La stratégie nationale pour l’intelligence artificielle. https://www.entreprises.
gouv.fr/fr/numerique/enjeux/la-strategie-nationale-pour-l-ia. Dernier
accès : 2024-07-24.
[24] Le règlement général sur la protection des données.
https ://www.cnil.fr/fr/reglement-europeen-protection-donnees.
[25] Loi n° 2016-1321 du 7 octobre 2016 pour une république numérique. https://www.
legifrance.gouv.fr/jorf/id/JORFSCTA000033202935.
[26] Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
https ://www.legifrance.gouv.fr/loda/id/LEGITEXT000006068624/2019-06-04/.
[27] Lutter contre les discriminations et promouvoir l’égalité. defenseurdesdroits.fr/
lutter-contre-les-discriminations-et-promouvoir-legalite-185. Dernier
accès : 2024-09-13.
[28] L’empreinte carbone de la france de 1995 à 2022.
https://www.statistiques.developpement-durable.gouv.fr/
lempreinte-carbone-de-la-france-de-1995-2022. Dernier accès : 2024-
09-18.
[29] Ocrad. https://www.gnu.org/software/ocrad/ocrad.html. Dernier accès : 2024-
08-05.
[30] Openai, cette société qui révolutionne l’intelligence artifi-
cielle. https://www.bfmtv.com/tech/intelligence-artificielle/
open-ai-cette-societe-qui-revolutionne-l-intelligence-artificielle_
DN-202311200564.html. Dernier accès : 2024-07-24.
[31] Openai says it has begun training a new flagship a.i. model. https://www.
nytimes.com/2024/05/28/technology/openai-gpt4-new-model.html. Dernier
accès : 2024-07-24.
[32] Pl@ntnet. https://identify.plantnet.org/. Dernier accès : 2024-07-24.

114
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 [33] Qu’est-ce que la discrimination ? https ://www.service-
public.fr/particuliers/vosdroits/F38175. Dernier accès : 2024-09-13.
[34] Regulation (eu) 2024/1689 of the european parliament and of the council of 13
june 2024 laying down harmonised rules on artificial intelligence and amending re-
gulations (ec) no 300/2008, (eu) no 167/2013, (eu) no 168/2013, (eu) 2018/858,
(eu) 2018/1139 and (eu) 2019/2144 and directives 2014/90/eu, (eu) 2016/797
and (eu) 2020/1828 (artificial intelligence act) (text with eea relevance). https:
//eur-lex.europa.eu/eli/reg/2024/1689/oj. Dernier accès : 2024-09-02.
[35] Roko’s basilisk. https://old-wiki.lesswrong.com/wiki/Roko%27s_basilisk#
Roko’s_post. Dernier accès : 2024-08-22.
[36] Scarlett johansson’s statement about her interactions with sam
altman. https://www.nytimes.com/2024/05/20/technology/
scarlett-johansson-openai-statement.html. Dernier accès : 2024-08-21.
[37] Soundthinking. https://www.soundthinking.com/. Dernier accès : 2024-08-16.
[38] Stable diffusion. https://stablediffusion.fr/france. Dernier accès : 2024-09-
19.
[39] Watchos 11 brings powerful health and fitness insights, and even more per-
sonalization and connectivity. https://www.apple.com/newsroom/2024/06/
watchos-11-brings-powerful-health-and-fitness-insights/. Dernier accès :
2024-07-24.
[40] Wise 2024. wise2024-qatar.com. Dernier accès : 2024-09-13.
[41] Words to avoid (or use with care) because they are loaded or confusing. https:
//www.gnu.org/philosophy/words-to-avoid.html#ArtificialIntelligence.
Dernier accès : 2024-08-05.
[42] Recruter avec des outils numériques sans discriminer. https://juridique.
defenseurdesdroits.fr/doc_num.php?explnum_id=18909, 2015. Dernier accès :
2024-09-13.
[43] Lutter contre les discriminations produites par les algorithmes et l’ia.
https://www.defenseurdesdroits.fr/sites/default/files/2024-02/
FICHE7_AlgoIA_0.pdf, 2024. Dernier accès : 2024-09-13.
[44] Nazmiye Ceren Abay, Yan Zhou, Murat Kantarcioglu, Bhavani Thuraisingham, and
Latanya Sweeney. Privacy preserving synthetic data release using deep learning. In
Machine Learning and Knowledge Discovery in Databases : European Conference,
ECML PKDD 2018, Dublin, Ireland, September 10–14, 2018, Proceedings, Part I
18, pages 510–526. Springer, 2019.
[45] John M Abowd and Lars Vilhuber. How protective are synthetic data ? In
International Conference on Privacy in Statistical Databases, pages 239–246. Sprin-
ger, 2008.
[46] Alekh Agarwal, Alina Beygelzimer, Miroslav Dudik, John Langford, and Hanna
Wallach. A reductions approach to fair classification. In International Conference
on Machine Learning, volume 80, pages 60–69, 2018.
[47] Adel Ismail Al-Alawi, Misbah Naureen, Ebtesam Ismaeel AlAlawi, and Ahmed Ab-
dulla Naser Al-Hadad. The role of artificial intelligence in recruitment process
decision-making. In 2021 International Conference on Decision Aid Sciences and
Application (DASA), pages 197–203. IEEE, 2021.

115
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 [48] Kiana Alikhademi, Emma Drobina, Diandra Prioleau, Brianna Richardson, Duncan
Purves, and Juan E. Gilbert. A review of predictive policing from the perspective
of fairness. Artif. Intell. Law, 30(1) :1–17, mar 2022.
[49] Shun-ichi Amari. Backpropagation and stochastic gradient descent method.
Neurocomputing, 5(4-5) :185–196, 1993.
[50] Apple. Apple inteligence chatgpt. https://www.apple.com/newsroom/2024/06/
introducing-apple-intelligence-for-iphone-ipad-and-mac/. Dernier accès :
2024-08-26.
[51] Apple. Apple vision pro. https://www.apple.com/apple-vision-pro/. Dernier
accès : 2024-08-22.
[52] Apple. Siri. https://www.apple.com/siri/. Dernier accès : 2024-08-26.
[53] Devansh Arpit, Stanislaw Jastrzebski, Nicolas Ballas, David Krueger, Emmanuel
Bengio, Maxinder S Kanwal, Tegan Maharaj, Asja Fischer, Aaron Courville, Yoshua
Bengio, et al. A closer look at memorization in deep networks. In International
conference on machine learning, pages 233–242. PMLR, 2017.
[54] Isaac Asimov. I, Robot. 1950.
[55] Isaac Asimov. The Bicentennial Man. 1976.
[56] David Auerbach. The most terrifying thought expe-
riment of all time. https://slate.com/technology/2014/07/
rokos-basilisk-the-most-terrifying-thought-experiment-of-all-time.
html. Dernier accès : 2024-08-22.
[57] John Badham, Lawrence Lasker, Walter F. Parkes, and Harold Schneider. War
games, 1983.
[58] Elizabeth A Barnes, James W Hurrell, Imme Ebert-Uphoff, Chuck Anderson, and
David Anderson. Viewing forced climate patterns through an ai lens. Geophysical
Research Letters, 46(22) :13389–13398, 2019.
[59] Daniel Barthélémy, Nozha Boujemaa, Jean-François Molino, Alexis Joly, Hervé
Goëau, Vera Bakić, Souheil Selmi, Julien Champ, Jennifer Carre, Mathias
Chouet, Aurélien Perronnet, Christelle Vignau, Samuel Dufour-Kowalski, An-
toine Affouard, Julien Barbe, and Pierre Bonnet. Pl@ntNet, une plate-
forme innovante d’agrégation et partage d’observations botaniques. In
Noëline R. Rakotoarisoa, Stephen Blackmore, and Bernard Riera, editors,
International Conference ‘Botanists of the Twenty-first Century’, pages 191–197,
Paris, France, September 2014. UNESCO.
[60] Seth Baum. A survey of artificial general intelligence projects for ethics, risk, and
policy. Global Catastrophic Risk Institute Working Paper, pages 17–1, 2017.
[61] Steven M Bellovin, Preetam K Dutta, and Nathan Reitinger. Privacy and synthetic
datasets. Stan. Tech. L. Rev., 22 :1, 2019.
[62] Shai Ben-David, Johannes Gehrke, and Reba Schuller. A theoretical framework for
learning from a pool of disparate data sources. In Proceedings of the eighth ACM
SIGKDD international conference on Knowledge discovery and data mining, pages
443–449, 2002.
[63] Rob Bensinger. A few misconceptions surrounding roko’s basilisk.
[64] Martin Beraja, Andrew Kao, David Y Yang, and Noam Yuchtman. Ai-tocracy. The
Quarterly Journal of Economics, 138(3) :1349–1402, 2023.

116
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 [65] Antonin Bergeaud, Gilbert Cette, and Simon Drapala. Télétravail et productivité
avant, pendant et après la pandémie de covid-19/telework and productivity before,
during and after the covid-19 crisis. Economie et Statistique, 539(1) :77–93, 2023.
[66] James Bergstra, Brent Komer, Chris Eliasmith, Dan Yamins, and David D Cox.
Hyperopt : a python library for model selection and hyperparameter optimization.
Computational Science & Discovery, 8(1) :014008, 2015.
[67] Edward L. Bernays. Manipulating public opinion : The why and the how. American
Journal of Sociology, 33(6) :958–971, 1928.
[68] Dan Biddle. Adverse impact and test validation. Gower Publishing, London, En-
gland, 2 edition, July 2006.
[69] Léon Bottou. Stochastic gradient descent tricks. In Neural Networks : Tricks of the
Trade : Second Edition, pages 421–436. Springer, 2012.
[70] Léon Bottou et al. Stochastic gradient learning in neural networks. Proceedings of
Neuro-Nımes, 91(8) :12, 1991.
[71] Maxime Bourrigan, Emmanuel Delsinne, Yoann Gentric, François Lussier, Chloé
Mullaert, Serge Nicolas (mathématicien) ), Jean Nougayrède, Claire Tête, and Mi-
chel Volcker. Maths MPSI-MP2I : tout-en-un. 2021.
[72] Sarah Brayne, Alex Rosenblat, and Danah Boyd. Predictive policing. Data & Civil
Rights : A New Era Of Policing And Justice, pages 2015–1027, 2015.
[73] Leo Breiman. Random forests. Machine learning, 45 :5–32, 2001.
[74] James Cameron and Gale Anne Hurd. The terminator, 1999.
[75] Gürol Canbek, Tugba Taskaya Temizel, and Seref Sagiroglu. Ptopi : A comprehen-
sive review, analysis, and knowledge representation of binary classification perfor-
mance measures/metrics. SN Computer Science, 4(1) :13, 2022.
[76] Nicholas Carlini, Steve Chien, Milad Nasr, Shuang Song, Andreas Terzis, and Flo-
rian Tramer. Membership inference attacks from first principles, 2022.
[77] Nicholas Carlini, Steve Chien, Milad Nasr, Shuang Song, Andreas Terzis, and Flo-
rian Tramer. Membership inference attacks from first principles, 2022.
[78] Hongyang Chang and R. Shokri. On the privacy risks of algorithmic fairness.
European Security & Privacy, pages 292–303, 2021.
[79] Junjie Chen, Wendy Hui Wang, and Xinghua Shi. Differential privacy protec-
tion against membership inference attack on machine learning for genomic data.
In BIOCOMPUTING 2021 : Proceedings of the Pacific Symposium, pages 26–37.
World Scientific, 2020.
[80] Davide Chicco, Niklas Tötsch, and Giuseppe Jurman. The matthews correlation
coefficient (mcc) is more reliable than balanced accuracy, bookmaker informedness,
and markedness in two-class confusion matrix evaluation. BioData mining, 14 :1–22,
2021.
[81] Jin-A Choi and Kiho Lim. Identifying machine learning techniques for classification
of target advertising. ICT Express, 6(3) :175–180, 2020.
[82] Philippe G Ciarlet. Introduction à l’anályse numérique matricielle et à
l’optimisation : cours et exercices corrigés. 2006.
[83] Gérard Cornu. Vocabulaire juridique. 2014. Dixième édition.

117
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 [84] Thomas M Cover. Elements of information theory. John Wiley & Sons, 1999.
[85] Rachel Cummings, Varun Gupta, Dhamma Kimpara, and Jamie Morgenstern.
On the compatibility of privacy and fairness. In Conference on User Modeling,
Adaptation and Personalization, page 309–315, 2019.
[86] Enyan Dai, Tianxiang Zhao, Huaisheng Zhu, Junjie Xu, Zhimeng Guo, Hui Liu,
Jiliang Tang, and Suhang Wang. A comprehensive survey on trustworthy graph
neural networks : Privacy, robustness, fairness, and explainability. arXiv preprint
arXiv :2204.08570, 2022.
[87] Mehwish Dildar, Shumaila Akram, Muhammad Irfan, Hikmat Ullah Khan, Muham-
mad Ramzan, Abdur Rehman Mahmood, Soliman Ayed Alsaiari, Abdul Hakeem M
Saeed, Mohammed Olaythah Alraddadi, and Mater Hussen Mahnashi. Skin can-
cer detection : a review using deep learning techniques. International journal of
environmental research and public health, 18(10) :5479, 2021.
[88] Frances Ding, Moritz Hardt, John Miller, and Ludwig Schmidt. Retiring adult :
New datasets for fair machine learning. Advances in Neural Information Processing
Systems, 34, 2021.
[89] Discord. Messagerie discord. https://discord.com/. Dernier accès : 2024-08-26.
[90] Khoa Doan, Yingjie Lao, Weijie Zhao, and Ping Li. Lira : Learnable, impercep-
tible and robust backdoor attacks. In Proceedings of the IEEE/CVF international
conference on computer vision, pages 11966–11976, 2021.
[91] Julia Dressel and Hany Farid. The accuracy, fairness, and limits of predicting reci-
divism. Science advances, 4(1) :eaao5580, 2018.
[92] Mengnan Du, Ninghao Liu, and Xia Hu. Techniques for interpretable machine
learning. Communications of the ACM, 63(1) :68–77, 2019.
[93] Vasisht Duddu, Sebastian Szyller, and N Asokan. Sok : Unintended interactions
among machine learning defenses and risks. arXiv preprint arXiv :2312.04542, 2023.
[94] Jessilyn Dunn, Ryan Runge, and Michael Snyder. Wearables and the medical revo-
lution. Personalized medicine, 15(5) :429–448, 2018.
[95] Cynthia Dwork, Moritz Hardt, Toniann Pitassi, Omer Reingold, and Rich Zemel.
Fairness through awareness, 2011.
[96] Cynthia Dwork, Moritz Hardt, Toniann Pitassi, Omer Reingold, and Rich Zemel.
Fairness through awareness, 2011.
[97] Herbert B Enderton. Elements of set theory. Academic press, 1977.
[98] Franklin Fearing. Influence of the movies on attitudes and behavior. The ANNALS
of the American Academy of Political and Social Science, 254(1) :70–79, 1947.
[99] Vitaly Feldman. Does learning require memorization ? a short tale about a long
tail. In Proceedings of the 52nd Annual ACM SIGACT Symposium on Theory of
Computing, pages 954–959, 2020.
[100] Ferdinando Fioretto, Cuong Tran, Pascal Van Hentenryck, and Keyu Zhu. Differen-
tial privacy and fairness in decisions and learning tasks : A survey. In International
Joint Conference on Artificial Intelligence, pages 5470–5477, 7 2022.
[101] R. A. Fisher. Iris. UCI Machine Learning Repository, 1936. DOI : https ://-
doi.org/10.24432/C56C76.

118
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 [102] Virginie Forment and Joëlle Vidalenc. Les cadres : de plus en plus de femmes.
https://www.insee.fr/fr/statistiques/4768237. Dernier accès : 2024-08-26.
[103] Danilo Franco, Luca Oneto, Nicolò Navarin, and Davide Anguita. Toward lear-
ning trustworthily from data combining privacy, fairness, and explainability : an
application to face recognition. Entropy, 23(8) :1047, 2021.
[104] Matthew Fredrikson, Eric Lantz, Somesh Jha, Simon Lin, David Page, and Thomas
Ristenpart. Privacy in pharmacogenetics : An end-to-end case study of personalized
warfarin dosing. In USENIX Conference on Security Symposium, page 17–32, 2014.
[105] Sigmund Freud. Le moi et le ça. Payot, 2010. Das Ich und das Es, 1923. Traduction
Jean Laplanche.
[106] Thierry Gallay. Théorie de la mesure et de l’intégration. https://www-fourier.
ujf-grenoble.fr/~edumas/integration.pdf. Dernier accès : 2024-08-29.
[107] Yansong Gao, Bao Gia Doan, Zhi Zhang, Siqi Ma, Jiliang Zhang, Anmin Fu, Su-
rya Nepal, and Hyoungshick Kim. Backdoor attacks and countermeasures on deep
learning : A comprehensive review. arXiv preprint arXiv :2007.10760, 2020.
[108] Ian J. Goodfellow, Jean Pouget-Abadie, Mehdi Mirza, Bing Xu, David Warde-
Farley, Sherjil Ozair, Aaron Courville, and Yoshua Bengio. Generative adversarial
nets. In Proceedings of the 27th International Conference on Neural Information
Processing Systems - Volume 2, NIPS’14, page 2672–2680, Cambridge, MA, USA,
2014. MIT Press.
[109] Google. Google assistant. https://assistant.google.com/. Dernier accès : 2024-
08-26.
[110] Thomas D Grant and Damon J Wischik. Show us the data : Privacy, explainability,
and why the law can’t have both. Geo. Wash. L. Rev., 88 :1350, 2020.
[111] Edward R Green. Race, social status, and criminal arrest. In Readings in
Criminology and Penology, pages 267–283. Columbia University Press, 1972.
[112] Léo Grinsztajn, Edouard Oyallon, and Gaël Varoquaux. Why do tree-based mo-
dels still outperform deep learning on typical tabular data ? Advances in neural
information processing systems, 35 :507–520, 2022.
[113] Matt Groening. Futurama, 2003.
[114] Varun Gulshan, Lily Peng, Marc Coram, Martin C Stumpe, Derek Wu, Arunachalam
Narayanaswamy, Subhashini Venugopalan, Kasumi Widner, Tom Madams, Jorge
Cuadros, et al. Development and validation of a deep learning algorithm for detec-
tion of diabetic retinopathy in retinal fundus photographs. jama, 316(22) :2402–
2410, 2016.
[115] Moritz Hardt, Eric Price, and Nathan Srebro. Equality of opportunity in supervised
learning. In Advances in Neural Information Processing Systems, page 3323–3331,
2016.
[116] Moritz Hardt, Eric Price, and Nathan Srebro. Equality of opportunity in supervised
learning. CoRR, abs/1610.02413, 2016.
[117] Douglas M Hawkins. The problem of overfitting. Journal of chemical information
and computer sciences, 44(1) :1–12, 2004.
[118] John Houghton. Global warming. Reports on progress in physics, 68(6) :1343, 2005.

119
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 [119] George Howard, Roger T Anderson, Gregory Russell, Virginia J Howard, and Gre-
gory L Burke. Race, socioeconomic status, and cause-specific mortality. Annals of
epidemiology, 10(4) :214–223, 2000.
[120] Y.S. Huang and C.Y. Suen. The behavior-knowledge space method for combination
of multiple classifiers. In Proceedings of IEEE Conference on Computer Vision and
Pattern Recognition, pages 347–352, 1993.
[121] AMERICAN FILM INSTITUTE. 100 years...100 movies. https://www.afi.
com/afis-100-years-100-movies-10th-anniversary-edition/. Dernier accès :
2024-08-21.
[122] Bargav Jayaraman and David Evans. Are attribute inference attacks just imputa-
tion ? arXiv preprint arXiv :2209.01292, 2022.
[123] Aurélie Jean. En 2024, bannissons les termes "intelligence artificielle". https:
//www.radiofrance.fr/franceculture/podcasts/le-biais-d-aurelie-jean/
le-biais-d-aurelie-jean-chronique-du-mardi-02-janvier-2024-9653995.
Dernier accès : 2024-08-05.
[124] Jinyuan Jia and Neil Zhenqiang Gong. Attriguard : A practical defense against
attribute inference attacks via adversarial machine learning. In USENIX Security,
pages 513–529, 2018.
[125] Donghan Jin, Raffaella Ocone, Kui Jiao, and Jin Xuan. Energy and ai. Energy and
AI, 1 :100002, 2020.
[126] Deborah G Johnson and Mario Verdicchio. Ai anxiety. Journal of the Association
for Information Science and Technology, 68(9) :2267–2270, 2017.
[127] Spike Jonze. Her, 2013.
[128] James Jordon, Jinsung Yoon, and Mihaela Van Der Schaar. Pate-gan : Generating
synthetic data with differential privacy guarantees. In International conference on
learning representations, 2018.
[129] Faisal Kamiran and Toon Calders. Data pre-processing techniques for classification
without discrimination. Knowledge and Information Systems, 33, 2011.
[130] Atul A Khasnis and Mary D Nettleman. Global warming and infectious disease.
Archives of medical research, 36(6) :689–696, 2005.
[131] Jyrki Kivinen and Manfred K Warmuth. Exponentiated gradient versus gradient
descent for linear predictors. information and computation, 132(1) :1–63, 1997.
[132] Stanley Kubrick and Arthur C. Clarke. 2001 : A space odyssey, 1968.
[133] Nallapaneni Manoj Kumar, Aneesh A Chand, Maria Malvoni, Kushal A Prasad,
Kabir A Mamun, FR Islam, and Shauhrat S Chopra. Distributed energy resources
and the application of ai, iot, and blockchain in smart grids. Energies, 13(21) :5739,
2020.
[134] Aparna Kumari, Rajesh Gupta, Sudeep Tanwar, and Neeraj Kumar. Blockchain and
ai amalgamation for energy cloud management : Challenges, solutions, and future
directions. Journal of Parallel and Distributed Computing, 143 :148–166, 2020.
[135] Roshan Kumari and Saurabh Kr Srivastava. Machine learning : A review on binary
classification. International Journal of Computer Applications, 160(7), 2017.
[136] Aditya Kuppa, Lamine Aouad, and Nhien-An Le-Khac. Towards improving privacy
of synthetic datasets. In Annual Privacy Forum, pages 106–119. Springer, 2021.

120
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 [137] Yann Le Cun. Quand la machine apprend. Odile Jacob, Paris, France, October
2019.
[138] Jean-François Le Gall. IntÃľgration,ProbabilitÃľesetProcessusAlÃľatoires.
https://www.imo.universite-paris-saclay.fr/~jean-francois.le-gall/
IPPA2.pdf. Dernier accès : 2024-08-29.
[139] Thomas Lebrun, Antoine Boutet, Jan Aalmoes, and Adrien Baud. Mixnn : protec-
tion of federated learning against inference attacks by mixing neural network layers.
In Proceedings of the 23rd ACM/IFIP International Middleware Conference, volume
2948 of Middleware ’22, page 135–147. ACM, November 2022.
[140] Jingyi Jessica Li and Xin Tong. Statistical hypothesis testing versus machine lear-
ning binary classification : Distinctions and guidelines. Patterns, 1(7), 2020.
[141] Zhiyuan “Jerry” Lin, Jongbin Jung, Sharad Goel, and Jennifer Skeem. The limits
of human predictions of recidivism. Science Advances, 6(7) :eaaz0652, 2020.
[142] Halgurd S Maghded, Kayhan Zrar Ghafoor, Ali Safaa Sadiq, Kevin Curran, Danda B
Rawat, and Khaled Rabie. A novel ai-enabled framework to diagnose coronavirus
covid-19 using smartphone embedded sensors : design study. In 2020 IEEE 21st
international conference on information reuse and integration for data science (IRI),
pages 180–187. IEEE, 2020.
[143] Mohammad Malekzadeh, Anastasia Borovykh, and Deniz Gündüz. Honest-but-
curious nets : Sensitive attributes of private inputs can be secretly coded into the
classifiers’ outputs. In Conference on Computer and Communications Security, page
825–844, 2021.
[144] GEORGE M. MARAKAS, RICHARD D. JOHNSON, and JONATHAN W. PAL-
MER. A theoretical model of differential social attributions toward computing
technology : when the metaphor becomes the model. International Journal of
Human-Computer Studies, 52(4) :719–750, 2000.
[145] John McCarthy, Marvin Minsky, Rochester Nathaniel, and Claude Shannon.
Dartmouth summer research project on artificiale intelligence. https://
raysolomonoff.com/dartmouth/boxa/dart564props.pdf. Dernier accès : 2024-
08-05.
[146] Marcia McNutt. Climate change impacts, 2013.
[147] Shagufta Mehnaz, Sayanton V. Dibbo, Ehsanul Kabir, Ninghui Li, and Elisa Ber-
tino. Are your sensitive attributes private ? novel model inversion attribute inference
attacks on classification models. In USENIX Security Symposium, pages 4579–4596,
2022.
[148] Ninareh Mehrabi, Fred Morstatter, Nripsuta Saxena, Kristina Lerman, and Aram
Galstyan. A survey on bias and fairness in machine learning. Comput. Surv., 54(6),
jul 2021.
[149] Jerry M Melillo, TT Richmond, Gary Yohe, et al. Climate change impacts in the
united states. Third national climate assessment, 52 :150–174, 2014.
[150] Meta. What is the metaverse ? https://about.meta.com/
what-is-the-metaverse/. Dernier accès : 2024-08-22.
[151] Jack Ngarambe, Geun Young Yun, and Mat Santamouris. The use of artificial intel-
ligence (ai) methods in the prediction of thermal comfort in buildings : Energy im-
plications of ai-based thermal comfort controls. Energy and Buildings, 211 :109807,
2020.

121
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 [152] Johan Öfverstedt, Joakim Lindblad, and Nataša Sladoje. Fast computation of mu-
tual information in the frequency domain with applications to global multimodal
image alignment. Pattern Recognition Letters, 159 :196–203, 2022.
[153] Olajide Ore and Martin Sposato. Opportunities and risks of artificial intelligence
in recruitment and selection. International Journal of Organizational Analysis,
30(6) :1771–1782, 2022.
[154] F. Pedregosa, G. Varoquaux, A. Gramfort, V. Michel, B. Thirion, O. Grisel, M. Blon-
del, P. Prettenhofer, R. Weiss, V. Dubourg, J. Vanderplas, A. Passos, D. Courna-
peau, M. Brucher, M. Perrot, and E. Duchesnay. Scikit-learn : Machine learning in
Python. Journal of Machine Learning Research, 12 :2825–2830, 2011.
[155] Samuel Pélissier, Jan Aalmoes, Abhishek Kumar Mishra, Mathieu Cunche, Vincent
Roca, and Didier Donsez. Privacy-preserving pseudonyms for lorawan. In
Proceedings of the 17th ACM Conference on Security and Privacy in Wireless and
Mobile Networks, WiSec ’24, page 14–19, New York, NY, USA, 2024. Association
for Computing Machinery.
[156] Roger A Pielke Jr, Chris Landsea, Max Mayfield, J Layer, and Richard Pasch.
Hurricanes and global warming. Bulletin of the American Meteorological Society,
86(11) :1571–1576, 2005.
[157] Haoyue Ping, Julia Stoyanovich, and Bill Howe. Datasynthesizer : Privacy-
preserving synthetic datasets. In Proceedings of the 29th International Conference
on Scientific and Statistical Database Management, pages 1–5, 2017.
[158] Platon. La République. 300 av. JC.
[159] Platon. Théétète. 300 av. JC.
[160] R. Polikar. Ensemble based systems in decision making. IEEE Circuits and Systems
Magazine, 6(3) :21–45, 2006.
[161] William Poundstone. Prisoner’s Dilemma. Anchor Books, New York, NY, January
1993.
[162] Thomas P Quinn, Stephan Jacobs, Manisha Senadeera, Vuong Le, and Simon Cogh-
lan. The three ghosts of medical ai : Can the black-box present deliver ? Artificial
intelligence in medicine, 124 :102158, 2022.
[163] Md Atiqur Rahman, Tanzila Rahman, Robert Laganière, Noman Mohammed, and
Yang Wang. Membership inference attack against differentially private deep learning
model. Trans. Data Priv., 11(1) :61–79, 2018.
[164] Arun Rai. Explainable ai : From black box to glass box. Journal of the Academy
of Marketing Science, 48 :137–141, 2020.
[165] Roko. Solutions to the altruist’s burden : the quantum billionaire trick.
https://rationalwiki.org/wiki/Roko%27s_basilisk/Original_post#
Solutions_to_the_Altruist.27s_burden:_the_Quantum_Billionaire_Trick,
2010. Dernier accès : 2024-08-22.
[166] Jean-Jeacques Rousseau. Du contrat social ou Principes du droit politique. 1762.
[167] Roy Schwartz, Jesse Dodge, Noah A Smith, and Oren Etzioni. Green ai.
Communications of the ACM, 63(12) :54–63, 2020.
[168] John R Searle. Minds, brains, and programs. Behavioral and brain sciences,
3(3) :417–424, 1980.

122
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 [169] Shahar Segal, Yossi Adi, Benny Pinkas, Carsten Baum, Chaya Ganesh, and Joseph
Keshet. Fairness in the eyes of the data : Certifying machine-learning models, 2021.
[170] Dmitrii Shadrin, Alexander Menshchikov, Dmitry Ermilov, and Andrey Somov. De-
signing future precision agriculture : Detection of seeds germination using artificial
intelligence on a low-power embedded system. IEEE Sensors Journal, 19(23) :11573–
11582, 2019.
[171] Reza Shokri, Marco Stronati, Congzheng Song, and Vitaly Shmatikov. Membership
inference attacks against machine learning models. In 2017 IEEE symposium on
security and privacy (SP), pages 3–18. IEEE, 2017.
[172] Ravid Shwartz-Ziv and Amitai Armon. Tabular data : Deep learning is not all you
need. Information Fusion, 81 :84–90, 2022.
[173] Beth Singler. Roko’s basilisk or pascal’s ? thinking of singularity thought experi-
ments as implicit religion. Implicit Religion, 20(3), 2017.
[174] Beth Singler. Roko’s basilisk or pascal’s ? thinking of singularity thought experi-
ments as implicit religion. Implicit Religion, 20(3) :279–297, May 2018.
[175] Louise J Slater, Louise Arnal, Marie-Amélie Boucher, Annie Y-Y Chang, Simon
Moulds, Conor Murphy, Grey Nearing, Guy Shalev, Chaopeng Shen, Linda Speight,
et al. Hybrid forecasting : blending climate predictions with ai models. Hydrology
and earth system sciences, 27(9) :1865–1889, 2023.
[176] Congzheng Song and Vitaly Shmatikov. Overlearning reveals sensitive attributes.
In International Conference on Learning Representations, 2020.
[177] Theresa Stadler, Bristena Oprisanu, and Carmela Troncoso. Synthetic data-a pri-
vacy mirage. arXiv preprint arXiv :2011.07018, 2020.
[178] Theresa Stadler, Bristena Oprisanu, and Carmela Troncoso. Synthetic data–
anonymisation groundhog day. In 31st USENIX Security Symposium (USENIX
Security 22), pages 1451–1468, 2022.
[179] Hugo Touvron, Louis Martin, Kevin Stone, Peter Albert, Amjad Almahairi, Yas-
mine Babaei, Nikolay Bashlykov, Soumya Batra, Prajjwal Bhargava, Shruti Bho-
sale, et al. Llama 2 : Open foundation and fine-tuned chat models. arXiv preprint
arXiv :2307.09288, 2023.
[180] Derya Ucoglu. Current machine learning applications in accounting and auditing.
PressAcademia Procedia, 12(1) :1–7, 2020.
[181] Chaîne Youtube Underscore. Cette nouvelle ia est bluffante. https://www.
youtube.com/watch?v=QUr93cD2ZUs, 2024. Dernier accès : 2024-08-05.
[182] https://support.discord.com/hc/en-us/profiles/2921470028-Buffy. In-
channel conversation summaries. https://support.discord.com/hc/en-us/
articles/12926016807575-In-Channel-Conversation-Summaries. Dernier ac-
cès : 2024-08-26.
[183] Roberto Verdecchia, June Sallou, and Luís Cruz. A systematic review of green
ai. Wiley Interdisciplinary Reviews : Data Mining and Knowledge Discovery,
13(4) :e1507, 2023.
[184] Cédric Villani, Marc Schoenauer, Yann Bonnet, Charly Berthet,
Anne-Charlotte Cornut, François Levin, and Bertrand Rondepierre.
Donner un sens à l’intelligence artificielle. Mission Villani sur l’intelligence
artificielle, March 2018.

123
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 [185] Wachowski, Silver, and Pope. The matrix, 1999.
[186] Zach Walsh and David S Kosson. Psychopathy and violent crime : A prospec-
tive study of the influence of socioeconomic status and ethnicity. Law and human
behavior, 31 :209–229, 2007.
[187] Yuxia Wang, Haonan Li, Xudong Han, Preslav Nakov, and Timothy Baldwin.
Do-not-answer : A dataset for evaluating safeguards in llms. arXiv preprint
arXiv :2308.13387, 2023.
[188] Austin Waters and Risto Miikkulainen. Grade : Machine learning support for gra-
duate admissions. Ai Magazine, 35(1) :64–64, 2014.
[189] Joss Whedon and Kevin Feige. Avengers : Age of ultron, 2015. Based on the comics
by Stan Lee and Jack Kirby.
[190] David R Williams. Race/ethnicity and socioeconomic status : measurement and
methodological issues. International Journal of Health Services, 26(3) :483–505,
1996.
[191] Lei Xu, Maria Skoularidou, Alfredo Cuesta-Infante, and Kalyan Veeramachaneni.
Modeling tabular data using conditional gan, 2019.
[192] Samuel Yeom, Irene Giacomelli, Matt Fredrikson, and Somesh Jha. Privacy risk in
machine learning : Analyzing the connection to overfitting, 2018.
[193] Samuel Yeom, Irene Giacomelli, Matt Fredrikson, and Somesh Jha. Privacy risk in
machine learning : Analyzing the connection to overfitting, 2018.
[194] Xue Ying. An overview of overfitting and its solutions. In Journal of physics :
Conference series, volume 1168, page 022022. IOP Publishing, 2019.
[195] Hao Yuan, Haiyang Yu, Shurui Gui, and Shuiwang Ji. Explainability in graph neural
networks : A taxonomic survey. IEEE transactions on pattern analysis and machine
intelligence, 45(5) :5782–5799, 2022.
[196] Muhammad Bilal Zafar, Isabel Valera, Manuel Gomez-Rodriguez, and Krishna P.
Gummadi. Fairness constraints : A flexible approach for fair classification. Journal
of Machine Learning Research, 20(75) :1–42, 2019.
[197] Brian Hu Zhang, Blake Lemoine, and Margaret Mitchell. Mitigating unwanted
biases with adversarial learning. In Conference on AI, Ethics, and Society, page
335–340, 2018.
[198] Brian Hu Zhang, Blake Lemoine, and Margaret Mitchell. Mitigating unwanted
biases with adversarial learning. In Proceedings of the 2018 AAAI/ACM Conference
on AI, Ethics, and Society, AIES ’18, page 335–340, New York, NY, USA, 2018.
Association for Computing Machinery.
[199] Benjamin Zi Hao Zhao, Aviral Agrawal, Catisha Coburn, Hassan Jameel Asghar,
Raghav Bhaskar, Mohamed Ali Kaafar, Darren Webb, and Peter Dickinson. On
the (in)feasibility of attribute inference attacks on machine learning models. In
European Security & Privacy, pages 232–251, 2021.
[200] Quan Zou, Sifa Xie, Ziyu Lin, Meihong Wu, and Ying Ju. Finding the best classi-
fication threshold in imbalanced classification. Big Data Research, 5 :2–8, 2016.

124
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Annexe A

Mots-clefs pour la recherche de projets

IA

Intelligence artificielle
Artificial Intelligence
Apprentissage profond
Réseaux neuronaux
Traitement du langage naturel
Vision par ordinateur
Machine learning
Deep learning
IA éthique
Génération automatique de contenu
Artificial Intelligence
Machine Learning
Deep Learning
Neural Networks
Natural Language Processing
Computer Vision
Ethical AI
IA éthique
Éthique de l’IA
Apprentissage supervisé
Apprentissage non supervisé
Apprentissage par renforcement
Neural Networks
Neuronal Networks
Natural Language Processing
AI Content Creation
Supervised Learning
Création de contenu textuel
Réseaux génératifs adverses
Modèles de transformation
DALL-E
Autoencodeurs variationnels
Stable Diffusion

125
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Modèles de diffusion
Unsupervised Learning
Reinforcement Learning
IA générative
Intelligence artificielle générative
Modèles génératifs
Génération d’images
Computer Vision
Artificial Vision
Modèles de langage
DALL-E
Variational Autoencoders
Stable Diffusion
Diffusion models
Machine translation
AI-driven artistic creation
Generative art
AI-assisted design
AI-generated multimedia
Video generation
AI animation
Modèles pré-entraînés
StyleGAN
BERT

126
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Annexe B

Liste de 25 critères de discrimination

Origine
Sexe
Situation de famille
Grossesse
Apparence physique
Vulnérabilité particulière liée à la situation économique
Nom
Lieu de résidence
État de santé
Perte d’autonomie
Handicap
Caractéristiques génétiques
Mœurs
Orientation sexuelle
Identité de genre
Âge
Opinions politiques
Activités syndicales
Qualité de lanceur d’alerte
Qualité de facilitateur de lanceur d’alerte ou de personne en
lien avec un lanceur d’alerte
Langue parlée (capacité à s’exprimer dans une langue autre que le français)
Ethnie
Nation
Race prétendue
Religion

127
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 128
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Table des figures

2.1 Exemples de produits et de marketing proposés par les GAFAM Google

Apple Facebook (Meta) Amazon Microsoft. . . . . . . . . . . . . . . . . . . 20
2.2 Exemples d’utilisation de ChatGPT. . . . . . . . . . . . . . . . . . . . . . 22
2.3 Illustration de la définition de système IA par l’Union Européenne. . . . . 25
2.4 L’IA : un grand méchant. WarGames [57]. Avengers : Age of Ultron [189].
The Matrix [185]. The Terminator [74]. Futurama [113]. 2001 : A space
Odyssey [132] . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27
2.5 Réponse de ChatGPT à la question « Penses-tu ? ». . . . . . . . . . . . . . 32
2.6 Intérêt pour la recherche « Intelligence artificielle » en France dans Google.
Les données ont été exportées grâce à Google Trend [15]. . . . . . . . . . . 33
2.7 Financement de la recherche en IA par l’Agence Nationale de la Recherche
(ANR). . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
2.8 Grid5000 : une infrastructure de calcul scientifique distribuée. Source : www.
grid5000.fr/w/File:G5k-backbone.png . . . . . . . . . . . . . . . . . . 37
2.9 Les données d’entraînement servent à trouver les paramètres du modèle.
L’attaquant utilise les paramètres pour retrouver des informations sur les
données d’entraînement. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39

3.1 Convergence de la méthode de gradient. . . . . . . . . . . . . . . . . . . . 56

3.2 Impact de la convexité sur la convergence. . . . . . . . . . . . . . . . . . . 59
3.3 La courbe ROC. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
3.4 Exemple de relation entre régression (logit) et prédiction. . . . . . . . . . . 62
3.5 Exemple d’une régression logistique qui a une meilleure performance pour
les hommes que pour les femmes. Les données proviennent d’une génération
et servent uniquement à titre d’illustration. La régression logistique a bien
été optimisée sur les données générées en utilisant l’algorithme de scikit
learn [154] . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 66
3.6 Lien entre sur-ajustement et succès de l’attaque MIA. . . . . . . . . . . . . 69

4.1 Comparaison de l’exactitude équilibrée entre une forêt aléatoire (Random

forest) et notre algorithme (Finit classifier). . . . . . . . . . . . . . . . . . 85
4.2 Comparaison du temps de calcul pour l’entraînement entre une forêt aléa-
toire (Random forest) et notre algorithme (Finit classifier). . . . . . . . . . 86
4.3 Paul Alexis lisant à Emile Zola, Paul Cézanne, 1869-1870 (Huile sur toile)
São Paulo, MASP, Museu de Arte de São Paulo Assis Chateaubriand ©
Museu de Arte, Sao Paulo, Brazil / Giraudon / Bridgeman Giraudon . . . 87

5.1 Optimisation du seuil du modèle d’attaque AdaptAIA-S. . . . . . . . . . 95

5.2 Simulation du modèle de menace . . . . . . . . . . . . . . . . . . . . . . . 97

129
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 5.3 Impact de la réduction pour une classification équitable sur le succès de
AdaptAIA-H. Baseline = sans réduction. Theoretical = 12 p1`DemP arLvlq
avec réduction. Empirical = avec réduction. . . . . . . . . . . . . . . . . . 98
5.4 Impact du rééquilibrage adverse sur le succès de AdaptAIA-S. baseline =
sans rééquilibrage adverse. AdvDebias = avec rééquilibrage adverse. . . . . 98
5.5 Impact du rééquilibrage adverse sur le succès de AdaptAIA-H. baseline
= succès de l’attaque sans rééquilibrage adverse. Empirical = succès de
l’attaque avec rééquilibrage adverse. Theoretical = 21 p1`DemP arLvlq avec
rééquilibrage adverse . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99
5.6 Impact de l’utilisation de la réduction pour une classification équitable sur
l’utilité. Baseline = sans réduction. EGD+DemPar = avec réduction. . . 99
5.7 Impact de l’utilisation du rééquilibrage adverse sur l’utilité. baseline = sans
rééquilibrage adverse. AdvDebias = avec rééquilibrage adverse. . . . . . . 99

6.1 Dans cette figure nous détaillons la fonction OVR CTRL. Cette fonction
contrôle le niveau de sur-ajustement du modèle cible. Elle prend en entrée
une base de données de taille N et en ressort une autre de taille M . Dans un
premier temps, nous sélectionnons N lignes de manière aléatoire que nous
appelons r0 , ¨ ¨ ¨ , rN ´1 . Ensuite, nous répétons les lignes t M
N
u fois. Enfin nous
mélangeons la base de données obtenue. . . . . . . . . . . . . . . . . . . . . 103
6.2 Méthodologie de recherche d’un niveau de répétition qui permet de satis-
faire une haute utilité et sensibilité à la MIA. Nous utilisons un total de
100.000 points. Dans cette expérience nous utilisons uniquement le généra-
teur CTGAN. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 104
6.3 Cette figure présente les sous-ensembles des données utilisés pour le calcul
des résultats. Cette figure se lit à partir du coin supérieur gauche avec les
données réelles. Les rectangles représentent des fonctions dont les entrées
sont les flèches entrantes et les sorties les flèches sortantes. Si l’entrée d’une
fonction est une donnée d’entraînement, nous l’indiquons au dessus de la
flèche. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 105
6.4 Utilité du modèle cible en termes d’exactitude équilibrée sur des données
non vues à l’entraînement. Le terme Real signifie que le générateur est
l’identité, les données synthétiques utilisées pour entraîner le modèle cible
sont donc les données réelles. Le terme Synthetic signifie que le générateur
est un CGAN. Dans ce cas le modèle cible n’est pas entraîné sur des données
réelles. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 106
6.5 Succès de la MIA en terme d’exactitude équilibrée évalué sur la partie
Évaluation de la base MIA. . . . . . . . . . . . . . . . . . . . . . . . . . . 107
6.6 Exactitude équilibrée de l’AIA sur la partie Évaluation de la base AIA.
La base AIA utilise des points qui n’ont pas été vus à l’entraînement du
générateur. Le modèle cible est entraîné sans utiliser l’attribut sensible. . . 107

130
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 Liste des tableaux

1 Liste des notations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16

2.1 Tableau des gains de croire ou ne pas croire en Dieu. E représente le gain
moyen (voir la Section 3.1.3 pour une définition formelle de l’espérance). . 29
2.2 Basilic de Roko . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29

131
Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés
 FOLIO ADMINISTRATIF

.THESE
. . . . . . . . . DE
. . . . .L’INSA
. . . . . . . . LYON, MEMBRE
. . . . . . . ......... DE.........
... . .... L’UNIVERSITE DE .......
... .. ... . ..... LYON

NOM : Aalmoes DATE de SOUTENANCE : 10/12/2024

Prénoms : Jan

TITRE : Intelligence artificielle pour des services moraux : concilier équité et confidentialité

NATURE : Doctorat Numéro d’ordre : (donné au moment du dépôt)

École Doctorale : Informatique et mathématiques de Lyon

Spécialité : Mathématiques

RÉSUMÉ :
L’intelligence artificielle (IA) est de plus en plus présente dans de nombreux domaines comme la santé, les médias ou
les ressources humaines. Ces technologies induisent des risques pour la confidentialité des données personnelles
des utilisateurs et peuvent introduire des biais discriminatoires rendant les décisions automatiques non équitables.
Cette inéquité est étudiée à deux niveaux dans la littérature scientifique. L’équité individuelle cherche à s’assurer que
les IA se comportent de la même manière à toutes choses égales, excepté un attribut sensible comme la couleur
de peau. L’équité de groupe, quant à elle, cherche à comprendre les différences de traitement par les IA entre les
minorités.
Ma principale contribution vise à comprendre le lien entre l’équité de groupe et la confidentialité des attributs sensibles
des utilisateurs. Notre approche théorique nous a amené à démontrer que, sous un certain aspect, la confidentialité
et l’équité pouvaient travailler de concert pour créer des IAs plus fiables. Nous avons validé ces résultats en suivant
une approche expérimentale en étudiant des bases de données et des algorithmes d’apprentissage standards.
Pour ce faire nous commençons par présenter un état de l’art qui permet de mieux comprendre ce qu’est l’IA et quels
sont les enjeux et les régulations. Nous verrons ainsi que l’équité et la confidentialité sont des points capitaux qu’il
faut prendre en compte pour un développement moral de l’IA. Ensuite nous présenterons un nouvel algorithme d’ap-
prentissage automatique que nous utiliserons pour construire une attaque d’inférence d’attributs sensibles. Enfin, les
données synthétiques sont utilisées pour contourner les obligations légales de protection des données personnelles.
Nous explorerons donc l’impact de l’utilisation des données synthétiques pour l’entraînement des IAs sur l’inférence
d’attributs sensibles.

MOTS-CLÉS : Intelligence articielle, Equité, Confidentialité, Privacy, Fairness

Laboratoire(s) de recherche : CITI

Directeur de thèse : Mathieu Cunche

Président du Jury : BOUCHENAK Sara

Composition du Jury :
BOUCHENAK, Sara et SIHEM, Amer-Yahia et ALLARD, Tristan et HUGUET, Mari-José et RUDAMETKIN, Walter
et PERROT, Michael

Thèse accessible à l'adresse : https://theses.insa-lyon.fr/publication/2024ISAL0126/these.pdf © [J. Aalmoes], [2024], INSA Lyon, tous droits réservés