Généalogie des modèles d'IA open source : l'outil que la CNIL vient de mettre à jour

La CNIL a mis à jour le 26 août 2026 son outil Genmod, un démonstrateur qui retrace la généalogie des modèles d'IA publiés en source ouverte. À partir d'un modèle donné, il remonte vers ses modèles sources, puis redescend vers ses variantes dérivées.

L'usage visé est écrit noir sur blanc dans le communiqué de la CNIL du 26 août 2026. Partir d'un modèle qui a mémorisé des données personnelles, puis retrouver les autres modèles de sa lignée susceptibles d'avoir conservé les mêmes informations. C'est un instrument de traçabilité, pas un gadget de curiosité technique.

Ce que change cette mise à jour

La CNIL annonce cinq améliorations. Prise isolément, aucune n'impressionne.

• Une recherche sans limite de profondeur prend désormais 20 secondes en moyenne.
• L'interface existe en français et en anglais.
• La base se synchronise chaque semaine avec Hugging Face, automatiquement.
• La progression et la file d'attente sont visibles, et les résultats arrivent triés par nombre de téléchargements.
• L'outil fonctionne sur Firefox, Chrome, Edge et Safari.

L'effet cumulé, lui, compte. L'outil devient utilisable dans une vraie séance de travail, là où une version plus lente restait cantonnée à la démonstration.

Le problème réglementaire que Genmod cherche à résoudre

Un modèle open source publié sur Hugging Face donne rarement une seule descendance. Il est affiné, quantifié, fusionné avec d'autres, republié sous un nouveau nom, parfois par des dizaines d'acteurs différents.

Si le modèle d'origine a mémorisé des données personnelles issues de son jeu d'entraînement, rien ne garantit que cette mémorisation disparaisse dans les versions dérivées. Elle peut au contraire se propager, sans que personne ne la documente.

C'est le trou que Genmod vient combler. Sans carte de filiation, une demande d'effacement traitée sur le modèle d'origine laisse intactes une dizaine de variantes qui contiennent la même donnée.

Le lien avec vos obligations RGPD et AI Act

Le droit à l'effacement de l'article 17 du RGPD ne s'arrête pas au premier modèle identifié. Si vous êtes responsable de traitement pour un système construit sur un modèle open source, une demande peut vous obliger à vérifier toute la lignée que vous exploitez, et pas seulement la version téléchargée.

Du côté de l'AI Act, l'article 10 impose une gouvernance des données d'entraînement pour les systèmes à haut risque, avec un examen de leur pertinence et de leur représentativité. Documenter la provenance exacte du modèle déployé, ascendants compris, fait partie de ce travail.

Je détaille l'ensemble du parcours dans la feuille de route AI Act en 6 étapes, où la documentation technique occupe une étape entière.

Ce que je vérifie avant de retenir un modèle open source

Dans les due diligence fournisseur que je mène, je pose toujours la même question avant les tests de performance : d'où vient ce modèle, et que sait-on de ses ascendants ?

Un modèle qui descend d'une base connue pour ses problèmes de mémorisation mérite un examen plus poussé avant la production. Sa fiche technique, elle, ne le mentionnera jamais. C'est le même réflexe que sur le choix d'un hébergement, où la question n'est jamais seulement technique mais toujours celle de la chaîne de responsabilité, comme je le développe dans le choix d'un hébergement IA en Union européenne.

La CNIL évoque d'ailleurs, dans ses travaux sur l'IA agentique, un « dilemme de souveraineté » lié à la concentration des données réutilisées chez un petit nombre d'acteurs sources. La généalogie des modèles en est l'illustration directe.

Les limites à garder en tête

Genmod reste un démonstrateur, pas un registre officiel. Trois réserves valent d'être posées avant de s'appuyer dessus.

• Il dépend des métadonnées déclarées sur Hugging Face, souvent incomplètes pour un modèle republié sans mention de son origine.
• Il ne couvre pas les modèles propriétaires fermés, où la mémorisation se pose autant mais reste invérifiable de l'extérieur.
• Il signale une piste de vérification. Il ne remplace ni l'examen de la documentation technique de l'éditeur, ni une analyse d'impact si le doute persiste.

Un cas voisin de décision automatisée mal documentée, et de ce qu'elle finit par coûter, se lit dans l'amende de 825 millions d'euros infligée à Uber. La traçabilité qui manque en amont se paie toujours plus cher en aval.

Si vous envisagez de construire sur un modèle open source et que vous voulez sécuriser ce choix avant qu'il ne devienne un problème de conformité, parlons-en.