Embeddings et données personnelles : les points techniques

Un embedding n'est pas un texte chiffré : c'est une représentation du sens du texte, et la recherche a montré qu'on peut en reconstituer une grande partie. Techniquement, traitez donc les vecteurs d'un document avec le même niveau de protection que le document lui-même : mêmes droits d'accès, même lieu d'hébergement, même procédure d'effacement. Cette page décrit les mesures techniques ; elle ne remplace pas l'analyse juridique de votre délégué à la protection des données (DPO) ou d'un juriste.

Ce qu'un vecteur peut révéler

L'article « Text Embeddings Reveal (Almost) As Much As Text » (Morris, Kuleshov, Shmatikov et Rush, déposé le 10/10/2023, présenté à la conférence EMNLP 2023) décrit une méthode d'inversion : un modèle génère un texte, calcule son plongement, le compare au vecteur cible, corrige, et recommence. Résultats annoncés :

• 92 % des textes de 32 jetons retrouvés à l'identique à partir de leur seul plongement ;
• des informations personnelles importantes, des noms complets, retrouvées dans un jeu de notes cliniques.

L'OWASP (fondation qui publie des référentiels de sécurité applicative) range d'ailleurs les « attaques par inversion des plongements » parmi les faiblesses des vecteurs et plongements, dans son entrée LLM08:2025.

Ce que dit la CNIL sur les notions en jeu

Trois définitions de la CNIL, utiles pour situer les vecteurs. Leur application à votre cas relève d'une analyse juridique.

• Donnée personnelle : « toute information se rapportant à une personne physique identifiée ou identifiable », directement (nom, prénom) ou indirectement, y compris par le croisement de plusieurs informations (définition).
• Pseudonymisation : remplacer les données directement identifiantes par d'autres identifiants ; c'est réversible, et les données « conservent donc un caractère personnel » (page anonymisation).
• Anonymisation : rendre l'identification impossible en pratique et de façon irréversible. La CNIL pose trois critères : impossible d'isoler un individu, de relier des ensembles de données le concernant, d'en déduire de nouvelles informations de façon quasi certaine.

Au vu des travaux d'inversion ci-dessus, il serait imprudent de considérer d'office qu'un vecteur calculé à partir d'un texte contenant des données personnelles satisfait ces trois critères.

Les mesures techniques à prévoir

1. Relier chaque vecteur à sa source

Chaque vecteur doit porter l'identifiant du document et, si possible, de la personne concernée. Sans ce lien, impossible d'effacer ou de corriger. Avec pgvector, c'est une simple colonne de la même table, et l'effacement passe par une requête ordinaire.

2. Effacer partout, et vite

La CNIL rappelle que l'effacement doit intervenir « dans les meilleurs délais et au plus tard dans un délai d'un mois », délai qui peut être porté à trois mois pour une demande complexe, en expliquant pourquoi (droit à l'effacement). Côté technique, listez tous les endroits où un vecteur peut subsister :

3. Cloisonner l'accès

L'OWASP recommande des contrôles d'accès fins et des bases de vecteurs « conscientes des permissions », avec un partitionnement logique des jeux de données pour empêcher l'accès d'un groupe aux données d'un autre. En pratique : filtre par droits pendant la recherche, jamais seulement à l'affichage. Le sujet est développé dans RAG et droits d'accès.

4. Ne pas indexer ce qui n'a rien à faire là

Le plus sûr reste de ne pas vectoriser les données inutiles : filtrez en amont les champs sensibles (coordonnées bancaires, numéros d'identification) qui n'aident pas à répondre aux questions. L'OWASP conseille aussi de n'accepter que des sources vérifiées et de classer les données avant de les combiner.

5. Journaliser les recherches

L'OWASP recommande des journaux détaillés et non modifiables des opérations de recherche, pour détecter un comportement suspect. Ces journaux contiennent eux-mêmes les questions posées : appliquez-leur une durée de conservation.

6. Savoir où partent les textes

Avec un modèle appelé par interface en ligne, chaque texte à encoder est envoyé au fournisseur. Vérifiez sa région d'hébergement, ses sous-traitants et ce qu'il fait des données reçues, dans son contrat et non sur sa page d'accueil. Un modèle installé chez vous évite cet envoi, sans dispenser des autres mesures (voir Choisir un modèle).

Pour l'analyse juridique

Ces mesures techniques s'inscrivent dans le cadre du RGPD (règlement général sur la protection des données) : base légale du traitement, information des personnes, registre, éventuelle analyse d'impact. Pour l'articulation avec le règlement européen sur l'IA, voir AI Act et RGPD ; pour votre situation précise, adressez-vous à votre DPO, à un avocat, ou aux ressources de la CNIL.