Entretien avec un expert en conformité : ce que les équipes financières doivent savoir sur les données synthétiques en Suisse

La première question est celle du risque de ré-identification résiduel, et non celle de la performance technique du générateur. C'est une erreur fréquente que j'observe dans les équipes qui évaluent ces plateformes : elles commencent par les métriques de fidélité statistique, qui sont importantes, mais elles oublient que le cadre légal suisse conditionne le statut juridique des données synthétiques précisément à ce risque résiduel. Si le risque de ré-identification n'est pas négligeable, les données synthétiques peuvent être considérées comme des données personnelles, avec toutes les obligations qui en découlent. La première question à poser à un fournisseur est donc : avez-vous conduit une analyse de risque de ré-identification documentée, quels tests avez-vous utilisés, et quels sont vos résultats ? Si la réponse est vague ou absente, l'évaluation s'arrête là pour moi, indépendamment des qualités techniques de la plateforme.

Il y a quelques signaux assez fiables. Le premier est la transparence architecturale : une plateforme rigoureuse documente son modèle génératif, ses données d'entraînement de référence et ses hyperparamètres principaux. Elle ne prétend pas que cette information est entièrement confidentielle. Le second signal est la présence de métriques de fidélité reproductibles : les chiffres publiés doivent être calculables de façon indépendante, pas seulement disponibles dans un rapport produit par le fournisseur lui-même. Le troisième signal est la façon dont la plateforme parle de ses limites : une plateforme sérieuse documente ce que son générateur ne reproduit pas bien, les types de données pour lesquels sa fidélité est réduite, et les configurations dans lesquelles le risque de mémorisation augmente. Une plateforme qui présente ses données synthétiques comme une solution universelle sans aucune limite documentée mérite une lecture très critique. La présence de benchmarks publiés par des tiers indépendants est le quatrième signal que je recherche systématiquement.

La loi fédérale sur la protection des données révisée impose plusieurs obligations qui s'appliquent potentiellement aux données synthétiques selon leur niveau de risque de ré-identification. Les organisations doivent d'abord documenter leur analyse de risque de ré-identification dans leur registre des activités de traitement, en précisant les tests conduits, les résultats obtenus et les mesures de mitigation mises en place. Si le risque résiduel est jugé non négligeable, les données synthétiques doivent être traitées comme des données personnelles, avec les obligations correspondantes de sécurité, de rétention limitée et de documentation des finalités de traitement. Les organisations doivent également documenter leur relation avec le fournisseur de la plateforme dans un contrat de sous-traitance conforme aux exigences légales, en précisant notamment qui détient les données générées, pour quelle durée, et si elles peuvent être utilisées par le fournisseur pour améliorer ses propres modèles. Cette dernière dimension est souvent négligée mais elle a des implications pratiques importantes pour la confidentialité des données financières.

Cet argument est inexact et potentiellement dangereux pour les organisations qui le prennent pour argent comptant. Les données synthétiques réduisent certains risques de confidentialité par rapport aux données réelles, mais elles ne les éliminent pas. Le risque de mémorisation directe est réel et documenté dans la littérature académique. Le risque de ré-identification indirecte par croisement avec des sources externes existe et peut être significatif selon la population modélisée. De plus, les données synthétiques introduisent de nouveaux risques qui n'existent pas avec les données réelles : le risque de biais systématiques introduits par le modèle génératif, qui peuvent fausser les décisions prises sur la base de simulations conduites avec ces données. Je recommande systématiquement aux équipes de remplacer l'affirmation 'les données synthétiques sont sûres' par 'les données synthétiques présentent un profil de risque différent des données réelles, que nous avons évalué de la façon suivante'. C'est moins rassurant comme formulation, mais c'est plus défendable légalement et plus utile opérationnellement.

Mon premier conseil est de commencer par définir précisément le cas d'usage avant de regarder les plateformes. La question n'est pas 'quelle est la meilleure plateforme de données synthétiques' mais 'quelle plateforme répond le mieux aux exigences spécifiques de notre cas d'usage, dans notre contexte réglementaire, avec nos contraintes opérationnelles'. Ce cadrage préalable évite de se laisser impressionner par des métriques de performance qui ne correspondent pas aux dimensions importantes pour votre application. Mon second conseil est d'impliquer l'équipe juridique dès le début de l'évaluation, pas seulement à la fin pour valider le contrat. Les questions de conformité doivent orienter les critères d'évaluation technique, pas simplement valider une décision déjà prise. Mon troisième conseil est de ne pas négliger la question de la dépendance opérationnelle vis-à-vis du fournisseur : que se passe-t-il si la plateforme est indisponible, si le fournisseur modifie ses conditions, ou si vous avez besoin de migrer vers une autre solution ? Ces questions pratiques sont aussi importantes que les métriques de fidélité statistique pour évaluer la robustesse d'une solution à long terme.