La CNIL muscle Genmod, son outil pour remonter la généalogie des modèles d'IA

Un modèle d'IA open source n'arrive jamais seul : il descend presque toujours d'un autre, qu'un tiers a affiné, quantifié, fusionné ou spécialisé avant de le republier. Cette généalogie, invisible à l'œil nu, la CNIL la cartographie depuis novembre 2025 avec un démonstrateur baptisé Genmod. Le 26 août 2026, l'autorité en a publié une nouvelle version, plus rapide et bilingue. Derrière l'outil technique se cache une question qui devient centrale à l'ère des poids ouverts : quand un modèle a mémorisé des données personnelles, comment savoir jusqu'où elles se propagent ?

Ce que fait Genmod, concrètement

Genmod explore les relations de filiation entre modèles publiés en source ouverte. Pour un modèle donné, il affiche ses ascendants — les modèles sources dont il dérive — et ses descendants, c'est-à-dire toutes les variantes que la communauté en a tirées. Un modèle de base comme LLaMA ou Mistral Medium peut ainsi engendrer des centaines de versions modifiées, fine-tunées ou fusionnées, chacune héritant en partie des propriétés — et des défauts — de son parent. L'outil, développé par le service de l'intelligence artificielle de la CNIL avec son Laboratoire d'innovation numérique (LINC), donne à voir cet arbre là où les plateformes de distribution ne montrent qu'une liste plate.

La nouveauté de fond n'est pas cosmétique. Genmod s'actualise désormais chaque semaine à partir des données de Hugging Face, la principale place de marché des modèles ouverts, et sait remonter une filiation sans limite de profondeur en une vingtaine de secondes en moyenne. L'interface passe en français et en anglais, propose en priorité les modèles les plus téléchargés et affiche la progression des recherches. Autrement dit, la CNIL transforme un prototype de laboratoire en outil réellement utilisable par des juristes, des DPO ou des chercheurs.

Pourquoi la filiation est un sujet de protection des données

L'intérêt de Genmod tient à un fait technique que la CNIL martèle depuis ses premières recommandations sur l'IA : un modèle entraîné sur des données personnelles peut, dans certaines conditions, en mémoriser des fragments et les restituer. Le RGPD s'applique alors au modèle lui-même, pas seulement à la base d'entraînement. Or si un modèle parent a mémorisé des données, ses descendants en héritent potentiellement — un fine-tuning ne repart pas de zéro, il prolonge les poids existants.

C'est là que la traçabilité devient un enjeu de droit et non de curiosité. Pour exercer un droit d'accès ou d'effacement, encore faut-il savoir où une donnée a pu essaimer. La CNIL présente explicitement Genmod comme un moyen d'« étudier les conditions d'exercice des droits prévus par le RGPD » face à la mémorisation. L'outil ne résout pas le problème — il n'extrait pas les données mémorisées — mais il donne la carte : quels modèles surveiller en priorité, lesquels partagent une même ascendance problématique.

Un signal dans la bataille des poids ouverts

Cette mise à jour tombe au moment où l'écosystème ouvert accélère. Les modèles open weights se comptent désormais par dizaines de milliers sur Hugging Face, et les lignées se ramifient à une vitesse que la simple lecture des fiches ne permet plus de suivre — le seul écosystème Gemma de Google a franchi le milliard de téléchargements. Dans ce foisonnement, un régulateur qui publie un outil de cartographie plutôt qu'une note de plus envoie un message : la conformité ne se fera pas seulement à coups de principes, mais avec de l'outillage technique.

C'est aussi cohérent avec la ligne que la CNIL tient depuis un an. Plutôt que de brandir la menace, elle multiplie les briques concrètes — recommandations sectorielles, note exploratoire sur l'IA agentique et les données personnelles, et maintenant un démonstrateur d'audit accessible à tous sur Hugging Face. Pour la niche française de l'IA souveraine, l'approche a un mérite : elle rend la protection des données praticable au lieu de la laisser théorique, à l'heure où l'AI Act impose ses obligations sans que le contrôle soit encore rodé. Reste une limite assumée : Genmod éclaire la structure des lignées, pas le contenu mémorisé par chaque modèle. C'est une boussole, pas un détecteur — mais c'est déjà plus que ce dont disposaient, hier, les responsables de traitement.