Publié le 5 octobre 2026 à 13:00 · Publication originale
Un hôpital possède les données de 500.000 patients.
Il veut publier des statistiques utiles à la recherche sans révéler qui appartient à la base.
Supprimer noms et numéros de dossier ne suffit pas. Certaines combinaisons peuvent permettre une réidentification ou révéler la présence d'une personne.
La confidentialité différentielle aborde le problème autrement.
Elle exige qu'un résultat reste suffisamment proche lorsqu'on compare deux bases presque identiques, dont l'une contient une personne et l'autre non.
Certains mécanismes ajoutent pour cela du bruit calibré.
La quantité nécessaire dépend notamment de la sensibilité de la statistique: combien son résultat peut changer lorsqu'une seule personne est ajoutée ou retirée.
Puis intervient ε, epsilon.
Sous la confidentialité différentielle pure, plus ε est faible, plus la garantie est forte et plus le bruit nécessaire peut augmenter.
Mais une institution ne publie jamais une seule statistique.
Âge moyen. Pathologies. Territoires. Médicaments. Revenus.
Les pertes de confidentialité se composent.
NIST donne un exemple simple: deux publications utilisant chacune ε = 1 peuvent conduire, par composition séquentielle simple, à une borne cumulée de ε = 2.
OpenDP permet de définir un budget global, de le répartir entre plusieurs requêtes et de bloquer celles qui dépasseraient la limite fixée.
La confidentialité devient alors une ressource gouvernable.
Chaque requête apporte de l'information et réduit la capacité de publication future.
ULTRA®
Un droit d'accès aux données est traditionnellement pensé comme une permission: autorisé ou interdit.
La confidentialité différentielle permet une autre architecture.
Une équipe peut interroger un jeu de données tout en restant contrainte par un budget quantifié de perte de confidentialité.
Le board doit décider quelles analyses méritent de consommer ce budget.
NIST insiste sur un point essentiel: il n'existe pas de valeur universelle d'ε. Le niveau choisi dépend de la sensibilité des données, des usages attendus et du contexte.
Choisir un petit epsilon ne suffit donc pas.
Il faut définir l'unité protégée, la notion de voisinage entre jeux de données, la sensibilité des requêtes, les mécanismes, la composition et ceux qui autorisent les dépenses.
Pour un hôpital, une banque ou une administration, le privacy budget devient un objet de gouvernance comparable à un plafond de risque.
La donnée peut rester sur le serveur.
Ce qui s'épuise progressivement, c'est la quantité d'information supplémentaire que l'institution accepte encore de révéler sur ceux qui l'ont fournie.
ARGOS
Une donnée sensible ne se protège pas seulement en contrôlant qui l'ouvre, mais aussi en comptant ce que chaque réponse révèle.
Sources
NIST SP 800-226, 2025
OpenDP, documentation 2026
#VOCEASSOCIATION #DifferentialPrivacy #DataGovernance #Privacy #AIGovernance