Confidential AI

L’IA confidentielle consiste à exécuter l’entraînement et l’inférence de modèles d’apprentissage automatique dans des environnements d’exécution de confiance (TEEs) reposant sur du matériel, afin que les données, les prompts et les poids du modèle restent protégés même contre le fournisseur de services cloud, les administrateurs système et le système d’exploitation hôte. Le chiffrement protège depuis longtemps les données au repos sur disque et en transit sur les réseaux. L’IA confidentielle comble la lacune restante : la protection des données en cours d’utilisation, que les systèmes classiques déchiffrent dans la mémoire du CPU et du GPU pendant qu’un modèle les traite. Elle applique aux charges de travail d’IA le calcul confidentiel, un domaine que le Confidential Computing Consortium de la Linux Foundation promeut depuis 2019.

Fonctionnement de l’IA confidentielle#

Trois mécanismes matériels rendent cette garantie possible :

• Exécution isolée : Les technologies CPU telles qu’Intel TDX et AMD SEV-SNP exécutent une machine virtuelle entière dans une mémoire chiffrée à l’aide de clés invisibles pour l’hyperviseur, tandis qu’Intel SGX isole des enclaves plus petites au sein d’une même application. À partir de la génération Hopper, NVIDIA a ajouté un mode d’informatique confidentielle à ses GPU pour centres de données. Celui-ci chiffre les données échangées entre le CPU et le GPU et empêche l’hôte de lire la mémoire du GPU.
• Attestation à distance : Avant de recevoir un secret, le TEE produit un rapport signé, dont l’authenticité repose sur des clés intégrées à la puce. Ce rapport répertorie précisément le matériel, le micrologiciel et les logiciels en cours d’exécution. Le propriétaire des données ou le service de gestion des clés compare ce rapport aux valeurs attendues.
• Libération de clés après attestation : Les clés de déchiffrement des jeux de données ou des poids du modèle ne sont communiquées qu'aux environnements dont l'attestation est validée ; les ressources protégées ne sont donc lisibles qu'au sein de la charge de travail vérifiée.

Le coût en performances est surtout lié au transfert des données. Le chiffrement de la mémoire et des transferts entre le CPU et le GPU ajoute une surcharge, tandis que les calculs sur le GPU s'effectuent à pleine vitesse ; les tâches à forte intensité de calcul, comme l'inférence de grands modèles de langage, ne subissent donc qu'une hausse modeste de la latence d'inférence.

Contre quoi cette approche protège-t-elle ?#

Le modèle de menace porte sur une couche d'infrastructure compromise ou curieuse : un employé malveillant du fournisseur de services cloud, un hyperviseur piraté ou un autre locataire sur le même serveur physique. La protection fonctionne dans les deux sens. Les propriétaires des données peuvent transmettre des données sensibles à un modèle qu'ils ne contrôlent pas, tandis que les propriétaires des modèles peuvent déployer des poids propriétaires dans le centre de données d'un partenaire ou sur un site périphérique sans les y exposer. Comme l'attestation permet à un client de vérifier qui peut lire ses données, le calcul confidentiel constitue également un élément de base des offres d'IA souveraine qui s'exécutent sur du matériel détenu à l'étranger.

L’IA confidentielle sécurise l’environnement d’exécution et s’associe à des contrôles qui couvrent le reste du pipeline. Les sorties du modèle peuvent toujours révéler des données d’entraînement par le biais d’attaques par inférence d’appartenance, risque que l’entraînement avec la confidentialité différentielle limite. Le code de l’application au sein de l’enclave doit lui aussi respecter les pratiques standard de sécurité des données, comme le contrôle des accès et l’application de correctifs.

Techniques de confidentialité connexes#

• Apprentissage fédéré : les données brutes restent sur l’appareil ou le serveur de chaque participant, qui ne partage que les mises à jour du modèle. L’exécution du serveur d’agrégation dans un TEE ajoute une protection pour ces mises à jour.
• Chiffrement homomorphe : il effectue directement des calculs sur des données chiffrées sans matériel de confiance, mais reste plusieurs ordres de grandeur plus lent que les TEE pour l’apprentissage profond. Il est donc réservé aux petits modèles et aux opérations simples.
• IA en périphérie : elle évite la question en traitant les données sur l’appareil qui les a capturées, une solution qui convient lorsque le modèle est assez petit pour y être exécuté.

Applications de l’IA confidentielle#

Les assistants privés dans le cloud sont les déploiements les plus visibles. Introduit en 2024, Private Cloud Compute d'Apple traite les requêtes Apple Intelligence trop volumineuses pour l'appareil sur des serveurs équipés de puces Apple qui ne conservent aucune donnée utilisateur après une requête, n'accordent aucun accès privilégié au personnel et publient leurs images logicielles afin que des chercheurs indépendants puissent vérifier ce qui s'exécute. Annoncé en novembre 2025, Private AI Compute de Google applique la même conception aux modèles Gemini sur ses propres TPU ; les appareils vérifient l'attestation avant d'envoyer des données.

La collaboration dans le domaine de la santé en est un autre exemple. Les hôpitaux qui ne peuvent pas partager les dossiers des patients peuvent autoriser un développeur externe à valider ou à entraîner un modèle d'analyse d'images médicales sur leurs données au sein d'un TEE. L'hôpital ne voit jamais les poids du modèle, et le développeur ne voit jamais les examens des patients ; les fournisseurs cloud proposent ce type de configuration avec des services d'IA confidentielle sur Azure et ailleurs.

Les systèmes de vision traitent aussi des données personnelles : les caméras des magasins, des cliniques et des lieux de travail capturent des visages et d'autres informations relevant des lois sur la confidentialité des données. Comme les machines virtuelles confidentielles exécutent des applications sans modification, un modèle Ultralytics YOLO26 exporté au format ONNX ou TensorRT s'y déploie comme sur n'importe quel serveur GPU, en gardant chaque image chiffrée à l'abri de l'opérateur cloud pendant son analyse.