Retrouver l'origine exacte d'un modèle d'IA téléchargé sur Hugging Face relève souvent du casse-tête. La plateforme héberge environ deux millions de modèles publiés, et la plupart ne sont pas des créations originales mais des dérivés obtenus par fine-tuning, quantisation ou autres formes d'adaptation. Le Laboratoire d'innovation numérique de la CNIL (LINC) propose désormais une nouvelle version de Genmod, un outil de généalogie des modèles déjà présenté en 2025 mais dont l'interface était jusque-là jugée difficile à manier.
Un moteur de recherche pour remonter la filiation d'un modèle
Genmod permet d'inspecter la descendance d'un modèle donné. Prenons l'exemple de Kimi K3, le modèle de l'entreprise chinoise Moonshot AI, qui compte 2 800 milliards de paramètres. Pour le retrouver dans l'outil, il faut d'abord taper le nom du dépôt de l'entreprise éditrice, moonshotai/, puis les premières lettres du modèle. En cliquant sur « Voir l'arbre généalogique », l'utilisateur obtient la liste de tous les modèles qui en découlent, avec la méthode de dérivation associée.
L'outil montre ainsi que « unsloth/Kimi-K3-GGUF » est un dérivé de Kimi-K3, spécialisé pour des tâches d'image vers texte grâce à une technique de quantisation qui réduit la précision des poids du modèle source afin de diminuer son empreinte mémoire. Ce dérivé a lui-même donné naissance à d'autres modèles, formant une chaîne de filiation que l'outil rend visible. Une « recherche experte » permet en outre de filtrer les résultats selon des critères choisis par l'utilisateur.
La généalogie ne s'arrête pas aux modèles, elle remonte aussi les jeux de données
Genmod permet également de retracer l'usage d'un jeu de données à travers plusieurs générations de modèles. On peut par exemple retrouver tous les modèles qui utilisent le corpus The Cauldron, publié par HuggingFaceM4, en tapant le nom du dépôt racine correspondant. Les chercheurs du LINC justifient cette fonction par une question précise : si des données à caractère personnel d'un individu sont mémorisées par un modèle, comment identifier les autres modèles susceptibles d'avoir hérité de cette même mémorisation ? Les modèles d'IA générative restent en effet soumis au RGPD, et cette capacité de traçage intéresse aussi les litiges liés au droit d'auteur, à l'image du procès qui oppose le New York Times a OpenAI, dossier dans lequel le gouvernement américain est intervenu en soutien à OpenAI selon plusieurs médias.
Ce que change concrètement la nouvelle version
La mise à jour porte surtout sur l'exploitabilité de l'outil. L'interface est désormais disponible en français et en anglais. Le moteur d'exploration du graphe a été optimisé : une recherche sans limite de profondeur prend désormais une vingtaine de secondes en moyenne, avec un affichage de la progression et de la file d'attente. Surtout, la base est reconstruite automatiquement chaque semaine à partir des données publiques de Hugging Face, avec affichage de la date d'actualisation.
Ce dernier point change la portée pratique de l'outil : une généalogie figée n'aurait qu'un intérêt documentaire, alors qu'une généalogie tenue à jour devient utilisable pour instruire une demande d'effacement au titre de l'article 17 du RGPD ou une demande d'accès au titre de l'article 15, y compris sur un modèle affiné en interne par l'entreprise elle-même.
RGPD et AI Act : deux fronts documentaires qui se rejoignent
Les sources disponibles relient explicitement Genmod aux articles 15, 17 et 21 du RGPD, ceux qui encadrent les droits d'accès, d'effacement et d'opposition des personnes concernées. Aucune d'entre elles ne présente l'outil comme une réponse au règlement européen sur l'intelligence artificielle. Le contexte réglementaire de la même période mérite toutefois d'être signalé, car il pèse sur les mêmes organisations. La Commission européenne a confirmé avoir adressé, au titre de l'article 91 de l'AI Act, des demandes d'informations à plus de trente fournisseurs de modèles à usage général, portant notamment sur la documentation technique, la politique de droit d'auteur et le résumé des contenus d'entraînement exigés par l'article 53. Les fournisseurs de modèles présentant un risque systémique au sens de l'article 51 doivent par ailleurs se conformer aux obligations d'évaluation et de signalement des incidents prévues à l'article 55.
Pour un responsable de la conformité en France qui déploie un modèle ouvert affiné en interne, cela signifie qu'il doit désormais documenter deux chaînes distinctes : celle des données personnelles susceptibles d'avoir été mémorisées, au titre du RGPD, et celle des contenus d'entraînement du modèle d'origine, si ce dernier relève des obligations de l'AI Act. Genmod ne couvre que la première, mais il fournit une base factuelle qui peut nourrir les deux dossiers.
| Obligation | Texte de référence | Ce que Genmod permet de faire |
|---|---|---|
| Demande d'accès d'une personne concernée | Article 15 du RGPD | Identifier les modèles dérivés susceptibles d'avoir mémorisé les mêmes données que le modèle d'origine |
| Demande d'effacement | Article 17 du RGPD | Reconstituer la chaîne de filiation sans devoir la refaire manuellement après coup |
| Droit d'opposition | Article 21 du RGPD | Documenter en amont l'ascendance d'un modèle avant de l'affiner en interne |
| Documentation technique et résumé des données d'entraînement | Article 53 de l'AI Act | Non couvert directement par l'outil selon les sources disponibles, mais utile comme pièce de contexte sur la provenance des jeux de données |
Les limites que la CNIL elle-même reconnaît
L'outil reste perfectible. Son moteur de recherche demeure peu intuitif : pour trouver un modèle comme Kimi K3, il faut connaître le nom exact du dépôt de l'entreprise éditrice avant de pouvoir affiner la requête, une contrainte qui suppose déjà une certaine familiarité avec la nomenclature de Hugging Face. Cette exigence technique limite l'usage immédiat de l'outil par des équipes juridiques ou conformité qui ne manipulent pas ces dépôts au quotidien, et suppose une collaboration étroite avec les équipes techniques.
Pour les entreprises qui combinent plusieurs fournisseurs de modèles dans leurs traitements, la question de la traçabilité ne se limite pas à l'origine des poids du modèle : elle englobe aussi le sort des données envoyées en requête. Des plateformes françaises comme Moon AI, qui donne accès à plus de 70 modèles sous un abonnement unique, appliquent par exemple un mécanisme de pseudonymisation des données personnelles avant leur envoi vers les modèles tiers, réversible au retour de la réponse. Ce type de dispositif ne se substitue pas à une généalogie des modèles comme celle proposée par la CNIL : il agit sur le flux de données envoyé au moment de l'usage, pas sur l'historique d'entraînement du modèle lui-même.
Questions fréquentes
Genmod est-il accessible gratuitement à toute entreprise ?
Les sources ne précisent pas de restriction d'accès ni de conditions tarifaires : l'outil est présenté comme un démonstrateur du LINC, disponible désormais en français et en anglais, sans mention de licence payante.
Genmod peut-il retrouver n'importe quel modèle publié sur Hugging Face ?
L'outil s'appuie sur une base reconstruite chaque semaine à partir des données publiques de Hugging Face, avec affichage de la date d'actualisation. Le moteur de recherche reste toutefois difficile à utiliser : il faut généralement connaître le nom du dépôt de l'entreprise éditrice avant de retrouver un modèle précis.
L'outil remplace-t-il une analyse d'impact relative à la protection des données (AIPD) ?
Les sources ne l'indiquent pas. Genmod est présenté comme un outil de traçabilité qui aide à instruire des demandes de droits des personnes, pas comme un substitut à une analyse d'impact.
Un modèle dérivé hérite-t-il automatiquement des mêmes risques RGPD que le modèle d'origine ?
Les sources ne l'affirment pas de façon absolue. Elles indiquent que l'objectif de Genmod est de permettre d'identifier les modèles susceptibles d'avoir mémorisé les mêmes données, ce qui suppose une vérification au cas par cas plutôt qu'une présomption automatique.