IA open source : la CNIL muscle son outil de traçabilité des modèles avec Genmod

La CNIL a mis à jour, le 26 août 2026, son démonstrateur Genmod, qui permet de retracer la généalogie des modèles d'IA publiés en source ouverte. Version plus rapide, bilingue et actualisée chaque semaine : un outil pensé pour aider les DPO à documenter la mémorisation de données personnelles par les modèles dérivés de Kimi K3, Mistral Medium ou LLaMa.

Ce qui s'est passé

Développé par le service IA de la CNIL en collaboration avec le Laboratoire d'innovation numérique (LINC) et publié une première fois en novembre 2025, Genmod permet d'explorer les liens entre modèles d'IA open source : retrouver les « ascendants » d'un modèle (les modèles dont il provient) et ses « descendants » (les modèles auxquels il a contribué), à partir des métadonnées publiques disponibles sur HuggingFace.

La nouvelle version apporte plusieurs améliorations concrètes : interface bilingue français/anglais, moteur de recherche optimisé (une recherche sans limite de profondeur prend désormais une vingtaine de secondes en moyenne), suivi de la progression des recherches et de la file d'attente, actualisation hebdomadaire automatique de la base à partir de HuggingFace, et une ergonomie repensée — suggestions triées par popularité, accès direct à l'accueil, affichage harmonisé sur les principaux navigateurs. L'outil reste librement accessible sur HuggingFace Spaces.

Pourquoi c'est important

Derrière l'aspect technique, Genmod répond à un problème concret de conformité. Un modèle d'IA open source peut mémoriser des données d'entraînement — y compris des données personnelles — puis se retrouver dupliqué, affiné ou fusionné dans des dizaines de modèles dérivés, sans que cette filiation soit documentée nulle part. Or le RGPD impose de sécuriser les traitements sur toute leur chaîne (voir notre fiche sur l'article 32 du RGPD, sécurité du traitement) et de garantir l'exercice effectif des droits des personnes concernées, y compris lorsque leurs données ont transité par un modèle d'IA avant de se propager dans ses dérivés.

La CNIL le dit explicitement : cette traçabilité doit permettre « d'identifier, à partir d'un modèle ayant mémorisé des données personnelles, les autres modèles de sa généalogie susceptibles d'avoir également conservé ces informations ». C'est exactement la tension que Leto documentait déjà dans son bilan du CIANum sur RGPD et IA agentique : la mémoire partagée des systèmes d'IA met sous pression les principes de minimisation et d'exercice des droits, sans que les organisations disposent toujours des moyens techniques pour y répondre.

Ce que ça change pour les organisations

Pour les DPO et RSSI qui déploient ou envisagent des modèles open source, Genmod devient un réflexe à intégrer avant tout fine-tuning ou mise en production : vérifier la généalogie du modèle source, documenter sa provenance dans l'analyse d'impact, et anticiper les demandes d'exercice de droits en identifiant en amont les modèles dérivés susceptibles de contenir les mêmes données. Ce n'est pas un exercice théorique : l'observatoire CNIL 2025 sur le métier de DPO montrait déjà que 55 % des DPO ont l'AI Act dans leur périmètre, mais que seules 6 % des structures s'estiment bien préparées à la conformité IA. Un outil gratuit et actualisé automatiquement réduit une partie de cette charge documentaire.

Ce que Leto pense de cette décision

C'est le genre d'initiative que nous aimerions voir plus souvent : plutôt que d'empiler des obligations, la CNIL fournit un outil opérationnel qui aide réellement à répondre à une exigence RGPD difficile à opérationnaliser. Attention toutefois à ne pas en faire une preuve de conformité en soi — Genmod s'appuie sur les métadonnées publiques de HuggingFace, ce qui laisse de côté les modèles fermés ou redistribués hors plateforme. Pour un DPO, c'est un outil de découverte et de cartographie, pas un substitut à la documentation formelle exigée par les articles 30 et 32 du RGPD.

Sources : CNIL — IA : la CNIL met à jour son outil de traçabilité des modèles publiés en source ouverte, Genmod — démonstrateur sur HuggingFace Spaces