Navigation – Plan du site
Articles

Quelle(s) protection(s) pour les modèles d’inférence ?

Jean-Marc Deltorn
p. 127-142

Texte intégral

Introduction 

1Un nombre croissant de systèmes de décision et de contrôle automatique – des moteurs de recherche ou de recommandation, ou encore des outils de reconnaissance de la parole et des images, jusqu’aux dispositifs de guidage des véhicules sans conducteurs – reposent aujourd’hui sur la construction de modèles d’inférence. Ces objets techniques hybrides condensent, en une combinaison intime de paramètres et de structures de données, une expérience construite au cours d’un processus d’apprentissage statistique long et complexe. Résultat d’un investissement considérable, en termes d’acquisition et de traitement de données, la valeur des modèles d’inférence est d’autant plus grande qu’ils se placent au centre d’une nouvelle économie de l’information, le big data, dont ils sont le véritable principe actif. Leur protection est, de fait, pour les institutions dont ils émanent, un enjeu stratégique majeur.

  • 1 V. J. Burrell, « How the machine ‘thinks’: Understanding opacity in machine learning algorithms »(...)
  • 2 V. p. ex. M. D. Goldberg et D. O. Carson, « Copyright protection for artificial intelligence system (...)

2Souvent qualifiés de « boites noires », pour souligner l’opacité algorithmique qui les caractérise1, ces modèles, supposés indéchiffrables, sont usuellement protégés par le secret. Or, de nouvelles techniques viennent récemment de démontrer leur vulnérabilité aux attaques par ingénierie inverse. Ce nouveau constat impose aujourd’hui une réévaluation des moyens de protection de ces objets techniques bien particuliers. Bien qu’une tentative d’identification du régime de protection le plus adapté aux modèles prédictifs ait déjà été posée au début des années 1990 dans un petit nombre de publications, essentiellement anglo-saxonnes2, cet intérêt s’est cependant tari, au tournant du siècle, face aux limites pratiques d’implémentation des architectures neuronales. L’intérêt économique grandissant pour les procédés d’apprentissage automatique, porté en particulier par le développement des réseaux de neurones profonds, autant que les progrès algorithmiques liés à l’ingénierie inverse, viennent aujourd’hui redonner à ce débat un nouvel élan. Concomitante à ces développements technologiques, l’évolution des régimes de protection des biens informationnels a aussi connu, dans la même période, de profonds changements. Il apparaît donc nécessaire, dans ce paysage technique et juridique renouvelé, de repenser aujourd’hui les modalités pratiques de protection des modèles prédictifs. Après avoir présenté les principales caractéristiques des modèles d’inférence (I), leur protection sera reconsidérée dans ce nouveau contexte, en intégrant les derniers développements relatifs à l’ensemble des outils juridiques de propriété intellectuelle susceptibles de s’y appliquer (dont en première ligne, les brevets, et le droit des bases de données), mais aussi la récente directive relative à la protection du secret d’affaires (II).

I. La nécessaire protection des modèles d’inférence

3L’automatisation des procédés décisionnels repose sur des modèles statistiques complexes dont la construction nécessite des investissements industriels significatifs non seulement en ressources humaines et financières, mais également en temps et en matériel (A). Alors qu’ils étaient traditionnellement protégés par le secret, de nouvelles techniques de rétro-ingénierie ont démontré qu’une telle approche n’était plus aujourd’hui suffisante pour en assurer seule la protection (B).

A. Le modèle d’inférence, fruit d’un investissement

  • 3 V. M.I. Jordan, T.M. Mitchell, « Machine learning : Trends, perspectives, and prospects », Science, (...)

4Les outils algorithmiques d’inférence, en particulier d’apprentissage statistique, sont aujourd’hui au cœur d’un nombre croissant d’applications3. Capables de répondre à des problèmes jusqu’à peu jugés insurmontables, tels que la conduite de véhicules terrestres ou aériens, la reconnaissance de la parole et des images à des niveaux comparables à ceux des humains, ces procédés sont à présent le fer de lance d’une vague d’innovations et d’une nouvelle économie des données et de l’information. Une caractéristique essentielle de ces systèmes, moteur de leur efficacité, vient de leur capacité à apprendre directement à partir de données réelles, par induction, un modèle de la tâche à accomplir. Dès lors, nul besoin d’entreprendre le laborieux énoncé de règles décrivant, par exemple, les modalités nécessaires pour reconnaître une forme dans une image, un mot dans une séquence sonore, – effort sisyphéen à l’image des situations réelles, souvent complexes, toujours changeantes –, il suffira de fournir à l’algorithme d’apprentissage des exemples représentatifs du problème envisagé (des images contenant ladite forme, des séquences de parole) pour qu’il en construise peu à peu une représentation interne, un modèle.

  • 4 Les représentations apprises lors de l’apprentissage dépendent en effet non seulement de la quantit (...)
  • 5 Pour plus de détails sur les diverses phases de construction d’un modèle prédictif, v. B. Krishnapu (...)
  • 6 Une estimation des coûts associés à la constitution de modèles d’inférence est proposée dans : O. M (...)

5Cette capacité d’analyse automatique et d’élaboration autonome d’un modèle interne n’est pourtant pas sans coût. Elle sous-tend un accès à de vastes ressources : de données tout d’abord, sans lesquelles le système ne resterait qu’une « coquille vide »4 ; de calcul ensuite, car ces systèmes nécessitent un effort substantiel en terme de logistique informatique, impliquant la mise en œuvre de plateformes distribuées, d’architectures parallèles, etc. ; un effort d’analyse aussi, car l’architecture spécifique et le paramétrage de ces modèles requiert un important travail de préparation et d’optimisation ; un travail de guidage de l’entraînement enfin, certains de ces modèles nécessitant une évaluation « au fil de l’eau » par des intervenants humains5. L’apprentissage des modèles statistiques au cœur des outils d’automatisation passe ainsi par une phase d’élaboration qui repose sur un investissement, souvent considérable, tant sur le plan financier qu’intellectuel6.

6Aboutissement de cette étape d’entraînement, le modèle qui en découle est un véritable concentré d’expérience. Il encapsule sous forme symbolique, une représentation du problème à résoudre et de sa solution. En quoi un tel objet consiste-t-il ? Le « modèle » est en pratique constitué d’une combinaison de plusieurs éléments, dont, en particulier, une structure de données (par exemple, une arborescence, dans le cas d’arbres de décision, une paire {vecteur, scalaire} dans le cas d’une régression logistique, un ensemble d’unité et de liens, pour un réseau de neurones, etc.), et des paramètres peuplant ces structures, déterminés lors d’une phase d’apprentissage. Une fois ce modèle établi (c’est-à-dire une fois la structure choisie et les paramètres fixés lors de l’entraînement), il sera à même d’être appliqué à des données nouvelles (p. ex. une image dont on cherche à connaître le contenu) et de fournir une réponse adaptée (ici, la présence d’un visage ou de toute autre entité qui aura été l’objet de l’apprentissage).

  • 7 G. Linden, B. Smith, J. York, « Amazon. com recommendations: Item-to-item collaborative filtering »(...)
  • 8 A. Azaria, A. Hassidim, S. Kraus, A. Eshkol, O. Weintraub, I. Netanely, « Movie recommender system (...)
  • 9 Pour des exemples d’applications, v. < https://aws.amazon.com/rekognition/ >. Google offre aussi un service équivalent d’analyse d’images (...)
  • 10 Le service « Amazon Lex », utilisé dans l’assistant vocal Alexa est depuis peu ouvert au public :   (...)
  • 11 C. Chen, A. Seff, A. Kornhauser, J. Xiao, « DeepDriving: Learning Affordance for Direct Perception (...)
  • 12 Le projet de conduite automatique de Nvidia souligne l’effort que nécessite l’acquisition d’une bas (...)
  • 13 A. Filipowicz et al., Learning to Recognize Distance to Stop Signs Using the Virtual World of Grand (...)

7La construction d’un moteur de recommandation efficace, tel que ceux d’Amazon7 ou de Netflix8, aura ainsi nécessité l’analyse des comportements de millions (voire de plusieurs dizaines de millions, dans le cas d’Amazon) d’utilisateurs sur des périodes de plusieurs mois à plusieurs années, pour fournir finalement à ces entreprises un avantage compétitif indubitable en termes de qualité de service. Au-delà des seuls procédés de recommandation, Amazon offre depuis peu des services d’analyse automatique de données basés sur des modèles d’apprentissage statistique : en proposant en analyse une image, le modèle retourne non seulement une description de son contenu (la présence d’objets, de personnes ou d’animaux, la reconnaissance de lieux) mais aussi une reconnaissance des individus et de leurs sentiments, sur la base d’une analyse faciale9. D’autres services permettent, par l’entremise de modèles de synthèse vocale, de transcrire des textes en paroles, ou encore d’interpréter des commandes énoncées en langage naturel10. L’élaboration d’un modèle de conduite automatique, aujourd’hui au centre d’investissements majeurs, repose aussi sur l’apprentissage d’un jeu complexe de situations interdépendantes : apprendre à reconnaître dans des images de scènes réelles des objets variés (route et balisage au sol, véhicules, piétons, panneaux de signalisation, etc.) mais aussi à interpréter ces signaux et à réagir de manière adéquate (freiner si un piéton est détecté devant le véhicule, respecter les règles du Code de la route, apprendre à se diriger pour arriver à destination, etc.). Cet apprentissage est réalisé sur la base de données réelles (des bases de données d’images11, par exemple issues d’un travail de cartographie préalable, tel que celui de Google Maps, ou réalisées spécifiquement pour le projet de conduite12), mais également dans des espaces virtuels (notamment adaptés de jeux vidéos tels que Grand Theft Auto 5) dans lesquels des opérateurs humains ou artificiels contrôlent et ajustent le comportement du modèle et permettent de simuler des situations, dangereuses ou rares, impossibles à reproduire dans des conditions réelles13. Le modèle de conduite déduit de cet apprentissage intègrera l’ensemble de ces expériences et permettra d’opérer un véhicule dans des conditions variées, en toute sécurité (espérons-le !).

B. Les limites du secret

  • 14 D. L. Wenskay, Intellectual property protection for neural networks, Neural networks, vol. 3, n° 2, (...)
  • 15 On parle alors d’API, pour « application programming interface », c’est-à-dire une interface de pro (...)
  • 16 Florian Tramèr, et al. Stealing Machine Learning Models via Prediction APIs. arXiv preprint arXiv:1 (...)
  • 17 V. < https://bigml.com >.
  • 18 V. < https://aws.amazon.com/machine-learning/ >.
  • 19 L’étude de mesures techniques d’attaque par modification des modèles d’inférence a aussi été étudié (...)

8On comprend donc sans peine la valeur de ces objets bien particuliers. En assurer la protection est donc d’un intérêt autant économique que stratégique pour les entreprises qui en sont à l’origine. La protection de ces modèles d’inférence est aujourd’hui largement assurée par le secret14 : même si ces modèles sont ouverts sur le monde, en ce sens qu’ils sont en interaction avec des données d’entrée au travers d’interfaces utilisateurs ou de programmation15, et qu’ils peuvent être interrogés pour obtenir des valeurs en sortie, leur structure apparaît suffisamment opaque pour qu’elle ne puisse faire l’objet d’aucune lecture directe. Conçues comme de véritables « boîtes noires », l’impossibilité d’interpréter le contenu de ces modèles était, de fait, garante de leur sécurité. C’était là, tout du moins, jusqu’à récemment le statu quo. Mais des travaux récents sont venus remettre en question cette invulnérabilité supposée des modèles d’apprentissage aux attaques directes. Florian Tramèr de l’institut polytechnique fédéral de Lausanne et ses collaborateurs de l’université de Cornell ont en effet démontré qu’il était possible d’extraire, à partir d’une analyse des seules entrées et sorties de ces modèles, une estimation de leur représentation interne, c’est-à-dire du modèle lui-même16. Tramèr et son équipe ont appliqué leur approche à des cas pratiques et mis en évidence que la grande majorité des plateformes offrant des interfaces d’interrogation de modèles d’inférence (telles que les « APIs » de BigML17 ou d’Amazon Machine Learning18), étaient bien susceptibles de voir leur contenu répliqué par une consultation du modèle et un examen de ses réponses19. Les modèles d’inférence, en tant que services offerts aux utilisateurs, se placent donc au confluent de deux forces contraires : d’une part la nécessité stratégique d’en préserver la confidentialité, et, d’autre part, l’obligation pratique d’une ouverture des modèles, au travers de ses entrées et sorties, qui rend leur dévoilement possible.

  • 20 https://blog.bigml.com/2016/09/30/hype-or-reality-stealing-machine-learning-models-via-prediction-a (...)

9Le risque de se voir dépossédé d’un tel objet technique, fruit d’un investissement significatif, semble donc à présent avéré. Face aux avancées des outils de rétro-ingénierie, le secret n’est, en principe plus suffisant pour assurer la confidentialité des modèles d’inférence, et puisqu’il faut bien convenir avec S. Lemarchand, O. Fréguet et F. Sardain qu’« en l’absence de protection, aucun investissement n’aurait lieu dans les activités qui ne donnent lieu qu’à des services dont le coût de re-producion est quasi nul », sous quel régime de protection, alors, doivent-ils être placés ? Interrogé à la suite de la publication des travaux de Tramèr et al., Atakan Cetinsoy, chercheur en apprentissage automatique à BigML, soulignait que « to our knowledge, there has been no major IP litigation to date involving compromise of machine-learned models, but as machine learning grows in popularity the applicable laws will almost certainly mature and offer some recourse against the exploits that the authors describe »20Encore faut-il, donc, déterminer pour cela un régime de protection adapté.

II. Les outils juridiques de protection des modèles prédictifs

10Afin d’évaluer le régime juridique de protection le plus adapté aux modèles d’inférence, nous considérerons dans un premier temps les options du droit des brevets (A), avant d’aborder la protection par le droit des bases de données (B). Nous discuterons enfin le recours au secret des affaires tel que défini par la récente directive communautaire (C).

A. La protection par le brevet

11Bien que la représentation des modèles d’inférence varie selon les protocoles algorithmiques dont ils sont issus (réseaux de neurones, machines à support vecteurs, etc.) et les spécificités de leur architecture (dans le cas des réseaux de neurones, il pourra s’agir de réseaux convolutifs, de réseaux récurrents, etc.), le principe reste néanmoins inchangé : ils sont, nous l’avons montré, constitués par un ensemble de paramètres déterminés lors de la phase d’apprentissage et organisés en une structure de données. C’est seulement au travers de cette organisation et de ces valeurs spécifiques que le modèle sera susceptible de remplir sa fonction. S’il s’agit, par exemple, d’un arbre de décision, la structure de l’arborescence (le nombre de branches à chaque niveau, la profondeur de la hiérarchie) ainsi que les valeurs de seuil des paramètres à chaque embranchement seront nécessaires pour reconstituer le modèle et en obtenir l’effet technique escompté.

  • 21 OEB, décision T1194/97 (Data structure product/PHILIPS), 15 mars 2000.
  • 22 OEB, décision T208/84, 15 Juil.1986, « VICOM », JO OEB 1987, p. 14.
  • 23 Id. Point 5.
  • 24 Id. Point 6.

12Un tel objet est-il susceptible d’une protection au titre du droit des brevets ? Rien ne semblerait l’interdire. Il ne s’agit pas en effet d’une non-invention au sens de l’article 52(2) CBE : ni un programme d’ordinateur (en tant que tel), ni une présentation d’information,21 et si on peut certainement y trouver des éléments mathématiques, des effets techniques y sont pourtant bien associés. Une analogie peut en effet être faite avec un filtre mathématique, par exemple appliqué à une image. La décision T0208/8422 a ainsi établi, dans le cas d’un filtre numérique, qu’un tel objet était susceptible d’application industrielle (point 3 des motifs), et bien que « Les caractéristiques d’un filtre, par exemple, peuvent s’exprimer par une formule mathématique. [...] [S] i l’on utilise une méthode mathématique dans un procédé technique, ce procédé s’applique à une entité physique (qui peut être un objet matériel mais également une image mémorisée sous forme de signal électrique) par quelque moyen technique mettant en œuvre la méthode et il en résulte une certaine modification de cette entité »23. Ainsi « même s’il est possible de considérer que l’idée qui sous-tend une invention réside en une méthode mathématique, une revendication portant sur un procédé technique dans lequel la méthode est utilisée ne recherche pas la protection pour la méthode mathématique en tant que telle »24.

13Un filtre numérique appliqué à des données telles que des images n’est donc pas exclu de la brevetabilité au titre de l’article 52(2) CBE.

  • 25 OEB, Directives, F.IV.4.5.2.
  • 26 « NN claims referring to a generic NN configuration should contain all structural and functional fe (...)
  • 27 Supra, not. n° 4.

14Revendiquer la protection d’un tel objet doit cependant remplir les conditions des articles 84 CBE (dans ce cas, plus précisément, lorsque la brevetabilité dépend d’un effet technique, « les revendications doivent être rédigées de façon à indiquer toutes les caractéristiques techniques de l’invention qui sont essentielles pour obtenir cet effet technique, cf. T 32/82 »25) et 83 CBE (c’est-à-dire de suffisance de l’exposé). Ces conditions impliqueront en l’espèce non seulement de décrire dans la demande l’ensemble de ces paramètres et leur organisation, mais de les revendiquer explicitement en tant que tels26. Une telle revendication devrait donc être formée d’une liste de valeurs et d’une indication de la topologie dans laquelle elles se positionnent. Lorsque, comme dans le cas du réseau de neurones représentant le modèle de conduite automatique de Nvidia27 un tel ensemble est constitué de 250 000 paramètres et 27 millions de connexions, on imagine la singularité d’une telle revendication. Mais au-delà de son aspect insolite, ou peu pratique, c’est la protection accordée par un tel objet qu’il faut examiner.

15Car, en effet, une telle protection apparaît immédiatement bien faible et susceptible d’un contournement aisé. Puisque c’est l’ensemble des paramètres qui forme la caractéristique essentielle de l’invention, et que la contrefaçon est la reproduction de ces mêmes caractéristiques essentielles, il suffira en effet de modifier légèrement certains des paramètres revendiqués pour en éviter la sanction, sans pour autant affecter significativement l’effet technique produit par le modèle ainsi modifié. T. Watking et A. Rau le soulignent :

  • 28 T. Watkin et A. Rau, « Intellectual property in artificial neural networks – In particular under th (...)

« the scope of protection of such a patent would be hopelessly limited, since it would only cover a single expression of the underlying network concepts. [...] [T]he generation of equivalent networks is very easy, and two networks which perform the same task usually nothing else whatsoever in common, so a patent to an actual neural network would be practically useless28. »

  • 29 Pour un exemple d’une telle revendication, dans le cas de réseaux récurrents, voir : WO 2010144947 (...)
  • 30 V. p. ex.: EP 2833295 (« Convolutional-neural-network-based classifier and classifying method and t (...)
  • 31 V. US 7203368 (« Embedded bayesian network for pattern recognition », Intel Corp., 10 avr. 2007).
  • 32 OEB, Directives, G.II.3.7.2.
  • 33 EP1656632B1 « Neural network for processing arrays of data with existent topology, such as images, (...)

16Si le modèle, dans son ensemble, ne semble donc guère protégeable par le brevet, dans certains cas, la topologie du modèle, c’est-à-dire la structure interne dans laquelle s’organisent les paramètres et qui détermine le flot d’informations entre les données d’entrées et les résultats en sortie, le pourra. Car un effet technique est directement attribuable à la structure relationnelle entre les diverses unités du modèle. Le fait, dans les réseaux neuronaux récurrents, de mettre en relation la sortie d’une unité neuronale à un instant donné à son entrée à l’instant suivant, permet, par exemple, de créer une forme de mémoire interne au modèle qui autorise l’identification de corrélations temporelles dans des séquences de parole ou de texte29. De même dans le cas de réseaux de neurones convolutifs spécifiques30, ou de certains réseaux bayésiens31. Mais la protection sera là encore limitée : car seule pourra être protégée l’application de ces structures à des données particulières, telles que des images ou des sons (v. la décision T0208/84). En effet, « des caractéristiques qui ont seulement pour objet de décrire des ensembles de données à un niveau logique ne produisent pas d’effet technique, même si la description peut impliquer une modélisation particulière des données décrites. [...] Aucune méthode n’étant exécutée, il est impossible détablir directement un effet technique lorsque cette structure est revendiquée en tant que telle. De plus, une structure de données revendiquée peut éventuellement être utilisée en combinaison avec divers algorithmes ou diverses méthodes à des fins totalement différentes »32. Il faudra donc s’assurer que la structure de données revendiquée « comporte intrinsèquement les caractéristiques techniques du système » pour éventuellement remplir les conditions de l’article 52(1) CBE. La demande devra par ailleurs vérifier les conditions de suffisance de l’exposé (art. 83 CBE), c’est-à-dire démontrer en détail la possibilité d’entraîner une telle structure pour en définir les paramètres (s’ils ne sont pas inclus dans la demande). Le brevet EP1656632 décrit ainsi une topologie de réseau neuronal adaptée à l’analyse d’images dans laquelle chaque neurone est connecté à la fois à un élément d’image et à ses éléments adjacents33.

  • 34 EP3025277, « Method of training a neural network », Isis Innovations Ltd, 1er juin 2016.
  • 35 EP3055813, « Methods and apparatus for reinforcement learning », Google Inc., 17 aout 2016.
  • 36 V. doc. préparatoire à la Convention de Munich : Résultats de la troisième session du groupe de tra (...)
  • 37 Pour une discussion de l’articulation entre droit d’auteur et droits des brevets, via l’article 64( (...)

17L’article L. 613-2 alinéa 2 du Code de la propriété intellectuelle (resp. l’art. 64(2) CBE), en disposant que lorsque l’objet du brevet porte sur un procédé « la protection conférée par le brevet s’étend aux produits obtenus directement par ce procédé », accorde au titulaire du brevet sur un outil de création de formes, des droits sur les produits qui en sont issus. Lorsque l’objet revendiqué porte sur un procédé d’apprentissage d’un modèle d’inférence (p. ex. EP3025277 : « Procédé d’apprentissage d’un réseau de neurones »34 ou encore EP3055813 : « Procédé et appareil d’apprentissage par renforcement »35), la protection s’étendrait-elle alors à tous les modèles qui pourraient en être déduits ? Pas exactement, car l’objet de l’article L. 613-2 al. 2 CPI n’est pas tant « d’interdire la mise en circulation d’un produit en tant que tel » – pour reprendre la formule utilisée lors des sessions de préparation à la Convention de Munich – mais « d’interdire la mise en circulation d’un produit en tant que résultant [d’un] tel procédé »36. Il s’agira donc d’abord là d’étendre la protection du procédé breveté en permettant l’utilisation de ses produits comme moyen de preuve de l’utilisation illicite du procédé, c’est-à-dire ici d’une méthode d’entraînement spécifique d’un modèle d’inférence, et pas d’une protection du modèle en tant que tel37.

18Puisque, en tout état de cause, la grande majorité des modèles reposent sur des structures connues (p. ex. des arbres décisionnels, des chaînes de Markov, des réseaux de neurones, etc.) non nouvelles, et donc non brevetables, un tel recours n’offrira une protection, partielle au demeurant, que dans un nombre bien limité de cas.

B. La protection du modèle en tant que base de données

19La directive 91/11/CE du 16 mars 1996 (transposée en France par la loi n° 98-536 du 1er juillet 1998), a mis en place une double protection pour les bases de données : une protection par le droit d’auteur (a) et une protection par un droit sui generis du producteur de bases de données (b). Un modèle d’inférence est-il susceptible d’une protection à ce titre ?

  • 38 C. cass, 1re civ., 22 sept. 2011. TGI Paris, 13 avr. 2010, – Optima on Line c/Media Contact Israel.
  • 39 CJUE, 4e chambre, 16 juillet 2009, affaire C-5/08 ; C. Cass. 1re civ. 13 mai 2014, Xooloo.
  • 40 CJUE, 1er mars 2012, affaire C-604/10, Football Dataco Ltd et a. c/Yahoo ! UK Ltd et al.
  • 41 CJUE, arrêt du 22 décembre 2010, Bezpečnostní softwarová asociace (C‑393/09, Rec. p. I‑13971, point(...)

20a. Le droit d’auteur : Le contenant de la base de données est susceptible d’être protégé au titre du droit d’auteur. L’architecture originale, la topologie, d’un modèle d’inférence entre-t-elle dans la définition ? L’article L. 112-3 CPI définit la base de données comme « un recueil d’œuvres, de données ou d’autres éléments indépendants, disposés de manière systématique ou méthodique, et individuellement accessibles par des moyens électroniques ou par tout autre moyen ». Il ne s’agit donc pas de protéger à ce titre une compilation d’informations, mais bien l’organisation particulière, la mise en relation spécifique des données entre elles38. Cette option semblerait donc, de prime abord, adaptée à offrir une forme de protection à la composante structurelle du modèle (qui rend bien compte en effet des « connexions » entre un ensemble de sous unités porteuses, chacune, de paramètres (i.e., en ce sens, de « données »). Mais, pour prétendre à la protection par le droit d’auteur, cette « base de données » doit cependant constituer une véritable création originale, c’est-à-dire justifier d’un « apport intellectuel »39 ou de « l’empreinte de la personnalité »40 de son auteur. Or, la disposition des matières n’est pas, dans le cas d’un modèle d’inférence, le fait de l’auteur, en tant que tel, puisqu’elle résulte d’associations induites par l’algorithme lors de l’apprentissage. Il ne saurait donc y avoir « apport intellectuel » ou « empreinte de la personnalité » du responsable du système d’inférence dans la topologie du modèle. De plus la démonstration de cette « originalité » sera difficile à justifier au sens du droit d’auteur, puisque son fondement est uniquement de nature fonctionnelle. En effet, « lorsque les caractéristiques d’une œuvre sont dictées par ses fonctions techniques, le critère de l’originalité n’est pas rempli »41.

21Qu’en est-il du contenu de la base de données, c’est-à-dire des paramètres constitutifs du modèle d’inférence ?

  • 42 C’est-à-dire : « la personne qui prend l’initiative et le risque des investissements correspondants(...)
  • 43 B. Warusfel, M.Dhenne, « La propriété intellectuelle face à l’ingénierie inverse », Propriétés int (...)
  • 44 Id. p. 31.

22b. Le droit sui generis : Le droit sui generis assure essentiellement une protection de l’investissement relatif à la création et la gestion d’une base de données. Selon l’article L. 341-1 CPI, le producteur d’une base de données42 « bénéficie d’une protection du contenu de la base lorsque la constitution, la vérification ou la présentation de celui-ci atteste d’un investissement financier, matériel ou humain substantiel ». Cette protection est, par ailleurs, indépendante de celle résultant éventuellement du droit d’auteur. Le producteur de bases de données a le droit d’interdire, au visa de l’article 342-1 CPI § 1 toute « extraction, par transfert permanent ou temporaire de la totalité ou d’une partie qualitativement ou quantitativement substantielle du contenu d’une base de données sur un autre support, par tout moyen et sous toute forme que ce soit ». Dans le cas d’une reproduction d’un modèle d’inférence, il ne s’agit pas tant d’interroger la base de données (au travers d’une API, comme dans les travaux de Tramèr) pour obtenir directement les données qui y sont stockées, mais de déduire des entrées et sorties, au moyen d’une reconstruction par ingénierie inverse, les paramètres du modèle. Néanmoins force est de constater que l’opération – qu’elle soit d’accès direct ou qu’elle requière une étape algorithmique supplémentaire – correspond bien à une « extraction du contenu de la base de données » (puisqu’il est bien précisé que celui-ci peut être réalisé « par tout moyen et sous toute forme que ce soit »). Par ailleurs, la représentation interne d’un modèle d’inférence étant distribuée dans l’ensemble des paramètres (par exemple les poids d’un réseau de neurones), son extraction à fin de reproduction requerra d’accéder à une partie substantielle (sinon à la totalité) de la base de données. Les conditions d’application de la protection au titre de l’article L. 342-1 CPI semblent donc remplies. Il faut donc convenir avec B. Warusfel et M. Dhenne que « l’ingénierie inverse, en ce qu’elle permet d’extraire ou de réutiliser le contenu d’une base de données est susceptible de constituer un acte de contrefaçon »43. En ce sens, « le droit sui generis relatif aux bases de données fait nécessairement obstacle à toute ingénierie inverse qui permettrait d’accéder à ces dernières »44.

  • 45 Une situation envisagée dès 1992 dans un rapport du Congrès des États-Unis : « An existing network (...)

23Un autre type d’attaque peut consister à entraîner un second modèle d’inférence sur les entrées/sorties obtenues du premier modèle45. Il n’est alors plus question d’extraire à l’identique les paramètres stockés dans la base de données par ingénierie inverse, mais de reproduire le comportement du modèle à partir de données tests fournies à son interface utilisateur. Rien n’imposerait alors à ce modèle reconstruit par « mimétisme » par le biais d’un apprentissage de reposer sur une architecture identique au modèle attaqué. Ses paramètres seraient en tout état de cause différents du premier. Dès lors, impossible de se protéger au titre d’une copie à l’identique des données du modèle. Cependant, ce type de « copie par induction » reposera, nécessairement, sur des accès répétés à la base de données parente : un nombre d’autant plus important que son modèle est complexe et que la dimension du problème qu’il sous-tend est grande (p. ex. le nombre de pixels dans une image, le type d’objets détectés, le nombre de catégories identifiées, etc.). Or les dispositions de l’article L. 342-2 CPI autorisent au producteur de la base de données « d’interdire l’extraction ou la réutilisation répétée et systématique de parties qualitativement ou quantitativement non substantielles du contenu de la base lorsque ces opérations excèdent manifestement les conditions d’utilisation normale de la base de données ». Cette possibilité offrirait donc là encore un moyen de défense contre les tentatives de reproduction d’un modèle, même lorsqu’il ne s’agit pas d’une copie à l’identique de son contenu.

  • 46 V. dans ce sens : M. Fredrikson, S. Jha et T. Ristenpart, « Model inversion attacks that exploit co (...)

24Notons enfin que la protection des données elles-mêmes, base de l’apprentissage statistique sur lequel se fonde le modèle d’inférence et capital stratégique essentiel des outils économiques du big data, pourra être assurée par le droit sui generis des bases de données. Une considération dont l’importance est, là encore, soulignée par les développements techniques récents qui ont montré la possibilité de reconstruire, dans certains cas, les données, utilisées pour l’entraînement, y compris des données personnelles, voire sensibles, à partir d’une interrogation du modèle46.

25Le droit sui generis des bases de données semble donc en mesure d’assurer, dans les deux configurations envisagées du moins, une protection du contenu d’un modèle d’inférence.

C. Un renouveau du secret d’affaires ?

  • 47 JOUE L157 du 15 juin 2016. Disponible en ligne à l’url : http://eur-lex.europa.eu/legal-content/FR/ (...)
  • 48 Id. Art. 4 § 1.

26La récente directive communautaire (UE) 2016/943 du 8 juin 2016 relative à la « protection des secrets d’affaires contre l’obtention, l’utilisation et la divulgation illicites »47 (ci-après, « la Directive »), dont la transposition en droit national devra être effectuée avant le 9 juin 2018, vise à protéger les entreprises contre l’espionnage économique et industriel. En demandant aux États membres d’harmoniser leurs législations en y inscrivant des « mesures, procédures et réparations » afin « d’empêcher l’obtention, l’utilisation ou la divulgation illicites d’un secret d’affaires ou d’obtenir réparation pour un tel fait »48, elle permet aux victimes de demander réparation devant les tribunaux en cas de vol d’informations confidentielles telles que les innovations technologiques.

  • 49 Bundesgerichtshof, 28 janv. 2014, cas n° VI ZR 156/13. V. en particulier le point 29 des motifs.
  • 50 La directive le souligne dans ses considérants : « [d]ans l’intérêt de l’innovation et en vue de fa (...)
  • 51 J. Huet, « Le reverse engineering, ou ingénierie inverse, et l’accès aux interfaces dans la protect (...)
  • 52 M. Buydens, La proposition de directive du 28 novembre 2013 du Parlement européen et du Conseil sur (...)
  • 53 Directive, Article 3 § 1 c.

27Selon la Directive, le secret d’affaires est défini comme l’ensemble des informations confidentielles dont la divulgation cause un préjudice à leur détenteur légitime. Pour être protégées par le secret, les informations doivent répondre à trois conditions : elles ne doivent pas être publiques « en ce sens que, dans leur globalité ou dans la configuration et l’assemblage exacts de leurs éléments, elles ne sont pas généralement connues des personnes appartenant aux milieux qui s’occupent normalement du genre d’informations en question, ou ne leur sont pas aisément accessibles », elles doivent avoir une « valeur commerciale parce qu’elles sont secrètes » et elles doivent faire l’objet de « dispositions raisonnables, compte tenu des circonstances, destinées à les garder secrètes » (art. 2 § 1 a-c). L’utilisation du qualificatif générique d’« information » n’impose aucune restriction sur la nature de l’objet à protéger : données numériques, structures de données, et autres artefacts technologiques entreront donc dans le champ de la protection de la directive. Les modèles d’inférence à grande échelle, d’une valeur commerciale indiscutable, sont-ils « aisément accessibles » ? Même si une interface d’utilisateur ou de programmation permet d’accéder à leurs entrées et sorties et d’en configurer certains paramètres, il est indéniable que leur contenu n’a pas fonction à être dévoilé. Le modèle reste en ce sens opaque, sauf à entreprendre un processus délibéré, aussi fastidieux que complexe, d’ingénierie inverse ou de copie. Le modèle d’inférence semble donc remplir la condition de n’être pas « aisément accessible » requise par la définition du secret. Le fait que les algorithmes soient considérés comme des secrets d’affaires a d’ailleurs été récemment souligné par une décision de la Cour suprême fédérale allemande (Bundesgerichtshof) du 28 janvier 2014, qui a rejeté une demande d’information relative à un procédé algorithmique d’attribution de crédits financiers, au motif que ces derniers étaient protégés par le secret d’affaires49. L’extension de cette qualification aux modèles d’inférence, dont ils sont les produits directs, serait donc, dans la lignée de la décision de la haute juridiction allemande, justifiée. Encore faut-il, condition sine qua non du secret d’affaires, que ces modèles soient maintenus dans la confidentialité. Car, à la différence des autres droits de propriété intellectuelle, le titulaire d’un secret d’affaires ne détient pas de droit exclusif sur les informations qui y sont liées50. Ainsi, bien que le secret puisse « apporter quelque sécurité à celui qui veut s’en entourer, [il] ne confère aucun pouvoir juridique de se réserver erga omnes l’information en cause »51. En effet, les secrets d’affaires « sont par nature non appropriés : ils ne sont protégés (entre parties) que par le contrat et à l’égard des tiers par le fait que constitue leur caractère secret. [...] La protection du secret est donc indirecte : c’est l’acte de celui qui le viole qui pourra être illicite (et ce n’est pas le secret qui, en lui-même, est protégé) »52. L’obtention d’un secret d’affaires est, ainsi, licite lorsqu’elle correspond à un exercice d’ingénierie inverse (c’est-à-dire, selon la Directive, à « l’observation, l’étude, le démontage ») à partir d’un produit ou d’un objet licitement en la possession de la personne53.

  • 54 J. Lapousterle en souligne l’étendue : « Ces mesures de protection peuvent aller de la mention « co (...)
  • 55 J. Lapousterle, « Les secrets d’affaires à l’épreuve de l’harmonisation européenne », Recueil Dallo (...)
  • 56 Id.
  • 57 Id.
  • 58 V. not. n° 11, section 7.

28L’art. 2 § 1c de la Directive impose en ce sens une condition supplémentaire à la qualification : la mise en œuvre de techniques de protection « raisonnables, compte tenu des circonstances » afin de conserver le secret des informations. Cette condition, faute de plus de précisions, laisse cependant libre à l’interprétation les modalités pratiques d’implémentation desdites dispositions54. Bien que, comme le note J. Lapousterle, la formulation « extrêmement vague »55 de cette condition « invite [ra] les juges à une appréciation in concreto »56, elle pourrait imposer au détenteur des informations, lorsque de nouvelles techniques d’analyse permettent de contourner – et rendent ce faisant obsolète – les moyens destinés à garder les informations secrètes, de mettre en œuvre des contremesures adaptées pour rétablir un seuil de protection suffisant. Car il s’agit bien par de telles mesures d’exprimer « sa volonté de se prémunir de toute appréhension non autorisée »57. Les dispositions destinées à maintenir le secret des informations ne seraient « raisonnables, compte tenu des circonstances », que dans ce sens. Il incombe donc au détenteur du secret de mettre en œuvre des procédures de protection, en particulier techniques, adaptées aux outils d’ingénierie inverse publiquement disponibles afin d’en conserver la confidentialité. Dans le cas des biens numériques il s’agit usuellement de moyens de chiffrement ou de contrôle de l’accès aux services d’interrogation des bases de données, d’installation de logiciels de filtrage des requêtes, etc. Mais de telles protections ne se prêtent guère à des systèmes interrogeables, tels que les modèles d’inférence, utilisables publiquement au travers d’interfaces. Est-il alors possible d’éviter leur extraction par des procédés techniques ? Les résultats de Tramèr et al. ont montré la difficulté de mise en œuvre de telles contremesures tout en maintenant les fonctionnalités du service dans ses utilisations licites58. Puisque les mesures techniques de protection apparaissent jusqu’à présent inopérantes à contrer les analyses par rétro-ingénierie, seules des précautions contractuelles seront susceptibles d’en limiter l’application et de manifester explicitement l’intention de maintenir la confidentialité du modèle, objet du secret. La directive précise en effet que l’ingénierie inverse n’est licite qu’en l’absence d’« obligation juridiquement valide de limiter l’obtention du secret d’affaires ». L’implémentation de mesures contractuelles limitant l’utilisation d’une interface d’interrogation d’un modèle d’inférence permettra donc d’en interdire l’extraction et de poursuivre un tiers ayant contrevenu à ses dispositions.

Conclusion

29Un nombre croissant de systèmes de décision et de contrôle automatique reposent aujourd’hui sur la construction de modèles d’inférence. Usuellement protégés par le secret, de nouvelles techniques algorithmiques ont montré leur vulnérabilité à des attaques par ingénierie inverse. La protection de ces nouveaux objets techniques doit donc être reconsidérée. Mais la nature décidément composite de ces objets – à la fois architecture fonctionnelle, par laquelle les données d’entrée sont progressivement transformées en information interprétable, et recueil d’un ensemble de paramètres issus d’une phase d’entraînement – ne se résout pas à un unique régime de protection.

30Le brevet, n’offre ainsi, au mieux, qu’une protection des aspects structuraux du modèle mais ne saurait en protéger les paramètres. La protection au titre du droit sui generis des bases de données ne permettra pas quant à elle de protéger la topologie du modèle, mais elle pourra, en revanche, en assurer la protection du contenu. C’est donc, à l’image de la nature hybride des modèles d’inférence, la conjugaison de deux régimes de protection qu’il faudra invoquer pour en assurer la réservation. Une combinaison d’une protection par le brevet (pour l’architecture fonctionnelle, lorsque celle-ci est nouvelle et inventive) et par le droit sui generis pour les paramètres résultant de l’apprentissage, s’ils sont la manifestation d’un investissement substantiel, pourrait donc offrir une protection viable de l’ensemble du modèle. Chacun de ces deux modes de protection permettra, en outre, de s’opposer aux pratiques d’ingénierie inverse lorsqu’elles ont pour objectif la commercialisation ultérieure de l’objet breveté, ou lorsqu’elles reposent sur un accès substantiel ou répété au contenu de la base de données. Enfin, la nouvelle directive européenne sur le secret des affaires, sans faire bénéficier toutefois à son titulaire d’un droit exclusif sur l’objet du secret, pourra offrir une alternative à ces protections. La protection par le secret requerra cependant l’engagement de mesures spécifiques pour préserver l’avantage compétitif qui en résulte : actions en termes de précautions informatiques d’une part, pour maintenir au mieux la confidentialité de l’objet protégé, mais aussi et surtout – face à la limite des moyens de défense technologiques – des actions contractuelles d’autre part, en en prévenant, notamment, l’ingénierie inverse.

Haut de page

Notes

1 V. J. Burrell, « How the machine ‘thinks’: Understanding opacity in machine learning algorithms », Big Data & Society 3, n° 1, 2016, p. 1-12. Pour une présentation générale de l’évolution de la notion de « modèle » et de son application, en particulier, aux sciences de l’ingénieur, v. M. Armatte et A. Dahan Dalmedico, « Modèles et modélisations, 1950-2000 : Nouvelles pratiques, nouveaux enjeux », Revue d’histoire des sciences, 2004, p. 243-303.

2 V. p. ex. M. D. Goldberg et D. O. Carson, « Copyright protection for artificial intelligence systems », Journal of the Copyright Society of the U.S.A., vol. 39, n° 1, 1991, p. 57-75. D. S. Rao, « Neural networks : here, there and everywhere – an examination of the available intellectual property protection for neural networks in Europe and the United States », George Washington Journal of International Law and Economy, vol. 30, 1996, p. 509-539.

3 V. M.I. Jordan, T.M. Mitchell, « Machine learning : Trends, perspectives, and prospects », Science, vol. 349, n° 6245, 2015, p. 255-260. LeCun, Y., Bengio, Y. and Hinton, G., Deep learning. Nature, vol. 521, n° 7553, 2015, p. 436-444. Das, Sumit, Aritra Dey, Akash Pal et Nabamita Roy, « Applications of Artificial Intelligence in Machine Learning : Review and Prospect », International Journal of Computer Applications, vol. 115, n° 9, 2015, p. 31-41.

4 Les représentations apprises lors de l’apprentissage dépendent en effet non seulement de la quantité, mais également de la qualité des données (p. ex. du rapport « signal sur bruit », du taux d’erreur dans la classification et l’étiquetage des données, la distribution statistique des exemples dans les diverses catégories, etc.).

5 Pour plus de détails sur les diverses phases de construction d’un modèle prédictif, v. B. Krishnapuram, S. Yu et R. B. Rao, Cost-Sensitive Machine Learning, Chapman & Hall/CRC Machine Learning & Pattern Recognition, 2011.

6 Une estimation des coûts associés à la constitution de modèles d’inférence est proposée dans : O. Marbán, E. Menasalvas, C. Fernández-Baizán, « A cost model to estimate the effort of data mining projects », Information Systems, vol. 33, n° 1, 2008, p. 133-150. P. Domingos, « How to get a free lunch: A simple cost model for machine learning applications », Proceedings of AAAI-98/ICML-98 Workshop on the Methodology of Applying Machine Learning, 1998, p. 1-7.

7 G. Linden, B. Smith, J. York, « Amazon. com recommendations: Item-to-item collaborative filtering », IEEE Internet computing 7.1, 2003, p. 76-80.

8 A. Azaria, A. Hassidim, S. Kraus, A. Eshkol, O. Weintraub, I. Netanely, « Movie recommender system for profit maximization », In Proceedings of the 7th ACM conference on Recommender systems, ACM, 2013, p. 121-128.

9 Pour des exemples d’applications, v. < https://aws.amazon.com/rekognition/ >. Google offre aussi un service équivalent d’analyse d’images : < https://cloud.google.com/vision/ >.

10 Le service « Amazon Lex », utilisé dans l’assistant vocal Alexa est depuis peu ouvert au public : < https://aws.amazon.com/lex/ >. Les plateformes « cognitive service » de Microsoft (< https://azure.microsoft.com/en-us/services/cognitive-services/ >) et de la plateforme « Cloud Machine Learning » de Google (< https://cloud.google.com/products/machine-learning/ >) proposent également des applications de traitement automatique de la parole et du langage naturel.

11 C. Chen, A. Seff, A. Kornhauser, J. Xiao, « DeepDriving: Learning Affordance for Direct Perception in Autonomous Driving », Proc. 15th IEEE International Conference on Computer Vision (ICCV2015). 

12 Le projet de conduite automatique de Nvidia souligne l’effort que nécessite l’acquisition d’une base de données suffisante pour entraîner un réseau de neurone convolutif profond constitué de 250 000 paramètres et 27 millions de connexions : « Training data was collected by driving on a wide variety of roads and in a diverse set of lighting and weather conditions. We gathered surface street data in central New Jersey and highway data from Illinois, Michigan, Pennsylvania, and New York. Other road types include two-lane roads (with and without lane markings), residential roads with parked cars, tunnels, and unpaved roads. Data was collected in clear, cloudy, foggy, snowy, and rainy weather, both day and night. In some instances, the sun was low in the sky, resulting in glare reflecting from the road surface and scattering from the windshield » (Bojarski, Mariusz, et al., End to End Learning for Self-Driving Cars., arXiv preprint arXiv:1604.07316, 2016).

13 A. Filipowicz et al., Learning to Recognize Distance to Stop Signs Using the Virtual World of Grand Theft Auto 5, soumis à 96th TRB Annual Meeting, janv. 2017.

14 D. L. Wenskay, Intellectual property protection for neural networks, Neural networks, vol. 3, n° 2, 1990, p. 229-236. Voir, dans le même sens, la décision récente du Bundesgerichtshof (supra, not. n° 31).

15 On parle alors d’API, pour « application programming interface », c’est-à-dire une interface de programmation applicative, constituée d’un ensemble de méthodes à travers lesquelles des utilisateurs extérieurs à l’application peuvent en utiliser des fonctionnalités.

16 Florian Tramèr, et al. Stealing Machine Learning Models via Prediction APIs. arXiv preprint arXiv:1609.02943, 11 aout 2016.

17 V. < https://bigml.com >.

18 V. < https://aws.amazon.com/machine-learning/ >.

19 L’étude de mesures techniques d’attaque par modification des modèles d’inférence a aussi été étudiée (N. Papernot et al.« Practical black-box attacks against deep learning systems using adversarial examples », arXiv preprint arXiv:1602.02697, 7 nov. 2016). L’intérêt et la nouveauté des travaux de F. Tramèr et son équipe résident dans la démonstration pratique que les « prediction APIs exposed by current ML-as-a-service providers enable new model extraction attacks that could subvert model monetization, violate training-data privacy, and facilitate model evasion » (Tramèr, not. n° 11).

20 https://blog.bigml.com/2016/09/30/hype-or-reality-stealing-machine-learning-models-via-prediction-apis/ accédé le 5 oct. 2016. Une remarque proche avait été formulée un quart de siècle plus tôt, alors que les réseaux de neurones connaissaient leur première vague de succès : « Interconnection weights derived by training a neural network represent a new and valuable form of intellectual property. Protection for these weights has not yet become a commercial problem, but as mass-produced, fixed-weight products enter the market, protecting them will become increasingly important » (D. L. Wenskay, Neural networks : A prescription for effective protection. Comp. Lawyer, vol. 8, n° 8, 1991, p. 12-23).

21 OEB, décision T1194/97 (Data structure product/PHILIPS), 15 mars 2000.

22 OEB, décision T208/84, 15 Juil.1986, « VICOM », JO OEB 1987, p. 14.

23 Id. Point 5.

24 Id. Point 6.

25 OEB, Directives, F.IV.4.5.2.

26 « NN claims referring to a generic NN configuration should contain all structural and functional features responsible for the claimed functionality » (Y. Skulikaris, « Patent protection for software related inventions, in particular artificial intelligence and neural networks », in Proceedings of the conference on Intellectual property rights and new technologies, R. Oldenbourg Verlag GmbH, 1995, p. 188-193. (p. 193).

27 Supra, not. n° 4.

28 T. Watkin et A. Rau, « Intellectual property in artificial neural networks – In particular under the European patent convention », IIC-international Review of Industrial Property and Copyright Law, vol. 27, n° 4, 1996, p. 447-469. (p. 464).

29 Pour un exemple d’une telle revendication, dans le cas de réseaux récurrents, voir : WO 2010144947 (« Construction and training of a recurrent neural network », CSIRO, 23 dec. 2010). Pour des réseaux dits à « longue mémoire à court-terme » : WO 2016145850 (« Construction method for deep long short-term memory recurrent neural network acoustic model based on selective attention principle », Tsinghua University, 22 sept. 2016).

30 V. p. ex.: EP 2833295 (« Convolutional-neural-network-based classifier and classifying method and training methods for the same » Fujitsu Ltd., 20 mai 2015).

31 V. US 7203368 (« Embedded bayesian network for pattern recognition », Intel Corp., 10 avr. 2007).

32 OEB, Directives, G.II.3.7.2.

33 EP1656632B1 « Neural network for processing arrays of data with existent topology, such as images, and application of the network », Semeion, 3 oct. 2012.

34 EP3025277, « Method of training a neural network », Isis Innovations Ltd, 1er juin 2016.

35 EP3055813, « Methods and apparatus for reinforcement learning », Google Inc., 17 aout 2016.

36 V. doc. préparatoire à la Convention de Munich : Résultats de la troisième session du groupe de travail Brevets, Bruxelles, 25 sept. au 6 oct. 196, doc. IV/6514/61-F, p. 40 ; La délégation italienne – par la voix du professeur M. Roscioni – soulignera dans le même sens que « le texte vise à protéger un certain procédé et non pas un produit en tant que tel » (p. 40).

37 Pour une discussion de l’articulation entre droit d’auteur et droits des brevets, via l’article 64(2) CBE, v. J.-M. Deltorn, « Concours de droits sur les œuvres numériques – Le cas des créations issues de procédés brevetés », Propriétés Intellectuelles, n° 60, p. 285-291, juil. 2016.

38 C. cass, 1re civ., 22 sept. 2011. TGI Paris, 13 avr. 2010, – Optima on Line c/Media Contact Israel.

39 CJUE, 4e chambre, 16 juillet 2009, affaire C-5/08 ; C. Cass. 1re civ. 13 mai 2014, Xooloo.

40 CJUE, 1er mars 2012, affaire C-604/10, Football Dataco Ltd et a. c/Yahoo ! UK Ltd et al.

41 CJUE, arrêt du 22 décembre 2010, Bezpečnostní softwarová asociace (C‑393/09, Rec. p. I‑13971, point 49).

42 C’est-à-dire : « la personne qui prend l’initiative et le risque des investissements correspondants » (L. 341-1 CPI).

43 B. Warusfel, M.Dhenne, « La propriété intellectuelle face à l’ingénierie inverse », Propriétés intellectuelles, n° 58, 2016, p. 20-32. (p.31).

44 Id. p. 31.

45 Une situation envisagée dès 1992 dans un rapport du Congrès des États-Unis : « An existing network or conventional program could be supplied with [the] inputs and the outputs observed. These sets of input and output data could then be used to train a second network, which would have similar behavior to the original network » (in Finding a balance: Computer software, intellectual property and the challenge of technological change, U.S. Congress Office Technological assessment, OTA -TCT-527, mai 1992, p. 152). Le rapport est disponible à l’url : http://ota.fas.org/reports/9215.pdf

46 V. dans ce sens : M. Fredrikson, S. Jha et T. Ristenpart, « Model inversion attacks that exploit confidence information and basic countermeasures », 22nd ACM SIGSAC Conference on Computer and Communications Security, p. 1322–1333, 2015. Une situation d’autant plus critique que le corpus d’entraînement peut revêtir un caractère confidentiel ou contenir des données à caractère privé ou sensible, notamment des données de santé (N. Papernot et al., Semi-supervised Knowledge Transfer for Deep Learning from Private Training Data, arXiv preprint arXiv :1610.05755, 2016).

47 JOUE L157 du 15 juin 2016. Disponible en ligne à l’url : http://eur-lex.europa.eu/legal-content/FR/ALL/?uri=CELEX%3A32016L0943

48 Id. Art. 4 § 1.

49 Bundesgerichtshof, 28 janv. 2014, cas n° VI ZR 156/13. V. en particulier le point 29 des motifs.

50 La directive le souligne dans ses considérants : « [d]ans l’intérêt de l’innovation et en vue de favoriser la concurrence, les dispositions de la présente directive ne devraient créer aucun droit exclusif sur les savoir-faire ou informations protégés en tant que secrets d’affaires » (considérant 16).

51 J. Huet, « Le reverse engineering, ou ingénierie inverse, et l’accès aux interfaces dans la protection des logiciels en Europe : questions de droit d’auteur et de droit de la concurrence », Recueil Dalloz, 1990, p. 99.

52 M. Buydens, La proposition de directive du 28 novembre 2013 du Parlement européen et du Conseil sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d’affaires) contre l’obtention, l’utilisation et la divulgation illicites : un premier commentaire, Cahier du Juriste, n° 2014/2, p. 33-41.

53 Directive, Article 3 § 1 c.

54 J. Lapousterle en souligne l’étendue : « Ces mesures de protection peuvent aller de la mention « confidentiel » apposée sur un dossier ou un fichier électronique à la conclusion d’accords de confidentialité, en passant par le recours à des barrières physiques (le légendaire coffre-fort contenant la recette du coca-cola exposé à Atlanta) ou informatiques ». (J. Lapousterle, « La directive (UE) 2016/943 du 8 juin 2016 sur la protection des secrets d’affaires : apports et perspectives de transposition », Dalloz IP/IT, 2016, p. 493).

55 J. Lapousterle, « Les secrets d’affaires à l’épreuve de l’harmonisation européenne », Recueil Dalloz, 2014, p. 682.

56 Id.

57 Id.

58 V. not. n° 11, section 7.

Haut de page

Pour citer cet article

Référence papier

Jean-Marc Deltorn, « Quelle(s) protection(s) pour les modèles d’inférence ? », Cahiers Droit, Sciences & Technologies, 7 | -1, 127-142.

Référence électronique

Jean-Marc Deltorn, « Quelle(s) protection(s) pour les modèles d’inférence ? », Cahiers Droit, Sciences & Technologies [En ligne], 7 | 2017, mis en ligne le 09 janvier 2018, consulté le 24 septembre 2018. URL : http://journals.openedition.org/cdst/546 ; DOI : 10.4000/cdst.546

Haut de page

Auteur

Jean-Marc Deltorn

Doctorant au Laboratoire de recherche (ea4375) du Centre d’études internationales de la propriété intellectuelle, Université de Strasbourg. Contact : jmdeltorn@etu.unistra.fr

Haut de page

Droits d’auteur

Tous droits réservés

Haut de page
  • Logo Réseau Droit, Scences et techniques
  • Logo CNRS
  • Logo AMU
  • OpenEdition Journals