En Essonne, IZENA veut tatouer les IA pour rendre leurs traces difficiles à effacer

À Télécom SudParis, à Palaiseau (Essonne), Carl De Sousa Trias travaille sur une drôle de manière de reconnaître les copies de modèles d’intelligence artificielle : leur intégrer un tatouage numérique suffisamment discret pour ne pas gêner leur fonctionnement, mais suffisamment résistant pour qu’on ne puisse pas facilement l’effacer. Ces recherches, menées au laboratoire SAMOVAR, alimentent aujourd’hui IZENA, un projet de création d’entreprise présenté le 12 octobre par l’école.

Lorsqu’une entreprise développe un modèle d’IA, comment peut-elle le reconnaître si quelqu’un le copie, le modifie puis le redistribue ?

Une empreinte informatique classique permet de vérifier qu’un fichier est identique à l’original. Mais un réseau de neurones peut être réentraîné, allégé ou modifié sans perdre sa fonction. Son empreinte change alors complètement. Impossible de s’en servir pour établir la parenté entre deux versions.

Faire de la signature une pièce sensible du modèle

Le tatouage des réseaux de neurones existe depuis plusieurs années. La difficulté consiste à préserver la marque lorsque le modèle est modifié, sans dégrader ses performances ni rendre son entraînement excessivement coûteux.

Carl De Sousa Trias et ses coauteurs ont notamment travaillé sur le coût de cette protection, avec une méthode baptisée WaterMAS, publiée en 2024.

Le principe est ingénieux. Une partie des paramètres du réseau reçoit une signature cachée. Pendant l’entraînement, ces valeurs sont maintenues fixes, tandis que les autres paramètres sont ajustés pour rendre le fonctionnement du modèle particulièrement sensible à leur modification.

Autrement dit, la signature devient difficile à retirer sans risquer d’abîmer ce que l’IA sait faire. Plutôt que de chercher uniquement à dissimuler la marque, les chercheurs rendent son effacement potentiellement coûteux pour celui qui voudrait la supprimer.

Des méthodes antérieures reposaient déjà sur cette sensibilité aux modifications. WaterMAS cherche notamment à réduire le coût de calcul nécessaire pour l’obtenir.

Les essais portent sur cinq architectures de réseaux capables notamment de classer des images ou d’en identifier les différentes parties. La signature reste détectable après plusieurs types de transformations, dont le réentraînement, la suppression de paramètres et la réduction de leur précision numérique.

L’étude mesure aussi le coût informatique. Sur un réseau ResNet-18, une époque d’entraînement, soit un passage complet sur les données, prend en moyenne 19 secondes avec WaterMAS, contre 1 minute et 36 secondes pour une méthode antérieure étudiée dans les mêmes conditions. Sans tatouage, elle prend 12 secondes. Dans cet essai, la protection a donc un coût, mais les chercheurs montrent qu’il peut être considérablement réduit par rapport à certaines techniques existantes.

Retrouver une signature sans ouvrir la machine

Ces résultats éclairent aussi une limite importante. WaterMAS exige l’accès aux paramètres internes du modèle pour vérifier son identité. Cela convient à certains contrôles techniques, mais pas à une IA accessible uniquement à travers un service en ligne.

Dans sa thèse, soutenue en juin 2025 à Palaiseau, Carl De Sousa Trias a également exploré des méthodes permettant de rechercher une marque à partir des seules réponses du réseau. Elles pourraient aider à vérifier une suspicion de copie sans pouvoir examiner les paramètres internes du modèle.

Les recherches concernent principalement le traitement d’images et de vidéos. Leur efficacité sur les grands modèles de langage, comme ceux utilisés dans les assistants conversationnels, n’est pas établie par ces expériences.

Du laboratoire à IZENA

Ces travaux ont donné lieu à une demande de brevet déposée en mai 2025. Le 16 septembre 2026, le projet entrepreneurial, alors nommé TatouAI, a reçu un Grand Prix i-PhD, distinction destinée à accompagner la création d’entreprises issues de la recherche.

Désormais baptisé IZENA, le projet vise notamment les industriels qui doivent protéger leurs modèles, en contrôler la provenance ou repérer certaines altérations. L’équipe prépare une démonstration pour des usages industriels et une première version du produit. Aucun client ni résultat de validation industrielle indépendante n’est encore annoncé.

IZENA devra désormais vérifier que ces signatures résistent aux modifications de modèles réellement utilisés par des industriels, sans entraîner un coût de calcul excessif.