Dans cet article
- Le créateur de Muse a utilisé environ 50 000 heures d'enregistrements d'ondes cérébrales d'utilisateurs pour entraîner l'IA sans le leur dire explicitement.
- Supprimer les noms ne suffit peut-être pas à anonymiser les données d'ondes cérébrales ; des chercheurs ont identifié des individus à partir d'enregistrements EEG.
- Consultez les politiques de confidentialité et renseignez-vous sur les possibilités de désinscription et de suppression des données.
Les entreprises technologiques tentent depuis des années de s'immiscer dans nos pensées à des fins lucratives. Désormais, elles le font littéralement. Une enquête a révélé que le fabricant de Muse, un bandeau qui mesure l'activité cérébrale pendant le sommeil et la méditation, utilisait les données d'ondes cérébrales des utilisateurs pour entraîner une IA sans les en informer explicitement.
Ces bracelets connectés, vendus par les entreprises, sont censés aider à mieux comprendre l'activité cérébrale pendant le sommeil et la méditation. Cependant, d'après une enquête publiée dans la revue Science, ils en tirent également quelques enseignements indirects.
L'enquête, menée pendant un an, a révélé que la société canadienne Interaxon, fabricant du bandeau de sommeil et de méditation Muse, utilisait les données collectées sur le cerveau de ses utilisateurs pour entraîner son intelligence artificielle. L'entreprise a utilisé environ 50 000 heures d'enregistrements d'électroencéphalographie (EEG), qui mesurent l'activité électrique du cerveau, pour entraîner un « modèle de base du cerveau ».
Les modèles d'IA entraînés avec de grandes quantités de données d'ondes cérébrales provenant de différentes personnes peuvent repérer des schémas dans l'activité cérébrale. Par exemple, un modèle pourrait apprendre à reconnaître les schémas associés aux crises d'épilepsie.
Il est louable de mener des recherches sur de tels résultats, mais seulement si l'on en informe au préalable les personnes dont les données EEG sont utilisées pour la formation. Interaxon ne l'a pas fait.
Voici ce que votre cerveau ressent face à une politique de confidentialité inadéquate.
Interrogée par Science à ce sujet, la directrice marketing d'Interaxon, Nadia Kumentas, a reconnu que les utilisateurs devaient être explicitement informés de l'entraînement de l'IA. L'entreprise a mis à jour sa politique de confidentialité, qui précise désormais que des données anonymisées sont utilisées pour entraîner les modèles d'apprentissage automatique .
La collecte de données via des appareils de ce type est tentante pour les entreprises car les données sur les ondes cérébrales sont autrement difficiles à obtenir et donc incroyablement précieuses.
Il n'est donc pas surprenant que cette entreprise ne soit pas la seule du secteur des neurotechnologies à être interrogée sur ses pratiques en matière de données. La publication a passé en revue 57 entreprises collectant des données cérébrales et a constaté que seules six d'entre elles déclaraient explicitement ne pas vendre les données cérébrales de leurs utilisateurs. Plus des deux tiers autorisent le transfert de ces données à un nouvel acquéreur en cas de rachat. Onze d'entre elles disposaient uniquement d'une politique de confidentialité pour les visiteurs de leur site web, et quatre n'en avaient aucune.
Il faut reconnaître à Interaxon le mérite d'avoir supprimé les noms et adresses électroniques des données EEG des utilisateurs avant de les utiliser pour l'entraînement. Cependant, les données de ces utilisateurs ont déjà contribué à façonner un modèle entraîné sans qu'ils en soient explicitement informés. Il est extrêmement difficile d'éliminer leur influence a posteriori.
Mais cette « dépersonnalisation » est-elle suffisante ? Une étude universitaire menée cette année par l’Université du Sud-Est de la Norvège a révélé que les enregistrements EEG et les caractéristiques qui en sont dérivées peuvent contenir des informations sensibles propres au patient. Selon cette étude, cela peut engendrer des risques pour la vie privée lorsque ces données sont partagées entre les milieux cliniques et de recherche. Elle ajoute :
« Les méthodes d’anonymisation classiques sont souvent insuffisantes pour les signaux biomédicaux de haute dimension, car la suppression des identifiants directs n’empêche pas nécessairement la réidentification, la mise en relation ou les risques d’inférence. »
Une autre étude menée par des chercheurs de l'Université Ben-Gourion, en Israël, a révélé que l'analyse des enregistrements EEG au repos pouvait éclairer certains traits de personnalité et capacités cognitives. Selon une étude de 2018 réalisée par des chercheurs de l'Université de Corée, l'EEG au repos a permis d'identifier les utilisateurs dans 88,4 % des cas. Par ailleurs, une étude de l'Université de Californie du Sud a affirmé que les données EEG pouvaient révéler l'état de santé mentale, des affections neurologiques, voire des antécédents de consommation de substances.
Ces résultats ne permettent pas de tirer des conclusions spécifiques des enregistrements Muse. Les bandeaux grand public comportent généralement moins d'électrodes que les systèmes EEG cliniques.
Ce n’est pas la première fois qu’une étude du secteur des neurotechnologies grand public révèle des tendances inquiétantes. Un rapport de la Neurorights Foundation publié en 2024 a constaté que 29 des 30 entreprises interrogées semblaient avoir accès aux données neuronales des consommateurs et n’avaient imposé « aucune limitation significative à cet accès ».
La loi est encore en train de s'adapter à tout cela. Informations biométriques de l'Illinois Privacy La loi américaine BIPA (Biometric Identification Payment Act) considère vos empreintes digitales, votre empreinte vocale ou la géométrie de votre visage, entre autres, comme des identifiants biométriques, mais les données EEG ne sont pas prises en compte. Cependant, le Colorado et la Californie considèrent désormais les données neuronales comme sensibles.
Ces préoccupations ne se limitent pas aux données des ondes cérébrales. Selon un sondage réalisé Malwarebytes auprès des abonnés à une newsletter , 90 % s'inquiètent de l'utilisation de leurs données par l'IA sans leur consentement, tandis que 92 % craignent une utilisation inappropriée de leurs données personnelles par les entreprises.
Ce que les propriétaires de Muse peuvent faire
Utilisez-vous un bracelet connecté pour le sommeil ou un autre appareil de neurotechnologie ? Sachez que vos données cérébrales pourraient être utilisées à des fins bien plus vastes que vous ne l’imaginez. Et si l’entreprise fait faillite ou est rachetée, elle pourrait être transférée à un autre propriétaire. C’est précisément ce qui est arrivé à la société de tests génétiques 23andMe.
Dans cette optique, consultez la politique de confidentialité du fabricant et, si vous ne la trouvez pas, posez-lui la question directement. Demandez si vos données EEG sont utilisées pour entraîner une IA, si vous pouvez vous y opposer et si vous pouvez supprimer les enregistrements déjà collectés.
Si ces options ne sont pas disponibles, réfléchissez à la pertinence de continuer à utiliser l'appareil.
Du signalement des menaces à leur suppression.
Les risques de cybersécurité ne devraient jamais dépasser le stade de la simple mention dans les médias. Protégez vos appareils des menaces en téléchargeant Malwarebytes dès aujourd'hui .
