Analyser nos relations peut révéler des structures collectives utiles. Deux travaux récents éclairent ce que l’on peut apprendre sous une contrainte de confidentialité, les limites de cette ambition et le rôle des choix collectifs.

Imaginons une entreprise qui souhaite comprendre comment ses équipes collaborent. À partir des échanges entre salariés, elle espère repérer des groupes de travail qui ne figurent pas dans l’organigramme et mieux organiser la circulation de l’information. Mais la même analyse pourrait aussi rendre visibles des relations que chacun préférerait garder privées. Comment étudier le fonctionnement d’un collectif sans transformer ses membres en objets de surveillance ?

Le problème tient à la nature des données. Une relation concerne au moins deux personnes. Même si l’on s’intéresse seulement à l’organisation d’ensemble, on travaille avec des informations qui touchent à la vie de chacun. Une connaissance produite pour améliorer la coopération pourrait ensuite servir à évaluer des comportements individuels.

Remplacer les noms par des numéros semble une première précaution. Pourtant, dans notre exemple, une personne qui connaît certains échanges pourrait reconnaître un salarié grâce à la configuration de ses relations. Enlever les noms laisse donc ouverte une question essentielle : que permet d’apprendre le résultat publié sur les personnes qui ont contribué aux données ?

Cette question motive deux recherches menées par Olga Klopp, professeure en systèmes d’informations, data analytics et données, avec Ilias Zadik de l’université de Yale puis dans une seconde collaboration réunissant aussi Laurentiu Marchis et Po-Ling Loh de l’université de Cambridge.  Ils ont étudié la détection de communautés dans les réseaux sous une contrainte de protection de la vie privée.

Protéger une personne et toutes ses relations

Dans un réseau, les individus sont représentés par des points et leurs relations par des liens. Protéger un lien isolé et protéger toutes les relations d’une personne sont deux exigences différentes. Nos travaux retiennent la seconde, plus forte.

La professeure Olga Klopp nous explique : “Nous utilisons la confidentialité différentielle. Son principe est de comparer les probabilités des résultats obtenus avec deux jeux de données qui ne diffèrent que par les informations protégées d’une personne. Ces probabilités doivent rester proches, dans une proportion contrôlée. L’algorithme introduit pour cela du hasard : il peut produire plusieurs réponses, plutôt que toujours la même. La protection porte sur la manière dont les données influencent les résultats.”

Cette exigence se règle avec un paramètre appelé « budget de confidentialité ». Plus il est petit, plus la protection est forte. Un budget plus élevé autorise davantage de variation entre les probabilités des résultats et peut permettre une meilleure précision. Il ne s’agit pas d’un pourcentage de personnes protégées.

Cette garantie ne signifie pas que toute information sur un individu devient inaccessible. Une analyse collective peut renseigner sur lui à partir de ce que l’on sait déjà du groupe. La confidentialité différentielle limite l’effet de sa propre contribution aux données.

Démontrer les possibilités et les limites

La professeure Olga Klopp et ses co-auteurs étudient des réseaux générés par un modèle probabiliste : les individus appartiennent à des groupes, et les relations sont plus probables à l’intérieur d’un groupe qu’entre groupes. Ce cadre simplifié permet de formuler des garanties précises.

L’objectif étudié est exigeant : retrouver les groupes, jusqu’à identifier correctement l’appartenance de chaque individu. Cette « récupération exacte » va bien au-delà du repérage de grandes tendances.

Le premier travail montre que cette récupération reste possible sous des conditions appropriées de signal et de confidentialité. Il établit aussi des limites valables pour toute méthode respectant la protection étudiée, quelle que soit sa puissance de calcul.

Un résultat mérite une attention particulière. Pour garantir que le risque de se tromper sur au moins une appartenance soit petit par rapport à la taille du réseau, le budget de confidentialité doit croître au moins comme son logarithme. Cela signifie que la garantie de protection doit s’assouplir.

Une limite démontrée change la discussion. Dans le problème étudié, on ne peut pas exiger simultanément cette précision et un budget de confidentialité inchangé, en espérant qu’un meilleur algorithme réconciliera les deux. Il faut réexaminer les exigences.

Pour une organisation, cela invite à préciser ce qu’elle cherche réellement à savoir. A-t-elle besoin d’attribuer un groupe à chaque personne, ou veut-elle comprendre les principaux obstacles à la coopération ? Ces objectifs appellent des évaluations différentes. Leurs résultats sur la récupération exacte ne fixent pas, à eux seuls, les limites de toute analyse collective.

Des résultats pour éclairer les décisions collectives

Ces recherches suggèrent de partir de l’usage envisagé avant de choisir une technique. Dans notre entreprise imaginaire, le responsable du projet devrait pouvoir expliquer pourquoi l’analyse nécessite des données de relations, quelle précision est utile et à qui les résultats seront accessibles. Une carte des coopérations destinée à réorganiser les échanges et un classement des salariés ne poursuivent pas la même finalité. Leur intérêt et leurs conséquences doivent être discutés séparément.

Il faut aussi demander ce que recouvre une promesse de confidentialité. Protège-t-on un échange ou toutes les relations d’une personne ? Quel budget retient-on ? Quelle précision annonce-t-on, et sur quels types de réseaux a-t-elle été établie ? Ces questions permettent de comparer des propositions concrètes. L’étiquette « respectueux de la vie privée » ne suffit pas pour comprendre le compromis choisi.

Enfin, si une exigence de protection rend une analyse moins précise, cette perte doit être examinée au regard de son usage. Pour repenser une organisation, quelques erreurs d’affectation pourraient être acceptables. Pour prendre une décision qui affecte directement une personne, les mêmes erreurs pourraient peser beaucoup plus lourd. Le choix dépend de ce que l’on fera du résultat, des personnes concernées et des conséquences possibles.

Les mathématiques peuvent établir une frontière entre certaines possibilités et certaines impossibilités. Elles ne déterminent pas le niveau de protection qu’une entreprise ou une société devrait accepter. Cette décision demande de mettre en regard l’intérêt de la connaissance recherchée et ce que l’on est prêt à révéler pour l’obtenir.

Comprendre un collectif sans exposer excessivement ses membres suppose ainsi de définir une ambition précise et une protection explicite. Avant de demander aux données tout ce qu’elles peuvent dire, nous pouvons choisir ce qu’il est utile et légitime de leur demander. Les résultats scientifiques donnent à cette discussion des contraintes concrètes ; la responsabilité des choix reste collective.

Références

Olga Klopp et Ilias Zadik (2026). Node-Private Community Detection in Stochastic Block Models. Prépublication. https://arxiv.org/abs/2604.09078

Laurentiu Marchis, Olga Klopp, Po-Ling Loh et Ilias Zadik (2026). Near-optimal node-private community estimation in polynomial-time. Prépublication. https://arxiv.org/abs/2607.09441

Pour la définition générale : Cynthia Dwork et Aaron Roth (2014). The Algorithmic Foundations of Differential Privacy. https://www.cis.upenn.edu/~aaroth/Papers/privacybook.pdf