Résumé technique : Garanties de déni plausible pour les lanceurs d'alerte

Énoncé du problème

Les lanceurs d'alerte constituent un garde-fou essentiel contre les dérives organisationnelles, pourtant la peur des représailles décourage considérablement le signalement. Bien que les cadres juridiques existants (par exemple, la directive européenne sur la protection des lanceurs d'alerte) imposent des canaux de signalement confidentiels, ils ne fournissent pas de garanties formelles concernant ce qu'une organisation peut inférer des actions ultérieures d'un auditeur.

Le défi central en matière de confidentialité réside dans le fait qu'une organisation, agissant comme un « adversaire fort », observe la séquence de décisions d'audit (le transcript d'audit) mais pas les rapports eux-mêmes. Si un auditeur enquête sur une organisation peu de temps après le dépôt d'un rapport, et que seuls quelques employés avaient accès à l'information pertinente, l'organisation peut inférer l'identité du lanceur d'alerte. Le document formalise la nécessité d'un déni plausible : s'assurer que le transcript d'audit observable ne permet pas à un adversaire de distinguer un monde où un rapport spécifique a été déposé d'un monde où il ne l'a pas été, au-delà d'un avantage négligeable.

Les approches existantes, telles que la Réponse Randomisée (adaptant le mécanisme de Warner de 1965 au cas des lanceurs d'alerte), souffrent d'un compromis fondamental entre utilité et confidentialité. Elles contraignent l'auditeur à sélectionner des cibles d'audit de manière quasi uniforme pour satisfaire aux contraintes de confidentialité, ce qui rend le processus d'audit insensible au volume réel des rapports. De plus, les mécanismes standards de confidentialité différentielle (DP) ne visent souvent pas directement le modèle de menace où l'entité auditée est elle-même l'adversaire observant la séquence complète des décisions.

Méthodologie

Cadre formel

Les auteurs proposent un cadre d'audit défini sur un horizon $T$ avec $C$ cibles d'audit.

• Entrée : Un flux de comptes de rapports $R_T = (r_1, \dots, r_T)$, où $r_{t,c}$ est le nombre de nouveaux rapports pour la cible $c$ à l'instant $t$.
• Sortie : Un transcript d'audit $a_T = (a_1, \dots, a_T)$, où $a_t \in [C]$ est la cible sélectionnée pour l'audit à l'instant $t$.
• Définition de la confidentialité : Le document adopte la confidentialité différentielle (0, $\delta$)-DP par rapport à l'adjacence par rapport au rapport. Deux flux de rapports sont adjacents s'ils diffèrent d'exactement un rapport à un instant et une cible donnés.
• Modèle de menace : L'adversaire est la cible de l'audit elle-même, possédant une connaissance interne quasi complète et observant l'intégralité du transcript $a_T$. L'objectif est de borner l'avantage de l'adversaire pour distinguer si un rapport spécifique a été déposé.
• Métrique d'utilité : L'erreur est définie comme la probabilité que le mécanisme échoue à sélectionner la cible ayant le compte actif le plus élevé (rapports reçus depuis le dernier audit de cette cible).

Le résultat négatif : Réponse Randomisée

Le document démontre que l'application de la Réponse Randomisée (RR) à l'étape de sélection — où l'auditeur ignore les rapports avec une probabilité $p_{rand}$ et audite une cible aléatoire, sinon il audite la cible ayant le compte le plus élevé — ne peut surpasser l'audit aléatoire uniforme de plus de $\delta$.

• Théorème 2 : Pour tout horizon $T$, si la RR satisfait la $(0, \delta)$-DP, la probabilité de sélectionner la mauvaise cible (lorsqu'un maximiseur unique existe) est bornée par le bas par $\frac{C-1}{C} - \delta$.
• Implication : La RR est « insensible à l'écart ». Même si l'écart de rapports entre le leader et le second est massif, l'erreur reste élevée car l'exigence de confidentialité force le mécanisme à explorer (auditer de manière aléatoire) presque systématiquement.

La solution proposée : Réduction au comptage continu privé

Pour surmonter les limites de la RR, les auteurs proposent une réduction générique de l'audit privé au comptage continu privé.

1. Conception du mécanisme (Algorithme 1) :
   • Pour chaque cible d'audit $c$, maintenir une instance indépendante d'un compteur continu $(0, \delta)$-DP.
   • À chaque pas de temps, injecter les nouveaux comptes de rapports pour chaque cible dans son instance de compteur respective.
   • Sélectionner la cible ayant le compte le plus élevé (le compte bruité, soit la sortie du compteur).
   • Condition de réinitialisation : Lors de l'audit d'une cible, redémarrer son instance de compteur et réinitialiser son compte actif à zéro. Cela garantit que la confidentialité des rapports passés n'est pas compromise par les décisions futures.
2. Garantie de confidentialité : Le transcript d'audit est un post-traitement des sorties des compteurs. Puisque les compteurs satisfont la $(0, \delta)$-DP et que le mécanisme de réinitialisation garantit qu'un seul rapport affecte une seule instance de compteur actif, l'ensemble du transcript hérite de la garantie $(0, \delta)$-DP.
3. Instanciation concrète : Les auteurs instaurent ce cadre en utilisant le compteur à factorisation de Toeplitz (Fichtenberger et al., 2023 ; Dvijotham et al., 2024). Ce mécanisme atteint une mise à l'échelle du bruit de $O(\sqrt{\log T})$, ce qui est proche de l'optimal pour le comptage continu.

Analyse de l'utilité

Le document dérive un théorème d'utilité (Théorème 6) montrant que l'erreur de sélection décroît à mesure que l'écart effectif entre le véritable leader et les challengers augmente.

• L'écart effectif inclut la différence réelle de compte de rapports plus le bruit accumulé.
• Contra part de la RR, l'erreur du mécanisme proposé s'annule dès que l'écart de rapports croît plus vite que $\sqrt{\log T}$. Cela permet au mécanisme d'être très réactif aux volumes de rapports tout en maintenant une confidentialité stricte.

Contributions clés

1. Formalisation : Le document formalise l'audit des lanceurs d'alerte comme une $(0, \delta)$-DP par rapport au rapport sur le transcript d'audit, sous un modèle d'adversaire fort où la cible est l'adversaire.
2. Résultat négatif pour la RR : Il prouve que la Réponse Randomisée est fondamentalement limitée, étant ancrée à un audit quasi-uniforme quel que soit l'horizon ou l'écart de rapports.
3. Réduction générique : Il établit une réduction de l'audit privé au comptage continu privé, permettant d'utiliser n'importe quel compteur $(0, \delta)$-DP comme composant interchangeable.
4. Mécanisme concret (TCA) : En instaurant la réduction avec la factorisation de Toeplitz, les auteurs créent un mécanisme (Toeplitz Continual Auditing, TCA) qui atteint une $(0, \delta)$-DP avec une mise à l'échelle du bruit de $O(\sqrt{\log T})$.
5. Théorème d'utilité : Il fournit une borne théorique montrant que l'erreur de sélection décroît à mesure que l'écart de rapports augmente, ce qui représente une amélioration significative par rapport à l'erreur constante de la RR.

Résultats

• Théoriques : Le théorème d'utilité démontre que l'erreur du mécanisme proposé tend vers zéro à mesure que l'écart entre l'organisation de tête et ses concurrents augmente, alors que l'erreur de la RR reste constante.
• Empiriques : Des simulations dans des contextes statiques (balayage d'écart) et dynamiques (audit en ligne) confirment les résultats théoriques :
  • Statique : Le taux de mauvaise sélection de la TCA chute rapidement à mesure que l'écart de rapports augmente, tandis que la RR reste insensible à l'écart.
  • Dynamique : Dans un contexte en ligne avec des réinitialisations de rapports, la TCA maintient un « déficit de compte actif » (regret) nettement inférieur à celui de la RR et de l'audit aléatoire uniforme, se rapprochant des performances d'une base de référence gourmande (greedy) non privée.

Signification et revendications

Le document affirme fournir la première garantie de déni quantifiable et formelle pour les lanceurs d'alerte qui opère efficacement sur de longs horizons sans sacrifier l'utilité.

• Crédibilité : En garantissant que les décisions d'audit ne peuvent être liées de manière déterministe à des rapports spécifiques, le mécanisme rend les canaux de signalement plus crédibles pour les lanceurs d'alerte potentiels qui craignent des représailles.
• Gouvernance de l'IA : Ce travail est particulièrement motivé par le besoin de signalements internes crédibles dans la gouvernance de l'IA, où l'information d'initié est un signal clé pour les audits de sécurité. Le mécanisme garantit qu'un développeur ne peut pas inférer qu'un employé spécifique a déposé un rapport en se basant sur le moment ou la cible d'une évaluation de modèle.
• Limites : Les auteurs notent modestement que la garantie par lanceur d'alerte se dégrade linéairement avec le nombre de rapports déposés ($k\delta$) et que le modèle suppose un auditeur de confiance qui ne divulgue pas les comptes privés. Ils reconnaissent que les défaillances opérationnelles réelles (ex: fuites de journaux d'accès) sont hors du champ de cette garantie algorithmique ou cryptographique.

En résumé, le document soutient que bien que la Réponse Randomisée soit un primitif de confidentialité canonique, elle est insuffisante pour les audits à enjeux élevés où l'utilité est primordiale. En exploitant les avancées du comptage continu, il est possible de construire des politiques d'audit qui offrent un déni plausible fort et formel tout en restant hautement réactives aux données qu'elles sont censées protéger.