Votre navigateur a peut-être téléchargé un modèle d’IA dans votre dos… et vous ne le saurez peut-être jamais.
C’est la situation à laquelle sont désormais confrontés de nombreux utilisateurs de Google Chrome, après que le chercheur en sécurité Alexander Hanff a signalé que le navigateur téléchargeait un modèle d’IA de quatre gigaoctets sur les appareils des utilisateurs sans afficher de demande claire de consentement.
Selon ses conclusions, le modèle est installé automatiquement sur les appareils qui répondent à certaines exigences, consommant un espace de stockage important tout en restant largement invisible pour les utilisateurs. Dans de nombreux cas, les seuls signes révélateurs sont une hausse de la consommation de bande passante ou un disque qui se remplit rapidement.
Si le modèle alimente des fonctionnalités utiles comme la détection des arnaques et les assistants d’écriture, son déploiement suscite des interrogations quant à la manière dont il est effectué. Hanff estime que l’absence de consentement explicite de l’utilisateur rappelle des pratiques souvent associées aux logiciels indésirables, soulevant des questions sur les limites que les éditeurs sont prêts à franchir pour imposer leurs produits aux utilisateurs.
Un abus qui enfreint plusieurs lois
Le problème commence par la manière dont les modèles d’IA arrivent sur les appareils des utilisateurs.
Si un appareil répond à certaines exigences matérielles, le modèle d’IA est introduit en douce via le système de mise à jour habituel de Chrome : l’installation s’effectue donc discrètement en arrière-plan, plutôt que comme une action distincte clairement proposée à l’utilisateur. Selon Hanff, ce processus d’installation dure 14 minutes et 28 secondes de bout en bout.
Une fois téléchargé, le modèle est stocké localement sous le nom de weights.bn dans un chemin de Chrome appelé OptGuideOnDeviceModel et sert à faire fonctionner les fonctionnalités d’IA sur l’appareil.
Si son utilité est évidente, Hanff fait valoir que les utilisateurs ne bénéficient pas d’un consentement préalable et explicite expliquant précisément la taille, la finalité ou l’impact de l’installation. Pour une entreprise qui annonce chaque mise à jour majeure de Chrome, il s’agit d’un comportement étrange.
C’est là que les préoccupations juridiques et liées à la vie privée entrent en jeu.
Hanff estime que cette approche pourrait être difficilement compatible avec les principes établis en matière de consentement des utilisateurs et de transparence dans le déploiement des logiciels. Et malgré son rôle dans le traitement des tâches d’IA sur l’appareil, son comportement laisse entendre le contraire. Hanff affirme par exemple que, bien que son installation ne nécessite aucun clic explicite de la part des utilisateurs, la suppression de ce fichier est presque impossible, car il se réinstalle après avoir été supprimé.
Ainsi, Hanff affirme qu’un tel comportement enfreint les lois suivantes :
« Article 5(3) de la directive 2002/58/CE (la directive ePrivacy) [2], violation des principes de licéité, d’équité et de transparence énoncés à l’article 5(1) du RGPD [3], violation de l’obligation de protection des données dès la conception prévue à l’article 25 du RGPD [3]. »
La question du déploiement du modèle est particulièrement intéressante, puisqu’elle vient de la même personne qui a révélé un comportement tout aussi étrange de Claude. Mais ce n’est pas l’aspect le plus frappant de ce comportement.
Un lien imprévu avec les émissions de CO2
Hanff a établi un lien entre ce comportement et une conséquence involontaire qui, compte tenu du nombre d’utilisateurs de Chrome concernés, dépasse largement les préoccupations liées à la vie privée.
Introduire en douce un fichier de 4 Go qui se réinstalle lorsqu’il est supprimé peut sembler, à première vue, relever d’une mesquinerie ; Hanff souligne toutefois que ce comportement a des conséquences pour le climat de la Terre.
Les opérations logicielles à grande échelle ont toujours un coût physique. Dans ce cas, Hanff affirme que le modèle d’IA n’est pas seulement ajouté en silence : il est également distribué à potentiellement des millions d’appareils. À cette échelle, le transfert, le stockage et l’utilisation du modèle mobilisent une quantité importante d’énergie dans les centres de données, les infrastructures réseau et les appareils des utilisateurs finaux.
Cette dépense énergétique, que Hanff estime à 0,06 kWh par Go, est ce qui relie ce comportement étrange aux émissions liées au climat, qui pourraient, selon lui, aller de 6 000 à 60 000 tonnes d’émissions de CO2.
Dans son rapport, Hanff parle du « coût environnemental d’une entreprise qui décide unilatéralement que le navigateur par défaut de deux milliards de personnes distribuera massivement un binaire de 4 Go qu’elles n’ont pas demandé ».
Mesures à prendre pour Chrome et ses utilisateurs
La suppression de ce fichier entraîne systématiquement sa réinstallation automatique par Chrome, un comportement persistant observé dans les logiciels malveillants avancés.
Les utilisateurs peuvent faire l’une des trois choses suivantes :
- Désactiver les fonctionnalités d’IA de Chrome via chrome://flags
- Utiliser des outils d’entreprise dédiés à la suppression des fichiers persistants (pour les entreprises utilisant Chrome).
- Supprimer complètement le navigateur Chrome si cette situation vous met mal à l’aise, jusqu’à ce que Chrome fasse marche arrière.
Ces mesures pourraient toutefois ne pas être nécessaires si Chrome revenait à un système de consentement explicite permettant aux utilisateurs de choisir d’activer ou non cette fonctionnalité sur leur ordinateur. En tant qu’entreprise affichant une position publique en faveur d’une conduite éthique dans le domaine de l’IA, si elle ne rectifie pas ses actes, Hanff affirme que « nous saurons alors ce que valent réellement les positions publiées par l’entreprise sur l’IA responsable et la durabilité ».
À lire également : la dernière mise à jour de Google consacrée à la recherche par IA propose de nouvelles façons de prévisualiser les sources avant de cliquer.