Les signaux d'alarme retentissent dans tous les services de sécurité informatique, et cette fois-ci, le coupable n'est ni un pirate informatique ni un logiciel malveillant sophistiqué : il s'agit de quelque chose de bien plus inquiétant : l'IA fantôme.
Si vous avez déjà entendu parler du terme « shadow IT » (), qui désigne le fait pour les employés de contourner les canaux officiels pour utiliser leurs propres appareils ou logiciels, alors vous connaissez sans doute déjà le concept de « shadow AI ». Ce terme désigne l’utilisation non autorisée et non approuvée d’outils d’IA générative (GenAI) – tels qu’ , ChatGPT, Gemini de Google et d’autres grands modèles linguistiques (LLM) – par des collaborateurs au sein d’une entreprise sans l’accord du service informatique. Et cela représente une menace croissante pour les données de l'entreprise.
En effet, Gartner prévoit que d’ici 2027, 75 % des employés auront acquis, modifié ou créé des technologies à l’insu du service informatique, contre 41 % en 2022. Par ailleurs, plus de la moitié (55 %) des employés interrogés à l'échelle mondiale dans 2023 pays par Salesforce ont admis utiliser des outils d'IA générative non autorisés au travail. Cela représente une quantité considérable de code, de documents et de présentations privés ou sensibles à l'entreprise, qui sont élaborés et intégrés à des modèles situés en dehors des pare-feu de l'entreprise.
Si cela vous rappelle cette époque trépidante où les employés ont commencé à faire fi des règles de l'entreprise et à utiliser leurs appareils personnels pour se connecter aux réseaux de l'entreprise, c'est tout à fait normal. Cette tendance consistant à « apporter son propre appareil (BYOD) » au travail a soulevé des questions similaires pour le personnel informatique : faut-il interdire purement et simplement cette technologie et proposer des alternatives approuvées par l'entreprise, ou bien trouver des moyens de l'intégrer en toute sécurité ?
Même si la plupart des entreprises ont rapidement compris qu'elles ne pouvaient pas freiner cette vague fulgurante du BYOD, l'histoire a tendance à se répéter. Des entreprises telles qu'Accenture, Amazon, Apple, BofA, Calix, Citigroup, Goldman Sachs, Microsoft, Northrop Grumman, Samsung, Spotify, Verizon et Wells Fargo tenteraient toutes d'interdire à leurs employés l'utilisation d'outils d'IA externes tels que ChatGPT. Les deux tiers des 20 plus grandes entreprises pharmaceutiques ainsi que de nombreuses écoles publiques font de même.
Le problème croissant de l'IA « fantôme »
Pourquoi ces mesures draconiennes ? En effet, alors que les outils d'IA générative s'imposent comme une tendance incontournable, les employeurs craignent que leurs données confidentielles ne soient partagées avec des systèmes d'IA externes susceptibles d'être corrompus ou victimes de failles de sécurité, ce qui pourrait entraîner des risques sur le plan concurrentiel, financier ou juridique.
«Ce n’est pas malveillant, mais c’est dangereux. » Et il ne s'agit pas là d'événements isolés. »Bernard Marr, spécialiste des perspectives technologiques, auteur et consultant
Imaginez, par exemple, une équipe marketing qui utilise des outils d'analyse des réseaux sociaux basés sur l'IA pour décrypter le comportement des clients, optimiser les campagnes publicitaires et anticiper la prochaine grande tendance. C'est efficace. Cependant, sans l'accord du service informatique, ces outils pourraient ouvrir la voie à l' , à la divulgation de données sensibles sur les clients ou d'informations confidentielles de l'entreprise, ce qui pourrait entraîner des fuites de données et de graves violations de réglementations telles que la loi HIPAA ou le RGPD.
« J’ai récemment constaté plusieurs incidents préoccupants chez mes clients, au cours desquels des employés ont, par inadvertance, partagé des informations sensibles avec des systèmes d’IA publics, allant des feuilles de route des produits aux données financières », explique Bernard Marr, futurologue spécialisé dans les technologies, auteur et consultant. « Ce n’est pas malveillant, mais c’est dangereux. » « Et il ne s'agit pas là d'événements isolés ; ils se produisent plus fréquemment que les entreprises ne le pensent ou ne veulent bien l'admettre. »
Tim Morris, conseiller en chef en matière de sécurité chez Tanium pour les Amériques, met en garde contre une autre tendance « cachée » moins connue dans le domaine de l’IA : les services qui ont besoin d’outils d’IA générative pour accomplir des tâches spécifiques ne trouvent pas ce dont ils ont besoin parmi les outils existants et finissent donc par créer les leurs à l’aide de modèles de langage grand public (LLM) disponibles sur le marché. Le problème avec cette approche : le service informatique n'a pas évalué ces modèles en vue d'une utilisation interne.
« Personne ne comprend d'où vient ce modèle, ce qu'il contient, à quoi il était destiné et quel est son rôle au sein de votre entreprise », déclare-t-il. « Il est impossible de savoir dans quelle mesure ce système est sécurisé et s'il expose vos données – ainsi que votre organisation – à des menaces et à des risques extérieurs. »
[Lire aussi : 4 priorités de leadership essentielles pour les CISO à l'ère de l'IA]
Marr et Morris comprennent que les entreprises soient tentées de mettre fin à ce genre de problèmes en interdisant l'utilisation de chatbots externes. M. Marr affirme que la mise au point et la mise à disposition d'alternatives sécurisées pour les employés peuvent constituer une solution viable, à condition qu'elles offrent des fonctionnalités comparables à celles de ChatGPT, Bard et d'autres outils.
« Les solutions développées en interne peuvent fonctionner si elles sont suffisamment robustes », déclare M. Marr. « L'essentiel est d'égaler la puissance et la facilité d'utilisation de l'IA grand public. »
Mais si les entreprises ne peuvent pas le faire, affirme-t-il, les employés trouveront le moyen d'utiliser des outils publics, quelles que soient les politiques de l'entreprise.
1 fait surprenant concernant l'IA fantôme – et 4 mesures pour la combattre
La raison qui explique ces entorses aux règles pourrait en surprendre certains dirigeants d'entreprise.
«Vos collaborateurs qui ont recours à l’IA « parallèle » ont vraiment de bonnes intentions : la plupart du temps, ils essaient simplement de trouver comment faire leur travail mieux et plus rapidement. »Candy Alexander, RSSI et responsable de la pratique cyber, NeuEon Inc.
« Vos collaborateurs qui utilisent des solutions d’IA parallèles ont vraiment de bonnes intentions : la plupart du temps, ils cherchent simplement à trouver comment faire leur travail mieux et plus rapidement », a déclaré Candy Alexander, responsable de la sécurité des systèmes d’information (RSSI) et responsable du pôle cybersécurité chez NeuEon Inc. Lors d’un récent épisode de « », le podcast associé à « Focal Point » d’, « » « Let’s Converge », , Alexander a expliqué son envie de s’aventurer hors des sentiers battus des logiciels approuvés par les entreprises. « De nombreux utilisateurs constatent que la procédure de demande d'autorisation d'utilisation d'un logiciel peut s'avérer longue et fastidieuse au sein des entreprises américaines. » « Ils vont donc sur Internet et essaient les versions gratuites de [complétez la phrase]. »
Dans ce cas, tenter de contrôler les outils d'IA utilisés par les employés revient à essayer de rassembler des chats, car cette technologie est trop omniprésente et utile pour qu'on puisse les en priver. En effet, selon l'enquête de Salesforce, 40 % des salariés reconnaissent utiliser des outils d'IA générative interdits au travail.
« Interdire purement et simplement ChatGPT risque de se retourner contre nous », déclare M. Marr. « Les employés trouveront des solutions de contournement, et les entreprises risquent de prendre du retard en matière de capacités essentielles dans le domaine de l'IA. »
Ainsi, si les entreprises admettent qu'elles ne peuvent pas interdire indéfiniment les applications GenAI tierces, comment peuvent-elles maîtriser la situation et limiter l'IA « fantôme » ? Voici quatre stratégies à envisager :
1. Sensibilisez vos collaborateurs aux risques liés à l'IA « fantôme »
La première ligne de défense, c'est l'éducation. De nombreux employés ne comprennent pas que les outils d'IA accessibles au public peuvent exposer des données confidentielles : 70 % des travailleurs à l'échelle mondiale ont déclaré à Salesforce n'avoir jamais reçu ni suivi de formation sur l'utilisation sûre et éthique de l'IA générative. Même les professionnels – les équipes de sécurité informatique – admettent qu’il s’agit là d’un domaine nouveau pour eux : 65 % des professionnels interrogés dans le cadre d’une récente enquête menée par Splunk et intitulée « » ( ) reconnaissent manquer de connaissances en matière d’IA de nouvelle génération.
Des experts tels que M. Morris recommandent aux entreprises de sensibiliser leurs équipes aux risques liés à la divulgation d'informations confidentielles via des modèles de langage grand public (LLM) externes et de leur fournir des conseils pour éviter que cela ne se produise. Ces bonnes pratiques devraient inclure des informations de base sur la manière dont les chatbots basés sur l'IA stockent et traitent les données, ce qu'il est permis ou non de partager avec ces outils, les outils dont l'utilisation a été autorisée par l'organisation, ainsi que les procédures à suivre pour signaler toute utilisation non autorisée de ces outils.
« Les entreprises doivent mettre en place des programmes de formation complets afin de sensibiliser l’ensemble de leurs collaborateurs aux risques liés à l’IA fantôme, à l’instar de la formation de sensibilisation à la cybersécurité proposée par l’ qu’ils ont déjà suivie », explique M. Morris.
2. Élaborer et mettre en œuvre des politiques relatives à l'IA
Soixante pour cent des professionnels de la sécurité numérique d' craignent que des acteurs malveillants n'exploitent l'IA générative. Pourtant, selon un sondage « Pulse » de l'ISACA, seules 15 % des organisations disposent de politiques en matière d'IA pour y remédier.
«Il faut trouver un juste équilibre entre innovation et contrôle, sinon les employés ne feront que contourner vos restrictions. »Tim Morris, conseiller en chef en matière de sécurité pour les Amériques chez Tanium
« Il faut trouver un juste équilibre entre innovation et contrôle, sinon les employés contourneront tout simplement vos restrictions, comme ils l’ont fait avec le BYOD », explique M. Morris.
Plus précisément, Morris recommande aux organisations de mettre en place des cadres de gouvernance de l'IA qui définissent des normes claires concernant l'utilisation des outils d'IA. Selon lui, retarder cette mesure pourrait pousser les employés à développer leurs propres projets d'IA, en contournant les protocoles de sécurité. L'essentiel est de trouver un équilibre entre innovation et contrôle, en laissant une marge de manœuvre tout en respectant des limites de sécurité.
Morris ajoute toutefois une mise en garde : toute politique relative à l'IA doit prévoir un processus de gestion des exceptions. Les employés doivent être informés de cette politique, de ses motivations et de la manière de demander des dérogations ou des outils supplémentaires. Il affirme qu’une communication claire permet d’éviter la frustration et de limiter le risque que les employés se tournent de leur propre chef vers des outils d’IA non autorisés.
3. Surveillez l'utilisation de l'IA grâce à la sécurité des terminaux
La surveillance de l'utilisation clandestine de l'IA n'est plus une option : c'est une nécessité, car même si une entreprise propose des outils d'IA générative (GenAI) raisonnables, il y aura toujours un individu mal intentionné et insatisfait pour créer sa propre variante.
Les solutions de sécurité des terminaux, telles que Tanium (éditeur de ce magazine), permettent de mettre en évidence les utilisations non autorisées de l'IA en détectant les modèles de langage de grande envergure (LLM) et les scripts associés sur les appareils des employés. Ces outils peuvent aider les services informatiques à détecter les téléchargements non autorisés, à signaler les activités suspectes et à garantir le respect des politiques de l'entreprise. Les contrôles au niveau du réseau, tels que le blocage de contenu par proxy, peuvent également empêcher l'accès à des outils d'IA non autorisés.
4. Mettez en place des audits et des examens réguliers
Le domaine de l'IA évolue trop rapidement pour que l'on puisse se contenter d'une approche du type « configurez-le et n'y pensez plus ». Les services informatiques doivent contrôler et examiner en permanence l'utilisation de l'IA au sein de l'ensemble de l'organisation. Cela implique notamment de veiller au respect des politiques en matière d'IA, d'analyser les menaces émergentes et de mettre à jour les protocoles de sécurité à mesure que de nouveaux outils et cas d'utilisation apparaissent.
[À lire également : Les responsables de l'IA sont difficiles à trouver – voici où trouver le vôtre]
L'intelligence artificielle évolue à un rythme effréné, et les risques liés à la sécurité se multiplient tout aussi rapidement. Des audits et des évaluations des risques réguliers sont essentiels pour anticiper les éventuelles violations de sécurité.
La voie à suivre
L'« IA fantôme », à l'instar de l'« informatique fantôme » et du BYOD avant elle, est une conséquence naturelle de la consumérisation rapide de la technologie. Les collaborateurs souhaitent utiliser l'IA car cela leur permet d'être plus productifs, et les services informatiques ne peuvent pas ignorer ce gain de productivité. Toutefois, en l'absence d'une gouvernance, d'un suivi et de contrôles de sécurité adéquats, l'IA « fantôme » pourrait devenir une bombe à retardement pour les entreprises du monde entier.
« La solution ne réside pas dans l'interdiction de ces outils, mais dans la mise en place de politiques claires, la formation des employés et le déploiement de solutions alternatives sécurisées qui répondent aux besoins de l'entreprise », explique M. Morris. « Comme toute technologie, l’IA fantôme représente à la fois un défi et une opportunité. » « Les entreprises qui parviendront à trouver le juste équilibre entre innovation et sécurité prospéreront dans un avenir marqué par l'intelligence artificielle. »
