Alors que les débats sur l’intelligence artificielle (IA) se concentrent sur certains des scénarios les plus effrayants – une super-intelligence qui soumet rapidement ses créateurs humains à sa volonté ou un État voyou qui utilise l’IA pour se lancer à la conquête du monde –, les risques les plus probables liés à l’IA sont bien plus banals. Et bien plus facile à gérer.
Cela devrait constituer une bonne nouvelle pour les innombrables chefs d'entreprise désireux d'intégrer des formes d'intelligence artificielle générative (GenAI), c'est-à-dire tout système capable de générer de nouveaux textes, images, fichiers audio ou codes en réponse à des consignes. Les risques d’ s liés aux s de l’IA générative sont déjà bien connus des responsables informatiques des entreprises et des responsables de la sécurité des systèmes d’(CISO). Elles concernent les données , la gouvernance, , la sécurité des données, , la prise de décision fiable et éthique, ainsi que la sécurité des applications d'IA elles-mêmes.
La différence, et elle est de taille, entre ces préoccupations et les risques de cybersécurité plus classiques auxquels les entreprises ont été confrontées au fil des ans réside dans le fait que la technologie GenAI au sein de l'entreprise est récente et que ses implications en matière de sécurité sont imprévisibles. Si l'ampleur de cette imprévisibilité a inquiété de nombreux scientifiques, elle n'est toutefois pas insurmontable. Les entreprises peuvent prendre certaines mesures pour gérer efficacement les risques globaux liés à l'IA générative.
« La première étape consiste à disposer, au minimum, d’une politique fournissant des orientations sur la manière d’utiliser les grands modèles linguistiques », explique Walter Haydock, fondateur et PDG de StackAware, une entreprise spécialisée dans la cybersécurité basée sur l’IA. Parmi toutes les nouvelles formes d’IA générative désormais disponibles, les grands modèles linguistiques (LLM), qui génèrent du texte ou du code à la demande, suscitent un vif intérêt de la part d’entreprises de toutes tailles.
«La première étape consiste à disposer, au minimum, d’une politique fournissant des orientations sur la manière d’utiliser les grands modèles linguistiques. »Walter Haydock, fondateur et PDG de StackAware
Selon les chiffres de l'étude « » publiée par le cabinet d'études International Data Corp., les entreprises auraient dépensé environ 19,4 milliards de dollars en solutions d'IA générative en 2023 et pourraient investir jusqu'à 151 milliards de dollars d'ici 2027 . Les modèles de langage de grande envergure (LLM), en particulier, sont déjà utilisés comme chatbots au sein d'entreprises de premier plan dans divers secteurs, notamment le voyage (Expedia), l'assurance (Allstate), les services financiers (Mastercard) et l'industrie manufacturière (Schneider Electric).
Quels sont les enjeux ? Les entreprises qui ne disposent pas de bonnes politiques de gouvernance interne constateront qu'elles ne pourront pas se fier aux résultats fournis par leurs modèles LLM développés en interne. Elles seront davantage exposées à des violations éthiques et au non-respect des droits d'auteur, ou à des fuites de données de type « ». Et ils risquent de perdre le contrôle du modèle LLM lui-même s'ils sont victimes d'une cyberattaque.
Mettre en place une gouvernance efficace en matière d'IA générative est plus rapide que vous ne le pensez
John Pescatore, directeur des tendances émergentes en matière de sécurité au SANS Institute, le principal organisme mondial de recherche et de formation en cybersécurité, partage l'avis de M. Haydock et conseille aux organisations de commencer par mettre en place un modèle de gouvernance complet. Cela implique notamment de sécuriser le modèle lui-même ainsi que les données qui l'alimentent, et de surveiller son comportement.
«Il ne s’agit pas de créer le modèle et de l’oublier : c’est la gestion continue qui permet d’atteindre les résultats escomptés. »John Pescatore, responsable des tendances émergentes en matière de sécurité, SANS Institute
Ce processus ne doit pas nécessairement prendre des mois. Cela peut se faire en quelques semaines, étant entendu que vous ne définissez pas un ensemble définitif de règles et de lignes directrices destinées à régir tous les systèmes d'IA générative pour toujours. Votre stratégie sera (et devra être) adaptée au fil du temps, à mesure que la technologie et les besoins de votre entreprise évoluent. « Il ne s'agit pas de créer le modèle et de l'oublier : c'est la gestion continue qui permet d'atteindre les objectifs », explique M. Pescatore.
Pour « mener à bien cette tâche » de manière efficace sur le long terme, les experts recommandent aux organisations de prendre les mesures suivantes.
1. Définissez le champ d'application de votre programme de gouvernance de l'IA/des grands modèles de langage (LLM) et des données
Cela implique de définir et d'énoncer clairement les objectifs spécifiques de votre système d'IA générative, ainsi que d'en préciser les limites. La mise en place de limites strictes permettra d'éviter que les résultats ne contreviennent aux normes de conformité ou de protection de la vie privée. Afin de définir clairement les rôles, les responsabilités et les bonnes pratiques, veuillez vous poser les questions suivantes et y apporter une réponse : Qui est chargé de sécuriser et de gérer le programme LLM, les sources de données et la classification des données au sein du LLM ? Comment ce modèle va-t-il alors collecter, stocker, gérer et utiliser ces données ?
2. Mettre en place une bonne gestion des données
Les organisations doivent décrire en détail comment nettoyer, enrichir et valider les données utilisées pour l'entraînement des modèles de langage à grande échelle (LLM). Une fois encore, ils devraient définir qui sera chargé de superviser ces processus ainsi que les protocoles prévus. Il est essentiel de valider les données d'entraînement (afin de s'assurer de leur exactitude) et de les expurger de toute donnée sensible au titre de la loi « », de toute donnée soumise à une réglementation ou de toute propriété intellectuelle (s'il s'agit d'un modèle destiné au grand public) afin de prévenir toute divulgation de données ou toute violation de la vie privée .
3. Exigez une sécurité des données rigoureuse
Pour le dire sans détours, la sécurité des données est fondamentale, souligne Ron Reiter, cofondateur et directeur technique de la start-up Sentra, spécialisée dans la sécurité dans le cloud. « Si vous veillez à sécuriser les données sensibles qui circulent, vous réduisez votre surface d'attaque au minimum, ce qui vous permet de mettre en place une meilleure politique de sécurité », explique-t-il.
Il est également judicieux de définir des règles concernant l'accès aux modèles et leur développement, les données qui alimentent ces modèles, ainsi que la manière dont les modèles et les données qu'ils contiennent seront protégés. Les responsables de la gouvernance doivent déterminer comment l'organisation s'assurera que les données et les actions du modèle sont conformes aux réglementations gouvernementales , aux normes et aux normes de l'entreprise.
4. Surveiller en permanence
Les organisations doivent mettre en place des systèmes permettant de surveiller le comportement de l'IA, les flux de données alimentant le modèle et la manière dont celui-ci est utilisé. L'activité peut être interrompue si le modèle commence à se comporter de manière malveillante ou à divulguer des données sensibles.
5. Réduire les biais
Bien qu'il soit impossible d'éliminer les biais, une entreprise peut mettre en place et appliquer des mesures visant à réduire les biais au sein des systèmes LLM et à les identifier lorsqu'ils apparaissent. Les biais liés à l'IA générative peuvent influencer les décisions en matière d'octroi de prêts, d'évaluation de la solvabilité, de pratiques de recrutement, voire la propagation de fausses informations liées à l' . Les mesures d'atténuation devraient inclure la gestion des données (en exploitant des données provenant de sources variées), des outils de détection des biais, la transparence concernant les données et le modèle de langage à grande échelle (LLM), ainsi qu'un suivi régulier. Les entreprises doivent mettre en place des contrôles permanents visant à prévenir les résultats biaisés dus à d'éventuels biais présents dans leurs données.
6. Revoyez votre procédure d'intervention en cas d'incident
Dépoussiérez ces guides d'intervention en cas d'incident liés à l' et assurez-vous qu'ils traitent bien de l'IA générative. Votre plan d'intervention en cas d'incident doit définir des instructions détaillées, étape par étape, au cas où vos systèmes d'IA générative présenteraient un dysfonctionnement ou seraient victimes d'une cyberattaque.
7. Faites preuve de souplesse
Les entreprises doivent mettre en place un cadre de gouvernance de l'IA générative suffisamment souple pour s'adapter aux avancées technologiques en matière d'IA et aux nouvelles règles édictées par les autorités de régulation, tant aux États-Unis qu'à l'étranger . Une politique de gouvernance efficace en matière d'IA générative consistera également à contrôler régulièrement l'utilisation des modèles de langage à grande échelle (LLM) au sein de l'entreprise afin de détecter d'éventuelles infractions et d'évaluer l'efficacité de cette politique.
8. Veillez à ce que ce soit uniforme
Il est essentiel que le cadre de gouvernance de l'IA régisse de manière uniforme l'utilisation et la sécurité de l'IA au sein de l'ensemble de l'organisation. Une stratégie efficace devrait garantir que les différents services et divisions ne agissent pas chacun de leur côté en matière de gouvernance de l'IA.
Affiner vos politiques de gouvernance en matière d'IA générative
Les plans de gouvernance devraient également aborder la question du type de modèles de langage grand échelle (LLM) utilisés par une entreprise. (Vous pouvez utiliser un LLM existant, personnaliser un LLM pré-entraîné ou en créer un vous-même à partir de zéro.) Si vous le développez vous-même, il peut sembler avantageux de créer un seul modèle de grande envergure et de séparer virtuellement les données qui y sont intégrées afin qu'elles puissent être utilisées par différents services. Une option potentiellement plus judicieuse : mettre en place des modèles de langage de grande envergure (LLM) plus petits et physiquement distincts pour des domaines tels que le marketing, la recherche et la finance, afin que le personnel et les autres utilisateurs ne puissent accéder qu'aux données pour lesquelles ils disposent d'un droit d'accès et d'un besoin légitime. En limitant l'accès aux systèmes d'IA générative, vous réduisez les risques de fuites de données à plus grande échelle. « C'est la seule solution qui, selon moi, permette de protéger les modèles en matière d'accès et de compartimentation des données », déclare M. Reiter.
Comme pour toute politique globale de cybersécurité, la gestion des risques liés aux tiers est essentielle à un plan de gouvernance de l'IA générative. Les dirigeants d'entreprise et les équipes chargées de la sécurité doivent aller au-delà de leur propre architecture réseau pour s'intéresser aux protocoles de gouvernance et de sécurité des fournisseurs tiers, en évaluant (et en surveillant en permanence) la manière dont leurs pratiques en matière de gouvernance et de gestion des risques s'articulent avec les vôtres.
Tout comme votre planification globale en matière de gouvernance, l'évaluation des risques liés aux tiers ne doit pas nécessairement prendre trop de temps. « D’après notre expérience auprès de nos clients, l’évaluation et le renforcement de l’environnement de sécurité visant à protéger l’IA générative peuvent généralement être réalisés en 60 jours », indique un guide récent de PricewaterhouseCoopers intitulé « » ( ) consacré à la mise à l’échelle de l’IA générative pour les entreprises.
Veiller à ce que les responsables de la sécurité de l' et les cadres dirigeants soient sur la même longueur d'onde contribuera à rationaliser ce processus, notamment en ce qui concerne les conditions préalables ou les procédures à suivre pour que les IA tierces soient intégrées à la liste approuvée de votre entreprise. « Si, pour une raison quelconque, l’équipe de sécurité s’oppose à l’utilisation de cet outil ou à l’intégration de ce type de données dans celui-ci, voici la procédure à suivre pour obtenir l’acceptation du risque, sur la base d’une justification métier », explique M. Haydock.
Les experts s'accordent à dire que la clé de tout cela réside dans l'engagement en faveur de la « sécurité dès la conception » et dans les investissements qui y sont consacrés.
« La course au déploiement et à la sécurisation de l'IA générative suit un schéma classique : les entreprises se précipitent pour la mettre en place, tandis que la sécurité reste à la traîne », explique M. Pescatore. « Malheureusement, la sécurité est toujours en retard sur les évolutions », déclare-t-il. Et tenter de rattraper son retard sur ses adversaires est une stratégie vouée à l'échec.
