Alors que les débats sur l’intelligence artificielle (IA) se concentrent sur certains des scénarios les plus effrayants, une super intelligence qui subjuge rapidement ses créateurs humains pour faire ses appels d’offres ou un État-nation malhonnête qui utilise l’IA pour commencer à conquérir le monde, les risques les plus probables de l’IA sont plus banaux. Et beaucoup plus gérable.
Cela devrait être une bonne nouvelle pour les innombrables propriétaires d’entreprise désireux d’intégrer des formes d’intelligence artificielle générative (GenAI), c’est-à-dire tous les systèmes qui peuvent générer de nouveaux textes, images, audio ou codages en réponse aux invites. Les risques associés à GenAI sont déjà familiers pour les dirigeants des technologies de l’entreprise et les responsables de la sécurité de l’information (RSSI). Elles concernent la gouvernance des données, la sécurité des données, la prise de décisions fiable et éthique, et la sécurité des applications d’IA elles-mêmes.
La différence, et c’est une grande différence, entre ces préoccupations et les risques de cybersécurité plus standard auxquels les entreprises ont été confrontées au fil des ans, c’est que la technologie GenAI au sein de l’entreprise est nouvelle et que les résultats de sécurité sont imprévisibles. Bien que l’ampleur de cette imprévisibilité ait inquiété de nombreux scientifiques, elle n’est pas insurmontable. Il existe des mesures que les entreprises peuvent prendre pour gérer efficacement les risques globaux de GenAI.
« La première étape consiste à avoir une politique, au minimum, qui fournit des conseils sur la manière d’utiliser des modèles linguistiques de grande taille », déclare Walter Haydock, fondateur et PDG de la société de cybersécurité IA StackAware. Parmi toutes les nouvelles formes de GenAI désormais disponibles, les grands modèles linguistiques (LLM), qui génèrent du texte ou du code à la demande, suscitent un vif intérêt de la part des entreprises de toutes tailles.
« La première étape consiste à avoir une politique, au minimum, qui fournit des conseils sur la manière d’utiliser des modèles linguistiques de grande taille. »Walter Haydock, fondateur et PDG de StackAware
Les entreprises ont dépensé environ 19,4 milliards USD en solutions GenAI en 2023 , et pourraient investir jusqu’à 151 milliards USD d’ici 2027 , selon les chiffres du cabinet de recherche International Data Corp. Les LLM, en particulier, sont déjà utilisés comme chatbots dans des entreprises de premier plan dans divers secteurs, notamment les voyages (Expedia), l’assurance (Allstate), les services financiers (Mastercard) et la fabrication (Schneider Electric).
Qu’est-ce qui est en jeu ? Les entreprises qui ne disposent pas de bonnes politiques de gouvernance interne constateront qu’elles ne pourront pas faire confiance aux résultats de leurs modèles LLM conçus à domicile. Ils seront plus vulnérables aux violations de l’éthique et des droits d’auteur, ou aux fuites de données. Et ils peuvent perdre le contrôle du modèle LLM lui-même s’ils subissent une cyberattaque.
Définir une gouvernance GenAI efficace est plus rapide que vous ne le pensez
John Pescatore, directeur des tendances émergentes en matière de sécurité au SANS Institute, la plus grande organisation mondiale de recherche et de formation en cybersécurité, est d’accord avec Haydock et conseille aux organisations de commencer par un modèle de gouvernance complet. Cela inclut la sécurisation du modèle lui-même et des données qui alimentent le modèle, et la surveillance du comportement du modèle.
« Il ne s’agit pas de construire le modèle et de l’oublier, c’est la gestion continue qui fait le travail. »John Pescatore, directeur des tendances émergentes en matière de sécurité, SANS Institute
Le processus ne prend pas nécessairement des mois. Cela peut se faire en quelques semaines, en sachant que vous ne déterminez pas un ensemble final de règles et de directives pour superviser tous les systèmes GenAI à tout moment. Votre stratégie sera (et devrait être) ajustée au fil du temps à mesure que la technologie et les besoins de votre entreprise changent. « Il ne s’agit pas de construire le modèle et de l’oublier, c’est la gestion continue qui fait le travail », déclare Pescatore.
Pour « faire le travail » efficacement au fil du temps, les experts recommandent aux organisations de prendre les mesures suivantes.
1. Définir la portée de votre programme d’IA/LLM et de gouvernance des données
Cela implique de déterminer et d’indiquer clairement les objectifs spécifiques de votre système GenAI et de définir ses limites. De fortes limites permettront d’éviter les extrants qui peuvent enfreindre les normes de conformité ou de confidentialité. Pour confirmer les rôles, les responsabilités et les bonnes pratiques, demandez et déterminez ce qui suit : Qui est responsable de la sécurisation et de la gestion du programme LLM, des sources de données et de la classification des données dans le LLM ? Comment le modèle collectera-t-il, stockera-t-il, gérera-t-il et utilisera-t-il ces données ?
[Lire également : les 3 plus grandes menaces GenAI (plus 1 autre risque) et comment les repousser]
2. Établir une bonne hygiène des données
Les organisations doivent détailler comment nettoyer, enrichir et valider les données utilisées pour former les LLM. Encore une fois, ils doivent définir qui supervisera ces processus et les protocoles attendus. La validation des données de formation (pour s’assurer qu’elles sont exactes) et leur désinfection de toutes les données sensibles, données réglementées ou propriété intellectuelle (s’il s’agit d’un modèle public) sont essentielles pour prévenir les expositions aux données ou les violations de la confidentialité.
3. Demander une sécurité des données robuste
En d’autres termes, la sécurité des données est fondamentale, note Ron Reiter, cofondateur et directeur technique de la start-up de sécurité cloud Sentra. « Si vous prenez soin de sécuriser les données sensibles qui sont déplacées, vous minimisez votre surface d’attaque afin de pouvoir créer une meilleure politique de sécurité », déclare-t-il.
Il est également judicieux de définir des politiques pour l’accès aux modèles et le développement des modèles, les données qui alimentent les modèles et la manière dont les modèles et les données qu’ils contiennent seront protégés. Les planificateurs de gouvernance doivent déterminer comment l’organisation s’assurera que les données et les actions du modèle sont conformes aux réglementations gouvernementales et aux normes de l’entreprise.
4. Surveillance continue
Les organisations doivent établir des systèmes pour surveiller le comportement de l’IA, les flux de données du modèle et la manière dont le modèle est utilisé. L’entreprise peut être arrêtée si le modèle commence à se comporter de manière malveillante ou à renverser des données sensibles.
5. Atténuer les préjugés
Bien qu’il soit impossible d’éliminer les préjugés, une entreprise peut créer et mettre en œuvre des moyens de réduire les préjugés au sein des systèmes LLM et de les identifier lorsqu’ils apparaissent. Les préjugés de GenAI peuvent affecter les décisions concernant les approbations de prêts, la notation de crédit, les pratiques d’embauche et même la propagation de fausses informations. Les efforts d’atténuation doivent inclure la conservation des données (utilisation de données provenant de sources variées), des outils de détection des biais, la transparence des données et du LLM, et une surveillance fréquente. Les entreprises doivent mettre en œuvre des contrôles continus contre les résultats biaisés en raison de préjugés potentiels au sein des données d’entreprise.
6. Réviser votre réponse aux incidents
Éliminez ces manuels de réponse aux incidents et assurez-vous qu’ils traitent de GenAI. Votre plan de réponse aux incidents doit décrire les conseils étape par étape si vos systèmes GenAI fonctionnent mal ou tombent en proie à une cyberattaque.
7. Maintenir la flexibilité
Les entreprises doivent créer un cadre de gouvernance GenAI suffisamment flexible pour s’adapter aux avancées technologiques de l’IA et aux nouvelles règles des régulateurs gouvernementaux, aux États-Unis et à l’étranger. Une politique de gouvernance GenAI réussie auditera également régulièrement l’utilisation du LLM de l’entreprise pour les violations potentielles et évaluera l’efficacité de la politique.
8. Maintenez-le uniforme
Il est essentiel que le cadre de gouvernance de l’IA régisse l’utilisation et la sécurité de l’IA de manière uniforme dans l’ensemble de l’organisation. Une stratégie efficace doit garantir que les différents services et unités commerciales ne font pas chacun leur propre chose concernant la gouvernance de l’IA.
Affiner vos politiques de gouvernance GenAI
Les plans de gouvernance doivent également traiter du type de LLM qu’une entreprise utilise. (Vous pouvez employer un LLM existant, personnaliser un LLM pré-entraîné ou créer le vôtre à partir de zéro.) Si vous créez le vôtre, il peut sembler avantageux de créer un modèle de grande taille et de séparer virtuellement les données qui y sont introduites pour une utilisation par différents services. Une option potentiellement meilleure : créez des LLM plus petits et physiquement distincts pour des domaines tels que le marketing, la recherche et les finances afin que le personnel et les autres utilisateurs puissent uniquement accéder aux données auxquelles ils ont un besoin droit et légitime d’accéder. En limitant l’accès aux systèmes GenAI, vous réduisez les risques de fuite de données plus généralisée. « C’est la seule façon dont je pense qu’il est possible de protéger les modèles concernant l’accès et la compartimentation des données », déclare Reiter.
Comme pour toute politique de cybersécurité complète, la gestion des risques tiers est essentielle à un plan de gouvernance GenAI. Les dirigeants d’entreprise et les équipes de sécurité doivent regarder au-delà de leur propre architecture réseau les protocoles de gouvernance et de sécurité des fournisseurs tiers, en évaluant (et en surveillant en permanence) la manière dont leurs pratiques de gouvernance et de risque se croisent avec les vôtres.
Comme votre planification globale de gouvernance, l’évaluation des risques tiers n’a pas besoin d’être trop chronophage. « Dans notre expérience avec les clients, l’évaluation et l’amélioration de l’environnement de sécurité pour protéger GenAI peuvent généralement être effectuées en 60 jours », note un guide récent de PricewaterhouseCoopers pour faire évoluer GenAI pour les entreprises.
S’assurer que les responsables de la sécurité et les cadres dirigeants sont sur la même longueur d’onde aidera à rationaliser ce processus, en particulier lorsqu’il s’agit de prérequis ou de procédures pour obtenir des IA tierces sur la liste approuvée de votre entreprise. « Si, pour une raison quelconque, l’équipe de sécurité n’est pas d’accord avec l’utilisation de cet outil ou l’autorisation de ce type de données dans cet outil, alors voici le processus pour obtenir l’acceptation des risques, en fonction de la justification commerciale », explique Haydock.
La clé de tout cela, selon les experts, est de s’engager et d’investir dans la sécurité dès la conception.
« La course au déploiement et à la sécurisation de l’IA générative suit le modèle typique : les entreprises se précipitent pour la mettre à l’écart, et la sécurité prend du retard », déclare Pescatore. « Malheureusement, la sécurité doit toujours rattraper le retard », dit-il. Et jouer au rattrapage contre les adversaires est une stratégie de perte garantie.
