Entre l'essor rapide de l'« IA fantôme » ( ) et le nombre croissant d'escroqueries et de cyberattaques basées sur l'IA, le moment est aujourd'hui (comme par exemple : hier) crucial pour que les entreprises accordent la priorité à la formation en matière d'IA – et les RSSI peuvent montrer la voie.
Selon une enquête menée par l' auprès de ISC2 responsables de la sécurité des systèmes d'information et d'autres professionnels et décideurs du domaine de la cybersécurité, sur un total de plus de 15 000 personnes interrogées, 90 % déclarent être confrontés à une pénurie de compétences au sein de leur organisation, et plus de la moitié des personnes interrogées estiment que cette pénurie expose leur organisation à un risque important. Quelle est la principale lacune en matière de compétences signalée à l'organisme international de formation et de certification en cybersécurité ? IA.
Les RSSI jouent un rôle essentiel pour sensibiliser à l'IA, renforcer les compétences, mettre au point des programmes de formation « » et élaborer des lignes directrices pour une utilisation sécurisée. Sans ces efforts, les menaces théoriques telles que l’« IA fantôme » – c’est-à-dire le fait que des employés utilisent des outils ou des applications d’IA sans l’accord du service informatique ou, pire encore, qu’ s soient traitées à leur insu – deviennent pratiquement inévitables, affirme Jordan Rae Kelly, directeur général senior et responsable de la cybersécurité pour les Amériques au sein du cabinet de conseil en gestion d’entreprise FTI Consulting.
« Les entreprises et les salariés trouveront le moyen d’utiliser l’IA, et s’ils ne sont pas informés ou ne maîtrisent pas bien ces technologies, l’entreprise perdra le contrôle sur la manière dont ses informations sont utilisées et sur ce qu’elle est en mesure de protéger », explique-t-elle. Par exemple, un employé pourrait utiliser des outils d'analyse basés sur l'intelligence artificielle pour analyser les données clients, les chiffres de vente ou les retours clients, ce qui expose ces données sensibles à des risques.
Une visibilité sur l'ensemble des appareils d'une organisation est essentielle pour maîtriser ce type de risques, mais cela fait peser tout le poids et la responsabilité de la sécurisation de l'entreprise sur des services de sécurité en sous-effectif et surchargés. Une sécurité globale nécessite un travail d'équipe.
Pour suivre le rythme d’un secteur de l’IA en constante évolution, les RSSI doivent accorder la priorité à la formation à tous les niveaux : au sein de leur propre service, parmi les cadres dirigeants de l’ , ainsi que dans l’ensemble de l’organisation. Et cela doit se faire avant, pendant et après l'élaboration des politiques de gouvernance de l'IA . Ces quatre consignes constituent un bon point de départ.
1. Alignez-vous sur les priorités de l'entreprise avant d'aborder les politiques en matière d'IA
Pour définir efficacement la manière dont l’IA est gérée, les RSSI doivent tout d’abord se familiariser avec le modèle économique de leur organisation en matière d’IA, explique Ali Aqel, consultant en cybersécurité et expert en sécurité de l’IA au sein du cabinet de recrutement ALKU.
«Les employés trouveront toujours un moyen d’utiliser l’IA, et s’ils ne sont pas informés ou ne maîtrisent pas ces technologies, l’entreprise perdra le contrôle. »Jordan Rae Kelly, directeur général senior et responsable de la cybersécurité pour les Amériques chez FTI Consulting
« Un RSSI doit se concerter avec les différents services de l’entreprise et les différentes divisions de l’organisation technologique afin de comprendre quelles charges de travail seront utilisées pour l’IA, quels types de services seront mis en œuvre, quelles sont leurs fonctionnalités, ainsi que les exigences métier et fonctionnelles nécessaires à l’IA », explique-t-il.
Dans le cadre de l'utilisation de l'IA, les charges de travail des applications englobent les opérations et les activités que les applications basées sur l'IA doivent exécuter. Par exemple, les charges de travail des applications de traitement et d'analyse des données peuvent inclure des tâches telles que le nettoyage, l'organisation et la transformation de grands ensembles de données afin de les rendre adaptés à l'entraînement des modèles d'IA. « Une fois qu’ils en ont bien compris les enjeux », explique Aqel, « l’équipe de sécurité peut commencer à définir et à harmoniser l’ensemble des exigences, normes, politiques et processus liés à cette exigence en matière d’IA. »
« En comprenant les modèles économiques de l’organisation, les RSSI peuvent commencer à concevoir des programmes de formation et de sensibilisation aux risques axés sur les menaces et les opportunités les plus pertinentes liées à l’IA », explique-t-il.
[Lire aussi : 4 priorités de leadership essentielles pour les CISO à l'ère de l'IA]
En prime, les responsables de la sécurité des systèmes d'information (RSSI) peuvent alors s'adresser à leurs directeurs financiers et autres dirigeants pour leur montrer en quoi ces programmes de formation à l'IA contribuent à la croissance du chiffre d'affaires et/ou à la prévention des pertes. « L’une des compétences qui fait défaut au sein de la profession est cette capacité à replacer la cybersécurité dans son contexte… en tant que moteur de l’activité », souligne Andy Woolnough, vice-président exécutif chargé des affaires générales chez ISC2 , dans un épisode récent intitulé «» du podcast « Solution Spotlight » de l’ . « Il faut que vous parveniez à convaincre le directeur financier ; c'est aussi simple que cela. »
2. Sensibiliser les dirigeants par le biais de discussions sur l'élaboration de politiques en matière d'IA
Les responsables de la sécurité des systèmes d'information (RSSI) jouent un rôle essentiel dans la sensibilisation des dirigeants aux risques et aux avantages en matière d' liés aux d'IA, et ces discussions cruciales doivent avoir lieu au moment où (ou mieux encore, avant que) les organisations ne commencent à élaborer leurs lignes directrices en matière d'IA, explique Mme Kelly. Les responsables de la sécurité des systèmes d'information (RSSI) devraient orienter ces discussions autour d'un certain nombre de considérations en matière de sécurité.
«[Les équipes de sécurité] doivent comprendre ce qu’elles traduisent, développent et sécurisent. »Ali Aqel, consultant en cybersécurité et expert en sécurité de l'IA, ALKU
« Ces discussions devraient aborder des sujets essentiels pour le dispositif de sécurité de l’information de l’entreprise, tels que l’ la protection des données, la propriété intellectuelle, ainsi que la manière dont l’entreprise examine les résultats des modèles d’IA et procède à leur validation », explique-t-elle. « Ils devraient définir très précisément en quoi consistent ces expérimentations et devraient jouer un rôle dans les évaluations menées par l’ , notamment en matière de biais s et d’équité. »
Il est essentiel de mener ces discussions, car elles aident les dirigeants à comprendre les risques et les avantages de l'IA et, à terme, à obtenir leur soutien en matière de gestion des risques liés à l'IA, explique M. Aqel.
[À lire également : 5 objectifs clés pour orienter les budgets de cybersécurité en 2025]
À mesure que l'IA continue d'évoluer, les RSSI doivent tenir la direction informée, à l'aide de mises à jour , des nouvelles menaces, des opportunités et des tendances émergentes. Des réunions d'information ou des rapports réguliers peuvent contribuer à maintenir la direction informée.
3. Acquérir des connaissances fondamentales sur les principes de base de l'IA au sein de l'équipe de sécurité
Selon M. Aqel, les responsables de la sécurité des systèmes d'information (RSSI) doivent s'assurer que leur équipe de sécurité dispose d'une compréhension de base du fonctionnement de l'IA.
« Ils doivent comprendre ce qu’ils traduisent, développent et sécurisent. » « Ils doivent comprendre les différents modèles d’IA, tels que l’apprentissage automatique, l’apprentissage profond, le traitement du langage naturel et les modèles spécialisés », explique-t-il. « Il est très important que le personnel de sécurité comprenne ces éléments, car il doit savoir comment reproduire les mesures de sécurité mises en place pour ces modèles. »
Aqel recommande aux équipes de sécurité de consacrer au moins quatre heures par mois, par tranches d'une heure, à la formation à l'IA. Cette formation pourrait prendre différentes formes : des sessions à huis clos au cours desquelles les équipes approfondissent un sujet particulier, des formations officielles via des ressources telles que Pluralsight, ou encore des formations ou certifications proposées par le fournisseur d’IA de l’organisation. « Il est important », ajoute Aqel, « que les équipes de sécurité disposent d'un budget dédié pour soutenir la formation des collaborateurs aux technologies émergentes telles que l'IA. »
4. Promouvoir la formation à l'IA à l'échelle de l'entreprise
La formation de l’ensemble des collaborateurs à l’utilisation sécurisée de l’IA permet de les sensibiliser et de leur faire prendre conscience des risques spécifiques liés aux technologies d’IA – qu’il s’agisse d’attaques adversaires, d’empoisonnement des données, de questions éthiques ou de conformité réglementaire . Cela permet à l'organisation de mieux sécuriser ses systèmes d'IA, de protéger ses données et de garantir le respect des réglementations du secteur.
Cela contribue également à insuffler à tous les collaborateurs, à tous les niveaux, un sentiment d'engagement : Chacun fait partie de l'équipe lorsqu'il s'agit d'assurer la protection de l'organisation.
Les axes prioritaires du programme de formation d'une organisation varient d'une entreprise à l'autre, explique Kelly. Par exemple, de nombreux systèmes d'IA utilisés à des fins d'analyse s'appuient sur des données qui contiennent souvent des informations sensibles ou permettant d'identifier des personnes. Les employés doivent être formés à l'importance de protéger ces données et de respecter certaines réglementations afin d'éviter toute violation et ses conséquences juridiques.
Pour que ces programmes soient couronnés de succès, Kelly estime qu’ils devraient comporter de nombreux exemples adaptés aux employés qui suivent la formation. Il peut s'agir, par exemple, d'un e-mail semblant provenir du PDG de leur entreprise et demandant un virement bancaire urgent pour un nouveau projet commercial. Il convient d'alerter les employés sur les signaux d'alerte potentiels (indices révélateurs tels qu'une formulation inhabituelle, des incohérences concernant l'expéditeur ou des demandes d'informations sensibles) qui indiquent une tentative de hameçonnage de type « » , une compromission des e-mails professionnels de type « » ou d'autres formes d'ingénierie sociale de type « ».
« Cela leur permet de bien comprendre, dans les moindres détails, comment les décisions relatives aux risques liés à l’IA vont concrètement s’appliquer à l’organisation », explique-t-elle.
