IA et cybersécurité - premières étapes

La démocratisation de l’IA et en particulier des LLM, c’est à dire les outils de type ChatGPT, apportent leur lot de questionnement en terme d’impact notamment cybersécurité des IA.

Comment prendre en compte ces nouveaux outils dans une organisation ?

5 étapes essentielles pour prendre en compte ce changement.

Définir sa politique

Avant toute chose, que vous décidiez d’utiliser ou non des outils d’intelligence artificielle dans votre organisation, vous devez les prendre en compte dans votre politique.

En effet, vos collaborateurs sont certainement tentés de les utiliser, alors vous devez leur communiquer les pratiques à adopter, ou non, les données communicables, ou non, à des outils d’IA.

Les questions que vous pouvez vous poser pour définir votre politique :

Pour quel traitement j’utilise quelle IA ?
Quelles données je lui confie ? Et comment ?
Comment je prends en compte les résultats ?
…

Des solutions techniques existent pour se protéger notamment de « l’exfiltration » de données, ou de l’utilisation d’applications en ligne en particulier.

Par exemple, sur un firewall, il est possible de mettre en place du filtrage d’URL, du filtrage d’application, et également des outils de DLP : Data Loss Prevention. Ces derniers vont analyser les données qui sortent de votre réseau pour éventuellement les bloquer si elles sont reconnues comme des données personnelles, des numéros de carte bleu, RIB etc etc…

Vérifier les conditions des services utilisés

Vérifiez les conditions d’utilisation des applications, les garanties de disponibilité, de pérennité, de traitement des données confiées et de droit sur les résultats de sortie de l’IA.

En effet, si vous décidez d’automatiser tout ou partie d’un processus avec un outil d’Intelligence Artificielle en Saas, vous devez vous poser les même questions que pour tout autre produit numérique Saas.

Qu’advient-il des données échangées avec l’outil ?
Comment sont-elles traitées, stockées ?
Que se passe-t-il si les conditions d’accès ou la disponibilité change ?
…

Mais en plus de cela, des questions sont à se poser notamment sur les résultats notamment :

Que ce soit du texte, de la vidéo, des images, du son : quel droit d’utilisation avez-vous sur ces résultats ?
Quelle est leur fiabilité ? Le résultat est-il explicable ? (doit-il l’être ?)
…

Tenez compte de la réglementation

Bien entendu, la législation existante s’applique pour l’Intelligence Artificielle comme pour tous les autres produits numériques.

Nous pouvons citer bien entendu le RGPD mais également le droit d’auteur.

Des textes spécifiques sont en cours d’approbation, notamment le règlement IA ACT. Ce dernier prévoit des exigence vis-à-vis principalement des fournisseurs de solutions d’Intelligence Artificielle, en fonction de la criticité des données exploitées.

Mettez à jour votre charte Informatique

Encore une fois, que vous utilisiez ou non l’IA, il est une bonne pratique de communiquer aux utilisateurs ce qu’ils peuvent, ou ne peuvent pas, faire avec les outils d’IA.

Formalisez dans la charte les outils autorisés, les données autorisées, la manière de traitement des résultats. Définissez et communiquez les conditions d’utilisation des IA que vous souhaitez voir appliquer.

Sensibilisez vos utilisateurs

Pour vous assurer que la charte informatique soit connue et comprise, sensibilisez vos utilisateurs aux usages autorisés de l’Intelligence Artificielle sur votre réseau et avec vos données.

Vous devez également les sensibiliser ou les former à l’interprétation des résultats, et dans le cadre d’un projet de mise en place d’une IA, vous devrez également les former afin de tirer le meilleur profit des outils mis en place.