Utiliser l’IA générative : décortiquer les implications de sécurité de l’IA générative

Il est raisonnable de dire que l’IA générative a maintenant attiré l’attention de chaque salle de réunion et de chaque dirigeant d’entreprise. Une technologie qui était autrefois marginale et difficile à maîtriser, les portes de l’IA générative sont maintenant grandes ouvertes grâce à des applications telles que ChatGPT ou DALL-E. Nous assistons maintenant à une adoption généralisée de l’IA générative dans tous les secteurs et toutes les tranches d’âge, car les employés trouvent des moyens de tirer parti de la technologie à leur avantage.

Une enquête récente indique que 29 % des répondants de la génération Z, 28 % de la génération X et 27 % des millennials utilisent désormais des outils d’IA générative dans le cadre de leur travail quotidien. En 2022, l’adoption de l’IA générative à grande échelle était de 23 %, et ce chiffre devrait doubler pour atteindre 46 % d’ici 2025.

L’IA générative est une technologie naissante mais en évolution rapide qui utilise des modèles formés pour générer du contenu original sous diverses formes, allant du texte écrit et des images aux vidéos, de la musique et même du code de logiciel. En utilisant des modèles de langage grandeur nature (LLM) et des ensembles de données énormes, la technologie peut créer instantanément du contenu unique qui est presque indiscernable du travail humain, et dans de nombreux cas plus précis et plus convaincant.

Cependant, alors que les entreprises utilisent de plus en plus l’IA générative pour soutenir leurs opérations quotidiennes, et que les employés ont été rapides à adopter la technologie, le rythme d’adoption et le manque de réglementation ont soulevé des préoccupations importantes en matière de sécurité et de conformité réglementaire.

Selon une enquête menée auprès de la population générale, plus de 80 % des personnes sont préoccupées par les risques de sécurité posés par ChatGPT et l’IA générative, et 52 % de ceux qui ont répondu veulent que le développement de l’IA générative soit suspendu pour que les réglementations puissent rattraper leur retard. Ce sentiment plus large a également été échoé par les entreprises elles-mêmes, avec 65 % des dirigeants IT seniors qui refusent de donner un accès sans friction aux outils d’IA générative en raison de préoccupations de sécurité.

L’IA générative est encore un inconnu

Les outils d’IA générative se nourrissent de données. Les modèles, tels que ceux utilisés par ChatGPT et DALL-E, sont formés à partir de données externes ou librement disponibles sur Internet, mais pour tirer le meilleur parti de ces outils, les utilisateurs doivent partager des données très spécifiques. Souvent, lorsque les utilisateurs sollicitent des outils tels que ChatGPT, ils partagent des informations commerciales sensibles pour obtenir des résultats précis et complets. Cela crée de nombreux inconnus pour les entreprises. Le risque d’accès non autorisé ou de divulgation non intentionnelle d’informations sensibles est « intégré » lorsqu’il s’agit d’utiliser des outils d’IA générative librement disponibles.

Ce risque en soi n’est pas nécessairement une mauvaise chose. Le problème est que ces risques ne sont pas encore vraiment explorés. À ce jour, il n’y a pas eu d’analyse d’impact commercial réelle de l’utilisation d’outils d’IA générative largement disponibles, et les cadres juridiques et réglementaires mondiaux sur l’utilisation de l’IA générative n’ont pas encore atteint une forme de maturité.

La réglementation est encore en cours de développement

Les régulateurs évaluent déjà les outils d’IA générative en termes de confidentialité, de sécurité des données et d’intégrité des données qu’ils produisent. Cependant, comme c’est souvent le cas avec les technologies émergentes, l’appareil réglementaire pour soutenir et régir leur utilisation est en retard de plusieurs pas. Alors que la technologie est utilisée par les entreprises et les employés de manière large, les cadres réglementaires sont encore très much sur le tableau.

Cela crée un risque clair et présent pour les entreprises qui, pour le moment, n’est pas pris au sérieux comme il le devrait l’être. Les dirigeants sont naturellement intéressés par la manière dont ces plateformes introduiront des gains commerciaux importants tels que des opportunités d’automatisation et de croissance, mais les gestionnaires de risques se demandent comment cette technologie sera réglementée, quels seront les implications juridiques éventuelles et comment les données de l’entreprise pourraient être compromises ou exposées. De nombreux outils sont librement disponibles à tout utilisateur ayant un navigateur et une connexion Internet, donc pendant qu’ils attendent que la réglementation rattrape son retard, les entreprises doivent commencer à réfléchir très soigneusement à leurs propres « règles de la maison » concernant l’utilisation de l’IA générative.

Le rôle des DSI dans la gouvernance de l’IA générative

Avec des cadres réglementaires encore manquants, les directeurs de la sécurité de l’information (DSI) doivent jouer un rôle crucial dans la gestion de l’utilisation de l’IA générative au sein de leurs organisations. Ils doivent comprendre qui utilise la technologie et à quelle fin, comment protéger les informations d’entreprise lorsque les employés interagissent avec les outils d’IA générative, comment gérer les risques de sécurité de la technologie sous-jacente et comment équilibrer les compromis de sécurité avec la valeur que la technologie offre.

Ceci n’est pas une tâche facile. Des évaluations de risques détaillées doivent être effectuées pour déterminer à la fois les résultats négatifs et positifs résultant de la mise en œuvre de la technologie de manière officielle, et de laisser les employés utiliser des outils librement disponibles sans surveillance. Étant donné la nature d’accès facile des applications d’IA générative, les DSI devront réfléchir soigneusement à la politique de l’entreprise concernant leur utilisation. Les employés devraient-ils être libres d’utiliser des outils tels que ChatGPT ou DALL-E pour faciliter leur travail ? Ou devrait-on restreindre ou modérer l’accès à ces outils d’une manière ou d’une autre, avec des lignes directrices et des cadres internes sur la façon dont ils devraient être utilisés ? Un problème évident est que même si des lignes directrices internes étaient créées, étant donné le rythme auquel la technologie évolue, elles pourraient bien être obsolètes au moment de leur finalisation.

Une façon de résoudre ce problème pourrait être de détourner l’attention des outils d’IA générative eux-mêmes et de se concentrer sur la classification et la protection des données. La classification des données a toujours été un aspect clé de la protection des données contre les violations ou les fuites, et cela s’applique également dans ce cas particulier. Cela implique d’attribuer un niveau de sensibilité aux données, qui détermine la manière dont elles doivent être traitées. Devraient-elles être chiffrées ? Devraient-elles être bloquées pour être contenues ? Devraient-elles être notifiées ? Qui devrait avoir accès à elles, et où est-il autorisé de les partager ? En se concentrant sur le flux de données, plutôt que sur l’outil lui-même, les DSI et les agents de sécurité auront beaucoup plus de chances de mitiger certains des risques mentionnés.

Comme toutes les technologies émergentes, l’IA générative est à la fois un atout et un risque pour les entreprises. Alors qu’elle offre des capacités nouvelles et excitantes telles que l’automatisation et la conceptualisation créative, elle introduit également des défis complexes autour de la sécurité des données et de la sauvegarde de la propriété intellectuelle. Alors que les cadres réglementaires et juridiques sont encore en cours de développement, les entreprises doivent prendre sur elles-mêmes de trouver un équilibre entre l’opportunité et le risque, en mettant en œuvre leurs propres contrôles de politique qui reflètent leur posture de sécurité globale. L’IA générative va impulser les entreprises vers l’avant, mais nous devons être prudents pour garder une main sur le volant.