Comment répondre aux exigences de conformité réglementaire à venir pour la sécurité de GenAI

Lorsque vous pensiez que gérer les risques de sécurité des données liés à GenAI et maîtriser l’essor de GenAI fantôme était suffisant, voici une nouvelle complication.

Les exigences réglementaires et juridiques pour sécuriser GenAI augmentent, et les organisations devront bientôt démontrer comment elles gèrent les risques associés à celui-ci. Le Règlement européen sur l’intelligence artificielle (EU AI Act) est le premier signe clair. Il qualifie explicitement certaines applications d’IA de « à haut risque » et impose des exigences strictes en matière de transparence, de responsabilité et de surveillance humaine. Les pénalités pour non-conformité sont destinées à être dissuasives, calculées en pourcentage du chiffre d’affaires mondial plutôt qu’en amendes forfaitaires. Pour les sociétés multinationales, cela transforme la gouvernance de l’IA d’une bonne pratique en une obligation légale, avec des conséquences graves en cas de non-conformité.

Aux États-Unis, la Federal Trade Commission (FTC) a clairement indiqué que l’utilisation de l’IA sera examinée dans le cadre de son mandat de prévenir les « pratiques déloyales ou trompeuses ». Cela signifie que les entreprises ne peuvent pas se cacher derrière la complexité technique. Si les clients ou les employés sont induits en erreur sur la manière dont leurs données sont gérées, ou si l’IA présente des risques non divulgués, les dirigeants peuvent être tenus responsables.

Les premières mesures d’application ont déjà démontré que les régulateurs sont prêts à faire des exemples d’entreprises qui agissent trop rapidement sans contrôles appropriés. Par exemple, la FTC a pris des mesures contre DoNotPay, une entreprise qui a promu un outil d’IA comme un « avocat robot » capable de générer des documents juridiques valides et des conseils juridiques d’expert, constatant que les allégations de l’entreprise sur les capacités de son IA étaient fausses ou trompeuses et violaient la section 5 de la loi FTC. Dans un autre cas, la FTC a exigé que Everalbum Inc. détruise les modèles et algorithmes d’IA construits à partir de photos de consommateurs collectées sans consentement approprié – une pénalité directe pour l’utilisation de données de manière contraire au consentement et aux attentes juridiques.

Au niveau des États, la Californie et New York sont à la tête d’une vague de lois sur l’IA et la confidentialité qui s’appuient sur des cadres existants, tels que la loi californienne sur la confidentialité des consommateurs (CCPA). Ces lois sont alignées sur les exigences de confidentialité plus larges, obligeant les entreprises à traiter la gouvernance de l’IA et la confidentialité des données comme un seul programme intégré.

La collision est déjà apparente. Aujourd’hui, un consommateur peut demander en vertu du RGPD ou de la CCPA que ses informations personnelles soient supprimées des systèmes d’une entreprise. Cependant, il n’y a pas d’équivalent pour demander la suppression des données une fois qu’elles ont été ingérées dans un modèle de GenAI. Le manque d’une option « supprimer mes données de votre modèle » deviendra bientôt un point de contention entre les régulateurs et les entreprises.

Pourquoi la conformité semble plus difficile cette fois

À première vue, réglementer l’IA ne semble pas très différent des défis de conformité précédents. Cependant, la gouvernance de GenAI introduit une nouvelle complication – l’imprévisibilité. La frontière entre les informations inoffensives et nuisibles n’est pas toujours claire. Une seule invite peut divulguer des informations confidentielles, et une seule sortie peut transporter du contenu confidentiel dans des endroits où il ne devrait pas se trouver. Les contrôles traditionnels, tels que la protection des données et les audits de permissions, n’ont pas été conçus pour ce niveau de rapidité ou de complexité.

Pour la conformité au RGPD, l’accent a été mis sur la confidentialité. Les tâches étaient simples – identifier les données personnelles, mettre en œuvre des contrôles et documenter la conformité. GenAI, cependant, complique les choses car il s’agit moins des données elles-mêmes et plus de la manière dont ces données sont transformées, remixées et révélées de manière inattendue. Les organisations sont confrontées à des risques tels que Copilot exposant des tableurs sensibles stockés dans SharePoint, des employés collant du code propriétaire dans ChatGPT pour déboguer des scripts, et des sorties générées par l’IA qui contiennent suffisamment de contexte pour fuir des informations confidentielles.

Les outils traditionnels n’ont pas été conçus pour gérer les risques de sécurité et les problèmes de conformité de GenAI. Les règles de protection des données négligent la nuance. Les audits de permissions luttent pour suivre la collaboration. Et l’IA fantôme signifie que l’activité se produit en dehors des outils approuvés.

Ce que les dirigeants de la sécurité peuvent faire maintenant

Le défi réglementaire à venir peut sembler accablant, mais il n’a pas à l’être. La première étape consiste à reformuler le problème. GenAI n’est pas une nouvelle catégorie à risque ; c’est un accélérateur. Il amplifie les problèmes existants – tels que des autorisations de données excessives, une classification médiocre et une visibilité limitée – les rendant plus dangereux. Traiter ces risques peut aider à répondre aux exigences de conformité de GenAI.

Les DSI devraient donner la priorité à la construction de fondations solides plutôt qu’à des politiques parfaites pour mieux répondre aux exigences réglementaires futures. Cela inclut l’obtention d’une visibilité sur l’utilisation de l’IA, l’application d’une classification de données basée sur le contexte et la création de politiques adaptatives qui équilibrent la sécurité et la productivité.

Les organisations qui réussiront ne seront pas celles qui ont le plus de livres de règles et de commandements ; elles seront celles qui ont une compréhension claire de ce qui se passe, combinée à des protections qui répondent aux exigences de conformité. Voici les étapes clés à suivre :

1. Évaluer la visibilité. Identifier où GenAI est utilisé, y compris l’IA fantôme. Évitez d’attendre un incident pour découvrir que les finances ont collé des prévisions dans ChatGPT.
2. Classer en utilisant le contexte. Aller au-delà des expressions régulières ou des noms de fichiers. La classification sémantique aide à identifier si plan_final.docx est inoffensif ou très sensible.
3. Réduire les autorisations. Le principe du moindre privilège ne devrait pas être optionnel ; il est essentiel pour maintenir la conformité et empêcher Copilot d’exposer des minutes de réunion sensibles à un stagiaire. Les dossiers partagés en excès sont une source courante de risque et de violations de conformité futures.
4. Traiter les sorties comme des entrées. Le texte généré par l’IA peut fuir tout aussi facilement que les invites. Auditer et surveiller la manière dont il est partagé en aval.
5. Élaborer des stratégies de conformité adaptatives. Les politiques écrites aujourd’hui peuvent devenir inefficaces dans six mois.

Pour les dirigeants, le message est clair. La pression réglementaire avance plus vite que beaucoup ne le pensent, et attendre que les normes se stabilisent n’est pas un plan réalisable. Les cadres de gouvernance doivent être mis en place maintenant, non seulement pour réduire les risques mais également pour démontrer aux régulateurs, aux clients et aux conseils d’administration que l’adoption de l’IA est délibérée et responsable. Le message est clair. La pression réglementaire avance plus vite que beaucoup ne le pensent, et attendre que les normes se stabilisent n’est pas un plan réalisable. Les cadres de gouvernance doivent être mis en place maintenant, non seulement pour réduire les risques mais également pour démontrer aux régulateurs, aux clients et aux conseils d’administration que l’adoption de l’IA est délibérée et responsable.