En Europe, l’IA n’est pas appliquée uniquement aux projets pilotes, mais à toutes les infrastructures de copilotes, d’agents autonomes, d’applications SaaS génératives… Cependant, l’adoption s’est accélérée plus rapidement que les structures de gouvernance, et en ce moment, elle réside actuellement dans le risque. Grâce à Proofpoint, de nombreuses organisations européennes traitent la vigente Ley de cumplimiento de l’IA (EU AI Act), premier cadre juridique intégral de l’IA dans tout le monde, comme sa référence unique pour la gouvernance de l’IA sans tenir compte du fait que le cumplimiento normatif et la réduction des risques ne sont pas la même chose.
« La Loi de l’IA de l’UE établit des obligations légales pour les systèmes d’IA, ce qui est nécessaire, mais c’est seulement une partie des dépenses. Une organisation peut compléter tous les éléments requis et, en outre, avoir une fuite de données, un usage indépendant de la part de l’intérieur personnel ou d’une campagne de phishing amplificada por IA”, a souligné Loïc Guézo, directeur de la stratégie de cybersécurité pour l’Europe chez Proofpoint.
Marcos s’applique aux relations avec l’IA
Il existe actuellement trois marchés applicables —NIST AI RMF, les normes ISO et la Loi de l’IA de l’UE— qui, pour les experts de Proofpoint, ne peuvent choisir entre un autre, si ce n’est une combinaison pour que chacun réponde à une question différente. NIST AI RMF est conçu pour la gestion des risques, proposant une structure solide pour évaluer et superviser les risques associés aux systèmes d’IA ; les normes ISO/IEC 23894 et 42001 sont centrales dans la gouvernance et les systèmes de gestion pour établir des processus internes répétitifs et comestibles, ainsi que pour promouvoir une culture de rendu des comptes au sein de l’organisation ; et la EU AI Act est un cadre réglementaire d’utilisation impératif pour garantir que les organisations ont un plan avec les obligations légales requises pour les systèmes d’IA en fonction de leur cadre d’application.
« Pour un groupe qui opère en Europe, mais il s’adresse à des clients internationaux ou à des filiales, l’enquête la plus solide sera d’utiliser le NIST comme colonne vertébrale opérationnelle, les normes ISO pour la maturité de l’administration et la Loi de l’IA de l’UE pour les obligations légales spécifiques », par exemple Loïc Guézo.
Les débats sur l’IA sont centrés sur la précision, l’explicabilité et le sens des modèles. Pour Proofpoint, ce sont des préoccupations réelles, mais dans la pratique, la plupart des incidents se multiplient par rapport aux équipes utilisant l’IA, comme les données liées au travail d’une organisation et comme anticiper l’exploitation de ces outils par les attaquants.
Le risque de l’IA est fondamentalement un risque humain, un risque de données et un risque de communication, pas seulement un risque technologique ; et là, c’est là que se trouvent les cortos des marcos de gobernanza : ningún marco, por riguroso que sea, cubre todo el panorama por sí solo.
La première fois, celle qui correspond au comportement humain, est lorsque les employés partagent des informations confidentielles sur les outils de l’IA, en examinant les sollicitudes frauduleuses ou les procédures approuvées, y compris le contrôle des politiques sur le papier.
L’exposition des données est la seconde. L’IA est capable d’amplifier les déficiences existantes dans la gouvernance des données. Beaucoup d’organisations peuvent découvrir des erreurs dans le contrôle d’accès après que l’IA ait fait des exploits à grande échelle.
Il en va de même pour les attaques motivées par IA, comme le phishing, la fraude du PDG, le compromis du courrier électronique d’entreprise (BEC) ou la supplantation d’identité, tous les plus sophistiqués et fréquents.
La IA en la sombre cierra la liste. S’il n’y a pas de visibilité sur l’utilisation réelle de cette technologie, les responsables d’une organisation ne savent pas que les outils sont en circulation, que les données fluctuent à travers elles ou si elles suivent la politique interne.
Le risque de l’IA est fondamentalement humain, un risque de données et un risque de communication
D’après Loïc Guézo, de Proofpoint, « les dirigeants européens ont le désir de convertir les obligations réglementaires en un programme de sécurité opérationnelle qui est facile, accessible et aligné sur les priorités du commerce ».
Actions pour aller au cabo par les organisations
Comme recommandations, cette entreprise a élaboré un plan d’action pour construire une collaboration avec le RSSI ou le responsable de la sécurité de l’organisation en suivant ces étapes :
- Établir un cadre de référence : combiner les exigences du NIST, de l’ISO et de la loi de l’IA de l’UE dans une seule structure en vue de consulter trois programmes parallèles.
- Mapear el uso de la IA: faire un inventaire des systèmes approuvés, copilotes, agents et intégrations de tiers, et identifier qui est responsable de chacun.
- Prioriser l’impact sur le commerce : une invite d’information publique révèle un risque très différent de celui qui contient des registres de clients ou de propriétés intellectuelles.
- Connectez chaque objet de gestion à un contrôle opérationnel : classification des données, gestion des accès, prévention de la perte de données, surveillance de l’utilisation.
- Moyenner la réduction du risque, lors de l’activité de cumul : réaliser un suivi d’indicateurs concrets, comme la réduction de la répartition des données, les incidents de perte de données liés à l’IA ou à la réduction des autorisations d’accès excessives.
Par Loïc Guézo, directeur de la stratégie de cybersécurité pour l’Europe Point de preuve
