NIST publie un projet de cadre pour la cybersécurité de l’IA, sollicitant des commentaires publics
Le National Institute of Standards and Technology (NIST) a récemment publié des lignes directrices préliminaires pour appliquer son Cadre de Cybersécurité aux organisations adoptant l’intelligence artificielle (IA). NIST demande des commentaires publics sur son « Projet Préliminaire Initial » du Profil de Cybersécurité pour l’IA d’ici minuit le 30 janvier 2026.
Bien que non contraignant, le Profil de Cybersécurité pour l’IA est significatif car il fournit des lignes directrices aux organisations pour gérer les risques de cybersécurité liés aux systèmes d’IA. Il représente la première tentative complète de NIST d’intégrer les risques et opportunités spécifiques à l’IA directement dans le Cadre de Cybersécurité 2.0, la norme largement utilisée pour gérer les risques de cybersécurité.
Le Profil de Cybersécurité pour l’IA aborde trois domaines où l’intersection de l’IA et de la cybersécurité sera particulièrement impactante :
- Sécurisation des composants du système d’IA, qui se concentre sur l’identification des défis de cybersécurité lors de l’intégration de l’IA dans les écosystèmes et infrastructures organisationnels ;
- Conduite de défense cybernétique améliorée par l’IA, qui se concentre sur l’identification des opportunités d’utiliser l’IA pour améliorer les processus et activités de cybersécurité ;
- Prévention des attaques cybernétiques améliorées par l’IA, qui se concentre sur la construction de résilience pour se protéger contre de nouveaux vecteurs de menaces activés par l’IA.
Points clés
Le Profil de Cybersécurité pour l’IA est un « Projet Préliminaire Initial ». Ce projet vise à transmettre la réflexion actuelle concernant la direction de la gouvernance de l’IA et les auteurs cherchent des retours pour informer les itérations futures. La date limite pour les commentaires publics est le 30 janvier 2026.
Ce Profil n’élimine aucun cadre existant de cybersécurité ou de gouvernance de l’IA ; il superpose plutôt des priorités et considérations spécifiques à l’IA sur le CSF 2.0.
Le Profil de Cybersécurité pour l’IA a le potentiel de devenir une référence de facto pour les régulateurs, les agences fédérales et les plaignants évaluant la diligence en matière de cybersécurité impliquant l’IA.
Qu’est-ce que le Profil de Cybersécurité pour l’IA ?
Le Profil de Cybersécurité pour l’IA est un Profil du Cadre de Cybersécurité NIST conçu pour aider les organisations à prioriser les résultats en matière de cybersécurité dans le contexte des systèmes d’IA. Il évite délibérément de définir « IA » de manière étroite, utilisant plutôt le terme « systèmes d’IA » pour désigner tout système utilisant des capacités d’IA, qu’il s’agisse de systèmes d’IA autonomes ou d’applications intégrées.
En général, le Profil de Cybersécurité pour l’IA :
- Utilise les Fonctions, Catégories et Sous-catégories du CSF 2.0 (Gérer, Identifier, Protéger, Détecter, Répondre, Récupérer) qui regroupent des mesures de cybersécurité similaires que les organisations peuvent mettre en œuvre ;
- Ajoute des considérations spécifiques à l’IA et des priorités proposées pour chaque Sous-catégorie, comme l’incorporation d’audits de l’IA pour répondre aux besoins spécifiques liés à l’IA ;
- Reconnaît que les organisations peuvent être à des stades très différents d’adoption de l’IA.
Application et initiatives connexes
Le Profil de Cybersécurité pour l’IA est destiné à un large éventail d’organisations, y compris celles qui développent ou utilisent des technologies d’IA. Cela inclut également celles qui souhaitent comprendre et tirer parti des capacités de cybersécurité que l’IA peut offrir ou mieux se défendre contre les cyberattaques activées par l’IA.
Pour compléter le Profil de Cybersécurité pour l’IA, une série de contrôles pour la sécurisation des systèmes d’IA est en cours de développement. Cela devrait permettre aux organisations d’adapter leurs mesures de sécurité de base à leur contexte spécifique et à leurs besoins.
Conclusion
Le Profil de Cybersécurité pour l’IA envoie un message clair : l’IA est une question de gouvernance de la cybersécurité. Les organisations qui attendent une réglementation contraignante avant d’adapter leurs programmes pourraient se retrouver dépassées par des attentes émergentes.
