Zoom sur les exigences en matière de cybersécurité pour les systèmes d’IA
La Loi sur l’intelligence artificielle (AI Act) représente le premier cadre juridique complet au monde pour la régulation de l’IA, entré en vigueur le 1er août 2024. Cette loi vise à garantir que les systèmes d’IA soient fiables, sécurisés et respectent les droits fondamentaux et les valeurs. Dans ce cadre, des exigences spécifiques sont imposées aux systèmes d’IA à haut risque, qui posent des risques significatifs pour la santé, la sécurité ou les droits fondamentaux dans certains secteurs.
Une de ces exigences est d’atteindre un niveau de cybersécurité approprié, ce qui signifie que les systèmes d’IA à haut risque doivent être résilients face aux attaques malveillantes qui pourraient altérer leur utilisation, leurs résultats ou leur performance.
Exigences en matière de cybersécurité pour les systèmes d’IA à haut risque selon l’AI Act
Selon l’article 15 de la Loi sur l’IA, les systèmes d’IA à haut risque doivent être conçus et développés de manière à atteindre un niveau approprié de précision, de robustesse et de cybersécurité, et à performer de manière cohérente dans ces domaines tout au long de leur cycle de vie. Cela implique que ces systèmes doivent être aussi résilients que possible face aux erreurs, aux défauts ou aux incohérences qui peuvent survenir.
Les mesures techniques visant à garantir la cybersécurité des systèmes d’IA à haut risque doivent être adaptées aux circonstances et aux risques pertinents. Parmi ces solutions, on trouve les solutions de redondance technique, qui peuvent inclure des plans de sauvegarde ou de sécurité, ainsi que des mesures pour prévenir, détecter, répondre, résoudre et contrôler les attaques, notamment celles menées par :
- empoisonnement de données, où l’acteur malveillant manipule les données d’entraînement ;
- empoisonnement de modèle, où l’acteur manipule les composants pré-entraînés utilisés dans l’entraînement ;
- évasion de modèle, où l’acteur manipule les données d’entrée pour tromper le modèle.
Évaluations des risques pour les systèmes d’IA à haut risque
La Loi sur l’IA exige que les fournisseurs de systèmes d’IA à haut risque réalisent une évaluation des risques avant de mettre le système sur le marché. Cette évaluation doit identifier et analyser les risques potentiels posés par le système à la santé, à la sécurité et aux droits fondamentaux, ainsi que les mesures prises pour prévenir ou atténuer ces risques. Elle doit également prendre en compte les risques de cybersécurité associés au système et les mesures mises en place pour assurer sa résilience face aux attaques malveillantes.
La Loi sur la résilience cybernétique (CRA)
La cybersécurité des systèmes d’IA est également influencée par la Loi sur la résilience cybernétique (CRA). Cette loi impose un certain nombre d’exigences en matière de cybersécurité sur les produits avec des éléments numériques (c’est-à-dire les produits connectés comme les routeurs Wi-Fi et les dispositifs IoT). Ces exigences incluent la protection contre l’accès non autorisé par des outils tels que la gestion d’identité et d’authentification, ainsi que la minimisation de la collecte de données.
Pourquoi la cybersécurité doit-elle être considérée pour tous les systèmes d’IA ?
Bien que l’AI Act établisse des exigences spécifiques pour les systèmes d’IA à haut risque en matière de cybersécurité au sein de l’UE, il est crucial de comprendre que tous les systèmes d’IA traitant des données, interagissant avec des utilisateurs ou influençant des environnements physiques ou virtuels sont exposés à des menaces de cybersécurité. La cybersécurité ne se limite pas à la conformité, mais est aussi une question de confiance, de réputation et de compétitivité.
Les cyberattaques contre les systèmes d’IA peuvent avoir des conséquences graves, telles que la compromission de la confidentialité, de l’intégrité ou de la disponibilité des données, causant ainsi des dommages aux utilisateurs ou à des tiers. De plus, la cybersécurité est un concept dynamique qui nécessite une surveillance, une mise à jour et une amélioration constantes.
Meilleures pratiques pour les fournisseurs de systèmes d’IA
Les fournisseurs de systèmes d’IA doivent adopter une approche de sécurité par conception et par défaut, ce qui signifie que la sécurité doit être intégrée dès le processus de conception et de développement. Ils doivent également réaliser des évaluations régulières des risques et mettre en œuvre des mesures techniques et organisationnelles appropriées.
En conclusion, la cybersécurité est une exigence clé pour les systèmes d’IA à haut risque selon l’AI Act, mais elle est également une considération pertinente pour tous les systèmes d’IA. Les fournisseurs doivent adopter une approche proactive en matière de cybersécurité et se conformer aux lois et réglementations existantes pour garantir la confiance et la sécurité des systèmes d’IA.
