Le fossé de la gouvernance : pourquoi la régulation de l’IA va toujours prendre du retard
L’innovation évolue à la vitesse des machines, tandis que la gouvernance avance à la vitesse humaine. Avec l’adoption exponentielle de l’IA, la régulation prend du retard, ce qui est typique en matière de technologie. À travers le monde, les gouvernements et autres entités s’efforcent de réguler l’IA, mais les approches fragmentées et inégales abondent.
La nature du fossé : innovation d’abord, supervision ensuite
Le retard réglementaire est un sous-produit inévitable du progrès technologique. Par exemple, Henry Ford n’avait pas développé la Model T en se concentrant principalement sur la sécurité routière. Les schémas réglementaires suivent historiquement l’innovation ; les exemples récents incluent la protection des données, la blockchain et les réseaux sociaux. L’évolution rapide de l’IA dépasse la formation et l’application des politiques. En d’autres termes, la charrue a souvent été mise avant les bœufs.
Une partie du défi est que les décideurs réagissent souvent aux dommages plutôt que d’anticiper les risques, ce qui crée des cycles de gouvernance réactive. Le problème n’est pas le retard lui-même, mais plutôt le manque de mécanismes adaptatifs pour suivre les nouveaux modèles de menace, ainsi que le manque de volonté de compromettre un avantage concurrentiel au profit de la sécurité. C’est un scénario de « course vers le bas » ; nous érodons notre propre sécurité collective pour des gains localisés.
Un patchwork mondial de gouvernance de l’IA représentant des philosophies fragmentées
Les principales approches de gouvernance de l’IA dans le monde varient considérablement. Dans l’UE, la loi sur l’IA introduite l’année dernière est très axée sur l’éthique et le risque. L’utilisation de l’IA est évaluée en fonction de son niveau de risque, certains étant jugés inacceptables et donc interdits. En revanche, les États-Unis adoptent plutôt un modèle de « sandbox » réglementaire qui met l’accent sur la flexibilité de l’innovation. Certains pourraient le décrire comme une exception pour l’innovation, tandis que les critiques pourraient l’appeler un chèque en blanc.
Il existe aussi le processus d’Hiroshima, qui contient une intention de coordination mondiale mais un suivi limité ; chaque nation du G7 se concentre encore sur sa domination domestique en matière d’IA. Aux États-Unis, la question a été largement laissée aux États, ce qui assure effectivement un manque de régulation efficace. Les États créent de nouvelles « sandboxes » pour attirer les entreprises technologiques et les investissements, mais il est peu probable qu’il y ait une régulation significative à ce niveau, seulement des exceptions accordées.
Le Royaume-Uni se débat pour établir son indépendance tant sur le plan national qu’international après le Brexit. Par le biais de la déréglementation et du plan « Leveling Up » du gouvernement, l’introduction de « sandboxes » réglementaires n’est pas surprenante. Le gouvernement britannique souhaite que le Royaume-Uni soit une superpuissance de l’IA dominante pour des avantages politiques internes et externes.
L’UE se concentre davantage sur la sécurité des consommateurs mais aussi sur la force de son marché commun. Cela a du sens, étant donné l’histoire de l’UE en matière de régulation fragmentée. La conformité partagée, les normes et le commerce transfrontalier sont essentiels à l’identité de l’UE. Ils exigent toujours des « sandboxes » réglementaires, mais aussi que chaque État membre en ait une opérationnelle à la même date.
Cela ne représente qu’un échantillon des réglementations, mais elles sont parmi les plus marquantes. Le point clé est qu’il existe des cadres disjoints qui manquent de définitions partagées, de mécanismes d’application et d’interopérabilité transfrontalière. Cela laisse des lacunes que les attaquants peuvent exploiter.
La nature politique des protocoles
Aucune régulation de l’IA ne peut être véritablement neutre ; chaque choix de conception, barrière et réglementation reflète les intérêts sous-jacents des gouvernements ou des entreprises. La régulation de l’IA est devenue un outil géopolitique ; les nations l’utilisent pour assurer un avantage économique ou stratégique. Les contrôles d’exportation des puces en sont un exemple actuel ; ils servent de régulation indirecte de l’IA.
La seule régulation effectivement introduite jusqu’à présent a été conçue pour entraver un marché. La course mondiale à la suprématie en matière d’IA maintient la gouvernance comme un mécanisme de compétition plutôt que de sécurité collaborative.
Sécurité sans frontières, mais gouvernance avec elles
Le problème majeur ici est que les menaces activées par l’IA transcendent les frontières alors que la régulation reste confinée. Les menaces en évolution rapide d’aujourd’hui incluent à la fois des attaques sur les systèmes d’IA et des attaques qui utilisent des systèmes d’IA. Ces menaces traversent les juridictions, mais la régulation reste cloisonnée. La sécurité est isolée dans un coin tandis que les menaces traversent l’ensemble d’Internet.
Nous commençons déjà à voir l’abus d’outils d’IA légitimes par des acteurs malveillants exploitant de faibles contrôles de sécurité. Par exemple, des activités malveillantes ont été observées avec des outils de création de sites d’IA qui ressemblent davantage à des clones de sites et peuvent facilement être abusés pour générer une infrastructure de phishing. Ces outils ont été utilisés pour imiter des pages de connexion pour tout, des services de médias sociaux populaires aux agences de police nationales.
Tant que les cadres de gouvernance ne refléteront pas la structure sans frontières de l’IA, les défenseurs resteront contraints par des lois fragmentées.
De la régulation réactive à la défense proactive
Le retard réglementaire est inévitable, mais la stagnation ne l’est pas. Nous avons besoin d’une gouvernance adaptative et prédictive avec des cadres qui évoluent avec la technologie ; il s’agit de passer d’une régulation réactive à une défense proactive. Idéalement, cela ressemblerait à :
- Développement de normes internationales partagées pour la classification des risques liés à l’IA.
- Participation élargie à l’établissement de normes au-delà des gouvernements et des entreprises majeurs. La gouvernance d’Internet a cherché (avec un succès mitigé) à utiliser un modèle multistakeholder plutôt que multilatéral. Bien que imparfait, il a eu un impact énorme sur l’utilisation d’Internet comme outil pour tous et sur la minimisation de la censure et des fermetures politiques.
- Favoriser la diversité des idées dans la gouvernance.
- Un mécanisme de signalement des incidents et de transparence. Un manque de régulations implique souvent un manque d’exigences de reporting. Il est peu probable qu’il y ait une exigence d’informer le public des dommages causés par des erreurs ou des choix de conception au sein des « sandboxes » réglementaires dans un avenir proche.
Bien que le fossé de la gouvernance ne disparaîtra jamais, des cadres collaboratifs, transparents et inclusifs peuvent empêcher qu’il ne devienne une vulnérabilité permanente pour la sécurité mondiale.
