Introduction
Des outils d’intelligence artificielle s’infiltrent dans les logiciels d’entreprise sans contrat, sans diligence raisonnable et sans déclencheur de gestion des tiers, laissant les fonctions de conformité du secteur manufacturier souvent dans l’ignorance de leur présence.
Analyse du problème
Arrivée non contrôlée des fonctionnalités IA
Les mises à jour de logiciels introduisent parfois des fonctions génératives qui traitent des données sensibles telles que des formulations propriétaires, des paramètres de processus ou des informations commerciales confidentielles. Ces ajouts surviennent sans nouveau contrat ni mise à jour de l’accord de traitement des données, échappant ainsi aux processus traditionnels de gestion des risques.
Défaillance des déclencheurs traditionnels
Les déclencheurs habituels de la gestion des tiers – signature de contrat, ordre d’achat, demande d’accès IT – ne s’appliquent pas aux nouvelles capacités IA qui sont activées par des notes de mise à jour souvent négligées. Ainsi, le profil de risque d’un outil approuvé peut changer du jour au lendemain sans aucune alerte.
Complexité de la chaîne de sous-traitance
Le fournisseur de la solution logicielle devient un tiers, tandis que le modèle d’IA sous-jacent constitue un quatrième tiers, parfois hébergé par un cinquième. Cette chaîne complexe rend difficile la cartographie des flux de données, surtout dans un environnement où les fournisseurs de niveau 1 sont déjà difficiles à suivre.
Implications et risques
Conformité réglementaire
Les obligations légales, notamment celles imposées par la législation européenne sur l’IA, exigent la documentation de l’objectif des systèmes d’IA, la surveillance des sorties et la preuve de contrôles. L’absence de visibilité sur les composants IA empêche le respect de ces exigences et constitue une faille lors d’un audit.
Exposition aux cybermenaces
Les outils IA intégrés aux systèmes de production et de gestion augmentent la surface d’exposition aux cyberattaques, un facteur déjà critique dans le secteur manufacturier où les rançongiciels sont très répandus.
Recommandations
Révision des processus d’intake
Instaurer un flux de travail qui déclenche une réévaluation des risques chaque fois qu’une note de mise à jour mentionne l’IA ou un modèle de langage, indépendamment de toute action d’achat.
Ajout d’un questionnaire spécifique IA
Compléter les questionnaires de diligence existants avec des questions sur l’identité du modèle d’IA utilisé, la possible utilisation des données clients pour l’entraînement, la liste des sous-processus liés à l’IA et les certifications de sécurité pertinentes.
Renforcement de la gouvernance
Inclure dans les comités de gestion des tiers des responsables de la cybersécurité, de la protection des données et, le cas échéant, des experts des opérations industrielles afin de garantir une évaluation approfondie des risques IA.
Conclusion
Le secteur manufacturier doit adapter rapidement ses pratiques de gestion des tiers pour intégrer les nouvelles réalités de l’intelligence artificielle. En modifiant les processus d’intake, en enrichissant les questionnaires de diligence et en élargissant la composition des comités de gouvernance, il est possible de réduire les risques associés aux outils IA et de se conformer aux exigences réglementaires en évolution.
