AI et conformité : Quels sont les risques ?
La croissance rapide de l’intelligence artificielle (IA), en particulier de l’IA générative (GenAI) et des chatbots, offre aux entreprises une multitude d’opportunités pour améliorer leur manière de travailler avec les clients, accroître l’efficacité et accélérer les tâches chronophages.
Cependant, la GenAI a également engendré des problèmes. Ceux-ci vont des failles de sécurité et des préoccupations en matière de confidentialité aux questions de biais, d’exactitude et même d’hallucinations, où la réponse de l’IA est complètement fausse.
Il est donc compréhensible que cela ait attiré l’attention des législateurs et des régulateurs. Pendant ce temps, les fonctions de conformité internes des clients se retrouvent à jouer au rattrapage face à une technologie en constante évolution et de plus en plus complexe.
Les risques de l’IA pour la conformité
Dans cet article, nous examinons l’IA et les risques potentiels qu’elle pose à la conformité avec les environnements juridiques et réglementaires. Cela signifie que les équipes de conformité des organisations doivent examiner attentivement leur utilisation de la GenAI pour identifier les faiblesses et les vulnérabilités, ainsi que la fiabilité des données sources et des résultats.
Les projets d’IA d’entreprise les plus courants impliquent principalement la GenAI ou des modèles de langage de grande taille (LLMs). Ceux-ci fonctionnent comme des chatbots, répondent à des requêtes ou fournissent des recommandations de produits aux clients. La recherche, le résumé ou la traduction de documents constituent également des cas d’utilisation populaires.
Cependant, l’IA est également utilisée dans des domaines tels que la detection de fraudes, la sorveillance, et l’imagerie médicale et le diagnostic; tous des domaines où les enjeux sont beaucoup plus élevés. Cela soulève des questions sur la manière dont l’IA doit être utilisée.
Les organisations ont constaté que les systèmes d’IA peuvent produire des erreurs, ainsi que des résultats inexacts ou trompeurs.
Données confidentielles
Les outils d’IA ont également fuité des données confidentielles, soit directement, soit parce que des employés ont téléchargé des documents confidentiels sur un outil d’IA.
Ensuite, il y a le problème du biais. Les derniers algorithmes d’IA, en particulier dans les LLMs, sont hautement complexes. Cela rend difficile la compréhension de la manière dont un système d’IA a formulé ses conclusions. Pour une entreprise, cela complique également l’explication ou même la justification de ce qu’un outil d’IA, tel qu’un chatbot, a fait.
Cela crée une gamme de risques, en particulier pour les entreprises dans des secteurs réglementés et le secteur public. Les régulateurs mettent rapidement à jour les cadres de conformité existants pour couvrir les risques liés à l’IA, en plus de la législation telle que l’Acte sur l’IA de l’Union européenne.
Une recherche de l’analyste de l’industrie Forrester identifie plus de 20 nouvelles menaces résultant de la GenAI, dont certaines concernent la sécurité. Celles-ci incluent un échec à utiliser un code sécurisé pour construire des systèmes d’IA, ou des acteurs malveillants qui altèrent des modèles d’IA. D’autres, telles que la fuite de données, la falsification de données et le manque d’intégrité des données, risquent de provoquer des échecs réglementaires même lorsqu’un modèle est sécurisé.
La situation est aggravée par la croissance de l’IA fantôme, où les employés utilisent des outils d’IA de manière non officielle. « Les déploiements les plus courants sont probablement ceux dont les entreprises ne sont même pas conscientes », avertit un consultant en sécurité et conformité.
Il est crucial que les directeurs des systèmes d’information (DSI) et les responsables des données examinent toutes les façons dont l’IA pourrait être utilisée dans l’entreprise et mettent en place des mesures de contrôle.
Problèmes de données sources de l’IA
Le premier domaine que les entreprises doivent contrôler est la manière dont elles utilisent les données avec l’IA. Cela s’applique à la formation des modèles et à la phase d’inférence, ou de production, de l’IA.
Les entreprises doivent s’assurer qu’elles ont le droit d’utiliser les données à des fins d’IA. Cela inclut le droit d’auteur, en particulier pour les données tierces. Les informations personnelles identifiable utilisées pour l’IA sont couvertes par le Règlement général sur la protection des données (RGPD) et les réglementations sectorielles. Les organisations ne doivent pas supposer que le consentement au traitement des données existant couvre les applications d’IA.
Ensuite, il y a la question de la qualité des données. Si une organisation utilise des données de mauvaise qualité pour former un modèle, les résultats seront inexacts ou trompeurs.
Cela, à son tour, crée un risque de conformité – et ces risques pourraient ne pas être éliminés, même si une organisation utilise des données anonymisées.
« Les données sources restent l’un des domaines de risque les plus négligés dans l’IA d’entreprise », avertit un responsable des solutions d’une entreprise de services informatiques. « Ces pratiques sont insuffisantes selon le RGPD britannique et les lois sur la vie privée de l’UE. » Il souligne également qu’il existe un faux sentiment de sécurité en matière d’anonymisation.
Les données publiques utilisées dans les modèles de langage de grande taille des grands fournisseurs technologiques échouent souvent à respecter les normes de confidentialité européennes. Pour que l’IA soit véritablement fiable, les organisations doivent soigneusement curer et contrôler les ensembles de données qu’elles utilisent, surtout lorsque les modèles peuvent influencer des décisions qui affectent des individus ou des résultats réglementés.
Un niveau supplémentaire de complexité provient des lieux d’opération des modèles d’IA. Bien que l’intérêt pour l’IA sur site soit croissant, les LLMs les plus courants sont basés sur le cloud. Les entreprises doivent vérifier qu’elles ont la permission de déplacer les données vers l’endroit où leurs fournisseurs de cloud les stockent.
Résultats de l’IA et conformité
Un autre ensemble de problèmes de conformité et réglementaires s’applique aux résultats des modèles d’IA.
Le risque le plus évident est que les résultats confidentiels de l’IA soient divulgués ou volés. Et, à mesure que les entreprises relient leurs systèmes d’IA à des documents internes ou à des sources de données, ce risque augmente.
Il y a eu des cas où des utilisateurs d’IA ont exposé des informations confidentielles soit de manière malveillante, soit involontairement par le biais de leurs requêtes. Une des causes est l’utilisation de données confidentielles pour former des modèles, sans mesures de sécurité appropriées.
Ensuite, il y a le risque que la sortie du modèle d’IA soit simplement erronée.
« Les résultats de l’IA peuvent sembler confiants mais être entièrement faux, biaisés ou même violer la vie privée », avertit un responsable d’une entreprise technologique. « Les entreprises sous-estiment souvent à quel point un résultat défectueux peut être dommageable, allant de l’embauche discriminatoire à des conseils juridiques ou financiers incorrects. Sans validation rigoureuse et supervision humaine, ces risques deviennent des responsabilités opérationnelles. »
Et le risque est encore plus grand avec les systèmes d’IA « agentiques », où plusieurs modèles travaillent ensemble pour exécuter un processus commercial. Si la sortie d’un modèle est erronée ou biaisée, cette erreur sera amplifiée à mesure qu’elle se déplace d’agent en agent.
Les conséquences réglementaires pourraient être graves, car une sortie erronée pourrait entraîner le refus de crédit à de nombreux clients ou le refus d’un entretien d’embauche.
« Le problème le plus évident avec les résultats de l’IA est qu’ils génèrent du langage, pas de l’information », déclare un consultant. « Malgré la manière dont ils sont présentés, les LLMs ne font pas d’analyse, ils n’ont pas de compréhension, ni même de pondération entre le fait et la fiction, sauf celles qui leur sont inculquées lors de leur formation. »
« Ils hallucinent de manière sauvage, et pire, ils le font de manière très convaincante, car ils sont bons en langage », ajoute-t-il. « Ils ne peuvent jamais être dignes de confiance sans un contrôle rigoureux des faits – et pas par un autre LLM. »
Les entreprises peuvent, et font, une utilisation conforme de l’IA, mais les DSI et les directeurs numériques doivent prêter une attention particulière aux risques de conformité dans la formation, l’inférence et l’utilisation des résultats de l’IA.
