Le Code de Pratique du Royaume-Uni pour la Cyber Sécurité de l’IA : Ce que cela signifie et pourquoi c’est important
Avec l’adoption croissante de l’IA, ses bénéfices et ses risques deviennent de plus en plus apparents. Les gouvernements du monde entier élaborent des lignes directrices et, dans certains cas, mettent en œuvre des lois pour réglementer la sécuité et l’utilisation de l’IA. En réponse à ces défis, le gouvernement du Royaume-Uni a introduit un Code de Pratique pour la Cyber Sécurité de l’IA, établissant des normes de sécurité de base.
Bien que ce cadre soit volontaire et n’ait pas le poids légal du Règlement de l’UE sur l’IA, il fait partie des premières lignes directrices de sécurité soutenues par le gouvernement spécifiquement pour l’IA. Des organisations comme OWASP et MITRE ont développé des cadres de risque et de contrôle liés à l’IA, mais les efforts du gouvernement américain ont stagné en raison de perturbations affectant des agences comme le NIST et le CISA.
Cette initiative met en lumière l’engagement du Royaume-Uni à sécuriser le développement et le déploiement de l’IA sans compromettre le progrès technologique.
Vue d’ensemble du Code de Pratique de la Cyber Sécurité de l’IA du Royaume-Uni
Publié en janvier 2025, le Code de Pratique aborde les risques de cybersécurité distincts associés à l’IA, tels que la poisoning des données, l’obfuscation des modèles et l’injection de prompts indirects. Il sert d’addenda au Code de Pratique des Logiciels, soulignant la nécessité de mesures de sécurité spécifiques à l’IA.
Les 13 principes de sécurité
Le Code définit 13 principes de sécurité, dont 10 s’alignent directement sur les capacités intégrées, tous des principes techniques sauf pour la sensibilisation, la formation et les interactions humaines.
Principle 1 : Sensibiliser le personnel aux menaces et risques de sécurité liés à l’IA
Les organisations doivent éduquer leur personnel sur les menaces potentielles pour favoriser une culture de sensibilisation à la sécurité.
Principle 2 : Concevoir des systèmes d’IA pour la sécurité ainsi que pour la fonctionnalité et la performance
Les considérations de sécurité doivent être intégrales au processus de conception des systèmes d’IA, garantissant que la fonctionnalité et la performance ne prennent pas le pas sur les exigences de sécurité.
Principle 3 : Évaluer les menaces et gérer les risques pour votre système d’IA
Les organisations doivent mener une modélisation complète des menaces pour identifier et atténuer les risques potentiels pour leurs systèmes d’IA.
Principle 4 : Permettre la responsabilité humaine pour les systèmes d’IA
Lors de la conception d’un système d’IA, les développeurs devraient intégrer et maintenir des capacités pour permettre la surveillance humaine.
Principle 5 : Identifier, suivre et protéger les actifs et dépendances de votre système d’IA
Les organisations doivent maintenir un inventaire des actifs d’IA et de leurs dépendances pour les protéger efficacement.
Principle 6 : Sécuriser les environnements de développement et de formation
Les environnements de développement et de test doivent être sécurisés pour prévenir l’accès non autorisé et les compromises potentielles.
Principle 7 : Sécuriser la chaîne d’approvisionnement logicielle
Les organisations doivent évaluer et gérer les risques découlant de l’utilisation de composants d’IA tiers pour garantir la sécurité globale du système.
Principle 8 : Documenter vos données, modèles et prompts
Les organisations doivent maintenir une documentation complète des données utilisées, des modèles d’IA développés et des prompts appliqués pour garantir la transparence et la sécurité.
Principle 9 : Effectuer des tests et évaluations appropriés
Les systèmes et modèles d’IA doivent subir des tests rigoureux pour détecter les vulnérabilités, les biais et les problèmes de performance avant le déploiement.
Principle 10 : Communication et processus associés aux utilisateurs finaux
Les organisations doivent établir des canaux de communication clairs pour informer les utilisateurs finaux des comportements, des risques et des changements des systèmes d’IA.
Principle 11 : Maintenir des mises à jour de sécurité régulières, des correctifs et des atténuations
Les systèmes d’IA doivent être régulièrement mis à jour avec des correctifs de sécurité pour faire face aux vulnérabilités émergentes.
Principle 12 : Surveiller le comportement de votre système
Une surveillance continue des systèmes d’IA est essentielle pour détecter les anomalies, les incidents de sécurité et les comportements inattendus.
Principle 13 : Assurer une élimination appropriée des données et des modèles
Les organisations doivent mettre en œuvre des processus d’effacement sécurisé des données et de retrait des modèles pour prévenir l’accès non autorisé aux actifs d’IA obsolètes.
Comparer le Code de Cyber Sécurité de l’IA du Royaume-Uni avec le Règlement de l’UE sur l’IA
Bien que le Code de Cyber Sécurité du Royaume-Uni se concentre spécifiquement sur les principes de cybersécurité pour le développement et le déploiement de l’IA, le Règlement de l’UE sur l’IA adopte une approche réglementaire plus large de la gouvernance de l’IA.
Principales différences
- Portée : Le Code du Royaume-Uni est un ensemble de lignes directrices de sécurité volontaires principalement destinées aux développeurs et opérateurs d’IA.
- Focus sur la cybersécurité : Les lignes directrices du Royaume-Uni privilégient les aspects techniques de la sécurité de l’IA, tandis que le Règlement de l’UE met également l’accent sur des considérations éthiques.
- Application réglementaire : La conformité au Code de Cyber Sécurité du Royaume-Uni est encouragée mais non obligatoire, alors que le Règlement de l’UE impose des pénalités pour non-conformité.
- Catégorisation des systèmes d’IA : Le Règlement de l’UE classe les systèmes d’IA en quatre catégories de risque, tandis que l’approche du Royaume-Uni ne fait pas de classification par risque.
- Impact sur les entreprises : Les entreprises opérant au Royaume-Uni peuvent adopter le Code sans faire face à des répercussions légales immédiates, alors que celles opérant dans l’UE doivent se conformer à des réglementations strictes.
Conclusion
Le Code de Pratique du Royaume-Uni pour la Cyber Sécurité de l’IA représente une avancée significative vers l’établissement de lignes directrices claires et efficaces pour la sécurité de l’IA. En s’alignant sur ces principes, les organisations peuvent améliorer la sécurité de leurs systèmes d’IA, favorisant la confiance et la fiabilité des technologies d’IA.
