Bonnes pratiques en matière de sécurité de l’IA : contenu du livre blanc

L’adoption de l’IA élargit votre surface d’attaque. Chaque modèle, magasin de données et API que vous ajoutez devient un élément supplémentaire à défendre, c’est pourquoi la sécurisation des systèmes d’IA doit commencer dès l’évaluation, et non après le déploiement. Ce guide présente les bonnes pratiques en matière de sécurité de l’IA, les contrôles et les questions de gouvernance dont les responsables de la sécurité ont besoin avant le passage de l’IA en production.

Pourquoi sécuriser l’IA ne peut pas attendre

L’IA est déjà présente dans votre environnement, que vous l’ayez approuvée ou non. Darktrace a constaté que 74 % de ses clients actifs comptaient des employés utilisant l’IA générative, alors que les enquêtes révèlent que la plupart des entreprises ne disposent toujours pas de politique formelle en matière d’IA. C’est dans cet écart que surviennent les pertes de données, l’IA fantôme et l’exposition de la propriété intellectuelle. L’IA ne peut être fiable que si elle est sécurisée : les modèles non sécurisés connaissent des dysfonctionnements, sont manipulés et subissent des fuites.

Comment sécuriser l’IA : les trois risques à contrôler

Des directives efficaces de sécurité de l’IA protègent contre trois modes de défaillance :

• Perturbation — les modèles dysfonctionnent, se dégradent ou cessent de fonctionner
• Tromperie : l’injection de prompt, le jailbreaking et les entrées malveillantes amènent les modèles à agir à l’encontre de leur mission
• Divulgation : fuite de données d’entraînement, de poids du modèle, ou d’entrées propriétaires

Un cadre d’IA sécurisé que vous pouvez appliquer dès maintenant

Les contrôles de sécurité de l’IA n’ont rien d’exotique. L’IA n’est que la combinaison de données et de modèles ; appliquez donc les mêmes normes que vous appliquez déjà ailleurs : visibilité étendue, surveillance continue, détection et réponse, contrôles d’accès selon le principe du moindre privilège, confiance zéro, défense en profondeur et gestion des vulnérabilités. À cela s’ajoutent des pratiques spécifiques à l’IA :

• Élaborer un plan de test, d’évaluation, de vérification et de validation (TEVV) avant le lancement
• Soumettre vos modèles, magasins de données et API à des tests d’équipe rouge afin d’évaluer les risques liés à l’apprentissage automatique adversarial
• Établir des processus d’intégrité des données et se protéger contre l’empoisonnement des données et les biais
• Mesurer la précision et exiger des scores de confiance et l’explicabilité
• Gardez les humains dans la boucle en passant de l’automatisation à l’augmentation, puis à l’autonomie

Questions à poser à chaque fournisseur d’IA

Le livre blanc comprend une liste de contrôle de diligence raisonnable des fournisseurs couvrant la provenance des données d’entraînement, les modèles pré-entraînés par rapport aux modèles à apprentissage continu, la fréquence de réentraînement, les autorisations d’accès aux modèles, le processus de TEVV, l’atténuation des biais, ainsi que la manière dont vos données sont stockées et restent confidentielles.

Téléchargez le livre blanc pour obtenir la feuille de route complète pour une adoption sécurisée de l’IA et la liste de contrôle pour l’évaluation des fournisseurs.