Attention aux lacunes dans la normalisation de la cybersécurité pour l’intelligence artificielle

Ce rapport donne un aperçu des normes – publiées, en cours d’élaboration et prévues – et une évaluation de leur portée dans le but d’identifier les lacunes potentielles.

Directeur exécutif de l’Agence de l’UE pour la cybersécurité, Juhan Lepassaara déclaré : « Les plates-formes de chatbot avancées alimentées par des systèmes d’IA sont actuellement utilisées par les consommateurs et les entreprises. Les questions soulevées par l’IA se résument à notre capacité à évaluer son impact, à le surveiller et à le contrôler, en vue de rendre l’IA cyber-sécurisée et robuste pour qu’elle déploie tout son potentiel. L’utilisation de normes adéquates contribuera à assurer la protection des systèmes d’IA et des données que ces systèmes doivent traiter pour fonctionner. Je suis convaincu que c’est l’approche que nous devons adopter si nous voulons maximiser les avantages pour nous tous de profiter pleinement et en toute sécurité des services des systèmes d’IA. »

Ce rapport se concentre sur les aspects de cybersécurité de l’IA, qui font partie intégrante du cadre juridique européen réglementant l’IA, proposé par la Commission européenne l’année dernière surnommé le « Loi sur l’IA“.

Qu’est-ce que l’Intelligence Artificielle ?

Le projet de loi sur l’IA fournit une définition d’un système d’IA comme « un logiciel développé avec une ou plusieurs (…) techniques (…) pour un ensemble donné d’objectifs définis par l’homme, qui génère des sorties telles que du contenu, des prédictions, des recommandations ou des décisions influençant les environnements avec lesquels ils interagissent avec. » En résumé, ces techniques comprennent principalement : l’apprentissage automatique faisant appel à des méthodes telles que l’apprentissage en profondeur, la logique, les approches basées sur les connaissances et les statistiques.

Il est en effet essentiel pour l’attribution des responsabilités juridiques dans un futur cadre d’IA de s’entendre sur ce qui entre dans la définition d’un « système d’IA ».

Cependant, la portée exacte d’un système d’IA évolue constamment tant dans le débat législatif sur le projet de loi sur l’IA que dans les communautés scientifiques et de normalisation.

Bien que large dans son contenu, ce rapport se concentre sur l’apprentissage automatique (ML) en raison de son utilisation intensive dans les déploiements d’IA. Le ML a fait l’objet d’un examen minutieux en ce qui concerne les vulnérabilités ayant un impact particulier sur la cybersécurité d’une implémentation d’IA.

Normes de cybersécurité de l’IA : où en sommes-nous ?

Comme les normes aident à atténuer les risques, cette étude dévoile les normes à usage général existantes qui sont facilement disponibles pour la sécurité de l’information et la gestion de la qualité dans le contexte de l’IA. Afin d’atténuer certains des risques de cybersécurité affectant les systèmes d’IA, des orientations supplémentaires pourraient être élaborées pour aider la communauté des utilisateurs à tirer parti des normes existantes en matière d’IA.

Cette suggestion a été basée sur l’observation concernant la couche logicielle de l’IA. Il s’ensuit que ce qui est applicable au logiciel pourrait être applicable à l’IA. Cependant, cela ne signifie pas que le travail s’arrête ici. D’autres aspects doivent encore être pris en considération, tels que :

• une analyse spécifique au système pour répondre aux exigences de sécurité découlant du domaine d’application ;
• normes pour couvrir les aspects spécifiques à l’IA, tels que la traçabilité des données et les procédures de test.

D’autres observations concernent la mesure dans laquelle l’évaluation de la conformité aux exigences de sécurité peut être fondée sur des normes horizontales spécifiques à l’IA ; en outre, la mesure dans laquelle cette évaluation peut être fondée sur des normes verticales/sectorielles spécifiques mérite une attention particulière.

Les principales recommandations incluent :

• Recourir à une terminologie normalisée de l’IA pour la cybersécurité ;
• Élaborer des orientations techniques sur la manière dont les normes existantes relatives à la cybersécurité des logiciels devraient être appliquées à l’IA ;
• Réflexion sur les caractéristiques inhérentes au ML dans l’IA. L’atténuation des risques en particulier doit être envisagée en associant des composants matériels/logiciels à l’IA ; des mesures fiables ; et les procédures d’essai ;
• Promouvoir la coopération et la coordination entre les comités techniques des organismes de normalisation sur la cybersécurité et l’IA afin que les problèmes potentiels de cybersécurité (par exemple, sur les caractéristiques de fiabilité et la qualité des données) puissent être traités de manière cohérente.

Réglementer l’IA : que faut-il ?

Comme pour de nombreux autres textes législatifs de l’UE, le respect du projet de loi sur l’IA sera étayé par des normes. En ce qui concerne le respect des exigences de cybersécurité fixées par le projet de loi sur l’IA, des aspects supplémentaires ont été identifiés. Par exemple, les normes d’évaluation de la conformité, en particulier en ce qui concerne les outils et les compétences, devront peut-être être développées plus avant. En outre, l’interaction entre les différentes initiatives législatives doit être davantage reflétée dans les activités de normalisation – un exemple en est la proposition de règlement sur les exigences horizontales en matière de cybersécurité pour les produits contenant des éléments numériques, appelée «Loi sur la cyber-résilience”.

S’appuyant sur le rapport et d’autres recherches documentaires ainsi que sur les contributions d’experts, l’ENISA examine actuellement la nécessité et la faisabilité d’un système européen de certification de cybersécurité sur l’IA. L’ENISA s’engage donc avec un large éventail de parties prenantes, y compris l’industrie, les OEN et les États membres, dans le but de collecter des données sur les exigences de cybersécurité de l’IA, la sécurité des données en relation avec l’IA, la gestion des risques liés à l’IA et l’évaluation de la conformité.

L’IA et la cybersécurité seront abordées dans deux panels dédiés :

L’ENISA a défendu l’importance de la normalisation dans la cybersécurité aujourd’hui, lors de la conférence RSA à San Francisco dans le ‘Normes à l’horizon : qu’est-ce qui compte le plus ?‘ dans un panel comprenant le National Institute of Standards and Technology (NIST).

Plus d’informations

Cybersécurité de l’IA et normalisation – Rapport ENISA 2023

Sécurisation des algorithmes d’apprentissage automatique – Rapport ENISA 2021

La proposition de loi sur l’IA

La proposition de loi sur la cyber-résilience

Contact

Pour les questions de presse et les interviews, veuillez contacter press (at) enisa.europa.eu