Certifications en gouvernance de l’IA et cybersécurité : en valent-elles la peine ?

L’Association internationale des professionnels de la vie privée (IAPP), le SANS Institute et d’autres organisations publient de nouvelles certifications d’IA dans les domaines de la gouvernance et de la cybersécurité ou ajoutent de nouveaux modules d’IA aux programmes existants. Celles-ci peuvent aider les professionnels à trouver un emploi, mais comme le domaine est relativement nouveau, les experts préviennent que les certifications pourraient être obsolètes presque immédiatement.

La protection des données et la confidentialité représentent environ un tiers de la gouvernance de l’IA, a déclaré au CSO J. Trevor Hughes, fondateur et PDG de l’IAPP. Le reste comprend les biais et l’équité algorithmiques, les droits de propriété intellectuelle et les droits d’auteur pour les données de formation et les résultats de l’IA, les problèmes de modération du contenu, les problèmes de confiance et de sécurité, ainsi que les aspects de gestion liés à la constitution d’une équipe pour superviser toutes ces questions. Lorsque nous regardons le monde dans son ensemble, nous constatons que les professionnels de la protection de la vie privée et les professionnels de la cybersécurité possèdent des compétences incroyablement transférables. S’ils peuvent intégrer une formation et une sensibilisation à la gouvernance de l’IA, nous pourrons évoluer beaucoup plus rapidement pour répondre au besoin de centaines de milliers de professionnels de la gouvernance au cours de la prochaine décennie.

Les arguments en faveur des certifications en matière de gouvernance de l’IA et de cybersécurité

Alors que l’adoption de l’IA générative progresse à un rythme effréné, les entreprises auront de plus en plus désespérément besoin d’experts en gouvernance de l’IA et en cybersécurité. Et comme le domaine est si nouveau, peu de gens auront une réelle expérience de travail dans le domaine. Ainsi, les programmes de formation et de certification proliféreront pour contribuer à combler cette lacune.

Jess Burn, analyste chez Forrester, appelle cela un complexe industriel de certification. Tout le monde en veut une part, dit-elle. Mais les certifications ont un prix élevé lorsque toute la formation nécessaire est ajoutée. Et ce n’est pas parce qu’une personne a une certification qu’elle est compétente dans le sujet.

C’est le moment idéal pour commencer à réfléchir à la gouvernance de l’IA, déclare Dan Mellen, directeur d’EY et directeur technique de la cybersécurité. L’IA générative devient réelle et commence à progresser. Le niveau de sensibilité nécessite une sorte de compréhension de base et les certifications d’IA générative le font.

David Foote, analyste en chef chez Foote Partners, affirme que son entreprise suit huit certifications dédiées à l’IA qui contiennent suffisamment de données pour être incluses dans l’indice de rémunération des compétences et certifications informatiques de l’entreprise. De plus, du contenu lié à l’IA est ajouté aux autres certifications de cybersécurité qu’il suit. Mais, dit-il, les entreprises paient généralement plus pour les capacités démontrées que pour les certifications. Peu leur importe s’il existe une certification ou non, tant que le candidat peut démontrer qu’il a acquis et peut appliquer des compétences en matière de gouvernance de l’IA ou de cybersécurité. Ils font bien plus confiance à leur capacité à identifier et à récompenser les compétences qu’à réussir un examen de certification.

D’autres critiques affirment que l’espace est trop nouveau, que les meilleures pratiques ne sont pas encore définies et que les lois et réglementations sont encore en évolution. Même si la certification couvre du matériel utile, elle serait presque immédiatement obsolète.

D’autre part, les nouvelles certifications en matière de gouvernance de l’IA et de cybersécurité couvrent les bases nécessaires pour se mettre à niveau, créent une couche de base sur laquelle les gens peuvent s’appuyer plus tard, créent un langage commun que les praticiens peuvent utiliser et incluront généralement des exigences de formation continue pour aider les gens à rester à jour.

Formations et certificats sur la gouvernance de l’IA

Le premier test AI Governance Professional (AIGP) de l’IAPP a été passé par 200 personnes en avril, mais les futurs tests auront lieu dans des centres de test du monde entier, comme de nombreux autres examens, et virtuellement.

Le test IAPP, qui coûte 649 $ pour les membres et 799 $ pour les non-membres, comprend 100 questions et dure environ trois heures. De plus, le programme de formation coûte 1 000 $ et plus, selon qu’il soit en personne ou en ligne, avec huit modules différents à suivre.

L’ISACA dispose d’un certificat AI Fundamentals qui inclut les risques et les exigences éthiques. Tonex propose un cours de certification Certified AI Security Practitioner. GSDC propose une certification Generative AI in Cybersecurity qui couvre non seulement la manière dont l’IA générative peut être utilisée pour contribuer à la cybersécurité, mais couvre également les considérations éthiques et les meilleures pratiques pour une utilisation responsable.

Voici, par ordre alphabétique par organisation, toutes les formations et certificats en gouvernance de l’IA connus au moment de la publication.

Avantages des certifications en matière de gouvernance de l’IA et de cybersécurité

La capacité d’avoir un langage commun et un ensemble de principes fondamentaux fondamentaux est la raison pour laquelle Wipro a envoyé l’ensemble de son groupe de travail sur l’IA suivre la formation AIGP de l’IAPP, a déclaré Ivana Bartoletti, responsable de la confidentialité et de la gouvernance de l’IA de Wipro, au CSO. Nous avons des gens qui ont une formation juridique, des gens qui ont une formation technique, une formation en gestion des risques, dit-elle. Qu’il s’agisse de gestion du changement, de programmeurs ou d’avocats, il est important qu’ils s’alignent sur la terminologie et les points clés de notre gouvernance.

Bartoletti estime qu’il n’est pas trop tôt car l’IA doit être gouvernée. En fait, certaines lois sont déjà en vigueur, comme la loi européenne sur l’IA et le décret du président Biden. Mais même sans cela, il existe des lois sur la confidentialité qui s’appliquent également à l’IA générative, des contrôles de sécurité, une législation de non-discrimination et bien plus encore.

La gouvernance est bien entendu une question en évolution, dit Bartoletti. Mais nous ne pouvons pas simplement examiner la question par rapport à la législation ou attendre des normes. La gouvernance consiste en réalité à dire : comment, en tant qu’organisation, puis-je contrôler le développement et le déploiement des systèmes ?

La première étape est l’alignement, afin que tout le monde, des RH au codage, ait la même compréhension fondamentale des principes de gouvernance de l’IA.

Pour Bartoletti, l’avantage de la certification AIGP de l’IAPP est qu’elle concerne la confidentialité, c’était donc un choix naturel pour le groupe de travail. Pour moi, et peut-être que je suis partial parce que la vie privée est mon bébé, mais je pense que les professionnels de la vie privée sont très bien équipés pour gérer la gouvernance de l’IA. Nous connaissons l’approche technologique basée sur le risque. Nous devons mettre en place des contrôles, mais nous devons également permettre à l’entreprise de continuer à fonctionner.

Bartoletti a elle-même suivi la formation. Elle dit que cela a pris deux semaines et a été réalisé par un véritable humain, le tout à distance, puisque Wipro est une entreprise mondiale. Elle dit que les clients aiment voir leurs consultants détenir des certifications officielles. Cela démontre qu’une personne a pris le temps d’étudier et ne se contente pas d’improviser au fur et à mesure. Le domaine de la gouvernance et des risques de l’IA est un domaine dans lequel il ne faut pas improviser.

Lorsque les certifications sont combinées à une solide expérience de mise en œuvre, vous obtenez alors un solide avantage concurrentiel. Une fois les normes formelles publiées, Bartoletti s’attend à voir beaucoup plus de certifications, couvrant des sujets spécifiques tels que la manière de se conformer à la loi européenne sur l’IA, au NIST ou à d’autres règles et réglementations. Je pense qu’une grande attention sera également accordée à des secteurs spécifiques, comme la gouvernance de l’IA dans les soins de santé ou dans les services financiers.

Les certifications comme l’AIGP sont particulièrement précieuses pour les consultants, reconnaît Steve Ross, directeur de la cybersécurité pour les Amériques chez S-RM Intelligence and Risk Consulting. Nos clients ressentent l’incertitude, dit Ross à CSO. Ils aimeraient accroître l’utilisation de l’IA, mais personne ne sait comment l’utiliser de manière sûre, sécurisée et éthique et recherchent quelqu’un en qui ils peuvent avoir confiance pour le faire.

En conséquence, les clients rechercheront les certifications au cours des deux ou trois prochaines années. Je n’ai aucune de ces certifications, mais je pense les poursuivre, ajoute Ross, comme la certification AIGP, qu’il trouve intéressante. Je participe aux événements de l’IAPP et j’apprécie que la communauté ne se concentre pas uniquement sur la confidentialité des données, mais aussi sur les implications juridiques. C’est la certification que je rechercherai en premier.

Ross est également intéressé par la formation sur les principes essentiels de SANS AI Security, car il apprécie la qualité du contenu publié par SANS. Et il tiendra compte des certifications lors de l’embauche de personnes. Je préfère les gens qui possèdent un ensemble de compétences complètes. Une expérience en IA est fantastique, tout comme une compréhension de la gouvernance, des risques et de la conformité.

Mais toutes les entreprises ne considèrent pas que la certification elle-même soit la chose la plus importante. Notre réputation a tendance à se précéder, explique EYs Mellen au CSO. Je suis plus intéressé par les personnes ayant une expérience technique pratique que par les lettres après leur nom dans leur profil LinkedIn. J’ai rencontré un certain nombre de personnes certifiées professionnelles au cours de mes 25 années de travail dans ce domaine. Et parfois, c’est formidable de comprendre la réponse du manuel, mais la réponse du manuel ne correspond pas toujours à la réalité.

Les inconvénients des certifications de gouvernance de l’IA

Pour les critiques des nouvelles certifications en IA, l’espace est tout simplement trop nouveau. Il est extrêmement important d’avoir une gouvernance en place. Mais c’est aussi un endroit qui doit évoluer davantage, déclare Priya Iragavarapu, vice-présidente de la science et de l’analyse des données chez AArete, une société de conseil en gestion.

Parallèlement, les entreprises ont des exigences en matière de gouvernance des données et de gouvernance technologique, ainsi que d’exigences de gestion des risques spécifiques à leur secteur, comme celles des services financiers. Il existe également des certifications techniques spécifiques pour les plates-formes cloud individuelles, pour l’apprentissage automatique et pour la sécurité des données. Je m’en tiendrai aux spécifications techniques pour l’instant, dit-elle. Mettez en œuvre les capacités techniques, mais la gouvernance de l’IA n’est toujours pas là.

J’accorderais plus de valeur à l’expérience de quelqu’un en matière de gouvernance des données qu’à une certification en gouvernance de l’IA, déclare Nick Kramer, vice-président des solutions appliquées chez SSA & Company, un cabinet de conseil en gestion. Avec ces nouvelles compétences, au moment où vous terminez le cours, elles ont probablement déjà changé.

Taylor Dolezal, CIO et responsable des écosystèmes à la Cloud Native Computing Foundation, déclare qu’il apprécie les efforts visant à créer des normes de gouvernance de l’IA, mais que l’espace est trop nouveau et évolue trop rapidement. Nous essayons encore de comprendre comment tout composer ensemble. Ces normes n’ont pas encore été publiées.

Il est trop tôt pour dire quelle est la voie qu’une organisation doit suivre pour obtenir les résultats qu’elle souhaite obtenir.

Un autre problème est que les certifications durent généralement deux ou trois ans. L’AIGP de l’IAPP dure deux personnes. Ma préoccupation serait de savoir combien de temps cette certification est valable. L’espace évolue si vite, dit Dolezal.

L’un des principes fondamentaux de toute certification est qu’il doit s’agir d’un domaine mature, explique Chirag Mehta, analyste chez Constellation Research. Vous ne pouvez pas certifier quelqu’un tant que vous n’êtes pas sûr de ce dont il s’agit. Nous n’y étions pas encore. Dans une certaine mesure, c’est de la poudre aux yeux. Les certifications en IA n’apportent pas beaucoup de valeur car la technologie évolue non pas sur une base mensuelle ou hebdomadaire, mais sur une base quotidienne. Notre conseil aux RSSI est que si vous recherchez quelqu’un qui a été exposé à l’IA générative, une certification montre son potentiel à apprendre de nouvelles technologies et à adopter ce qui s’en vient, explique Metha. Considérez cela comme un signal positif mais pas comme une preuve qu’ils savent quelque chose.

L’industrie ne devrait pas attendre que les normes se stabilisent

Hughes, de l’IAPP, admet que la gouvernance de l’IA est une cible mouvante, mais estime qu’attendre que les normes et les meilleures pratiques se cristallisent est un argument idiot. Il y a un risque énorme dans l’IA. Nous savons qu’il existe un risque énorme. Devons-nous arrêter de construire des contrôles de gouvernance ? Faut-il arrêter de former des professionnels ? Je ne veux pas attendre qu’un avenir parfaitement formé arrive. Nous devons exercer une bonne gouvernance et un contrôle sur l’IA dès le début, et non pas après que les tribunaux et autres systèmes de politique publique à évolution lente auront pris des décisions. Et vous n’avez pas besoin d’une loi bien établie pour réaliser une évaluation de l’impact de l’IA. Vous n’avez pas besoin d’un tribunal pour vous dire qu’un résultat particulier est discriminatoire. Vous devriez examiner cela indépendamment de ce que dit la loi, car le fait de garantir de bonnes affaires et d’instaurer la confiance et la sécurité dans ces innovations technologiques leur permet d’évoluer rapidement et de manière plus stable.

Hughes affirme que l’IAPP essaie d’élaborer des normes de sécurité pour permettre à cette technologie d’être adoptée plus rapidement et d’évoluer plus rapidement et en toute sécurité. Si nous lançons l’IA avec de bonnes évaluations et contrôles, la technologie évoluera plus facilement dans la société et pourra s’accélérer plus rapidement vers un avenir positif et bénéfique.

C’est une attitude avec laquelle Christopher Paquette, directeur de la transformation numérique chez Allstate, est entièrement d’accord. Il est important de bien réfléchir à ces signes avant-coureurs. Et s’inquiéter de tout ça avant que les mauvaises choses n’arrivent.

Il est important pour les entreprises d’aujourd’hui de réfléchir à l’IA responsable et de prêter attention à la gouvernance de l’IA. Que ce soit un certificat ou autre chose, c’est quelque chose dont nous avons absolument besoin, dit Paquette.