L’inventaire du DHS des systèmes d’IA pour la cybersécurité n’est pas exact, selon un rapport de surveillance
L’inventaire des systèmes d’intelligence artificielle du ministère de la Sécurité intérieure a répertorié deux cas d’utilisation liés à la cybersécurité, mais l’un de ces cas d’utilisation ne présentait en réalité pas les caractéristiques de l’IA, selon un rapport de surveillance publié mercredi.
L’outil automatisé de notation et de rétroaction de l’agence qui modélise les menaces de cybersécurité a été qualifié à tort de système d’IA, selon l’analyse du Government Accountability Office, soulignant que l’étiqueter de cette manière soulève des questions sur la fiabilité globale de l’inventaire des cas d’utilisation de l’IA du DHS.
L’inventaire du DHS est né d’un mandat de l’ère Trump qui ordonnait aux agences fédérales de faire le point sur leurs cas d’utilisation de l’IA et de les partager avec le public.
Le GAO a trouvé des inexactitudes dans l’inventaire du DHS des cas d’utilisation de l’IA, selon le rapport. Bien que le DHS dispose d’un processus d’examen de l’inventaire », indique le rapport, « l’agence reconnaît qu’elle ne confirme pas si les cas d’utilisation identifiés par les composants sont correctement qualifiés d’IA dans le cadre de ce processus.
L’analyse du GAO indique également que le DHS ne vérifie pas si chaque cas est correctement qualifié d’IA et mentionne plus tard qu’il n’a pas non plus garanti que les données utilisées pour développer le cas d’utilisation de l’IA que nous avons évalué sont fiables, ce qui constitue une pratique de responsabilité dans notre Cadre d’IA.
Sur un total de 11 pratiques clés recommandées par le GAO dans son cadre de responsabilité, l’organisme de surveillance en a identifié quatre que le DHS et sa composante, la Cybersecurity and Infrastructure Security Agency, ont pleinement mises en œuvre : la supervision humaine, les spécifications, la conformité et l’implication des parties prenantes.
Les sept autres n’ont pas été pleinement mis en œuvre, mais ont été exploités à différents niveaux. Par exemple, le fait d’avoir des objectifs clairs concernant l’IA pour la gouvernance de la cybersécurité a reçu des notes élevées, tandis que les pratiques de surveillance des données telles que la documentation des sources de ses données et leur fiabilité n’ont pas du tout été mises en œuvre.
Le GAO a émis huit recommandations. La première stipule que le directeur de la technologie du DHS devrait viser à étendre le processus d’examen de l’agence afin de mieux vérifier ses soumissions d’inventaire d’IA.
Les sept recommandations restantes appellent spécifiquement la directrice de la CISA, Jen Easterly, à agir. Ces recommandations incluent que les dirigeants de la CISA développent des mesures de progrès en matière de cybersécurité de l’IA, documentent les sources de données et surveillent les performances du système d’IA.
Le DHS n’a pas renvoyé de demande de commentaires, mais a accepté les huit recommandations du rapport.