Le président Trump a présenté un nouveau décret visant à renforcer la supervision des modèles d’IA avancés sans imposer de nouvelles réglementations aux entreprises technologiques.
Le décret établit un cadre volontaire permettant aux développeurs de modèles d’IA puissants de partager leurs systèmes avec le gouvernement fédéral afin qu’ils soient soumis à des évaluations de sécurité avant leur mise à disposition du public.
« Les États-Unis continuent de montrer la voie dans le domaine de l’intelligence artificielle (IA) grâce aux immenses talents et à l’innovation de notre industrie de l’IA, et parce que nous refusons d’étouffer cette innovation par une réglementation excessivement contraignante », indique le décret présidentiel.
Points clés du décret sur l’IA
- Le président Trump a signé un décret créant un cadre volontaire d’évaluation des modèles d’IA avancés avant leur mise à disposition du public.
- Les développeurs de modèles de pointe à haut risque visés peuvent donner aux agences fédérales accès à leurs systèmes d’IA pendant 30 jours maximum avant leur déploiement.
- Le cadre vise à répondre aux préoccupations de cybersécurité et de sécurité nationale liées à des modèles d’IA toujours plus performants.
- Le décret n’instaure aucune obligation de licence, d’autorisation ou d’approbation gouvernementale obligatoire pour l’IA.
Au cœur du décret sur l’IA
Ce décret intervient alors que les inquiétudes grandissent au sujet des modèles d’IA de pointe dotés de capacités cyber avancées.
Certains modèles d’IA de pointe peuvent identifier des vulnérabilités et générer du code d’exploitation à grande échelle, ce qui suscite des inquiétudes quant à leur capacité à accélérer les cyberattaques s’ils ne sont pas correctement sécurisés.
Le décret charge la NSA, la CISA, le Département de la Guerre et le Département du Trésor de définir les modèles de pointe visés à haut risque susceptibles de nécessiter un examen approfondi.
Le cadre crée également une procédure volontaire permettant aux développeurs d’IA de collaborer avec les autorités afin de déterminer si un modèle atteint le seuil justifiant un examen.
Lorsqu’un modèle est désigné comme modèle de pointe visé, les développeurs peuvent donner aux agences fédérales accès au système pendant 30 jours maximum avant sa mise à disposition du public, afin de permettre aux autorités d’évaluer les conséquences potentielles en matière de cybersécurité, les scénarios d’utilisation abusive et les risques pour la sécurité nationale.
Selon l’administration, cette initiative vise à aider à identifier et à atténuer les problèmes de sécurité avant que les modèles d’IA avancés n’atteignent un marché plus large, tout en préservant la position de leader des États-Unis dans l’innovation en matière d’IA.
Le processus d’évaluation est conçu pour favoriser la collaboration entre le gouvernement et l’industrie plutôt que d’imposer de nouvelles obligations réglementaires.
Contrairement aux propositions antérieures qui auraient été à l’étude, le décret définitif n’instaure pas de supervision gouvernementale obligatoire des mises à disposition d’IA.
Comment les entreprises peuvent gérer les risques liés à l’IA
À mesure que les entreprises adoptent les technologies d’IA, les équipes de sécurité doivent trouver un équilibre entre innovation et gestion efficace des risques.
Les systèmes d’IA avancés peuvent introduire de nouveaux défis de sécurité, notamment les fuites de données, les attaques par injection de prompt, l’utilisation abusive des modèles et les cybermenaces assistées par l’IA.
La mise en place d’une gouvernance solide, de contrôles de sécurité et de processus de supervision peut aider les entreprises à réduire ces risques tout en permettant une utilisation sûre de l’IA.
- Mettre en place une gouvernance de l’IA et des politiques et effectuer des évaluations des risques avant de déployer des outils et services d’IA.
- Dresser un inventaire des applications d’IA approuvées et les surveiller en continu afin de détecter toute activité anormale ou non autorisée.
- Mettre en place des contrôles d’accès stricts, appliquer le principe du moindre privilège et déployer des mesures de prévention des pertes de données pour protéger les informations sensibles.
- Évaluer les pratiques fondamentales de sécurité des fournisseurs d’IA, leurs procédures de test des modèles et leurs programmes de signalement des vulnérabilités avant de les adopter.
- Effectuer régulièrement des tests de sécurité de l’IA et des exercices de red team afin d’identifier des risques tels que l’injection de prompt, les fuites de données et l’utilisation abusive des modèles.
- Renforcer et automatiser la gestion des vulnérabilités et les capacités de détection des menaces afin de répondre aux cybermenaces assistées par l’IA et aux techniques d’attaque automatisées.
- Tester les plans de réponse aux incidents et utiliser des outils de simulation d’attaques avec des scénarios portant sur les menaces alimentées par l’IA et la compromission des modèles.
Ensemble, ces mesures peuvent aider les entreprises à renforcer leur résilience face aux nouvelles menaces liées à l’IA tout en réduisant au minimum les risques opérationnels, de sécurité et de conformité.
Concilier innovation et sécurité dans le domaine de l’IA
Le décret s’inscrit dans un effort plus large des gouvernements visant à concilier l’innovation en matière d’IA et les impératifs de sécurité.
Alors que les responsables politiques continuent d’évaluer le niveau de supervision approprié, les inquiétudes concernant les conséquences de systèmes d’IA toujours plus performants sur la cybersécurité ont attiré davantage l’attention sur la gestion des risques et le déploiement responsable.
Plutôt que d’introduire de nouvelles obligations réglementaires pour le moment, l’administration Trump a choisi un cadre volontaire qui encourage la collaboration entre les agences gouvernementales et les développeurs d’IA.
L’efficacité de cette approche dépendra probablement de la participation du secteur et de la capacité du gouvernement à identifier et à traiter les risques potentiels, à mesure que les technologies d’IA avancées continuent d’évoluer.
À mesure que l’IA élargit la surface d’attaque, les solutions zero trust peuvent aider les entreprises à réduire leur exposition, à renforcer leurs contrôles d’accès et à protéger leurs systèmes et données critiques.