En tant que professionnel de la cybersécurité ou RSSI, vous êtes probablement confronté à un paysage en rapide évolution où l’adoption de l’IA est à la fois une opportunité et un défi. Dans un récent webinaire, je me suis intéressé à la façon dont les entreprises peuvent aligner l’adoption de l’IA sur leurs objectifs métier tout en préservant leur sécurité et l’intégrité de leur marque. Michelle Drolet, CEO de Towerwall, Inc., a animé la discussion. Diana Kelley, CISO de Protect AI, a participé avec moi.
Voici quelques-uns des points à retenir. Je pense que tous les RSSI et professionnels de la cybersécurité doivent en tenir compte lorsqu’ils intègrent l’IA à leur entreprise.
Commencez par obtenir une visibilité sur l’utilisation de l’IA
La première étape, et la plus importante, consiste à obtenir une visibilité sur la façon dont l’IA est utilisée dans votre entreprise. Qu’il s’agisse d’outils d’IA générative, comme ChatGPT, ou de modèles prédictifs personnalisés, il est essentiel de comprendre où et comment ces technologies sont déployées. Après tout, sans visibilité, il n’y a pas de protection possible. Commencez par identifier tous les grands modèles de langage (LLM) et les outils d’IA utilisés. Ensuite, schématisez les flux de données associés.
Trouvez le juste équilibre entre innovation et sécurité
L’adoption de l’IA est inévitable. L’approche catégorique consistant à bannir son utilisation est rarement efficace. Créez plutôt des règles personnalisées permettant de trouver le juste équilibre entre innovation et sécurité. Par exemple :
- Définissez des règles qui spécifient quels types de données peuvent interagir avec les outils d’IA.
- Mettez en place des mécanismes d’exécution pour prévenir le partage accidentel de données sensibles.
Ces mesures permettent aux collaborateurs d’exploiter les capacités de l’IA tout en garantissant la mise en place de protocoles de sécurité robustes.
Formez vos collaborateurs
L’un des principaux défis associés à l’adoption de l’IA est de s’assurer que les collaborateurs comprennent les risques et les responsabilités qu’elle implique. Les programmes traditionnels de sensibilisation à la sécurité informatique centrés sur le phishing ou les malwares doivent évoluer pour inclure des formations axées sur l’IA. Les collaborateurs doivent savoir :
- Reconnaître les risques associés au partage de données sensibles avec l’IA
- Créer des règles claires pour des techniques complexes telles que l’anonymisation des données afin de prévenir l’exposition accidentelle de données sensibles
- Pourquoi il est important de suivre les règles de l’entreprise
Mettez en place une modélisation proactive des menaces
L’IA s’accompagne de risques uniques, tels que la fuite accidentelle de données. Les attaques de type « confused pilot », où les systèmes d’IA exposent accidentellement des données sensibles, représentent également un risque. Mettez en place une modélisation complète des menaces pour chaque cas d’utilisation de l’IA :
- Schématisez l’architecture et les flux de données.
- Identifiez les vulnérabilités potentielles dans les données d’entraînement, les invites et les réponses.
- Mettez en œuvre des outils d’analyse et de surveillance pour observer les interactions avec les systèmes d’IA.
Utilisez des outils modernes comme la DSPM
La gestion de la posture de sécurité des données (DSPM) est un cadre précieux pour la sécurisation de l’IA. En offrant une visibilité sur les types de données, les comportements d’accès et l’exposition aux risques, la DSPM permet aux entreprises d’accomplir les tâches suivantes :
- Identifier les données sensibles utilisées pour l’entraînement ou l’inférence de l’IA
- Surveiller et contrôler qui a accès aux données stratégiques
- Assurer la conformité aux règles de gouvernance des données
Effectuez des tests avant de procéder au déploiement
L’IA est non déterministe par nature, ce qui veut dire que son comportement peut varier de manière imprévisible. Avant de déployer des outils d’IA, effectuez des tests rigoureux :
- Réalisez des exercices de simulation d’attaques afin d’identifier les vulnérabilités potentielles de vos systèmes d’IA.
- Utilisez des outils de test propres à l’IA pour simuler des scénarios concrets.
- Établissez des couches d’observabilité pour surveiller les interactions avec l’IA après le déploiement.
Favorisez la collaboration entre les départements
Une sécurisation efficace de l’IA nécessite une collaboration entre les départements. Impliquez les équipes chargées du marketing, des finances, de la conformité, etc. aux fins suivantes :
- Comprendre leurs cas d’utilisation de l’IA
- Identifier les risques spécifiques à leurs workflows
- Mettre en place des contrôles personnalisés qui soutiennent leurs objectifs tout en protégeant l’entreprise
Conclusion
En mettant l’accent sur la visibilité, la formation et des mesures de sécurité proactives, nous pouvons exploiter le potentiel de l’IA tout en limitant les risques. Si je ne devais vous donner qu’un seul conseil, ce serait celui-ci : n’attendez pas que des incidents mettent en lumière les failles dans votre stratégie d’IA. Prenez les devants en auditant l’utilisation de l’IA au sein de votre entreprise et en établissant des bases pour une adoption sécurisée.
Pour en savoir plus, regardez notre webinaire « Safe AI Adoption: Protecting Your Brand and Culture » (Adoption sécurisée de l’IA : protéger votre marque et votre culture). Vous pouvez également consulter nos dernières avancées en matière de sécurisation de l’IA et visiter notre page Web sur la DSPM.
