Gérer les risques de sécurité liés à l’IA

Quels sont les risques liés à l’utilisation de l’IA?

Les risques les plus connus sont les fuites de données et les cybermenaces. «Mais pour les petites entreprises, le principal enjeu est plutôt la façon dont les gens utilisent l’IA», explique Simon Llewellyn.

Les problèmes peuvent venir d’une utilisation imprudente, de failles de sécurité ou encore de cybercriminels qui utilisent l’IA pour cibler votre entreprise.

Selon Simon Llewellyn, la sensibilisation est essentielle.

«Le but n’est pas d’éliminer tous les risques. Il faut plutôt comprendre l’utilisation prévue et mettre en place les mesures de protection appropriées.» 

Les renseignements sensibles peuvent échapper à votre contrôle

L’un des risques les plus immédiats est aussi l’un des plus simples: une personne de votre entreprise transmet des renseignements sensibles à un outil d’IA que votre entreprise n’a pas évalué ou approuvé. Elle peut, par exemple, téléverser un document sans se rendre compte qu’il contient des renseignements confidentiels sur la clientèle ou de la propriété intellectuelle (PI).

Cette utilisation non approuvée est souvent appelée «IA de l’ombre», explique Simon Llewellyn.

La personne cherche peut-être simplement à travailler plus efficacement ou à utiliser un outil qu’elle connaît déjà. Mais si l’outil n’a pas été évalué, vous pourriez ne pas savoir quels renseignements lui sont transmis ni comment le fournisseur peut les utiliser.

Si un fournisseur d’IA utilise vos renseignements pour entraîner ses modèles, des données sensibles pourraient faire partie de ce que le modèle apprend. Dans certaines circonstances, ces données pourraient ensuite apparaître dans des réponses fournies à d’autres personnes.

Les renseignements conservés par le fournisseur pourraient aussi être exposés lors d’une atteinte à la sécurité ou d’un accès non autorisé. Plus le fournisseur les conserve longtemps, plus le risque augmente.

Fraude et usurpation d’identité

Selon le Centre pour la cybersécurité, des cybercriminels peuvent utiliser l’IA pour créer des messages convaincants ou imiter la voix ou l’apparence d’une personne. Une demande qui semble provenir d’un membre de votre équipe ou de la direction pourrait en réalité servir à voler de l’argent ou des renseignements confidentiels.

Manipulation des outils d’IA

Des personnes malveillantes peuvent aussi tenter de prendre le contrôle d’un outil d’IA. Elles peuvent, par exemple, cacher des instructions malveillantes dans du contenu que l’outil lit, comme un robot conversationnel. Cette technique, appelée «infiltration de requête», peut amener l’outil à agir de façon imprévue.

Résultats inexacts et dépendance excessive

L’IA peut produire des renseignements qui semblent crédibles, mais qui sont inventés. Ce phénomène est communément appelé «hallucination». Il ne s’agit pas nécessairement d’une atteinte à la sécurité, mais se fier à des résultats inexacts présente tout de même un risque pour votre entreprise.

Le risque augmente si l’outil peut agir à partir de ces renseignements inexacts sans intervention humaine.

Comment protéger votre entreprise contre les risques liés à l’IA

Heureusement, vous pouvez prendre des mesures pour réduire tous ces types de risques.

Comprenez à quoi votre IA aura accès et ce qu’elle fera

Commencez par examiner vos processus d’affaires, recommande Simon Llewellyn. Divisez chaque processus, comme le traitement des demandes de la clientèle, en tâches précises. Déterminez ensuite celles que vous voulez confier à l’IA.

Pour chaque tâche, avant de choisir un outil ou de le connecter à vos systèmes, assurez-vous de savoir:

• de quels renseignements l’IA a besoin pour accomplir la tâche;
  
• comment l’outil utilisera ces renseignements;
  
• où iront les renseignements et les résultats générés par l’IA;
  
• si l’outil fera seulement des suggestions ou pourra aussi agir;
  
• qui vérifiera le travail de l’outil.
  

Par exemple, utiliser un outil d’IA générative pour faire un remue-méninges avec des renseignements non sensibles présente beaucoup moins de risques que l’utiliser pour traiter des données financières ou des renseignements confidentiels sur votre personnel.

Adaptez les mesures de protection au niveau de risque.

Évitez aussi de donner à un outil d’IA plus d’accès que nécessaire, conseille Simon Llewellyn.

Même dans une très petite entreprise, il est préférable qu’une personne salariée ou consultante sache quoi vérifier et quels risques éviter.

«Idéalement, une personne devrait savoir qu’il faut poser des questions comme: “Utilisons-nous le chiffrement? Quels paramètres doivent être activés ou désactivés? Recevons-nous les bons journaux?” » 

Vérifiez l’outil avant de communiquer des renseignements

Avant de choisir un outil d’IA, lisez les conditions d’utilisation du fournisseur ainsi que sa documentation sur la sécurité et la protection de la vie privée, recommande Simon Llewellyn.

Consultez aussi sa politique de conservation des données. Vérifiez quels renseignements sont conservés et pendant combien de temps. Vérifiez également si le fournisseur peut utiliser vos données pour entraîner ses modèles d’IA.

Ne présumez pas qu’un abonnement payant est plus sécuritaire qu’une version gratuite. Les forfaits pour entreprises peuvent offrir des contrôles de sécurité et des mesures de protection de la vie privée plus robustes. Mais vous devez quand même vérifier les fonctions de sécurité, les paramètres de confidentialité et les conditions d’utilisation du forfait.

«Au bout du compte, il faut lire les petits caractères.» 

Questions essentielles à poser avant d’adopter un nouvel outil d’IA

Examinez les paramètres de l’outil ainsi que le contrat. Assurez-vous que la configuration de l’outil convient à l’utilisation que vous comptez en faire.

Faites ces vérifications pour les nouveaux outils, mais aussi pour les fonctions d’IA intégrées aux logiciels que vous utilisez déjà. Les systèmes d’entreprise établis peuvent avoir fait l’objet de nombreux tests de sécurité. Vous devez tout de même vérifier si leurs fonctions d’IA répondent à vos besoins.

Ce n’est pas parce que vous connaissez un produit et lui faites confiance que vous comprenez nécessairement ses fonctions d’IA. 

Donnez des règles claires à votre personnel et assurez une supervision

La sécurité dépend aussi de la façon dont votre personnel utilise les outils que vous avez approuvés.

«Suivre tout ce qui se passe dans le domaine de l’IA, c’est presque un emploi à temps plein. Mais tout le personnel d’une organisation devrait avoir un certain niveau de connaissances en IA.»

Simon Llewellyn recommande de former votre personnel sur ce qu’il peut et ne peut pas faire avec l’IA.

La formation devrait établir des règles claires concernant:

• les outils et les utilisations autorisés;
  
• les types de renseignements qui peuvent être communiqués;
  
• la personne à consulter en cas de doute;
  
• les résultats et les actions qui nécessitent une approbation humaine.
  

Le Centre pour la cybersécurité recommande aux entreprises d’établir une politique interne sur l’utilisation acceptable de l’IA.

Adaptez la formation aux responsabilités de chaque personne. La plupart des membres du personnel ont besoin de consignes pratiques. Les personnes responsables de la sécurité doivent mieux comprendre les autorisations, les paramètres et la surveillance.

Simon Llewellyn recommande aussi de limiter l’automatisation lorsque vous commencez à utiliser l’IA.

«Il est vraiment important de garder une personne dans la boucle.» 

Maintenez les mesures de sécurité de base

La sécurité de l’IA repose sur les mesures de protection que votre entreprise devrait déjà avoir mises en place.

Simon Llewellyn recommande de vous concentrer sur les principes de base de la cybersécurité, comme mettre vos logiciels à jour régulièrement et utiliser l’authentification multifacteur.

Les conseils du Centre pour la cybersécurité en matière de sécurité des TI recommandent aussi de donner aux membres du personnel uniquement les accès dont ils ont besoin pour faire leur travail.

Prenez l’habitude de vérifier les demandes. Si une personne vous demande d’effectuer un paiement inhabituel ou de lui transmettre des renseignements confidentiels, confirmez toujours la demande à l’aide de coordonnées que vous savez fiables. 

Commencez modestement et adaptez les mesures de protection au risque

Lorsque vous commencez à utiliser l’IA, choisissez d’abord une tâche clairement définie qui ne nécessite aucun renseignement sensible. Établissez des règles, formez les personnes concernées et évaluez le rendement de l’outil avant de lui confier plus de responsabilités.

Mettez en place des contrôles plus rigoureux pour les tâches qui nécessitent des renseignements sensibles. Sachez à quels renseignements l’outil peut accéder, exigez une approbation humaine au besoin et vérifiez les étapes critiques avant de laisser l’outil agir.

L’objectif est d’utiliser l’IA avec confiance, tout en responsabilisant votre personnel et en protégeant les renseignements de votre entreprise.

«L’IA est un outil d’affaires. C’est un outil de sécurité. C’est un outil qui touche à tout, explique Simon Llewellyn. N’ayez pas peur de l’utiliser, mais assurez-vous d’être bien protégé contre les cyberrisques et de pouvoir compter sur des personnes qui savent ce qu’elles font.» 

Prochaine étape

Découvrez comment réduire les risques de cyberattaque en téléchargeant le guide gratuit de BDC, Comment aborder la cybersécurité dans votre entreprise.