Le Royaume-Uni a publié, hier lundi, les premières lignes directrices mondiales visant à assurer le développement sécurisé des systèmes d'IA. Elaborées par le National Cyber Security Centre (NCSC) du Royaume-Uni et la Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis, avec le soutien de nombreux partenaires internationaux, elles visent à éclairer la décision des développeurs de systèmes d’IA.

Des entreprises d'IA, des instituts ou universités ont contribué à l'élaboration de ces lignes directrices, parmi eux, l'Alan Turing Institute, Amazon, Anthropic, Databricks, Georgetown University’s Center for Security and Emerging Technology, Google, DeepMind, Hugging Face, IBM, Inflection AI, Microsoft, OpenAI...

Selon ces recommandations, la sécurité doit être une exigence fondamentale, non seulement dans la phase de développement, mais tout au long du cycle de vie du système. Des considérations et des mesures d’atténuation sont proposées pour réduire le risque global pour les quatre étapes clés du cycle de développement d’un système d’IA : sa conception, son développement, son déploiement et, pour finir, son exploitation.

Conception sécurisée

Cette section couvre la compréhension des risques et de la modélisation des menaces, ainsi que des sujets spécifiques et des compromis à prendre en compte lors de la conception du système et du modèle.

Développement sécurisé

Les lignes directrices soulignent la nécessité d'évaluer et surveiller la sécurité des chaînes d'approvisionnement tout au long du cycle de vie d'un système d'IA, et portent également sur la documentation des données, la gestion des actifs et de la dette technique.

Déploiement sécurisé

Cette section propose des conseils pour la protection de l’infrastructure et des modèles contre la compromission, la menace ou la perte, l’élaboration de processus de gestion des incidents et la publication responsable.

Exploitation et maintenance sécurisées

Cette dernière section fournit des directives sur les actions particulièrement pertinentes une fois qu’un système a été déployé, y compris la journalisation et la surveillance, la gestion des mises à jour et le partage d’informations.

Le document, comme on peut le voir, ne vise pas à réglementer, n'est pas non plus contraignant. Il vise plutôt à sceller la coopération internationale ébauchée lors de l'AI Safety Summit en début de mois, que ce soit avec la Déclaration de Bletchley ou avec le soutien déclaré à l'AI Safety Institute.

Côté France, il a été publié en partenariat avec l'ANSSI, l’Agence nationale de la sécurité des systèmes d’information.

Lindy Cameron, Directrice générale du NCSC, déclare :

"Ces lignes directrices marquent une étape importante dans l’élaboration d’une compréhension commune et véritablement mondiale des cyber-risques et des stratégies d’atténuation autour de l’IA afin de garantir que la sécurité n’est pas un post-scriptum au développement, mais une exigence fondamentale tout au long du processus.

Je suis fière que le NCSC mène des efforts cruciaux pour relever la barre de la cybersécurité de l’IA : un cyberespace mondial plus sûr nous aidera tous à exploiter en toute sécurité et en toute confiance les merveilleuses opportunités offertes par cette technologie".

Voici la liste complète des signataires :