Renforcer la sécurité des données et la confidentialité dans les systèmes d’IA : Une approche pour combler les lacunes réglementaires

Ces dernières années, l’intelligence artificielle (IA) est passée d’une technologie de niche à une force transformatrice à travers les industries. À mesure que les systèmes d’IA deviennent de plus en plus sophistiqués et omniprésents, les préoccupations concernant la sécurité des données et la confidentialité ont considérablement augmenté. Bien que les efforts réglementaires actuels aient progressé dans le domaine des tests de sécurité, de l’évaluation des modèles et de l’utilisation abusive potentielle de l’IA, ils ont largement négligé les aspects critiques de l’accès granulaire aux données et des exigences de traçabilité. Cette négligence laisse un vide significatif dans la protection des informations sensibles et le maintien de la confiance du public dans les technologies d’IA.

Le problème : Manque d’attention sur la sécurité et la confidentialité des données

Les cadres de gouvernance actuels de l’IA, y compris le Cadre de gestion des risques liés à l’IA du NIST, le décret exécutif 14110 et la feuille de route du Sénat américain pour la politique de l’IA, ont apporté des contributions importantes au domaine de la réglementation de l’IA. Cependant, ces cadres sont insuffisants pour aborder les aspects cruciaux de la sécurité des données et de la confidentialité, en particulier dans le contexte du développement des modèles d’IA et du déploiement de l’IA en entreprise.

Plus précisément, ces cadres manquent de dispositions complètes pour :

1. Contrôles d’accès pour la saisie de données
2. Mécanismes de suivi pour le mouvement et l’utilisation des données
3. Protocoles sécurisés de transit et de stockage des données

Cette négligence est particulièrement préoccupante lorsqu’on considère la sécurité des données entrant dans les modèles de formation de l’IA et les bases de connaissances utilisées par les modèles d’IA pré-entraînés. À mesure que les systèmes d’IA continuent de traiter d’énormes quantités de données, y compris des informations personnelles identifiables et des informations médicales protégées (PII/PHI), des informations non classifiées contrôlées (CUI), et d’autres classifications de données gouvernementales protégées, la nécessité de mesures de sécurité robustes devient de plus en plus urgente.

Les conséquences d’une protection des données inadéquate

Le manque de mesures strictes de sécurité et de confidentialité des données dans les systèmes d’IA peut entraîner de graves conséquences :

1. Violations de données: Sans contrôles d’accès et protocoles de stockage sécurisés appropriés, les systèmes IA deviennent vulnérables aux violations de données, exposant potentiellement des informations sensibles à des parties non autorisées.
2. Violations de la vie privée: Des mécanismes de suivi insuffisants peuvent entraîner une utilisation abusive ou un partage non autorisé de données personnelles, violant les droits à la vie privée des individus et érodant la confiance du public dans les technologies IA.
3. Non-conformité réglementaire: Alors que les réglementations sur la protection des données telles que RGPD et CCPA deviennent plus strictes, les systèmes IA qui manquent de protocoles appropriés de gestion des données risquent la non-conformité et de lourdes pénalités.
4. Biais algorithmique: Un contrôle insuffisant des entrées de données peut conduire à des modèles IA biaisés, perpétuant ou exacerbant les inégalités sociétales existantes.
5. Perte de confiance du public: À mesure que la sensibilisation aux confidentialité des données augmente, des mesures de protection inadéquates peuvent entraîner une perte de confiance du public dans les technologies IA, entravant potentiellement leur adoption et leur développement.

Proposition : Prioriser les données avant tout

Pour combler ces lacunes critiques dans les cadres de gouvernance actuels de l’IA, nous chez Kiteworks proposons une approche globale axée sur l’amélioration de la sécurité des données et de la confidentialité dans les systèmes IA. Cette approche repose sur deux piliers clés :

1. Mise en œuvre des principes de confiance zéro pour la gestion des données privées.

   Le modèle de sécurité Zero Trust basé sur le principe de “ne jamais faire confiance, toujours vérifier”, offre un cadre robuste pour protéger les données sensibles dans les systèmes IA. Nous proposons d’étendre ce modèle au traitement de l’IA par les mesures suivantes :

   a) Appliquer le principe du moindre privilège : Mettre en œuvre des contrôles d’accès stricts qui accordent aux utilisateurs le niveau d’accès minimal nécessaire pour accomplir leurs tâches. Cette approche minimise le risque d’accès non autorisé aux données et réduit l’impact potentiel des violations de sécurité.

   b) Adopter une approche “Ne jamais faire confiance, toujours vérifier” : Mettre en œuvre des processus d’authentification et d’autorisation continus pour toutes les demandes d’accès aux données, quel que soit l’emplacement ou le réseau de l’utilisateur.

   c) Maintenir une surveillance continue : Mettre en œuvre une surveillance et un enregistrement en temps réel de tous les accès et mouvements de données au sein des systèmes IA. Cela permet une détection et une réponse rapides aux menaces de sécurité potentielles.

2. La transparence et le reporting sont aussi cruciaux que les contrôles de confiance zéro.

   De plus, pour assurer une protection complète des informations sensibles, nous proposons d’établir des exigences explicites pour le stockage, la transition et le suivi et la génération de rapports d’utilisation des données, en particulier pour :

   a) Les informations personnelles identifiables (PII) : Mettre en œuvre des mécanismes de suivi et de génération de rapports détaillés pour toutes les PII utilisées dans les systèmes IA, y compris leur collecte, stockage, traitement et suppression.

   b) Informations contrôlées non classifiées (CUI): Établir des protocoles stricts pour la gestion des CUI dans les systèmes IA, incluant desjournaux d’audit et des rapports d’utilisation.

   c) Autres classifications de données gouvernementales protégées: Développer des exigences spécifiques de traçabilité et de reporting pour diversesclassifications de données utilisées dans les systèmes IA, en assurant la conformité avec les réglementations et normes de sécurité pertinentes.

Avantages de l’approche proposée

La mise en œuvre de ces mesures apportera des avantages significatifs :

1. Protection renforcée des données : En mettant en œuvre les principes de confiance zéro et des mécanismes de suivi complets, les données sensibles seront mieux protégées contre les accès non autorisés et les utilisations abusives.
2. Amélioration de la conformité réglementaire : Les mesures proposées aideront les systèmes IA à se conformer aux réglementations de protection des données existantes et émergentes, réduisant les risques légaux et financiers.
3. Renforcement de la confiance publique : Des mesures robustes de sécurité des données et de protection de la vie privée contribueront à renforcer la confiance du public dans les technologies IA, facilitant leur adoption et leur développement.
4. Réduction des biais algorithmiques : Un meilleur contrôle des entrées de données et du comportement des modèles aidera à atténuer le risque de biais algorithmiques, favorisant des systèmes IA plus équitables.
5. Innovation avancée : En établissant des directives claires pour la manipulation des données, les développeurs pourront se concentrer sur l’innovation sans compromettre la sécurité et la confidentialité.

Alors que l’IA continue de révolutionner divers aspects de nos vies, assurer la sécurité et la confidentialité des données qui alimentent ces systèmes est primordial. Le paysage réglementaire actuel, tout en abordant des aspects importants de la gouvernance de l’IA, ne suffit pas à offrir une protection complète pour les données sensibles.

En mettant en œuvre les principes de confiance zéro, en étendant ces principes aux modèles d’IA et en établissant des exigences explicites pour la traçabilité et le reporting des données, nous pouvons améliorer considérablement la sécurité et la confidentialité des systèmes d’IA. Cette approche globale non seulement comble les lacunes actuelles dans les cadres de gouvernance de l’IA, mais établit également une base solide pour le développement et le déploiement responsables des technologies d’IA.

À mesure que nous avançons, il est crucial que les décideurs politiques, les leaders industriels et les chercheurs collaborent à la mise en œuvre de ces mesures. En agissant ainsi, nous pouvons favoriser un environnement où l’IA peut prospérer tout en maintenant les normes les plus élevées de protection et de confidentialité des données. Cette approche équilibrée améliorera non seulement la confiance du public dans les technologies d’IA, mais ouvrira également la voie à une innovation responsable dans ce domaine en rapide évolution.

Le chemin vers des systèmes IA sécurisés et respectueux de la vie privée est complexe et continu. Cependant, en abordant ces aspects critiques de la sécurité des données et de la vie privée, nous pouvons garantir que le potentiel transformateur de l’IA est réalisé sans compromettre les droits fondamentaux et la confiance des individus et des organisations. Continuons à repousser les limites de ce que l’IA peut accomplir, tout en veillant à protéger les données qui rendent ces avancées possibles.

Avec Kiteworks, les organisations peuvent gérer efficacement leurs communications de contenu sensible, la confidentialité des données et les initiatives de conformité réglementaire depuis le risque IA. Le Réseau de contenu privé fournit des contrôles de confiance zéro définis par le contenu, offrant un accès à privilège minimal défini au niveau du contenu et des capacités GDN de nouvelle génération qui bloquent les téléchargements pour l’ingestion par l’IA. Kiteworks utilise également l’IA pour détecter les activités anormales, par exemple, les pics soudains d’accès, d’éditions, d’envois et de partages de contenu sensible. Unifier la gouvernance, la conformité et la sécurité des communications de contenu sensible sur le Réseau de contenu privé rend ces activités IA sur les canaux de communication de contenu sensible plus faciles et plus rapides. De plus, à mesure que plus de granularité est intégrée dans les contrôles de gouvernance, l’efficacité des capacités IA augmente.

Planifiez une démonstration sur mesure pour voir comment le Réseau de contenu privé Kiteworks peut vous permettre de gérer la gouvernance et le risque de sécurité.

Ressources supplémentaires

• Article de blog Construire la confiance dans l’IA générative avec une approche de confiance zéro
• Article de blog Décret exécutif américain sur l’intelligence artificielle exigeant un développement sûr, sécurisé et digne de confiance
• Brève Kiteworks : le pilier sécurisé permettant les avancées dans l’IA éthique
• Article de blog L’IA pour le bien et le mal en cybersécurité
• Article de blog La promesse du DRM et pourquoi elle est généralement insuffisante