IA et cybersécurité : Un guide pour se conformer à la réglementation européenne sur l’intelligence artificielle

La proposition de la Commission européenne pour une réglementation sur l’intelligence artificielle (loi sur l’IA) est un moment clé dans la régulation de l’intelligence artificielle pour établir un cadre horizontal pour une IA fiable et atténuer les risques liés à la santé, à la sécurité et aux droits fondamentaux associés aux nouvelles technologies d’IA. Par conséquent, les fournisseurs de systèmes d’IA doivent mettre en œuvre les mesures techniques et organisationnelles nécessaires avant de placer un système d’IA à haut risque sur le marché de l’UE afin d’assurer la conformité aux exigences énoncées dans la loi. L’objectif est de bâtir la confiance dans l’intelligence artificielle tout en introduisant une technologie innovante, garantissant un impact sociétal positif.

La normalisation des normes de cybersécurité jouera un rôle clé dans l’atteinte de la conformité. Des outils spécifiques qui garantissent la cybersécurité pour les systèmes d’intelligence artificielle à haut risque ne sont toujours pas suffisamment recherchés et font défaut. De telles recherches émergent à peine, visant à rassembler et à combiner des connaissances et des approches provenant de divers domaines tels que la recherche en IA, l’apprentissage automatique adversarial et la cybersécurité générale.

Directives pour les parties prenantes

Ce texte vise à mettre en évidence les implications pratiques de la cybersécurité prescrites par la loi et à fournir des directives clés pour atteindre la conformité telles que publiées par le Centre commun de recherche, qui, en tant que centre scientifique de la Commission européenne, fournit des connaissances et des recherches scientifiques indépendantes basées sur des preuves.

Les directives fournies offrent des informations cruciales à toutes les parties prenantes naviguant à travers les exigences de cybersécurité énoncées par la loi. Étant donné l’impact potentiel que l’IA peut avoir (à la fois positif et négatif), nous pouvons dire qu’il existe une large gamme de parties prenantes qui doivent prendre en compte les exigences de cybersécurité. Nous pouvons les classer en trois groupes : (1) parties prenantes individuelles, (2) parties prenantes organisationnelles et (3) parties prenantes nationales ou internationales impliquées dans l’élaboration de lois et d’autres réglementations.

Éléments clés

L’article 15 de la loi sur l’IA stipule que les systèmes d’IA à haut risque doivent atteindre un certain niveau de précision, de robustesse et de cybersécurité. Le considérant 51 de la loi précise davantage la cybersécurité.

Les exigences en matière de cybersécurité devraient inclure les éléments clés suivants : résilience aux modifications malveillantes, application de solutions techniques et organisationnelles, évaluation des risques de cybersécurité et solutions techniques appropriées basées sur les risques.

Selon la loi, les systèmes d’IA à haut risque doivent subir une évaluation de conformité pour répondre à l’exigence de cybersécurité avant d’être utilisés sur le marché de l’UE. Le considérant 51 de la loi déclare : ‘L’intelligence artificielle à haut risque doit être accompagnée de solutions de sécurité et de correctifs tout au long du cycle de vie du produit ou, en l’absence de dépendance à un produit spécifique, pendant une période spécifiée par le fabricant.’ Cela signifie que les fournisseurs de systèmes d’IA doivent garantir la cybersécurité et ses mises à jour tout au long du cycle de vie complet du système d’IA.

Normes normalisées

Il existe deux options pour garantir la conformité. La première option est l’application des normes normalisées mentionnées dans le chapitre 5 de la loi. Le considérant 61 de la loi déclare : ‘La normalisation devrait jouer un rôle clé dans la fourniture de solutions techniques aux fournisseurs pour garantir la conformité à ce règlement.’ La première exigence pour la normalisation de l’IA, publiée par la Commission européenne en mai 2023, fait officiellement référence au développement des normes nécessaires pour faciliter les réglementations à venir sur l’intelligence artificielle. Étant donné que l’application des normes normalisées est volontaire, la deuxième option est que les fournisseurs de systèmes d’IA démontrent leur conformité à la loi indépendamment de celles-ci.

En intégrant des pratiques de cybersécurité établies avec des mesures spécifiques à l’IA, les systèmes d’IA à haut risque peuvent efficacement atténuer les risques de cybersécurité et travailler vers la conformité. La conformité à la loi sur l’IA joue un rôle crucial dans le développement de l’écosystème de l’IA, les avancées technologiques en matière de cybersécurité étant la prochaine étape vers une plus grande sécurité pour les utilisateurs de systèmes d’IA.