Politiques de sécurité de l'IA : Questions à poser aux fournisseurs tiers
La plupart des organisations explorent aujourd'hui l'utilisation des technologies émergentes basées sur l'IA pour améliorer leurs flux de travail et leurs processus, analyser et résumer les données, et générer du contenu plus rapidement que jamais. Vous et vos collègues utilisez peut-être déjà des outils et des cadres d'IA pour des activités telles que la recherche, la production de contenu et la résolution de problèmes de codage.
Cependant, il est important de tempérer l'enthousiasme de votre organisation pour l'IA par des conseils et des restrictions appropriés. Une interdiction totale des technologies d'IA pourrait nuire aux besoins et aux objectifs de l'entreprise, alors comment faire preuve de vigilance pour protéger les données sensibles et garantir l'exactitude du contenu généré ? La solution commence par l'élaboration d'une politique de sécurité de l'IA.
Une politique de sécurité de l'IA solide permettra à vos organisations de profiter des avantages de l'IA, tout en prescrivant les évaluations des risques et les contrôles de sécurité nécessaires pour protéger les données sensibles et garantir l'exactitude du contenu. Parallèlement, il est essentiel de s'assurer que vos vendeurs, fournisseurs et autres tiers disposent de contrôles de sécurité capables de protéger suffisamment vos systèmes et données critiques.
Dans ce billet, j'examine les politiques de sécurité de l'IA, la façon dont les politiques de sécurité de l'IA peuvent être appliquées aux tiers et je partage des questions clés pour évaluer les contrôles de sécurité de l'IA de vos vendeurs et fournisseurs.
Qu'est-ce qu'une politique de sécurité de l'IA ?
Une politique de sécurité de l'IA est un ensemble de lignes directrices pour l'évaluation et l'utilisation d'outils et de cadres d'intelligence artificielle d'une manière qui maximise la perspicacité, le contrôle et la protection des données. Elle décrit également les vulnérabilités de l'IA et présente des mesures visant à atténuer leurs risques potentiels.
Grâce à une politique de sécurité de l'IA bien conçue, une organisation peut préserver la sécurité et l'intégrité de ses systèmes d'IA et de toutes les données traitées par l'intelligence artificielle. Les politiques de sécurité de l'IA comprennent généralement des dispositions concernant
- Protéger les données sensibles par le cryptage et les contrôles d'accès
- Garantir l'accès des utilisateurs autorisés grâce à des mécanismes d'authentification et d'autorisation
- maintenir la sécurité du réseau au moyen de pare-feu, de systèmes de détection d'intrusion et d'autres outils
Une politique de sécurité de l'IA est généralement une extension de la politique générale de sécurité de l'information d'une organisation et des contrôles associés, avec certains concepts communs concernant la protection des données, la vie privée et l'exactitude.
Quels sont les éléments d'une politique de sécurité de l'IA ?
Politiques d'évaluation des outils
Ces politiques précisent les flux de travail et les procédures pour les équipes de sécurité qui doivent évaluer les outils d'IA à utiliser dans leur organisation. Elles décrivent les niveaux de protection des données requis pour différents types de services et indiquent les procédures d'examen de la manière dont les données sensibles peuvent être utilisées comme intrants d'entraînement à l'IA et/ou apparaître dans le contenu généré par l'IA.
Politiques relatives au code source
Les politiques relatives au code source mettent l'accent sur des pratiques de développement sûres (par exemple, respect des normes de codage, examen régulier du code) et précisent les mécanismes de surveillance et de journalisation permettant de suivre le comportement du système et de détecter les anomalies. Ces politiques exigent souvent que l'organisation suive l'utilisation du code source en tant qu'intrant pour les outils d'IA, ainsi que l'utilisation de tout code généré par l'IA.
Politiques de réponse aux incidents
Les politiques de réponse aux incidents décrivent les protocoles de traitement des violations de la sécurité et mettent l'accent sur le respect des normes et réglementations du secteur qui exigent de tels protocoles.
Politiques de conservation des données et de protection de la vie privée
Les politiques de conservation des données garantissent que les données d'entrée téléchargées vers les outils et services d'IA sont supprimées dans un délai acceptable. Les considérations relatives à la protection de la vie privée doivent également être évaluées, car certaines régions ont temporairement interdit l'utilisation d'outils d'IA générative en raison de préoccupations liées à la collecte et à l'utilisation de données personnelles.
Politiques d'éthique
Des considérations éthiques et des formations de sensibilisation sont incluses dans les politiques de sécurité de l'IA afin de tenir compte des préjugés, de garantir la responsabilité et d'encourager une culture de la sécurité. Par exemple, elles peuvent exiger des utilisateurs de l'IA générative qu'ils examinent et modifient le contenu créé pour en vérifier l'exactitude, la partialité et le caractère offensant.
Reconnaissance de l'hallucination de l'IA et des risques similaires
Les politiques de sécurité de l'IA doivent tenir compte du fait que les outils d'IA sont connus pour produire des résultats incorrects, biaisés ou offensants. Les "hallucinations de l'IA", qui se produisent lorsque les outils génératifs de l'IA créent un contenu inattendu, faux ou non étayé par des preuves et des données réelles, sont particulièrement préoccupantes. Les outils d'IA ont également tendance à avoir une connaissance limitée des événements récents du monde réel, ce qui peut entraîner d'autres inexactitudes et omissions dans le contenu généré.
Comment les politiques de sécurité de l'IA s'appliquent-elles aux tiers ?
Votre politique de sécurité de l'IA doit inclure des normes d'évaluation, d'atténuation et de surveillance des risques pour toutes les solutions d'IA qui traitent ou génèrent des données pour votre organisation - y compris celles fournies et/ou utilisées par vos vendeurs, fournisseurs et prestataires de services tiers. Il est essentiel de s'assurer que les outils et services tiers protègent les données sensibles, assainissent les entrées pour supprimer les informations confidentielles et respectent les autres contrôles de sécurité requis.
Il existe trois façons principales d'exploiter les politiques de sécurité de l'IA dans votre programme de gestion des risques des tiers (TPRM) : la diligence raisonnable avant le contrat, la conclusion de contrats avec les fournisseurs et l'évaluation des fournisseurs.
Due diligence pré-contractuelle
Votre politique de sécurité de l'IA doit guider le processus de diligence raisonnable lors de l'évaluation des vendeurs et fournisseurs potentiels. En se référant à la politique, votre organisation peut évaluer systématiquement les contrôles de sécurité, les mécanismes de protection des données et les protocoles d'accès d'un fournisseur. Cela permet de minimiser les vulnérabilités potentielles en garantissant que les parties externes respectent les mêmes critères de sécurité rigoureux que ceux appliqués à vos systèmes internes.
Passation de contrats avec les fournisseurs
Les accords contractuels avec les vendeurs et les fournisseurs peuvent s'appuyer sur les dispositions de la politique de sécurité de l'IA. En intégrant des lignes directrices de politique dans les accords, votre organisation définit des attentes claires concernant les exigences de sécurité, les pratiques de traitement des données et les procédures d'intervention en cas d'incident. Cet alignement garantit que les solutions ou services d'IA fournis par les fournisseurs respectent les normes de sécurité de l'organisation, contribuant ainsi à un écosystème d'IA plus sûr et plus résilient.
Évaluation des fournisseurs
Lorsqu'elle est utilisée dans le cadre de l'évaluation des fournisseurs, votre politique de sécurité de l'IA peut servir de point de référence pour évaluer leurs pratiques de sécurité par rapport aux normes définies par votre organisation. Cela permet également d'assurer la cohérence des attentes en matière de sécurité dans l'ensemble de votre écosystème de fournisseurs.
Dans l'ensemble, une politique de sécurité de l'IA sert de cadre global pour évaluer et aligner les pratiques de sécurité des vendeurs et des fournisseurs sur les objectifs stratégiques de votre organisation en matière d'IA.
Évaluation des contrôles de sécurité de l'IA : 16 questions à poser à vos tiers
Des menaces cachées peuvent se cacher dans les fournisseurs d'IA tiers, posant des risques qui peuvent ne pas être immédiatement évidents. Ces menaces englobent les failles de sécurité, les violations potentielles de données, les codes malveillants dissimulés, l'utilisation abusive des données et les biais dans les algorithmes - chacun d'entre eux pouvant compromettre les données, la réputation et les opérations de votre organisation.
Pour contrer ces risques, votre organisation doit procéder à des évaluations diligentes de ses fournisseurs tiers. Cette diligence raisonnable doit évaluer les mesures de sécurité, les pratiques de protection des données et la transparence algorithmique. Une surveillance continue, des accords contractuels solides et des plans d'urgence sont également essentiels pour révéler et atténuer les menaces cachées de l'IA.
En décembre 2021, Microsoft a publié un cadre d'évaluation des risques de sécurité de l'IA pour aider les organisations à auditer, suivre et améliorer la sécurité des systèmes d'IA. Prevalent s'est appuyé sur ce cadre pour créer une enquête de 16 questions que vous pouvez utiliser pour évaluer les contrôles de sécurité de l'IA employés par vos vendeurs et fournisseurs.
Utilisez cette évaluation de la sécurité de l'IA par un tiers pour :
- Recueillez des informations sur l'état de la sécurité de l'IA dans l'écosystème de vos fournisseurs.
- Effectuer une analyse des lacunes et élaborer une feuille de route pour collaborer avec les fournisseurs afin de remédier aux risques.
- Procéder à des évaluations répétées et périodiques pour suivre les progrès de la remédiation au fil du temps.
| Questions | Réponses possibles |
|---|---|
|
1. Les données collectées pour le(s) système(s) d'IA proviennent-elles de sources fiables ? |
Sélectionnez une option : a) Oui, l'organisation veille à ce que les données collectées proviennent uniquement de sources fiables. b) Les données collectées ne proviennent pas exclusivement de sources fiables. c) Sans objet. |
|
2. Une politique en matière de données a-t-elle été élaborée, notamment en ce qui concerne le respect de la vie privée et la protection des types de données sensibles ? |
Cochez toutes les cases qui s'appliquent : a) Une politique formelle en matière de données a été mise en place. b) La politique en matière de données est communiquée et mise à la disposition de tout le personnel impliqué dans l'utilisation ou la création de systèmes d'IA. c) Les données sont classées à l'aide d'étiquettes de classification des données. d) Aucune de ces réponses. |
|
3. L'organisation assure-t-elle le stockage sécurisé des données en fonction de leur classification ? |
Cochez toutes les cases qui s'appliquent : a) L'organisation utilise un stockage sécurisé, basé sur un processus de classification des données défini. b) Les données utilisées dans les systèmes d'IA sont classifiées et protégées sur la base d'une politique de classification définie. c) L'accès aux données est contrôlé et l'approbation formelle des demandes d'accès des utilisateurs est appliquée. d) Les ensembles de données sont contrôlés par version et suivent des processus définis de contrôle des modifications. e) Aucune de ces réponses. |
|
4. Les ensembles de données sont-ils correctement suivis et vérifiés par hachage cryptographique avant d'être utilisés ? |
Cochez toutes les cases qui s'appliquent : a) L'organisation applique un contrôle d'accès aux ensembles de données basé sur les rôles. b) Des audits d'accès sont effectués régulièrement. c) Des mesures sont mises en œuvre pour garantir que tout fournisseur de ressources tiers ou toute partie externe ne puisse pas accéder aux données d'essai. d) Aucune de ces réponses. |
|
5. Comment l'organisation garantit-elle l'intégrité des données tout au long du cycle de vie d'un système d'IA ? |
Cochez toutes les cases qui s'appliquent : a) Une identification unique est appliquée aux ensembles de données. b) Un emplacement central est utilisé pour suivre les ensembles de données et leurs descriptions cryptographiques. c) L'accès aux ensembles de données fait l'objet d'un audit périodique. d) les modifications apportées aux ensembles de données sont soumises à l'approbation de la direction avant d'être présentées. e) Aucune de ces réponses. |
|
6. Les circuits de traitement des données sont-ils sécurisés ? |
Sélectionnez une option : a) Oui, l'organisation prend des mesures pour garantir la sécurité de ses systèmes de traitement des données. b) Non, l'organisation ne prend pas de mesures pour garantir la sécurité de ses systèmes de traitement des données. c) Sans objet. |
|
7. L'organisation sécurise-t-elle les sous-ensembles de données de la même manière que les ensembles de données ? |
Sélectionnez une option : a) Oui, l'organisation applique le même niveau de sécurité et les mêmes processus de catégorisation des données pour les sous-ensembles de données. b) Non, l'organisation n'applique pas le même niveau de sécurité et les mêmes processus de catégorisation des données pour les sous-ensembles de données. c) Sans objet. |
|
**8. L'organisation révise-t-elle son modèle de code de formation dans un environnement approprié ? |
Sélectionnez une option : a) Oui, l'organisation examine et gère le code modèle dans des environnements sécurisés et dédiés, à l'écart de la production. b) Le code modèle ne fait pas l'objet d'un examen formel dans des environnements spécialisés éloignés de la production. c) Sans objet. |
|
9. La formation du modèle utilisé dans le système d'IA se déroule-t-elle dans les mêmes conditions que celles qui prévaudraient lors du déploiement ? |
Sélectionnez une option : a) Oui, l'organisation veille à ce que la formation au modèle se déroule dans les mêmes conditions que lors de la phase de déploiement. b) L'organisme n'assure pas la formation au modèle dans les mêmes conditions que lors de la phase de déploiement. c) Sans objet. |
|
10. La conception du modèle et l'algorithme d'apprentissage incluent-ils une régularisation explicite ou implicite du modèle ? |
Sélectionnez une option : a) Oui, la régularisation est assurée pour la conception du modèle et les algorithmes d'apprentissage. b) Non, la régularisation n'est pas assurée pour la conception du modèle et les algorithmes d'apprentissage. c) Sans objet. |
|
11. Les modèles sont-ils continuellement ré-entraînés lorsque de nouvelles données d'entraînement sont introduites dans les pipelines d'entraînement ? |
Sélectionnez une option : a) Oui, l'organisation a mis en place un programme de recyclage continu pour tester et valider les nouvelles données de formation. b) Non, l'organisation n'a pas mis en place de programme de recyclage continu pour tester et valider les nouvelles données de formation. c) Sans objet. |
|
12. Comment l'organisation sécurise-t-elle ses systèmes d'IA avant leur déploiement ? |
Sélectionnez une option : a) Des critères formels d'essai d'acceptation ont été définis et documentés pour les nouveaux systèmes d'IA, les mises à niveau et les nouvelles versions. b) Les nouveaux systèmes d'IA, les mises à niveau ou les nouvelles versions sont mis en œuvre à l'aide de tests formels. c) L'organisation utilise des outils automatisés pour tester les systèmes d'information, les mises à jour ou les nouvelles versions. d) Les environnements de test sont très proches de l'environnement de production final. e) La fréquence, la portée et la ou les méthodes des examens indépendants de la sécurité sont documentées. f) Aucune de ces réponses. |
|
13. Comment l'organisation sécurise-t-elle et gère-t-elle le réseau sous-jacent où réside le système d'IA ? |
Sélectionnez une option : a) Les dispositifs de passerelle doivent filtrer le trafic entre les domaines et bloquer les accès non autorisés. b) Les lignes directrices relatives à la configuration sécurisée sont documentées et révisées périodiquement. c) Les réseaux sont séparés, conformément à une politique de contrôle d'accès définie. d) Des exigences sont établies pour séparer et restreindre l'utilisation des systèmes accessibles au public, des réseaux internes et des actifs critiques. e) Aucune de ces réponses. |
|
14. Comment l'organisation enregistre-t-elle et surveille-t-elle ses systèmes d'IA et son infrastructure de soutien ? |
Sélectionnez une option : a) L'organisation dispose d'un système d'enregistrement des événements (par exemple, une solution SIEM) pour surveiller les événements et les journaux de sécurité. b) Les journaux d'événements et de sécurité sont régulièrement examinés pour détecter tout comportement anormal. c) Des rapports consolidés et des alertes sont produits et examinés pour l'activité du système. d) La journalisation et la surveillance concernent le stockage, les pipelines et les serveurs de production. e) Aucune de ces réponses. |
|
15. Comment l'organisation identifie-t-elle et gère-t-elle les incidents de sécurité liés aux systèmes d'IA ou ayant une incidence sur ces derniers ? |
Sélectionnez une option : a) Une procédure formelle est établie pour le signalement des incidents liés aux systèmes d'IA. c) Des procédures formelles de réponse aux incidents et d'escalade ont été établies. d) Les procédures de réponse aux incidents sont testées périodiquement. e) Aucune de ces réponses |
|
16. L'organisation dispose-t-elle de procédures permettant de garantir que les systèmes d'IA peuvent faire l'objet de mesures correctives et être restaurés après un incident ? |
Sélectionnez une option : a) Les actifs critiques de l'IA sont identifiés et inventoriés. b) L'organisation a élaboré un plan formel de continuité des activités. c) Les évaluations d'impact comprennent la planification de l'impact de la perte de systèmes d'IA critiques à la suite d'attaques. d) Des tests de continuité des activités sont effectués et répétés pour les systèmes critiques de l'IA. e) Aucune de ces réponses. |
Prochaines étapes de la gestion des risques liés à l'IA par des tiers
Utilisez le questionnaire ci-dessus comme point de départ pour découvrir les risques liés aux systèmes d'IA utilisés par vos vendeurs et fournisseurs. En identifiant et en gérant de manière proactive les risques liés à l'IA des tiers, vous pouvez protéger les systèmes et les données de votre organisation tout en évitant les problèmes potentiels liés à l'équité, à la transparence et à la responsabilité. Les évaluations des risques liés à l'IA de tiers ne protègent pas seulement vos opérations, mais aident également à la prise de décisions éthiques, à la sélection des fournisseurs et à l'établissement de relations de partenariat à long terme.
Pour plus d'informations sur la façon dont Prevalent peut aider votre organisation à évaluer la sécurité de l'IA des vendeurs et des fournisseurs dans le contexte du risque global des tiers, demandez une démonstration dès aujourd'hui.
Tout commence ici
Vous êtes prêt à découvrir comment Prevalent peut soulager votre programme TPRM ? Demandez une démonstration gratuite et sans engagement dès aujourd'hui.
Demandez une démo-
Prevalent Version 24-Q2 de la plate-forme : nouvelle évaluation AI FastTrack et...
Prevalent continue de donner le ton en matière de gestion des risques de tiers grâce à des améliorations axées sur le client qui simplifient la...
06/12/2024
-
La loi sur l’intelligence artificielle de l’Union européenne et son impact sur la gestion des risques liés à la gestion des risques liés à la protection des données
L’Union européenne a approuvé aujourd’hui une réglementation radicale en matière d’IA, qui devrait entrer en vigueur en 2026. Ici...
03/13/2024
-
Les réglementations mondiales en matière d'IA et leur impact sur la gestion des risques pour les tiers
Les gouvernements et les organismes de normalisation du monde entier ont commencé à réagir aux technologies de l'IA en adoptant de nouvelles règles de conformité...
01/04/2024
-
Prêt pour une démonstration ?
- Planifiez une démonstration gratuite et personnalisée de la solution pour voir si Prevalent est fait pour vous.
- Demander une démo