Services de CGI en gouvernance, risque et conformité de l’IA

Savons-nous où vont nos données sensibles une fois traitées par un modèle d’IA?

Sans vue d’ensemble des flux de données utilisées par l’IA, les risques de fuite et les violations de la vie privée augmentent : les organisations pourraient voir des identifiants personnels ou leurs secrets commerciaux être ingérés par des modèles externes. 

Utilisons-nous encore des procédures de sécurité TI traditionnelles pour gérer les risques liés à l’IA?

Les cadres et outils habituels en cybersécurité ne prennent pas nécessairement en compte les vulnérabilités propres à l’IA, comme l’infiltration de requête ou l’attaque par empoisonnement, ce qui expose les organisations à des tentatives sophistiquées ciblant ces lacunes. 

Qui est ultimement responsable des décisions et des actions prises par nos agents autonomes?

Sans cadre de gouvernance ni supervision humaine, le déploiement « sauvage » (non contrôlé) de l’IA peut entraîner des décisions injustes, non vérifiées ou juridiquement contraignantes aux conséquences importantes.  

Notre stratégie en IA peut-elle s’adapter à l’évolution des réglementations provinciales et fédérales?

En raison de la transformation rapide des directives facultatives en cadres réglementaires contraignants (comme la Loi 25 au Québec), les systèmes d’IA non conformes constituent un risque financier et opérationnel majeur qui peut entraîner l’arrêt complet des services d’une organisation.  

Avons-nous fourni à nos équipes des directives claires sur l’utilisation autorisée ou proscrite de l’IA ou doivent-elles estimer par elles-mêmes la sécurité de leurs requêtes?

En l’absence de garde-fous clairement définis, le personnel se tourne généralement vers des « IA fantômes » qui ne sont pas protégées par les mécanismes de sécurité de l’entreprise, ce qui peut mener à la divulgation involontaire de secrets commerciaux sur le Web public. 

Autrefois simples hypothèses, la mauvaise utilisation des données, les biais algorithmiques, la dérive incontrôlée des modèles et les violations réglementaires sont aujourd’hui des failles présentes dans chaque déploiement de l’IA. Il y a déjà de nombreux exemples montrant que l’IA peut devenir un risque pour les organisations.

Plusieurs incidents ont entraîné des dommages majeurs, comme l’exposition de données exclusives, la compromission d’activités, la suppression de données organisationnelles et même l’arrêt complet de services destinés à la clientèle.

L’Open Worldwide Application Security Project (OWASP) documente régulièrement les dix plus importantes vulnérabilités liées à l’IA, tandis que le National Institute of Standards and Technology (NIST) et l’Organisation internationale de normalisation (ISO) ont rédigé des normes pour guider les leaders du numérique face à la complexité croissante des risques.

Commencez votre parcours avec nous