Concilier la sécurité et la productivité de l’IA sans faire abstraction des risques

Lorsqu’on aborde la question de la sécurité de l’IA, on parle souvent des cybercriminels. Pourtant, ce n’est que la moitié du problème.

Pendant le webinaire SoSafe Live | In Action – Securing The AI Workplace, une enquête réalisée auprès du public a révélé que de nombreuses équipes étaient davantage préoccupées par la question de l’utilisation en interne et du shadow IA. Cela en dit long sur la pression dont souffrent les responsables de la sécurité. Les collaborateurs utilisent déjà l’IA pour aller plus vite. La question est de savoir si l’on peut sécuriser l’usage qui en est fait au niveau de l’entreprise avant que cela ne dégénère via des comptes privés et des outils non gérés.

Dans son guide Passez à la défense adaptative, SoSafe a révélé que 97 % des responsables de la sécurité considèrent l’IA comme le principal responsable de l’évolution récente des menaces qui deviennent de plus en plus sophistiquées. Si les cybercriminels déploient l’IA à large échelle à l’extérieur, les collaborateurs, eux, l’adoptent de l’intérieur pour résumer des prises de notes, nettoyer des documents, rédiger des messages, déboguer du code et simplifier des tâches de routine.

Dans la même enquête, 40 % des professionnels de la sécurité ont déclaré avoir identifié une utilisation de l’IA de type shadow ou non sécurisée au sein de leur entreprise, notamment via l’utilisation d’outils non approuvés ou la saisie de données sensibles dans ces derniers.

Les équipes de sécurité se trouvent ainsi engagées sur un double front : hostile, d’un côté, bien intentionné, de l’autre, mais pouvant tous deux entraîner des risques.

Le shadow IA commence généralement par une tâche de routine

Le shadow IA commence souvent par une initiative des collaborateurs qui utilisent des outils publics pour faciliter leur travail quotidien, par exemple pour résumer des notes internes, améliorer une ébauche de document ou extraire la substantifique moelle d’un contenu trop long. Le risque augmente lorsque ces petites astuces sont appliquées dans un contexte sensible qui ne devrait pas quitter les circuits approuvés.

Pendant notre webinaire, Harry Jeyarajah, responsable de l’ingénierie solution chez SoSafe, a souligné que ces pratiques impliquaient souvent un manque de visibilité, dans la mesure où elles passent généralement par des comptes personnels ou non gérés. Les équipes de sécurité peuvent ne jamais voir le prompt, le fichier téléchargé ou la manière dont le résultat est réutilisé par la suite.

Il pourrait sembler plus sûr de bloquer totalement toute utilisation de l’IA peut sembler, mais ce serait prendre le risque que ces comportements perdurent de manière encore plus cachée. Pour les équipes compétitives, l’IA est utile. Les gens continueront à chercher des moyens de travailler plus rapidement. Un « non » catégorique peut transformer un problème d’adoption visible en un problème de données invisible.

Le risque ne se limite pas aux données confidentielles

Évidemment, la risque d’exposer des données sensibles soulève des inquiétudes, mais ce n’est pas le seul.

Comme le faisait également remarquer Harry Jeyarajah, la formation de sensibilisation à la cybersécurité traditionnelle n’est pas conçue pour couvrir certains risques liés à l’IA : les hallucinations, l’injection de prompts et les modèles publics entraînés sur la propriété intellectuelle de l’entreprise.

Les besoins en matière de sensibilisation à la cybersécurité évoluent : les collaborateurs n’ont pas seulement besoin de connaître les outils approuvés, ils doivent aussi savoir que l’IA peut se tromper, qu’il faut vérifier ses réponses et qu’il y a des outils dans lesquels il ne faut jamais saisir d’informations relatives à l’entreprise.

Il est possible de rédiger une politique interdisant aux utilisateurs de copier-coller des informations confidentielles dans un outil non approuvé, mais elle sera peut-être insuffisante lorsqu’ils devront décider, dans le feu de l’action, si les notes de réunion, le code source, la stratégie interne ou le contexte client doivent être considérés comme des données sensibles. Ces questions se posent dans le flux de travail et nécessitent des exemples pratiques.

La peur rend le shadow IA plus difficile à déceler

La gouvernance de l’IA doit également tenir compte du degré d’assurance des collaborateurs. Certaines personnes ont peur d’utiliser le mauvais outil, d’exposer accidentellement des données ou de prendre du retard sur des collègues qui utilisent déjà régulièrement l’IA. Les uns peuvent éviter complètement l’IA, tandis que les autres l’utilisent sans le dire, pour aller plus vite.

Une communication basée sur la peur ne résout pas ce problème. Si tout ce que les collaborateurs entendent, c’est qu’il y a du danger et qu’on leur impose des restrictions, ils risquent d’arrêter de poser des questions. Au lieu d’avoir plus de visibilité, les équipes de sécurité en auront de moins en moins.

Il vaut mieux donner aux gens l’occasion de faire leurs expériences en toute sécurité. Partagez des exemples d’utilisation approuvée. Montrez à quoi ressemble un bon prompt. Expliquez pourquoi certaines données ne doivent pas être saisies dans l’IA. Offrez aux collaborateurs un espace où ils pourront poser leurs questions lorsque la réponse n’est pas évidente.

Vous permettrez ainsi au shadow IA de paraître au grand jour. Non parce que les gens sont obligés de se conformer aux instructions, mais parce que la voie la plus sûre est aussi celle qui est la plus simple.

L’utilisation sécurisée de l’IA doit être adaptée aux collaborateurs

Il faut aussi que les directives sur l’IA soient en phase avec l’activité de vos collaborateurs sur le terrain. À l’heure où l’IA n’est plus réservée à des postes techniques, mais s’intègre dans les tâches du quotidien, vous n’aiderez pas vos différents collaborateurs à adopter des habitudes plus sûres en leur faisant suivre une session de formation longue et technique sur le sujet.

Commencez par les comportements qui exposent le plus vos données et donnez des conseils sur les contextes où vos collaborateurs sont le plus susceptibles d’utiliser l’IA sans trop réfléchir.

Concilier la sécurité de l’IA avec la productivité quotidienne

Les responsables de la sécurité doivent faire en sorte que l’utilisation sécurisée de l’IA soit plus facile que l’utilisation cachée.

Il faut donc fournir aux collaborateurs des outils approuvés, des instructions pratiques et de modules pédagogiques brefs qui leur servent vraiment dans leur travail. Le shadow IA doit être considéré comme un signal d’alerte. Si les gens se tournent vers des outils non approuvés, c’est généralement que l’entreprise n’a pas encore mis à leur disposition de solution viable pour répondre à leur besoin.

Le double front dont nous parlions plus haut est plus facile à gérer lorsque la sécurité et la productivité vont de pair. Les collaborateurs développent suffisamment d’assurance pour utiliser l’IA de manière responsable et cela réduit les angles morts pour les équipes de sécurité. L’entreprise conserve les avantages de l’IA sans laisser les collaborateurs dans le flou quant aux limites de son utilisation.

Aidez les collaborateurs à utiliser l’IA en toute assurance et en toute sécurité dans leur travail quotidien.