La grande question
Les conversations autour de l’IA d’entreprise ont radicalement changé au cours des 18 derniers mois. Le progrès rapide, jumelé à une adoption généralisée, nous a montré le potentiel de l’IA. Nous comprenons son impact sur l’entreprise. Nous avons vu sa valeur commerciale. La question n’est plus « Comment l’IA va-t-elle impacter mon entreprise ? »
C’est plutôt « Comment utiliser l’IA de façon éthique ? »
Les rôles et responsabilités liés à la technologie ont évolué à mesure que l’IA est devenue plus intelligente et influente. Cela s’accompagne d’une préoccupation grandissante face aux biais, à la transparence, à la responsabilisation et au risque de conséquences non intentionnelles.
Ces questions d’éthique et de responsabilité ne relèvent pas uniquement du RSSI ou de l’équipe technologique. Ce sont des questions organisationnelles et stratégiques requérant une analyse approfondie.
Le grand défi
Limiter l’usage de l’IA à travers l’entreprise signifie que vous serez à la traîne. Ce n’est pas une option. Mais le défi auquel font face les entreprises consiste à permettre l’innovation tout en protégeant l’entreprise.
Les adeptes enthousiastes veulent faire progresser l’entreprise, mais celle-ci a la responsabilité de le faire en tenant compte du niveau de risque approprié – protégeant à la fois les clients et les aspects commerciaux.
L’autonomisation éthique
L’IA générative commence à toucher tous les aspects de l’entreprise. Et c’est bien ainsi : chaque équipe devrait avoir une stratégie en matière d’IA.
Toutefois, lorsque vous démocratisez l’usage de l’IA et des données — et que vous générez une multitude de cas d’utilisation — la confidentialité et la sécurité doivent rester au cœur de chaque proposition. Cela exige un changement culturel — autant en matière d’intégration d’une culture de l’expérimentation pour extraire la valeur des nouvelles technologies que d’instaurer un sens de responsabilité partagée autour de l’usage des données et de l’IA.
Il ne s’agit plus seulement de cybersécurité et confidentialité des données, c’est aussi une question d’éthique. Vos clients seraient-ils satisfaits de l’utilisation que vous faites de leurs données? Agissez-vous pour le bien de la société?
Ce sont là d’importantes questions pouvant sembler intimidantes pour les entreprises qui commencent tout juste à intégrer l’IA à grande échelle. Regardons les premières considérations pratiques.
Adoptez une démarche sécuritaire
Considérez ces principes et impératifs clés.
Éviter l’ombre de l’IA
Avec autant d’outils d’IA générative mis en place et tant d’applications reconnues arrivant sur le marché au cours des 18 derniers mois, le risque de l’IA clandestine — l’utilisation non autorisée d’IA — est immense dans l’entreprise. Il est essentiel pour les organisations d’anticiper cela afin de s’assurer que les outils sont adéquatement validés, que les données sont bien protégées et que l’entreprise n’est pas exposée à des risques. L’adoption de l’IA n’est pas un choix : elle finira par s’introduire dans votre organisation d’une façon ou d’une autre. Ceux qui travaillent dès maintenant à instaurer des changements, à adopter et à définir des garde-fous seront ceux qui sauront se prémunir contre les risques.
Adoptez une approche basée sur le risque
Traditionnellement, le choix des priorités de votre portefeuille se faisait en fonction de la valeur commerciale vs le coût. Cependant, lors de la mise en place des modèles et de l’alimentation en données, le risque devient aussi un facteur déterminant. Vous devez apprendre en faisant, et cela implique l’utilisation de données réelles.
Commencez par les cas d’utilisation représentant le moins de risque. Typiquement, il s’agit des scénarios où l’organisation elle-même utilise les données. Par exemple, concevoir des chatbots pour employés avec Microsoft Copilot avant d’en créer pour les clients.
En identifiant les cas d’utilisation avec lesquels commencer, évaluez quels risques existent déjà dans le processus, sans IA générative. Maintenant, à quel point le risque est-il accru (ou diminué) avec l’introduction de l’IA? Prenez une décision consciente, basée sur des preuves, pour retenir quelques cas initiaux.
| Catégorisation et réduction des demandes de service à la clientèle. | ||
Utiliser l’IA générative pour :
| Supervision humaine pour :
| Résultats :
|
Commencez par l’augmentation
Les premiers cas d’utilisation devraient cibler l’autonomisation des employés, en augmentant leur rôle avec l’IA pour leur faire gagner du temps et les libérer afin qu’ils contribuent ailleurs. C’est ce que permet la suite Microsoft Copilot : Copilot pour Microsoft 365, Copilot pour les ventes et Copilot pour le service sont trois exemples bâtis pour augmenter et améliorer l’expérience de l’utilisateur dans un outil ou une discipline spécifiques.
Il s’agit d’une façon à faible risque d’implanter l’IA, tout en restant puissant puisqu’on peut continuellement améliorer l’augmentation et l’échelle une fois les essais réalisés, et permettre à l’entreprise de profiter d’un gain de productivité initial.
Assurer une adoption sécuritaire
Autonomiser les employés signifie améliorer leurs compétences, souvent à travers toute l’organisation. Un programme de formation à l’échelle de l’entreprise constitue la première étape contre les risques. Chaque employé doit posséder des connaissances de base sur l’utilité des outils, les garde-fous en place et les politiques sur les données afin d’éviter la fuite de données ou les vulnérabilités découlant de logiciels insécurisés.
Établir la sécurité : Données vs plateforme
Les contrôles des plateformes et les politiques de sécurité doivent être dictés par la classification du système d’IA et le type de données qu’il utilise. La sécurité est absolument essentielle ; si vous implantez l’IA cas par cas, vous pouvez établir des politiques spécifiques bien ciblées pour assurer une adoption sécuritaire.
L’IA ne fonctionne pas sans données et les données sont le moteur de l’IA. Cela rend la qualité des données absolument critique pour l’intégrité et la réussite de l’IA générative. Chez HCLTech, nous avons mené des milliers d’implantations en IA, et nous constatons sans cesse que ce sont les données et leur utilisation qui apportent le risque, plutôt que la plateforme utilisée.
Le diable est dans les données
Tout le monde n’a pas besoin d’avoir accès à toutes les données. Celles-ci doivent être segmentées et accessibles uniquement au personnel qui en a besoin. Il s’agit d’un garde-fou important à mettre en place dès le début. Les contrôles contre la surexposition des données sont cruciaux — incluant politiques, procédures, mécanismes et stratégies de gouvernance. En ce qui concerne la protection contre les acteurs malveillants internes, il s’agit d’une étape simple mais critique.
Du point de vue de la qualité, l’approche cas par cas permet de nettoyer minutieusement et d’entretenir les ensembles de données spécifiques que vous confiez à l’IA. Former le modèle avec des données de qualité est non seulement important pour l’exactitude des résultats, mais essentiel pour répondre à la question éthique du biais. Repérez les sources potentielles de biais, définissez les règles et politiques pour les atténuer, et songez à compléter vos données avec des données complémentaires de haute qualité et représentatives.
Faites confiance à la plateforme
Alors que la montée de l’intérêt et l’utilisation de l’IA générative est assez récente, les outils existent pourtant depuis un moment — et en tant que couche fondatrice pour les applications IA, ils sont testés et fiables. Les préoccupations de sécurité ne deviennent pressantes que maintenant, du fait de l’adoption grandissante de ces outils.
Prenez, par exemple, la plateforme Microsoft 365 E5, qui réunit les meilleures applications de productivité avec sécurité avancée, conformité et capacités analytiques. Les fonctions de sécurité sont intégrées à la plateforme, ce qui permet d’étendre la protection d’identité et contre les menaces grâce à la sécurité intégrée et automatisée, et de regrouper protection de l’information et conformité avancée pour protéger et encadrer les données tout en réduisant le risque.
Tout produit Microsoft utilisé par votre organisation intègre la sécurité à la plateforme. Souvent, les organisations ont déjà ces capacités dans leur infrastructure technologique existante, songez donc à mieux utiliser vos abonnements et licences actuels.
Un mot sur la réglementation
La réglementation entourant l’IA évolue rapidement partout dans le monde. Cela suscite des inquiétudes compréhensibles de la part des entreprises qui souhaitent implanter la technologie tout en craignant de se tromper. Quand on étudie ces règlements, ils ne sont pas entièrement nouveaux, mais ils sont multidimensionnels. L’entreprise doit donc désormais instaurer des cadres pour protéger les données, protéger le modèle d’IA, protéger contre les risques de l’IA, puis utiliser l’IA pour protéger l’entreprise.
La couche de données
Vous devez toujours respecter les contrôles traditionnels en matière de sécurité des données : chiffrement, gestion des accès, anonymisation et minimisation des données. Ce sont des contrôles existants que chaque organisation devrait appliquer. Ils demeureront et soutiendront la sécurité de base du moteur d’IA.
La couche de base
Les nouvelles réglementations tiennent compte du besoin de sécuriser votre couche de base, dans le cadre d’un cadre réfléchi intégrant gouvernance, formation et évaluation. Une autre composante est la sécurité du produit fondé sur des algorithmes LP, et comment vous l’avez rattachée à de nouveaux règlements et contrôles pour protéger les modèles d’IA.
La couche d’algorithmes
Votre couche d’algorithmes surplombe vos données, modèles, politiques et le traitement automatique du langage naturel (NLP). La façon dont vous protégez cette partie de votre infrastructure devient un aspect primordial de la cybersécurité et de la protection de votre propriété intellectuelle.
La couche d’architecture
Pour ce qui est de l’architecture applicative, il est important de déterminer où surveiller et comment gouverner les données depuis le début de la transformation jusqu’à la fin — et ensuite assurer une surveillance régulière en continu.
Les mêmes règles s’appliquent. Quand les politiques sont en place, toute adoption de nouvelle technologie exige de la formation et de la sensibilisation. Il s’agit d’un changement de culture et de personnes autant que d’une évolution numérique. Cependant, en utilisant la nouvelle réglementation comme guide au lieu d’y voir une contrainte, vous pourrez accélérer l’adoption.
Tout le monde devient RSSI
À mesure que plus de personnes dans l’organisation sont formées à l’IA et à son usage sécuritaire et responsable, chaque rôle s’oriente davantage vers la donnée et la sécurité. Le rôle du dirigeant principal de la sécurité de l’information (RSSI) évolue donc de la protection vers l’accompagnement. Le défi pour le RSSI, c’est alors de devoir livrer plus — plus de formation, plus d’éducation, plus d’outils — et plus vite.
Avec l’accélération de l’IA, il existe des domaines pratiques où le RSSI peut faire exactement cela. Par exemple, combler l’écart de compétences. Le talent humain est rare, surtout du côté analyste junior, mais l’IA permet maintenant de combler efficacement ce rôle. Ainsi, avec une main-d’œuvre plus petite et moins expérimentée, le RSSI peut accomplir plus grâce à l’IA. La boucle se referme et l’IA commence à protéger l’organisation.
Des étapes sécuritaires pour déployer l’IA à grande échelle
Chez HCLTech, nous prônons une approche pragmatique pour optimiser de façon continue et critique la sécurité des données. Grâce à un cadre défini, nous identifions les cas d’utilisation les plus précieux et déterminons ceux qui apporteront le plus de bénéfices. En combinant nos capacités avec la suite complète des technologies Microsoft, nous pouvons vous aider à intégrer l’IA au sein de votre organisation tout en gérant les données et le changement culturel qui doivent accompagner cette évolution.
