La traduction de documents confidentiels par une IA générative standard. Les données risquent de transiter par une IA hébergée à l’étranger et d’être utilisées notamment aux fins d’entrainement des modèles, parfois sans le consentement clair des utilisateurs, et ainsi échapper à tout contrôle.
L’évaluation des partenaires commerciaux par un outil étranger. Outre la perte du contrôle sur les données, l’évaluation exclusive par l’outil peut aboutir à des décisions automatisées difficiles à justifier dites « boîtes noires », éventuellement reproduisant des biais présents dans les données d’entrainement, et donc potentiellement inéquitables ou discriminatoires. L’outil est susceptible d’apporter la réponse la plus probable statistiquement, quitte à générer des événements (hallucinations) et pas nécessairement la plus pertinente, ni exacte, dans le contexte de la question posée.
Usurpation du visage et de la voix du dirigeant par hypertrucage (deep fake). Les risques en matière d’imitation du style humain ou d’attaques personnalisées et ciblées (spear phishing) sont difficiles à détecter. Sans oublier les « exemples contradictoires » (adversarial examples) par manipulation ou empoisonnement des données d’entrée d’IA pour provoquer des erreurs (véhicules autonomes, dispositifs médicaux).
Préconisations de la DGSI. Le cadre d’emploi de l’IA doit être défini dans la charte informatique, laquelle peut être complétée par un guide pratique sur les usages autorisés ou non de l’IA générative par les collaborateurs. Le recours à une IA générative française hébergée en France est à favoriser (souveraineté des données et respect du RGPD) ainsi que son exécution « en local », directement sur le système d’information de l’entreprise (confidentialité et contrôle accrus des données). Le développement d’une culture de la cybersécurité passe par la formation (exclusion des données personnelles, des tâches sensibles, vérifications systématiques des résultats), la transparence vis-à-vis de la hiérarchie comme du client. La DGSI met à disposition une adresse dédiée pour signaler tout événement suspect lié à l’utilisation de l’IA: securite-economique@interieur.gouv.fr
