Faciles à insérer dans les processus métiers, simples d’utilisation et portées par leur capacité à répondre à des demandes exprimées en langage naturel, elles sont capables de produire du contenu original et pertinent : les IA génératives sont en train de révolutionner le monde de l’entreprise.
Mais, alors que de plus en plus d’ingénieurs logiciels utilisent l’Intelligence Artificielle, au travers d’outils comme ChatGPT ou GitHub Co-Pilot, une question se pose pour les entreprises : quels sont les risques de sécurité qui y sont associés ?
GitHub : des problèmes de sécurité avérés
Utilisée par près de 100 millions de développeurs, GitHub est une plateforme très similaire à ChatGPT où sont hébergés une multitude de projets en open-source. Cependant, un rapport du GitGuardian a révélé que GitHub est aussi un endroit où des informations sensibles peuvent facilement être divulguées. En effet, ce rapport mentionne plus de 10 millions de secrets, tels que des identifiants et des clés d’API, ont été exposés dans des dépôts publics rien qu’en 2022.
Pour ne citer qu’un exemple : en 2022, un consultant de l’entreprise Toyota a accidentellement divulgué des informations d’identification de base de données associées à une application mobile Toyota dans un dépôt public GitHub. Pourtant, la société n’utilise pas elle-même GitHub !
En effet, parmi ces 10 millions d’informations confidentielles divulguées, un grand nombre appartenaient à des entreprises et des organisations, mais elles ont été divulguées par le biais de comptes personnels ou non connectés appartenant généralement aux collaborateurs.
ChatGPT sur la même lancée
Les grandes similitudes des plateformes GitHub et ChatGPT soulèvent donc des inquiétudes concernant l’utilisation des outils LLM dans les entreprises. Car, même si une entreprise n’utilise pas ChatGPT, ses collaborateurs le font très certainement, que ce soit par crainte de prendre du retard s’ils n’utilisent pas ces outils ou pour améliorer leur productivité. Cependant, il est impossible d’avoir un contrôle total sur ce que les employés partagent avec ChatGPT.
Les risques que des informations sensibles soient stockées sur la plateforme et puissent fuiter représentent un véritable problème de sécurité pour les entreprises. En mars dernier, L’exposition accidentelle de l’historique des requêtes à des utilisateurs de ChatGPT non accrédités est un exemple criant de ces risques. Le service de sécurité des données Cyberhaven avait alors détecté et bloqué les demandes de saisie de données dans ChatGPT de 4,2 % des 1,6 million d’employés de ses entreprises clientes en raison du risque de fuite d’informations confidentielles, de données de clients, de code source ou d’informations réglementées, vers le LLM.
Dans un premier cas, un cadre avait copié/collé dans ChatGPT le document de stratégie 2023 de son entreprise et lui avait demandé de créer une présentation PowerPoint. Dans un autre cas, un médecin avait saisi le nom de son patient ainsi que les détails de son état de santé et avait demandé à ChatGPT de rédiger une lettre à la compagnie d’assurance du patient.
Une utilisation anodine de ChatGPT pour les utilisateurs, mais des informations confidentielles susceptibles d’être divulguées… Et l’arrivée récente de cette nouvelle IA Générative ne permet pas d’avoir le recul nécessaire pour mesurer l’ampleur potentielle du risque.
Pourtant, l’ironie de l’histoire veut que, l’un des meilleurs moyens pour connaître les outils utilisés par les développeurs est de comptabiliser le nombre de secrets divulgués sur GitHub. Selon ce même rapport du Gitguardian, les clés d’API OpenAI ont connu une augmentation massive vers la fin de l’année 2022, tout comme les mentions de ChatGPT sur GitHub. Ceci montre une tendance claire à l’utilisation de ces outils par les développeurs et collaborateurs.
IA Génératives : les 6 risques principaux pour les entreprises
Dans un autre rapport paru en début d’année 2023, Gartner a identifié 6 risques essentiels que tout DSI devrait avoir en tête afin de mieux gérer l’usage de ces IA dans leur entreprise :
Risque 1 – Des réponses inexactes
Le premier risque identifié par cette étude est la tendance de ChatGPT et des LLM à « halluciner ». En d’autres termes, à fournir des informations incorrectes ou fausses mais plausibles en apparence.
Cela peut aller de faits totalement inventés à des textes juridiques qui n’ont jamais existé ! Et, contrairement à Google, il est impossible de savoir si le contenu proposé par ChatGPT provient de sources légitimes.
Ce risque d’utiliser des données inexactes doit donc inciter les utilisateurs de ces IA à vérifier systématiquement la pertinence et l’exactitude des réponses générées avant de les exploiter.
Risque 2 – La protection des données
En effet, les données « publiées » sur ChatGPT par un utilisateur peuvent être réutilisées sans qu’aucune information précise ne lui soit communiquée quant au sort réservé aux données ainsi traitées.
Or, comme l’a jugé la « CNIL italienne » lorsqu’elle a suspendu l’utilisation de ChatGPT dans son pays, le Règlement Général de la Protection des Données (RGPD) exige que toute personne soit informée du traitement des données la concernant, que les données personnelles communiquées soient exactes et que l’âge des utilisateurs puisse être vérifié.
Certes, après ses déboires avec l’Italie, l’OpenAI a clarifié sa politique et introduit un réglage qui simplifie les choses : si l’historisation des discussions est désactivée, aucune donnée transmise à ChatGPT ne sera exploitée à des fins d’enrichissement de l’IA. En revanche, si cette historisation reste activée, les données transmises pourraient se retrouver incorporées dans le savoir de l’IA et donc être utilisées pour répondre à d’autres utilisateurs hors de l’entreprise.
Aussi, en attendant davantage de finesse dans les réglages de ChatGPT, les entreprises n’ont d’autre solution que d’imposer à leurs collaborateurs la désactivation de leur historique pour éviter tous risques de fuite.
Risque 3 – Les biais algorithmiques des réponses
Malgré les efforts d’OpenAI pour minimiser les discriminations et les biais dans ChatGPT, ces derniers existent. En pratique, il est très difficile d’identifier ces biais algorithmiques, car les critères de classement et de formulation évoluent en permanence. D’autant qu’il n’existe pas plus de solution que de méthode de détection pour les éviter.
Sur ce sujet, Ron Friedmann, senior director analyst chez Gartner, rappelle d’ailleurs : « Une élimination complète des biais est probablement impossible. Les services juridiques et de conformité doivent rester au fait des lois régissant les biais de l’IA et s’assurer que leurs conseils y sont conformes. Cela peut imposer de travailler avec des experts en la matière pour s’assurer que les résultats sont fiables ».
L’analyste conseille également d’utiliser les fonctions d’audit des navigateurs et machines afin de mettre en place des contrôles de qualité et d’analyser les sujets qui amènent les IA sur des sujets portant à controverse.
Risque 4 – La propriété intellectuelle
ChatGPT étant formé sur une grande quantité de données provenant d’Internet, dont certaines sont probablement protégées par le droit d’auteur, ses réponses peuvent potentiellement enfreindre des droits et copyrights.
La tâche est d’autant plus compliquée que ChatGPT et les autres IA génératives ne citent pas les sources qui ont inspiré leur réponse. Mais en l’absence de textes juridiques ou de jurisprudence en la matière, les entreprises restent dans le flou total sur ce sujet.
C’est donc à l’utilisateur de faire attention à l’usage qu’il fait des réponses fournies par ChatGP afin d’éviter toute violation de la propriété intellectuelle.
Risque 5 – La cyberfraude
Des utilisateurs malveillants se servent déjà de ChatGPT pour générer de fausses informations à grande échelle. Sans compter que ChatGPT est susceptible de subir les techniques de hacking qui trompe le modèle pour lui faire accomplir des tâches non prévues.
Une surveillance appropriée est par conséquent indispensable afin de limiter ces risques et d’éviter la désinformation tant sur le plan interne que vers l’extérieur.
Risque 6 – La protection du consommateur
Au-delà du risque d’image, faire croire aux utilisateurs qu’ils discutent avec une personne physique alors que c’est ChatGPT qui leur répond constitue un risque légal en vertu des lois luttant contre les arnaques et tromperies.
Il est donc important que les entreprises gardent une éthique sans failles en respectant les réglementations en vigueur et notamment en précisant bien à leurs clients lorsqu’ils échangent avec une IA et non avec un être humain.
Prévenir les risques liés à l’utilisation de l’IA en entreprise
Poussés d’abord par la curiosité puis par la conviction qu’elles peuvent les aider au quotidien, les IA se sont déjà bien infiltrées dans le quotidien de nombreux collaborateurs. Au quotidien, elles leur évitent le manque d’idées, les aident à structurer la pensée, leur font gagner du temps et peuvent même participer à l’optimisation des processus métiers. Ceci alors même qu’elles sont encore déconnectées du savoir informationnel de l’entreprise.
Mais à la manière des outils SaaS, elles imprègnent tellement les usages que lutter contre leur utilisation s’avère bien souvent contre-productifs. Il est donc certainement plus simple d’accompagner le mouvement en formant les collaborateurs au bon usage de l’IA.
Une utilisation qui impose de connaître et comprendre les réglages de confidentialité, le respect du RGPD, les qualités et les limites de l’IA mais également les risques liés à leur utilisation.
Par conséquent, il revient aux DSI de sensibiliser leurs responsables juridiques et leurs collaborateurs, comme le précise Ron Friedmann, « les responsables juridiques et de la conformité doivent évaluer si ces questions présentent un risque important pour leur entreprise et quels sont les contrôles nécessaires, à la fois au sein de l’entreprise et auprès de ses partenaires. En l’absence d’une telle évaluation, les entreprises s’exposent à des conséquences juridiques, financières et à des atteintes à leur réputation ».
« Envisagez également de mettre en œuvre des lignes directrices sur l’utilisation responsable de l’IA générative par le biais d’une liste de fournisseurs et de services approuvés, en privilégiant ceux qui s’efforcent d’assurer la transparence des ensembles de données utilisés pour la formation et l’utilisation appropriée des modèles ou qui proposent leurs modèles en open source. » conclut Brian Burke, vice-président de la recherche en matière d’innovation technologique chez Gartner.
Vers une assurance spéciale IA ?
En prenant des mesures pour se former et pour sécuriser ses données, les utilisateurs et les développeurs peuvent tirer parti des avantages de l’IA, sans compromettre la sécurité de leur entreprise. Il ne faut donc pas chercher à résister à la révolution de l’IA, mais plutôt l’intégrer avec prudence.
Pour autant les fuites d’informations et de données sensibles sont une préoccupation légitime, car elles représentent un risque bien réel. C’est pourquoi le monde de l’assurance aurait certainement tout intérêt à miser, lui aussi, sur l’innovation grâce à de nouveaux produits adaptés pour couvrir ce type de risque.
Alors, bientôt une assurance spéciale contre les risques liés aux conséquences de l’utilisation de ChatGPT par les entreprises ?
