Menace pour la résilience : Dépendance croissante à l'égard des fournisseurs d'IA

L'intelligence artificielle étant désormais devenue une composante essentielle des opérations commerciales mondiales, elle a le potentiel d'influencer tous les domaines, de l'analyse des données à la prise de décision, voire même la sécurité.

Mais la plupart des discussions se concentrent sur les capacités, la puissance, la productivité et la précision de l'intelligence artificielle, et ignorent un point essentiel.

Alors que tous les regards sont tournés vers les conséquences de l'application de l'intelligence artificielle, rares sont ceux qui s'interrogent sur ce qui se passera lorsque l'accès aux capacités de l'IA disparaîtra soudainement.

Un exemple notable en est la controverse entourant le rétablissement par Anthropic de l'accès à ses modèles d'IA Fable et Mythos, qui portait principalement sur les délais de mise en conformité et les mécanismes de contrôle des exportations.

Pourtant, rares sont ceux qui se sont interrogés sur les raisons pour lesquelles tant d'organisations ont constaté qu'une simple décision externe, indépendante de leur volonté, avait anéanti du jour au lendemain une capacité opérationnelle essentielle. En bref, les interruptions d'accès à l'IA sont symptomatiques d'un problème bien plus vaste concernant la résilience opérationnelle et révèlent une lacune de gouvernance négligée en matière de dépendance.

À mesure que les organisations intègrent plus profondément l'intelligence artificielle dans leurs opérations commerciales, elles doivent passer d'une réflexion sur la sécurité actuelle de l'IA à une question : leurs organisations pourront-elles continuer à fonctionner si ces services d'IA deviennent indisponibles ?

Sécurité ne rime pas avec flexibilité

Ces sujets rarement abordés soulèvent un point important : sécurité et résilience ne sont pas synonymes.

La sécurité empêche et protège les systèmes contre les intrusions. Elle bloque l'accès des attaquants, réduit le nombre de vulnérabilités et protège contre les acteurs malveillants — autant d'éléments essentiels des opérations de sécurité. La résilience, quant à elle, est la capacité à poursuivre les activités commerciales lorsque les systèmes, les services ou les données deviennent indisponibles, quelle qu'en soit la raison.

On associe souvent la résilience à des situations comme les cyberattaques ou les pannes d'infrastructure informatique. L'intelligence artificielle (IA) a transformé le paysage des menaces pour les organisations, leur façon d'utiliser l'IA et leurs stratégies de protection. Les organisations doivent désormais anticiper les interruptions d'accès aux outils et fonctions critiques de l'IA, dues à des décisions géopolitiques, des changements réglementaires ou des modifications apportées par les fournisseurs de technologies eux-mêmes.

Le service ne devrait pas être compromis au point d'être indisponible. Une décision politique prise à l'autre bout du monde peut avoir le même impact opérationnel. Nous l'avons clairement constaté avec Anthropic.

Dans cette optique, la résilience doit être intégrée au fonctionnement de l'organisation et concerner toute nouvelle infrastructure d'IA, afin de garantir la continuité des activités même en cas d'ingérence politique.

L'intelligence artificielle crée une nouvelle forme de dépendance vis-à-vis des fournisseurs.

Alors que les dépendances logicielles traditionnelles impliquent généralement un seul fournisseur ou quelques-uns, l'IA d'entreprise repose souvent sur un écosystème interconnecté que l'organisation ne possède ni ne contrôle. Chaque couche supplémentaire de cet écosystème représente une dépendance, et donc un point de défaillance potentiel.

Cela crée quatre facteurs de risque dont les conducteurs doivent être conscients :

Souveraineté des données : Les données d'entreprise peuvent être traitées dans des juridictions juridiques qui ne sont pas contrôlées par l'entreprise, avec une visibilité limitée sur qui peut y accéder ou si elles alimentent l' entraînement de futurs modèles.

Suprématie des modèles : les organisations ont souvent peu ou pas de contrôle sur la disponibilité des modèles, leurs fonctionnalités et leurs modifications, ou sur les décisions d’accès, ce qui les rend vulnérables si un fournisseur décide soudainement de restreindre l’accès ou de retirer des fonctionnalités.

Dépendance à l’infrastructure : Une grande partie de l’écosystème actuel de l’IA d’entreprise repose sur un petit nombre de fournisseurs de services cloud opérant sous des juridictions nationales spécifiques.

Risques liés à la chaîne d'approvisionnement de l'IA : L'interconnexion des modèles fondamentaux, des plateformes de cloud computing et des fournisseurs de logiciels indique que toute perturbation à un niveau peut rapidement se propager à l'ensemble de la pile technologique.

Ces facteurs dépendent de plus en plus de la géopolitique plutôt que de la technologie elle-même.

Gouvernance de l'IA : un sujet à l'ordre du jour du conseil d'administration

En réalité, un contrat fournisseur ne peut à lui seul garantir un accès ininterrompu aux outils et plateformes dans lesquels une organisation a investi. Or, les cadres de gouvernance n'ont pas encore véritablement évolué pour prendre en compte ce problème. Seuls des cadres émergents comme NIS2 et DORA reconnaissent que la résilience doit aller au-delà de la simple atténuation des menaces de cybersécurité.

La meilleure pratique pour les organisations, lorsqu'il s'agit de contrats avec les fournisseurs et de leurs cadres de gouvernance, consiste à comprendre sur quels fournisseurs elles comptent et à élaborer des plans de contingence qui leur permettent de fonctionner sans heurts pendant les périodes de perturbation.

Qu’il s’agisse d’une plateforme d’IA , d’une solution ITSM, d’un système CRM ou de toute autre technologie critique, les organisations doivent évaluer comment elles pourront continuer à fonctionner en cas de changement soudain d’accès. L’IA doit être soumise au même examen rigoureux que toute autre ressource tierce critique.

Commencez à mettre en œuvre des cadres de résilience avant la prochaine perturbation.

Par ailleurs, les conseils d'administration doivent se méfier des affirmations concernant les capacités de l'IA et ne pas les prendre pour argent comptant. Les organisations doivent exiger des preuves que les affirmations des fournisseurs produisent des résultats mesurables.

Bien que l'intelligence artificielle puisse identifier rapidement un grand nombre de vulnérabilités potentielles, leur simple détection ne suffit pas à renforcer la résilience. L'expertise humaine demeure essentielle pour valider les résultats, prioriser les correctifs en fonction de leur impact immédiat sur l'activité et veiller à ce que les ressources soient concentrées là où le risque est réel.

La principale leçon à tirer des récentes turbulences liées à l'IA est la sous-estimation, par de nombreuses organisations, de leur dépendance à des technologies qu'elles ne maîtrisent pas pleinement. Face aux discussions renouvelées des législateurs américains concernant un éventuel « bouton d'arrêt d'urgence » pour l'IA, cette question devrait être une priorité absolue.

Les dirigeants d'entreprise doivent prendre conscience que chaque opportunité offerte par l'IA s'accompagne d'un risque permanent de dépendance vis-à-vis des fournisseurs. Si vous étiez aujourd'hui directeur technique d'une grande organisation, vous veilleriez à ce que les équipes de tous les départements technologiques et de sécurité comprennent l'origine des capacités critiques d'IA, les interdépendances tout au long de la chaîne d'approvisionnement et comment les opérations pourraient rester agiles en cas de changement soudain d'accès.

En définitive, le succès futur de l'utilisation de l'intelligence artificielle dans les entreprises dépendra de l'intégration de stratégies de gouvernance et de résilience dans les plans d'affaires, afin que les activités se poursuivent normalement et en toute sécurité malgré les perturbations commerciales, politiques et opérationnelles.

Notre classement des meilleures plateformes de sauvegarde dans le cloud.