Le plan de cybersécurité de la Maison Blanche rate le coche en matière d’IA et d’IoT

Le plan de mise en œuvre de la stratégie nationale de cybersécurité de l’administration Biden, longtemps retardé, est là, et il est scandaleusement inadéquat. L'intelligence artificielle (IA) n'apparaît pas une seule fois dans le document de 57 pages. Et le véhicule de l'expansion mondiale de l'IA, l'Internet des objets (IoT), est traité de manière superficielle. Le plan en 65 points contient de nombreuses idées intelligentes, mais il semble coincé dans le temps, comme s’il avait été rédigé lorsque Biden a été élu et laissé ramasser la poussière à mesure que la technologie évolue rapidement.

Il n’y a pas de problème bleu contre rouge ici. Juste des formalités administratives. Presque tous les plans gouvernementaux sont obsolètes au moment où l’encre sèche, alors c’est peut-être pour le mieux. L'autoréglementation de l'industrie sera le principal moteur de changement significatif, mais l'ingérence du gouvernement est inévitable, il est donc préférable de se tourner vers le Congrès sur la question.

La représentante Suzan DelBene (D-Wash.) a déjà commencé, avec l'introduction de l'IoT Readiness Act, qui pourrait être le projet de loi technologique le plus important depuis des années avec les bons ajustements – un véritable slam dunk bipartisan. Les deux parties s’empresseront d’être plus fortes que l’autre pour éloigner les entreprises américaines de la Chine et protéger les enfants des excès technologiques.

Mais pourquoi se concentrer sur l’IoT alors que l’IA est le principal problème ? L’IA est reconnue comme le plus grand changement commercial et sociétal depuis Internet, et peut-être comme la plus grande menace pour l’humanité. Mais la rapidité de la prise de contrôle de l’IA, pour le meilleur ou pour le pire, est limitée par un facteur : son intégration dans les milliards d’appareils connectés qui envahissent chaque centimètre carré de l’espace sur Terre. McKinsey & Company prévoit que ce créneau technologique, l'IoT, atteindra entre 5 500 et 12 600 milliards de dollars par an d'ici 2030, soit bien plus que le secteur plus branché des technologies financières, estimé à seulement 1 500 milliards de dollars.

L’IoT n’est en réalité qu’une extension de l’accès Internet traditionnel, accepté comme un service public. Autoriser l’IA dans l’IoT nécessite le même niveau de contrôle fédéral et étatique que pour l’électricité ou l’eau. L’IA constitue un risque extrêmement grave pour la sécurité nationale, tant pour les consommateurs que pour les entreprises et les infrastructures publiques. Et l’IoT basé sur l’IA – eh bien, c’est un trésor qui peut être exploité par de mauvais acteurs et par des États étrangers.

Les pirates collectent des données sensibles sur des appareils connectés, comme voler des bonbons aux bébés. Selon le rapport 2022 sur la défense numérique de Microsoft, il y a eu plus de 100 millions d'attaques contre les appareils IoT au cours des quatre semaines seulement de mai 2022, soit une multiplication par cinq d'une année sur l'autre. Et le passage forcé aux technologies à distance, forcé par la pandémie, a entraîné une augmentation de 700 % des logiciels malveillants spécifiques à l’IoT. C'est une mauvaise nouvelle pour le foyer américain moyen, qui possède déjà 22 appareils connectés, notamment des smartphones, des ordinateurs, des réfrigérateurs, des thermostats, des caméras de sécurité domestiques, et bien plus encore.

Le projet de loi initial de DelBene permet uniquement au gouvernement d'entrevoir l'avenir de l'IoT, sans s'attaquer aux conséquences négatives de l'inévitable introduction de l'IA. Voici quelques modifications au projet de loi visant à renforcer la sécurité de l’IA/IoT et à combler les lacunes du plan de la Maison Blanche :

— Coordonner le projet de loi avec les trois projets de loi sur l'IA du sénateur Gary Peters (Démocrate du Michigan) au Sénat. Le lien entre l’IA et l’IoT est bien réel mais très mal compris à Washington, DC. Si les risques de sécurité de l’IA et de l’IoT ne sont pas correctement évalués ensemble et que les factures de l’IA continuent de s’accumuler, des failles seront inévitables.

—La sécurité doit être une caractéristique de conception dès le départ pour chaque appareil connecté en Amérique. Chaque appareil connecté susceptible d'alimenter l'IA doit inclure la transmission et le stockage de données cryptées, la minimisation des données (collecte uniquement les données nécessaires au fonctionnement du produit) et l'anonymisation des données.

— Mandater des normes de sécurité. Le Cyber ​​Trust Mark américain de la Maison Blanche pour les appareils d'étiquetage est inutile car facultatif. Il existe un large consensus dans l'industrie sur les normes de sécurité, mais les fabricants ignorent souvent les meilleures pratiques. Un autocollant sur une boîte est comme les étiquettes « biologiques » à l'épicerie : un symbole du respect des normes les plus simples. Des normes efficaces doivent être obligatoires.

—Augmenter la surveillance civile et universitaire. Cela garantit la transparence, mais réduit également les tensions liées à une influence politique potentielle au sein de la Commission fédérale des communications (FCC) et d'autres agences.