Comment l'Office fédéral de la cybersécurité traite-t-il les incidents provoqués par des dysfonctionnements de systèmes d'intelligence artificielle?

Wortlaut

L’Office fédéral de la cybersécurité (OFCS), créé au 1er janvier 2024, a notamment pour tâche de réceptionner les signalements de cyber-incidents et d’aider les exploitants d’infrastructures critiques à gérer de tels incidents. Jusqu’au 31 décembre 2023, c’est le Centre national pour la cybersécurité (NCSC) qui exerçait cette tâche.

Le dernier rapport semestriel de l’OFCS, publié le 6 mai 2024, révèle que le nombre de signalements de tentatives d’escroquerie impliquant l’intelligence artificielle (IA) est en hausse. Les annonces portent notamment sur des attaques de sextorsion avec des images générées par l’IA ainsi que sur des appels téléphoniques et des fraudes à l’investissement au nom de personnalités connues.

Les applications d’IA peuvent représenter un danger pour la population si elles sont utilisées à des fins malhonnêtes. Mais elles peuvent aussi constituer un risque de sécurité en tant que telles, sans aucune intervention humaine, lorsqu’elles dysfonctionnent (fuite de données, mise en péril du fonctionnement d’une infrastructure critique, etc.). L'OECD AI Incidents Monitor (AIM) montre d’ailleurs que le nombre d'incidents provoqués par des dysfonctionnements de systèmes d’IA sans intervention humaine a sensiblement augmenté au cours des dernières années.

1. Combien d'incidents provoqués par des dysfonctionnements de systèmes d'IA, sans intervention humaine, ont été annoncés à l’OFCS (respectivement au NCSC) au cours des trois dernières années ? Les incidents de ce genre, sont-ils en augmentation en Suisse ?

2. Quelles sont les suites données par l’OFCS à de telles annonces ? Quelles sont les mesures prises ?

3. Est-ce que l’OFCS déploie une activité d’information et de prévention, notamment auprès des exploitants des infrastructures critiques visées par la loi fédérale sur la sécurité de l’information, concernant les risques que peuvent constituer les systèmes d’IA même sans intervention humaine ?

Stellungnahme des Bundesrates

1) et 2) L’Office fédéral de la cybersécurité (OFCS, anciennement NCSC) n’a reçu aucune annonce d’incident de sécurité ces dernières années concernant un dysfonctionnement provoqué par une intelligence artificielle (IA). Par extension, aucune augmentation de ces incidents n’a donc été constatée.Les chiffres publiés par l’OECD Monitor se basent sur des annonces faites par les médias internationaux, dont la plupart relèvent de menaces générales et non pas de cas concrets. 3) L ’OFCS fait de la sensibilisation aux cybermenaces, parmi lesquelles comptent également les menaces engendrées par l’utilisation de nouvelles technologies. Les mesures de protection techniques et organisationnelles doivent être efficaces face à toute sorte d’attaques. La question de savoir si la menace provient de pirates ou de systèmes dysfonctionnels n’a par conséquent pas d’importance dans le cadre du renforcement de la prévention. L’OFCS n’a pour l’instant mené aucune campagne spécifique aux applications IA. Dans son rapport en réponse au Po. 23.3861 Andrey Gerhard « Opportunités et risques des systèmes d'intelligence artificielle dans la cybersécurité » , le Conseil fédéral exposera les avantages et les risques qu’offre l’utilisation de l’IA pour la cybersécurité.