Une densification et une complexification du paysage réglementaire cybersécurité

Les premières tentatives de réglementations en matière de protection des données à caractère personnel et de cybersécurité restent partielles jusqu’au début des années 2000. Elles sont alors initiées essentiellement par les Etats-Unis et l’Union Européenne. Elles sont d’abord axées sur la protection des données à caractère personnel, en France avec la Loi Informatique et Libertés (1978) et aux Etats-Unis avec des réglementations sectorielles :  le Privacy Act (1974) pour le secteur public, le Health Insurance Portability and Accountability Act pour le secteur de la santé (1996) et le Gramm–Leach–Bliley Act (1999) pour le secteur financier.

Les premières réglementations cybersécurité ont ensuite vu le jour au début des années 2000 dans le secteur financier et visaient à améliorer la sécurité des services fournis. Parmi les réglementations notables, on peut citer le Sarbanes-Oxley Act (2002), aux Etats-Unis, renforçant la transparence des entreprises en matière de contrôle interne ainsi que la Directive sur les Services de Paiement (2007), au sein de l’Union Européenne, qui règlemente la sécurité des paiements et des opérations en ligne.

Depuis le début des années 2010, des réglementations plus structurantes ont émergé pour constituer un premier socle réglementaire cyber, toujours dans les mêmes régions. Ces réglementations sont principalement centrées sur la protection des infrastructures critiques, avec en France la Loi de Programmation Militaire de 2013-2018 (2013), aux Etats-Unis le National Cyber Security and Critical Infrastructure Protection Act (2014), mais aussi la directive Network and Information Security 1 (2016) promulguée par l’Union Européenne.

Ce n’est qu’à la fin des années 2010 que la volonté de réglementer l’espace cyber devient plus globale. Alors que de nombreux pays ont emboîté le pas des Etats-Unis et de l’Union Européenne, des réglementations cyber plus contraignantes émergent également, engendrant des impacts en profondeur sur les systèmes d’information. Cela se manifeste à travers l’arrivée de réglementations majeures sur la protection des données à caractère personnel à travers le monde : le Règlement Général sur la Protection des Données (RGPD, 2018) en Europe, le California Consumer Privacy Act (CCPA, 2020) en Californie, la Loi pour la Protection des Données personnelles (LGPD, 2020) au Brésil, la Personal Information Protection Law (PIPL, 2021) en Chine, ou encore le Personal Data Law (2022) en Russie.

D’autres réglementations visant à protéger les systèmes d’informations se multiplient, avec la Cybersecurity Law en Chine (2017), la Réglementation Cybersécurité NYCRR 500 pour l’Etat de New-York (2017), ou encore la nouvelle mouture de la Directive NIS (2023) et DORA en Europe.

Evolution du paysage réglementaire cybersécurité[2]

À ce paysage réglementaire cybersécurité complexe vient par ailleurs s’ajouter un vaste écosystème d’exigences et standards cybersécurité, avec différents niveaux de contraintes : des exigences réglementaires issues de réglementations cyber ou non, à valeur obligatoire, des recommandations ou encore des exigences ayant valeur de contrat. Dans ce contexte, il est nécessaire de bien identifier l’ensemble des exigences applicables et le niveau de contrainte qu’elles imposent.

Typologies d’exigences et standards cybersécurité, au-delà des réglementations cyber

Une stratégie de conformité réglementaire cybersécurité à adapter au nouveau paradigme

Face à la complexification du paysage réglementaire cybersécurité de par le monde, la conformité ne peut être pensée uniquement comme une conformité totale à l’ensemble des exigences réglementaires applicables. Face à des exigences pointues et coûteuses à appliquer, voire parfois contradictoires, il devient nécessaire de mettre en place des stratégies de conformité cyber basées sur les risques. Leur définition sera basée sur l’étude du niveau de conformité réglementaire de l’existant, sur l’évaluation de l’effort et de la complexité des mesures devant être déployées pour la mise en conformité à chaque réglementation, mise au regard des risques associés à de potentielles non-conformités, tant en termes de sanctions qu’en termes de protection du SI. Cette analyse, loin de vouloir échapper à la loi, vise à bien identifier le bénéfice/risque des activités et peut conduire à réorienter des activités, limiter leurs périmètres, ou encore agir de concert avec l’écosystème pour faire évoluer les exigences.

Afin de mettre en œuvre une telle stratégie, il est d’abord essentiel d’identifier l’ensemble des réglementations applicables et de mettre en place une veille réglementaire permettant de suivre l’évolution des réglementations et les actualités associées. Une organisation à deux niveaux doit ensuite être mise en place afin d’assurer le pilotage de la conformité réglementaire cyber.

Un premier niveau de pilotage global visant à disposer d’une vue d’ensemble haut-niveau : une analyse globale du niveau de conformité cyber doit être réalisée. Elle pourra s’appuyer sur un référentiel cybersécurité reconnu tel que NIST ou ISO 27001 pour les exigences sécurité. Pour les exigences relatives à la protection des données à caractère personnel, le RGPD est un bon socle puisque l’essentiel des réglementations sur cette thématique à l’international en sont dérivées. Le NIST privacy et les normes ISO privacy constituent également des référentiels solides en la matière. Ces référentiels pourront être mappés avec les principales réglementations applicables et on pourra tirer parti des synergies existantes entre les réglementations, comme l’illustrent les deux exemples ci-dessous.

Pour compléter cette analyse, un plan d’audit devra être déroulé afin d’évaluer plus précisément la conformité aux réglementations locales clés.

Un deuxième niveau de pilotage « local », à l’échelle géographique ou métier, visant à assurer la conformité réglementaire locale dans chacune des régions où le groupe est présent. Cela nécessite tout d’abord la mise en place d’une veille locale afin d’identifier et de connaître précisément les réglementations et les actualités associés. Cela passe ensuite par l’analyse détaillée du niveau de conformité aux réglementations locales, l’identification des spécificités et des besoins pour assurer le bon niveau de conformité, et la remontée de ces éléments au groupe pour assurer le pilotage global des actions de conformité.

Des réglementations protectionnistes questionnant le besoin de découplage des systèmes d’information

Être conforme à une multitude de règlementations cybersécurité devient un véritable défi pour les entreprises présentes à l’international et disposant d’un système d’information centralisé. Cela s’explique par l’empilement de ces réglementations avec parfois des dispositions incompatibles ou contradictoires entre certaines réglementations, mais aussi en raison de l’émergence d’exigences engendrant des impacts en profondeur sur les systèmes d’information.

C’est entre autres le cas de la réglementation PIPL en Chine, et en particulier son article 40 qui prévoit que le transfert de données hors de Chine sera autorisé seulement si leur traitement est conforme à l’évaluation de sécurité établie par l’administration chinoise. Cette réglementation sera applicable au-delà d’un certain volume de données à caractère personnel (pas encore spécifié par les autorités chinoises).

Des incompatibilités entre les réglementations ont également vu le jour entre les Etats-Unis et l’Union Européenne. Cette situation est illustrée par l’invalidation du Privacy Shield [3] américain par la Cour de Justice de l’Union Européenne, ses arrêts Schrems remettant en question la capacité des hébergeurs Cloud américains à traiter les données personnelles de leurs clients européens conformément aux exigences européennes.

Dans ce contexte de renforcement des exigences de cybersécurité et de protection des données à caractère personnel, exacerbé par les volontés protectionnistes de certains Etats, il peut devenir nécessaire d’étudier les besoins de découplage des systèmes d’information globalisés et centralisés en considérant la séparation en plusieurs zones géographiques, qui pourraient être :

• Une zone comprenant les Etats-Unis et le Royaume-Uni ;
• Une deuxième zone centrée sur la Chine ;
• Une troisième zone composée de l’Union Européenne et les pays adéquats[4] au sens du GDPR.

Selon leur réalité réglementaire et les évolutions potentielles, les autres pays ou régions pourraient être rattachés à l’une ou l’autre de ces trois zones.

À l’avenir, les systèmes d’information de ces différentes zones pourraient s’appuyer plus largement sur les clouds souverains qui sont en cours de développement.

Des contraintes qui peuvent même exhorter à l’arrêt de l’activité dans une région

Nous observons même l’arrêt ou le décalage de lancement d’activités de plusieurs entreprises dans certains pays où les contraintes réglementaires et risques de sanctions associés sont trop importants au regard des enjeux métiers et de la stratégie de l’entreprise. C’est notamment le cas dans certains Etats des Etats-Unis, et en Europe, où certains grands acteurs freinent leur développement à cause du RGPD (exemple de l’open AI/ Bard de Google, encore le lancement de Thread par Meta).

Perspectives : quelles évolutions en 2023 et après ?

Le paysage réglementaire, complexe comme évoqué précédemment, va continuer à s’étoffer dans les mois et les années à venir. A la fois sur des sujets nouveaux (IA, sécurité des produits) comme sur des pans existants, comme les infrastructures critiques.

Sur le volet « infrastructure critique », après de premières phases de réglementations centrées sur la protection des données à caractère personnel, les autorités ont veillé à la protection des infrastructures critiques, qui se poursuit avec notamment la directive NIS 2. Adoptée le 10 novembre 2022 et bientôt transposée en droit français, elle vise à réduire les disparités entre les Etats membres, renforcer la cybersécurité dans un contexte de digitalisation croissant et établir des mesures de sécurité pour améliorer le niveau de sécurité des infrastructures critiques au sein des Etats membres de l’UE.

Une nouvelle phase se profile désormais, durant laquelle les réglementations se concentreront sur la sécurité des produits numériques, avec en particulier :

• L’AI Act, réglementation européenne visant à définir un référentiel commun pour le développement et l’utilisation de l’Intelligence Artificielle (IA). Dans un contexte d’accélération fulgurante des usages de l’IA, de nouvelles réglementations devraient également émerger de par le monde, et notamment en Chine où des mesures ont d’ores-et-déjà été prises et ont entraîné la fermeture de 55 applications et 4200 sites entre janvier et mars 2023[5].
• Le Cyber Résilience Act (R.A), réglementation européenne elle aussi, qui vise à renforcer le niveau de sécurité des produits numériques en imposant des mesures à respecter par les constructeurs dès la conception des produits. Sans compter l’annonce récente par la Maison Blanche de l’initative « Cyber trust mark » ciblant le même objectif mais avec une approche différente[6].

L’enjeu réglementaire n’est donc pas près de réduire et les équipes cyber doivent s’y préparer. Il sera, a minima, nécessaire de renforcer les liens avec les métiers concernés et également avec les équipes juridiques. Les entreprises les plus matures dans le domaine ont créé des pôles juridiques au sein même des équipes cyber, pour échanger avec les différents services juridiques. Ceci n’est pas forcément nécessaire en fonction de l’organisation de chaque structure, mais peut aussi être un gage de mobilisation important.

Dans tous les cas, l’enjeu sera pour les entreprises d’arriver à transformer ces exigences réglementaires, souvent obligatoires, en un avantage concurrentiel dans leurs activités, en ne faisant pas de la conformité punitive, a minima, mais bien en s’emparant du sujet et en faisant un acte de transformation de ces pratiques qu’elle pourra valoriser extérieurement.

[1] https://blog.checkpoint.com/2023/01/05/38-increase-in-2022-global-cyberattacks/

[2] Liste non exhaustive des réglementations cyber

[3] https://www.cnil.fr/fr/invalidation-du-privacy-shield-les-suites-de-larret-de-la-cjue

[4] Pays en adéquation avec le niveau de protection requis par l’UE https://www.cnil.fr/fr/la-protection-des-donnees-dans-le-monde

[5] https://www.01net.com/actualites/comment-les-lois-chinoises-tres-strictes-risquent-de-nuire-a-lia-made-in-china.html

[6] https://arstechnica.com/information-technology/2023/07/the-cyber-trust-mark-is-a-voluntary-iot-label-coming-in-2024-what-does-it-mean/

Cet article Paysage réglementaire cyber : enjeux et perspectives est apparu en premier sur RiskInsight.

Naturellement, le développement de l’IA fait naître de nombreuses craintes de la part des citoyens. Parmi les plus communes, nous retrouvons, par exemple, que l’IA fasse de mauvais choix conduisant à des incidents (voitures autonomes), ou encore qu’elle entraine une violation des données personnelles qu’elle manipule potentiellement (crainte largement alimentée par les scandales éclatant autour de grands acteurs du marché[2]).

En l’absence de règlementations claires en matière d’IA, Wavestone a souhaité étudier, notamment à des fins d’anticipation des besoins à venir, qui sont les acteurs sur le devant de la scène en matière de textes sur l’encadrement de l’IA, quels sont ces textes, les idées qui y sont développées et quels impacts sur la sécurité de systèmes d’IA sont à anticiper.

Réglementation en matière d’IA : le panorama mondial

Législation en matière d’IA

Dans l’ensemble des textes relatifs à la règlementation en matière d’IA, il n’existe pas, à date, de textes législatifs[3][4] à proprement parler. Néanmoins, les textes formalisent généralement un ensemble de grandes lignes directrices pour développer un cadre normatif de l’IA. Il y a, par exemple, des guides/recommandations, des plans stratégiques ou encore des livres blancs.

Ils émergent principalement des Etats-Unis, de l’Europe, de l’Asie ou de grandes instances internationales :

Figure 1: Panorama mondial des textes sur l’IA[5]

Et leur cadence ne faiblit pas ces dernières années. Depuis 2019, de plus en plus de textes en matière de règlementation de l’IA sont produits :

Figure 2 : Chronologie des principaux textes

Deux types d’acteurs portent ces textes avec des connaissances parfois hétérogènes en matière de cybersécurité

Les textes sont généralement portés par deux types d’acteurs :

• Des décideurs. C’est-à-dire des instances dont l’objectif est de formaliser les règlementations et les exigences auxquelles les systèmes d’IA devront répondre.
• Des influenceurs. C’est-à-dire des instances/organisations qui possèdent une certaine autorité dans le domaine de l’IA.

A l’échelle de l’Union Européenne, des décideurs comme la Commission Européenne ou des influenceurs comme l’ENISA ont une importance capitale dans le développement des règlementations ou bonnes pratiques en matière de développement d’IA.

Figue 3 : Principaux acteurs en Europe

De manière générale, les textes adressent un nombre de thématiques variées. Ils donnent par exemple des stratégies à adopter ou des lignes directrices en matière d’éthique d’IA. Ils s’adressent tant aux gouvernements qu’aux entreprises et visent parfois des secteurs particuliers comme le secteur bancaire.

D’un point de vue cybersécurité, les textes sont hétérogènes. Le graphique suivant représente l’appétence cyber des textes :  

Figure 4 : Corpus de textes entre 2018 et 2021

Ce que disent les textes en matière de Cybersécurité

Comme le montre la Figure 4, un nombre important de textes proposent des exigences liées à la cybersécurité. Cela s’explique en partie car l’IA a des spécificités fonctionnelles qui doivent être adressées par des exigences cyber particulières. Pour entrer dans le détail technique des textes, réduisons l’IA à une de ses techniques les plus utilisées à date : le Machine Learning (Les détails du fonctionnement du Machine Learning sont fournis en Annexe I : Machine Learning).

De nombreuses exigences cyber existent pour protéger les actifs supports des applications utilisant du ML Machine Learning (ML) tout au long du cycle de vie des projets. A l’échelle macroscopique, ces exigences peuvent être catégorisées dans les piliers classiques de la cybersécurité^[6] extraits du Framework NIST[7] :  

Figure 5 : Piliers de la cybersécurité 

Le schéma suivant représente ainsi différents textes avec les volets cyber qu’ils comportent :

Figure 6 : Spécificités cyber de quelques textes importants

De façon générale, si nous croisons les résultats de la Figure 6 avec ceux de l’étude de l’ensemble des textes, il vient que trois exigences sont particulièrement adressées :

• Analyser les risques sur les systèmes de ML en prenant en compte leurs spécificités, pour identifier à la fois les mesures de sécurité « classiques » et celles spécifiques aux systèmes de ML. Pour cela, il convient généralement de respecter les étapes suivantes :
  • Comprendre les intérêts des attaquants à attaquer le système de ML.
  • Identifier la sensibilité des données manipulées dans le cycle de vie du système de ML (Par exemple : personnelles, médicales, militaires etc.).
  • Cadrer les besoins juridiques et de droits de propriété intellectuelle (à qui appartient le modèle et les données manipulées dans le cas d’un hébergement dans le cloud par exemple).
  • Comprendre où sont hébergées les différents actifs supports des applications utilisant le Machine Learning tout le long du cycle de vie du système de Machine Learning. Par exemple, certaines applications peuvent être hébergées en cloud, d’autres on-premise. Il convient d’ajuster sa stratégie des risques cyber en conséquence (Gestion des prestataires, des différents flux etc.).
  • Comprendre l’architecture et l’exposition du modèle. Certains modèles sont plus exposés que d’autres aux attaques spécifiques aux Machine Learning. Par exemple certains modèles sont exposés publiquement et peuvent ainsi faire l’objet d’une phase de reconnaissance approfondie de la part d’un attaquant (par exemple en glissant des inputs et en observant les outputs).
  • Inclure les attaques spécifiques sur les algorithmes de Machine Learning. Il en existe trois majeures : les attaques de type évasion (qui vise l’intégrité), de type oracle (qui vise la confidentialité) ou celle de type empoisonnement (qui vise l’intégrité et la disponibilité).
• Tracer et surveiller les actions. Cela comprend au moins deux niveaux :
  • La traçabilité (log des actions) pour permettre une surveillance des accès aux ressources exploitées par le système ML.
  • Des règles de détection plus « métiers » pour vérifier que le système est toujours performant et éventuellement détecter si une attaque est en cours sur celui-ci.
• Avoir une gouvernance de la donnée. Comme expliqué en Annexe I : Machine Learning, Les données sont la matière première des systèmes de ML. Ils convient donc de prendre un ensemble de mesures pour la protéger comme :
  • S’assurer de l’intégrité lors de l’intégralité du cycle de vie de la donnée.
  • Sécuriser l’accès à la donnée.
  • S’assurer de la qualité de la donnée récoltée.

Il y a fort à parier que ces points seront présents dès les premières règlementations publiées.

L’AI Act : l’Europe prendra-t-elle les devants comme pour le RGPD ?

Dans le cadre de cette étude, nous avons approfondi ce qui avait été fait au sein de l’Union Européenne et un texte a particulièrement attiré notre attention.

L’affirmation selon laquelle il n’existe pas encore de texte législatif est en partie vraie. En effet, en 2021, la commission européenne a publié l’AI Act[8] : une proposition législative qui vise à tenir compte des risques associés à certaines utilisations de l’IA. Ses objectifs, pour citer le document, sont de :

• Veiller à ce que les systèmes d’IA mis sur le marché de l’Union et utilisés soient sûrs et respectent la législation en vigueur en matière de droits fondamentaux et les valeurs de l’Union ;
• Garantir la sécurité juridique pour faciliter les investissements et l’innovation dans le domaine de l’IA ;
• Renforcer la gouvernance et l’application effective de la législation existante en matière de droits fondamentaux et des exigences de sécurité applicables aux systèmes d’IA ;
• Faciliter le développement d’un marché unique pour des applications d’IA légales, sûres et dignes de confiance, et empêcher la fragmentation du marché.

L’AI Act s’inscrit dans la logique des textes énumérés ci-dessus. Il adopte une approche basée sur le risque avec des exigences qui dépendent des niveaux de risque des systèmes d’IA. Le règlement définit ainsi quatre niveaux de risque :

• Les systèmes d’IA à risques inacceptables ;
• Les systèmes d’IA à haut risque ;
• Les systèmes d’IA présentant des risques spécifiques ; 
• Les systèmes d’IA présentant des risques minimes.

Chacun de ces niveaux fait l’objet d’un article dans la proposition législative afin de les définir précisément et de construire la réglementation associée.

Figure 7 : La hiérarchie des risques présente dans l’AI Act[9]

Pour les systèmes d’IA à risques élevés, l’AI Act propose des exigences cyber dans la lignée de celles présentées plus haut. Par exemple, si nous reprenons la catégorisation inspirée du NIST présentée dans la Figure 5 :

Même si le texte n’est qu’une proposition (elle peut être adoptée d’ici 1 à 5 ans), nous remarquons que L’Union Européenne, comme avec les données à caractère personnel et le RGPD, prend les devants en proposant un règlement audacieux pour accompagner le développement de l’IA.

Quels avenirs pour la règlementation en matière d’IA et la cybersécurité ? 

Ces dernières années de nombreux textes en matière de règlementation des systèmes d’IA ont été publiés. Bien qu’il n’existe pas, à date, de textes législatifs, on remarque tout de même que la pression s’intensifie avec de nombreux textes comme en témoigne par exemple l’AI Act, une proposition de l’Union Européenne. Ces propositions fournissent des exigences en matière de stratégie de développement d’IA, d’éthique et de cybersécurité. Pour cette dernière, les exigences touchent surtout des sujets comme la gestion des risques cyber, le monitoring, la gouvernance et la protection des données. De plus, il y a fort à parier que les premières règlementations proposeront une approche basée sur les risques avec des exigences adaptées en fonction des niveaux de risques.

Par rapport à son analyse de la situation, Wavestone ne peut qu’encourager à développer une approche comme celle proposée par l’AI Act en adoptant une méthodologie basée sur les risques. C’est-à-dire à identifier les risques portés par les projets et à implémenter des mesures de sécurité adaptées. Cela permettrait d’ores et déjà de se mettre en ordre de marche et d’éviter une mise en conformité à posteriori. 

Annexe I : Machine Learning

Le Machine Learning (ML) se définit comme l’opportunité laissée aux systèmes[10] d’apprendre à résoudre une tâche à l’aide de données sans y être explicitement programmés. De manière heuristique, un système de ML apprend à donner une « sortie adéquat », par exemple est-ce que telle image issue d’un scanner présente une tumeur, à partir de données d’entrées (i-e l’image d’un scanner dans notre exemple).

Pour citer l’ENISA^[11], les spécificités sur lesquelles repose le Machine Learning sont les suivantes :

• La donnée. Elle est au cœur du Machine Learning. La donnée est la matière première consommée par les systèmes de ML pour apprendre à résoudre une tâche puis pour la réaliser une fois en production.
• Un modèle. C’est-à-dire un modèle mathématique et algorithmique qui peut se voir comme une boîte avec un grand ensemble de paramètres ajustables utilisés pour donner une sortie à partir de données d’entrée. Lors d’une phase appelée l’apprentissage, le modèle utilise des données pour apprendre à résoudre une tâche en ajustant automatiquement ses paramètres, puis une fois mise en production il pourra mener la tâche à bien grâce aux paramètres ajustés.
• Des process spécifiques. Ces process spécifiques adressent l’ensemble du cycle de vie du système de ML. Ils portent par exemple sur la donnée (traitement de la donnée pour la rendre exploitable par exemple) ou sur le paramétrage du modèle lui-même (comment le modèle ajuste ses paramètres à partir des données qu’il utilise).
• Des outils et environnements de développement. Par exemple, beaucoup de modèles sont entraînés puis stockés directement sur des plateformes cloud car ils nécessitent beaucoup de ressources pour effectuer les calculs du modèle.
• Des acteurs. Notamment car de nouveaux métiers ont été créés avec l’essor du Machine Learning comme les fameux Data Scientists.

Généralement, le cycle de vie d’un projet de Machine Learning peut se décomposer selon les étapes suivantes :

Figure 8 : cycle de vie d’un projet de Machine Learning[12]

Annexe 2 Liste non exhaustive de textes relatifs à l’IA et à l’encadrement de son développement

[1] Université d’été qui réunissait des scientifiques comme le célèbre John McCarthy. Cependant, les origines de l’IA peuvent être attribuées à différents chercheurs. Par exemple, dans la littérature, des noms comme celui de l’informaticien Alan Turing peuvent être aussi trouvés.

[2] Par exemple, Amazon a été accusé en octobre 2021 de ne pas respecter l’article 22 du RGPD. Pour plus d’information : https://www.usine-digitale.fr/article/le-fonctionnement-de-l-algorithme-de-paiement-differe-d-amazon-violerait-le-rgpd.N1154412

[3] L’IA n’échappe pas à certaines lois et règlement tels que le RGPD pour les pays concernés. Nous noterons par exemple ce texte de la CNIL : https://www.cnil.fr/fr/intelligence-artificielle/ia-comment-etre-en-conformite-avec-le-rgpd.

[4] A l’exception de propositions législatives comme nous le verrons par la suite pour l’Union Européenne et le Brésil.

[5] Cette liste n’est pas exhaustive. Les chiffres renseignés donnent des ordres de grandeurs sur les principaux publieurs de textes en matière d’encadrement du développement de l’IA.

Les textes sur lesquels s’appuient l’études sont disponibles dans l’annexe 2 page 9

[6] Nous avons fait le choix de fusionner la phase d’identification et de protection pour les besoins de l’article.

[7] National Institute of Standards and Technology (NIST), Framework for improving Critical Infrastructure Cybersecurity, 16 Avril 2018, disponible à https://www.nist.gov/cyberframework/framework

[8] Disponible sur : https://artificialintelligenceact.eu/the-act/

[9] Librement inspiré de : Eve Gaumond, Artificial Intelligence Act: What is the European Approach for AI?, in Lawfare, Juin 2021, disponible sur : https://www.lawfareblog.com/artificial-intelligence-act-what-european-approach-ai

[10] Nous parlons de système pour ne pas réduire l’IA.

[11] https://www.enisa.europa.eu/publications/artificial-intelligence-cybersecurity-challenges

[12] https://www.enisa.europa.eu/publications/securing-machine-learning-algorithms

Cet article L’Intelligence Artificielle bientôt réglementée ? est apparu en premier sur RiskInsight.