L'accent mis sur les organisations pour qu'elles corrigent les vulnérabilités est une « préoccupation majeure » pour Joseph Stephens du NCSC.
La Commission européenne et plusieurs pays membres de l'UE, dont l'Irlande, sont en pourparlers avec Anthropic au sujet de Mythos, alors que les États du monde entier se démènent pour protéger leurs infrastructures critiques vulnérables contre les cyber-risques.
« Nous avons eu des contacts directs avec eux », a déclaré à SiliconRepublic.com Joseph Stephens, directeur de la résilience du National Cyber Security Centre (NCSC), en faisant référence à Anthropic, dont le siège européen est basé en Irlande.
« Mais nous travaillons dans le cadre du système européen parce qu'une approche coordonnée est plus efficace », a-t-il ajouté.
Mythos a envoyé une onde de choc dans l'industrie après son lancement limité à certaines grandes entreprises il y a un mois. La décision d'Anthropic a reçu de nombreux éloges de la part des experts, notamment de Stephens, qui a appelé d'autres fournisseurs de modèles d'IA pionniers à faire de même.
Le contrôle est-il hors de portée ?
Le développement de Mythos, affirme Anthropic, n'était pas intentionnel, mais simplement le résultat d'une « conséquence en aval des améliorations générales du code, du raisonnement et de l'autonomie ».
Et il ne fait aucun doute que les États n’exercent pas beaucoup de pouvoir lorsqu’il s’agit de contrôler les progrès technologiques ou de gérer leur diffusion – du moins au début.
L’inquiétude croissante concernant les risques de cybersécurité induits par l’IA ne se limite en aucun cas au mythe. Ensemble, ces facteurs créent un environnement difficile pour les législateurs alors qu’ils tentent de rattraper leur retard sur les nouvelles innovations dans ce domaine qui apparaissent plus rapidement que jamais.
« Nous devons reconnaître ce que l’État irlandais peut et ne peut pas faire », a déclaré Stephens. « Nous ne pouvons pas empêcher une société comme Anthropic basée aux États-Unis de sortir ou de ne pas sortir un modèle. »
Le lancement de Mythos a créé un tel retentissement que le NCSC – pour la toute première fois – a publié une déclaration sur la sortie d'un produit spécifique.
Pendant ce temps, des pays du monde entier, notamment les États-Unis, le Royaume-Uni, le Canada et le Japon, n’ont pas tardé à inviter Anthropic à des discussions afin d’utiliser potentiellement ce modèle pour renforcer la sécurité de leurs infrastructures critiques.
Cependant, outre les gouvernements et les grandes entreprises, les start-ups et les PME disposant de ressources limitées pour renforcer leur cybersécurité sont particulièrement menacées.
« La principale préoccupation à l'heure actuelle est le stress que (Mythos) pourrait exercer sur les organisations qui vont désormais devoir mettre à jour tous leurs produits et services numériques », a déclaré Stephens.
Mais aussi ironique que cela puisse paraître, l’IA s’avère utile dans de telles situations.
La loi européenne sur l’IA sera-t-elle utile ?
Stephens a appelé à un effort conjoint entre les États pour parvenir à une approche réglementaire commune autour de tels modèles.
« La loi sur l'IA nous permet de garantir que les produits qui arrivent sur notre marché sont fabriqués de manière sécurisée », a-t-il déclaré. « L’Europe a vraiment progressé avec la loi sur l’IA… (mais) nous ne pouvons pas réglementer pour nous en sortir. »
L’UE est sans doute toujours à la recherche de la frontière entre réglementer et étouffer l’innovation.
Elle tente de remédier en partie à cette réglementation excessive au moyen d'un ensemble de règles simplifiées et consolidées. Plus tôt ce mois-ci, le bloc a adopté de nouvelles règles provisoires sur la loi sur l’IA.
La loi sur l’IA s’applique aux entreprises qui vendent dans l’UE ou si les résultats de l’IA sont utilisés dans l’UE. Ce règlement historique tente d’équilibrer la gestion des risques de cette technologie tout en permettant à l’UE de bénéficier de son potentiel.
Selon le juriste TJ McIntyre, il est possible de réglementer des modèles tels que Mythos avec un effet extraterritorial, mais seulement s'ils sont vendus dans l'UE ou si leurs productions sont vendues dans la région.
McIntyre est professeur agrégé à la Sutherland School of Law de l'University College Dublin.
« Il n'est pas clair que la loi sur l'IA s'appliquerait si Mythos est géo-restreint pour une utilisation en dehors de l'UE », a-t-il expliqué.
Cependant, la loi est « conçue pour traiter les « cybercapacités offensives, telles que les moyens de découvrir, d'exploiter ou d'utiliser opérationnellement des vulnérabilités » en tant que type de risque systémique », a-t-il déclaré. Ainsi, « en théorie », l’UE pourrait prendre des mesures en vertu de la loi sur l’IA.
