Liste de matériaux pour l'IA : vers plus de transparence

Liste de matériaux pour l'IA : vers plus de transparence

Lorsqu'un système d'IA prend une "mauvaise décision", la plupart des organisations ne peuvent pas vraiment expliquer pourquoi. Elles ne sont pas entièrement sûres des données qui l'ont entraîné, où l'erreur s'est produite, quelle version était en cours d'exécution ou quels composants tiers étaient impliqués. Cela constitue un angle mort éthique et réglementaire qui crée des risques pour les leaders technologiques dans des institutions de toutes tailles, et cela suscite un intérêt croissant pour un cadre plus récent appelé AI bill of materials (AIBOM).

Si vous avez déjà vu une software bill of materials (SBOM), vous comprenez déjà le concept. Cependant, de nombreuses organisations n'ont pas encore envisagé d'appliquer ce cadre et ce processus aux systèmes d'IA qu'elles utilisent. Cela va changer : les réglementations incitent à la mise en œuvre des AIBOM, selon Arpita Soni, membre senior de la société professionnelle technologique IEEE. “Je constate beaucoup de pression sur l'inventaire, sur les modèles de BOM en raison de la nécessité de respecter des garde-fous accrus,” déclare Soni. “Les organisations se dirigent davantage vers ce modèle car elles doivent faire partie de la conformité et des audits.”

Pour certains, la décision fait suite à l'ordre exécutif de l'ancien président Joe Biden sur l'utilisation et le développement de l'IA en 2024, parmi d'autres facteurs. Étant donné l'augmentation des mandats réglementaires — et le désir général de réduire les risques — voici pourquoi les AIBOM sont en plein essor et ce que les institutions devraient considérer lors de leur construction et de leur mise en œuvre.

Qu'est-ce qu'un AI Bill of Materials ?

Le National Institute of Standards and Technology qualifie les AIBOM de “facilitateurs pour la transparence et la sécurité des logiciels d'IA”, soulignant leur capacité à “favoriser la confiance” et “faciliter l'innovation”. Plus précisément, un AIBOM est un “dépôt ou inventaire”, explique Soni, “qui peut être lu par vos machines, par vos systèmes, et qui comprend des composants tels que vos ensembles de données, vos requêtes, vos modèles, vos configurations spécifiques, l'historique des versions, les pipelines et les dépendances tierces.”

Katie Norton, responsable de la recherche sur la sécurité des chaînes d'approvisionnement en logiciels et DevSecOps chez IDC, indique que pour les organisations utilisant déjà des SBOM, les AIBOM sont une étape logique : “Alors qu'un SBOM fournit une visibilité sur le code des applications, les bibliothèques et les dépendances, un AIBOM capture les composants qui définissent le comportement de l'IA.”

Que contient un AI Bill of Materials ?

Les AIBOM ont généralement des composants similaires, bien qu'ils puissent varier légèrement en fonction de la taille, des besoins et des systèmes d'une institution.

Norton précise que ces inventaires structurés et lisibles par machine documentent plusieurs couches des systèmes d'IA qu'une organisation utilise et incluent des composants et des questions à poser pour chacun :

• La couche de données inclut les ensembles de données d'entraînement et de validation, la provenance, la licence et la sensibilité. Cette couche répond aux questions : “D'où proviennent vos données d'entraînement ? Quelles sont les conditions de licence ? Contient-elle des informations personnellement identifiables ?”

• La couche de modèle inclut l'architecture, les poids, les hyperparamètres, la version et la lignée. Elle répond aux questions : “Quelle architecture ? Quelle version ? Quelle était la configuration d'entraînement ?”

• Les couches d'infrastructure et de dépendance incluent les frameworks et le matériel nécessaires pour exécuter le modèle, répondant à la question : “Quels frameworks et bibliothèques le modèle utilise-t-il, et où s'exécute-t-il ?”

• La couche de métadonnées de gouvernance inclut l'utilisation prévue, les limitations connues et les mesures d'atténuation des risques. Elle répond aux questions : “Que doit faire ce modèle ? Quelles sont ses limitations ? Quelles mesures de protection sont en place ?”

Norton souligne que les AIBOM sont nécessaires en plus des SBOM. “Un SBOM seul est insuffisant pour les systèmes d'IA car il ne fait qu'inventorier le code,” dit-elle. “Les systèmes d'IA sont basés sur des données et souvent non déterministes ; leur comportement émerge des données d'entraînement et de la configuration du modèle plutôt que d'une logique explicitement écrite. Sans un AIBOM, les responsables informatiques manquent de visibilité sur la ‘couche cognitive’ du système, rendant difficile l'audit des décisions, la reproduction des résultats ou l'évaluation des risques de la chaîne d'approvisionnement.”

Pourquoi l'AI Bill of Materials gagne-t-il en popularité maintenant ?

L'IA n'est pas nouvelle, alors pourquoi l'AIBOM commence-t-il juste à être plus largement adopté ? Soni explique qu'en raison de la nécessité que l'IA soit “éthique, transparente et équitable”, un cadre est nécessaire pour analyser ces principes, et les AIBOM ont commencé à le faire — particulièrement important à un moment où des “angles morts” sont devenus apparents et où le besoin de conformité réglementaire est croissant.

Norton souligne trois éléments convergents qui créent le besoin d'AIBOM maintenant :

• Premièrement, l'IA générative a rendu trivial pour les développeurs d'intégrer des modèles open-source dans des applications sans que quiconque en sécurité en ait connaissance. Les organisations ont soudainement réalisé qu'elles n'avaient aucune idée des modèles en production.

• Deuxièmement, les régulateurs ont rattrapé leur retard. La Loi sur l'IA de l'UE et le Cadre de gestion des risques de l'IA du NIST s'attendent désormais à une transparence concernant les données d'entraînement et la lignée des modèles — des éléments que les SBOM n'étaient jamais conçus pour capturer.

• Enfin, “les outils existent enfin. Des normes comme le Software Package Data Exchange (SPDX) et CycloneDX ont désormais des profils compatibles avec l'IA, donc générer un AIBOM n'est plus un projet d'ingénierie personnalisé. Le risque a toujours été là ; maintenant, nous avons les moyens de l'aborder,” explique Norton.

Alors que Gartner prévoit que l'adoption des SBOM passera de 56 % parmi les grandes organisations en 2025 à 85 % d'ici 2028, le taux d'adoption des AIBOM reste à déterminer.