L’IA et sa régulation t’intéressent ?
Lois, cadres et décisions qui façonnent l’IA, décryptés en français. Gratuit.
Inclus dès l'inscription : notre sélection des meilleurs guides & comparatifs IA.
Choisis ton rythme
Gratuit · Pas de spam · Désabonnement en 1 clic
Red Hat, NVIDIA et IBM unissent leurs forces pour asago
Red Hat a récemment dévoilé asago, un projet communautaire open-source qui vise à transformer la gouvernance de l'intelligence artificielle en un code de déploiement prêt à l'emploi. Ce projet se présente comme un flux de travail automatisé et auditable, conçu pour combler les lacunes entre les étapes, les outils et les exigences souvent fragmentés des équipes d'ingénierie et de conformité. Avec l'entrée en vigueur de réglementations telles que la Loi sur l'IA de l'UE, Red Hat souligne le dilemme auquel font face les organisations : soit ralentir l'innovation en IA par le biais de vérifications manuelles, soit risquer de laisser des agents non régulés opérer sans contrôle.
asago repose sur les efforts conjoints de Red Hat et NVIDIA au sein de l'Open Secure AI Alliance. Distribué sous la Licence Apache 2.0, le projet est actuellement en phase de développement initial, avec un dépôt ouvert sur GitHub. Cela permet aux développeurs, chercheurs académiques et premiers utilisateurs d'entreprises de participer à l'élaboration de la gouvernance.
De la politique à l'opérationnel : un processus en quatre étapes
Le flux de travail proposé par Red Hat se décompose en quatre étapes distinctes. La première étape est la cartographie des risques. Le système lit la politique de gouvernance fournie par une organisation et aligne ses exigences spécifiques avec des cadres établis, tels que le NIST AI RMF, le OWASP LLM Top 10, et la Loi sur l'IA de l'UE, comme répertorié dans l'AI Risk Atlas d'IBM. Ce processus transforme automatiquement le langage de la politique en un profil de risque, éliminant ainsi le besoin d'un recoupement manuel par l'équipe de conformité.
La deuxième étape est l'évaluation des risques. asago génère et exécute des scénarios adaptés au cas d'utilisation spécifique, examinant les comportements potentiellement nuisibles identifiés lors de la cartographie des risques, plutôt que de se contenter d'une simple liste de contrôle standard. Ensuite, vient la mitigation des risques, où le système propose des garde-fous basés sur les résultats des tests et établit une traçabilité rationnelle capable de résister à un examen externe.
Enfin, asago orchestre les contrôles recommandés en configurations prêtes pour le déploiement dans des environnements hybrides et Kubernetes. Cela élimine la nécessité d'un codage manuel de l'infrastructure, qui serait autrement requis entre une recommandation de mitigation et un contrôle opérationnel. Red Hat ambitionne de réduire les délais de déploiement de plusieurs mois à quelques jours grâce à cette approche.
Une traçabilité complète pour une sécurité continue
Chaque étape du processus alimente une piste d'audit continue. Chaque clause de politique est liée à un test spécifique, et chaque test est associé à un contrôle d'exécution. En théorie, un réviseur peut retracer tout contrôle actif dans un déploiement en direct jusqu'à la ligne de politique qui l'a motivé.
Cette traçabilité est l'un des principaux arguments de vente du projet. Red Hat présente la sécurité de l'IA non pas comme une simple certification ponctuelle, mais comme une utilité d'entreprise continue, c'est-à-dire un processus vérifiable aussi longtemps que les agents sont en activité, et pas seulement au moment de leur approbation initiale.
Steven Huels, vice-président de l'ingénierie IA chez Red Hat, souligne l'importance de cette approche : « À mesure que les organisations passent de projets pilotes expérimentaux à des agents autonomes de longue durée, établir des garde-fous opérationnels clairs devient une exigence d'infrastructure critique. »
Huels relie également asago à l'initiative Lightwell de Red Hat, qui vise à sécuriser la chaîne d'approvisionnement open-source contre les vulnérabilités liées à l'IA. Il décrit asago comme une « étape logique suivante pour l'IA d'entreprise en automatisant le lien entre les définitions de politique d'entreprise et les agents de production en direct. »
Stuart Battersby, architecte de la sécurité de l'IA chez Red Hat, est plus direct sur la nature collaborative du projet : « Le projet asago est un véritable effort collaboratif et open-source réunissant des parties prenantes de l'industrie technologique, du milieu académique et du gouvernement. »
Il encourage davantage de contributeurs à rejoindre cet effort communautaire, en particulier des juridictions mondiales, afin de garantir une couverture maximale des perspectives sur la sécurité de l'IA.
Une collaboration internationale pour un projet ambitieux
La liste des contributeurs à asago dépasse largement Red Hat et NVIDIA. Des organisations telles que Brave Software, IBM Research, Microsoft, MIT Lincoln Laboratory, North Carolina State University, et The Alan Turing Institute sont également impliquées. La coalition EvalEval et l'Interdisciplinary Transformation University (IT:U) d'Autriche figurent également parmi les contributeurs. Alquimia AI, un partenaire plutôt qu'une institution de recherche fondatrice, est également mentionnée.
Sarah Bird, responsable des produits pour l'IA responsable chez Microsoft, souligne les défis persistants en matière de sécurité et de sûreté de l'IA, affirmant qu'aucune organisation ne peut les résoudre seule.
Les voix académiques partagent cette vision. Veena Misra, doyenne par intérim du College of Engineering de NC State, considère la sécurité de l'IA comme un « problème d'ingénierie autant que de politique. »
Les résultats d'asago sont conçus pour être agnostiques en matière d'infrastructure, avec des configurations déclaratives pour Kubernetes, Terraform, et Ansible, selon Red Hat. Cela signifie qu'une posture de sécurité définie dans un cloud n'a pas besoin d'être ré-ingénierie dans un autre.
Pour l'instant, le projet n'a pas encore été testé en production. Il n'y a pas d'étude de cas client déployée dans l'annonce de Red Hat, ni de référence démontrant que la promesse de « jours, pas mois » tient sous un audit réglementaire en direct. De plus, aucune indication n'est donnée sur la manière dont les différends entre les organisations contributrices concernant les normes de cartographie des risques seront résolus une fois que le code passera la phase de formation.
Actuellement, le projet existe en tant que dépôt et structure de gouvernance sur GitHub, ouvert aux développeurs, chercheurs et équipes d'entreprise désireux de construire aux côtés d'une liste de contributeurs plutôt que d'adopter un produit fini.
