Résumé#
La Loi sur la défense cybernétique de l'IA est un projet de loi qui ajouterait des responsabilités à l'Institut national des normes et de la technologie (NIST) ; elle ne modifie pas une loi existante. Son objectif déclaré est de développer des normes volontaires pour répondre à certaines attaques d'IA et utiliser l'IA pour la cybersécurité. Le projet de loi a été introduit à la Chambre et renvoyé à un comité ; il n'est pas en vigueur, et son adoption est incertaine.
- Dans les 180 jours suivant l'entrée en vigueur, le Directeur du NIST doit chercher à engager les parties prenantes de l'IA du secteur privé pour établir une définition des attaques de distillation d'IA et des normes et meilleures pratiques volontaires pour les détecter et les prévenir.
- Le NIST doit publier ces normes et meilleures pratiques sur son site Web dans un délai d'un an après leur établissement.
- Dans les 180 jours suivant l'entrée en vigueur, le Directeur doit établir une table ronde sur la cybersécurité de l'IA pour développer des normes et meilleures pratiques volontaires pour utiliser l'IA de manière défensive pour la cybersécurité.
- Le Directeur doit chercher à obtenir une représentation à la table ronde de la part des parties prenantes de l'IA du secteur privé et des propriétaires et exploitants d'infrastructures critiques. Le NIST doit publier les normes et meilleures pratiques de la table ronde dans un délai d'un an après son établissement.
- Le projet de loi exclut certaines « entités préoccupantes » de sa définition des parties prenantes de l'IA du secteur privé. Le Directeur peut également déterminer qu'une entité est préoccupante.
Ce que cela signifie pour vous#
- NIST : Le Directeur devra chercher à engager l'industrie, établir la table ronde et publier les conseils volontaires résultants dans les délais fixés par le projet de loi.
- Entreprises d'IA et exploitants d'infrastructures critiques : Le NIST doit chercher à engager les parties prenantes de l'IA du secteur privé, et le Directeur doit chercher une représentation de ces parties prenantes et des exploitants d'infrastructure à la table ronde. Le projet de loi n'exige pas qu'une entreprise adhère, suive les conseils ou modifie ses pratiques.
- Personnes et organisations en général : Le projet de loi ne crée pas un nouveau droit, une interdiction, une amende ou un service de cybersécurité requis. Il crée une table ronde au sein du NIST, et non une nouvelle agence indépendante.
Argent#
Aucune information sur les coûts n'est disponible dans le matériel fourni.
- Le projet de loi obligerait le NIST à réaliser ces activités, mais il ne donne aucune estimation de coût, de niveau de personnel ou de financement séparé.
- Il ne crée aucun frais, amende, impôt ou paiement aux entreprises.
Ce qui n'est pas clair#
- Le projet de loi ne définit pas les « attaques de distillation d'IA » ; il demande au NIST de chercher à établir une définition avec les parties prenantes du secteur privé.
- Il ne précise pas comment le NIST doit choisir les membres de la table ronde, ni ce qui se passe s'il ne peut pas obtenir de représentation d'un groupe.
- Le Directeur peut désigner une entité comme une « entité préoccupante », mais le projet de loi ne donne aucun critère ou processus d'examen pour cette décision.
- Le projet de loi fixe des délais pour établir et publier des conseils, mais ne fixe pas de règles pour les mettre à jour ou mesurer leur utilisation.
- Le projet de loi fait référence à des définitions dans d'autres lois, mais ces lois n'ont pas été incluses dans le matériel fourni, donc ces définitions n'ont pas pu être vérifiées ici.
Arguments en faveur#
- Le projet de loi semble destiné à aider à traiter les risques cybernétiques liés à l'IA en demandant au NIST de développer des conseils avec l'apport des entreprises d'IA et des exploitants d'infrastructures critiques.
- Des conseils volontaires pourraient donner aux organisations un point de départ commun sans exiger que chaque organisation adopte les mêmes pratiques.
- Une table ronde distincte sur les utilisations défensives de l'IA pourrait rassembler des personnes qui développent l'IA et celles responsables des infrastructures critiques.
Arguments contre#
- Les normes sont volontaires, donc le projet de loi ne garantit pas que les organisations les adoptent ou les suivent.
- Le projet de loi laisse la définition des attaques de distillation d'IA à un processus ultérieur, donc la portée de ce travail n'est pas encore claire.
- Le pouvoir du Directeur de désigner une entité préoccupante n'a aucun critère ou processus d'examen énoncé dans le projet de loi.
- Le projet de loi exige que le NIST effectue ce travail mais ne fournit aucune estimation de financement ou de personnel ; les ressources nécessaires sont inconnues.