Programme national de signalement des défauts de l'IA

Résumé#

Ce projet de loi charge l'Institut national des normes et de la technologie (NIST) de mettre en place un programme volontaire pour collecter, suivre et accélérer la détection des défauts dans les systèmes d'intelligence artificielle (IA). Il appelle à un travail multipartite pour créer des définitions, taxonomies, normes, méthodes de signalement et infrastructures partagées — y compris une base de données nationale ou une modification d'une base de données existante. L'objectif est de faciliter la recherche, le partage et la priorisation des corrections pour les problèmes de sécurité et de sûreté de l'IA.

• Changement principal : Le NIST doit créer un programme volontaire de signalement des défauts de l'IA et développer ou financer une base de données nationale pour stocker les rapports.
• Travail à réaliser : Rassembler l'industrie, le milieu universitaire, les ONG, les organismes de normalisation, la société civile et les agences fédérales pour établir des définitions, des taxonomies, des mesures de gravité et des meilleures pratiques de signalement.
• Objectifs techniques : Promouvoir des normes lisibles par machine, l'interopérabilité, le signalement automatisé et des méthodes pour accélérer la détection et le suivi.
• Normes de divulgation : Développer des directives sur quand et comment divulguer publiquement les défauts de l'IA.
• Rapport au Congrès : Le NIST doit faire rapport dans les trois ans sur les résultats, l'infrastructure construite et les recommandations pour des mécanismes de signalement volontaires.
• Qui peut construire le système : Le NIST peut conclure des accords de coopération avec des entités éligibles (universités, institutions de recherche ou consortiums) pour développer l'infrastructure.

Ce que cela signifie pour vous#

• Développeurs et entreprises d'IA : Le projet de loi créerait un moyen volontaire de signaler et de suivre les défauts de l'IA. Cela pourrait faciliter le partage d'informations sur les vulnérabilités et le suivi de normes communes pour décrire les problèmes.
• Chercheurs et universités : Les institutions éligibles peuvent être désignées pour aider à construire ou héberger la base de données nationale et participer à l'établissement de normes et de taxonomies.
• Groupes de normalisation et société civile : Le projet de loi demande au NIST d'inclure ces groupes lors de l'élaboration des définitions, des formats de rapport et des normes de divulgation, afin qu'ils puissent aider à façonner la manière dont les défauts sont classés et partagés.
• Agences gouvernementales : Le NIST consultera l'Agence de cybersécurité et de sécurité des infrastructures (CISA) et d'autres entités fédérales ; les agences peuvent utiliser la base de données et les directives pour la supervision ou l'évaluation des risques.
• Le public et les organisations qui dépendent de l'IA : Il pourrait y avoir plus d'informations disponibles publiquement au fil du temps sur les défauts connus de l'IA, en fonction des normes de divulgation développées par le NIST. Le projet de loi ne nécessite pas la divulgation publique de chaque rapport.
• Petites entreprises et ONG utilisant l'IA : Elles pourraient bénéficier de normes partagées et d'un référentiel central des problèmes connus, ce qui pourrait aider à prioriser les corrections et à améliorer les pratiques de sécurité.

Dépenses#

Aucune information disponible publiquement.

• Le projet de loi exige que le NIST développe un programme et crée ou modifie une base de données nationale et conclue des accords de coopération avec des entités éligibles. Ces activités impliquent un financement et du temps de personnel, mais le projet de loi ne comprend pas d'estimation fiscale ou d'appropriations identifiées.
• Catégories de coûts possibles (non estimées dans le texte du projet de loi) : subventions d'accords de coopération, développement et maintenance de la base de données, soutien du personnel et des contractuels, et coûts pour rassembler les parties prenantes et produire le rapport requis.
• Il n'est pas clair si les budgets fédéraux existants couvriraient ces tâches ou si de nouvelles appropriations seraient demandées.

Point de vue des partisans#

Le projet de loi semble destiné à combler les lacunes dans la manière dont les défauts de l'IA sont trouvés, décrits et partagés. Points de soutien possibles qui découlent du texte du projet de loi :

• Établir des définitions et des taxonomies partagées pour rendre les rapports cohérents et plus faciles à comparer entre les secteurs.
• Créer une base de données centrale ou coordonnée afin que les organisations puissent apprendre sur les défauts connus de l'IA et éviter de répéter les mêmes erreurs.
• Promouvoir des normes techniques et un signalement lisible par machine pour accélérer les outils de détection et de suivi automatisés.
• Fournir des méthodes pour évaluer la gravité ou le risque afin que les organisations puissent prioriser les corrections qui réduisent le plus de dommages.
• Développer des normes sur le moment où la divulgation est appropriée pour équilibrer la transparence avec les préoccupations de sécurité et de confidentialité.

Point de vue des opposants#

Le projet de loi laisse plusieurs détails importants non spécifiés, ce qui pourrait soulever des préoccupations ou limiter son efficacité :

• Une préoccupation est que le programme est volontaire ; sans mandats, certaines organisations peuvent ne pas signaler de graves défauts, limitant l'utilité d'une base de données centrale.
• Le projet de loi n'explique pas clairement comment les informations sensibles (secrets commerciaux, données personnelles identifiables ou détails de sécurité nationale) seront protégées lorsque des défauts sont signalés ou partagés.
• Il n'est pas clair comment les décisions de divulgation publique seront prises et si les règles de divulgation protégeront les victimes ou éviteront de permettre l'utilisation abusive des détails des défauts.
• Le projet de loi ne fournit pas d'estimation des coûts ni ne spécifie de financement, il n'est donc pas clair si le NIST aura suffisamment de ressources pour développer et maintenir une base de données nationale et mener des activités multipartites soutenues.
• Il pourrait y avoir un chevauchement avec des bases de données de vulnérabilités existantes ou des efforts de l'industrie ; le projet de loi ne précise pas comment la duplication sera évitée ou comment le nouveau système interagira avec les systèmes actuels au-delà d'une exigence générale de considérer l'interopérabilité.