Règles d'approvisionnement en sécurité de l'IA

Résumé#

Ce projet de loi interdirait au gouvernement fédéral d'acheter ou d'utiliser certains modèles d'intelligence artificielle (IA) capables de créer des images ou des vidéos réalistes si ces modèles ne respectent pas les normes de sécurité ou sont jugés par un tribunal fédéral avoir produit des images sexuelles d'enfants ou des images sexuelles non consensuelles d'adultes identifiables. Il charge le NIST (Institut national des normes et de la technologie) de créer des repères de performance et un programme de test volontaire pour prévenir de tels résultats nuisibles. Il crée également un droit d'action privé (un moyen pour les personnes de poursuivre) et interdit la vente d'outils conçus pour contourner les protections techniques.

• Changement principal : Les agences fédérales ne seraient pas autorisées à acquérir ou à utiliser des modèles d'IA jugés non sécurisés selon les nouveaux repères de performance ou reconnus par un tribunal fédéral comme ayant généré du matériel d'abus sexuel d'enfants ou des images intimes non consensuelles.
• Devoirs du NIST : Le NIST doit établir des repères de performance dans les 90 jours et mettre en place un programme de test volontaire pour les fournisseurs dans les 180 jours.
• Devoirs des agences : Les agences doivent retirer les modèles d'IA couverts de leurs systèmes dans les 180 jours suivant l'adoption ou dans les 180 jours suivant la détermination qu'un modèle est couvert.
• Protections et remèdes : Les agences peuvent adopter des protections techniques temporaires si les fournisseurs ne peuvent pas corriger un modèle, et les fournisseurs peuvent se voir offrir la possibilité de modifier des modèles à leurs propres frais pour éviter le retrait.
• Poursuites privées et pénalités : Les individus et certains développeurs peuvent poursuivre pour violations. Les tribunaux peuvent accorder des dommages-intérêts (réels ou statutaires jusqu'à 50 000 $), des injonctions et d'autres recours. Les violations répétées peuvent permettre des dommages-intérêts triples.
• Règle anti-contournement : Il serait illégal de fabriquer, d'importer ou d'offrir des produits principalement conçus pour contourner les contrôles techniques qui empêchent la génération de contenu interdit.

Ce que cela signifie pour vous#

• Agences fédérales et agents d'approvisionnement

  • Les agences doivent retirer ou cesser d'utiliser des modèles d'IA qui répondent à la définition d'une application couverte par le projet de loi. Cela s'applique aux systèmes gérés par l'agence et aux systèmes gérés par des entrepreneurs.
  • Les agences doivent examiner régulièrement les produits et services (GSA tous les 90 jours après 1 an ; agences au moins annuellement après 1 an) pour vérifier les applications couvertes.
  • Si un fournisseur ne peut ou ne veut pas modifier un modèle, l'agence peut mettre en œuvre des protections supplémentaires et doit certifier publiquement ces protections dans les 30 jours.

• Développeurs et fournisseurs de modèles d'IA

  • Les fournisseurs peuvent être tenus de modifier des modèles à leurs propres frais si le modèle est jugé une application couverte.
  • Les fournisseurs pourraient faire face à une responsabilité civile s'ils ne mettent pas en œuvre des contrôles techniques suffisamment robustes et que quelqu'un est lésé, ou si leurs contrôles sont contournés.
  • Les fournisseurs doivent s'attendre à des tests volontaires par le NIST et à des mises à jour des repères de performance au fil du temps.

• Entrepreneurs fournissant des services informatiques ou d'IA au gouvernement

  • Les entrepreneurs doivent retirer les applications couvertes des systèmes qu'ils exploitent pour les agences, selon le même calendrier que les agences.

• Individus dont les images sont utilisées sans consentement

  • Les personnes dont les images sont utilisées pour créer du matériel d'abus sexuel d'enfants ou des images intimes non consensuelles peuvent poursuivre la personne ou le développeur responsable.
  • Les recours judiciaires peuvent inclure des dommages-intérêts, des injonctions, la saisie de dispositifs et des ordonnances pour modifier ou détruire des produits violant la loi.

• Entreprises fabriquant des outils contournant les protections

  • Fabriquer, importer ou offrir des outils principalement conçus pour contourner les contrôles techniques pourrait être illégal en vertu de ce projet de loi.

Dépenses#

Aucune information disponible publiquement.

• Ce projet de loi créerait probablement des coûts administratifs pour le NIST afin de développer des repères et de gérer un programme de test volontaire.
• Les agences fédérales pourraient encourir des coûts pour identifier, retirer ou remplacer des modèles d'IA couverts et pour mettre en œuvre ou certifier des protections techniques.
• Les fournisseurs pourraient faire face à des coûts pour modifier des modèles afin de répondre aux repères ou pour se défendre contre des poursuites privées.
• Les coûts juridiques potentiels et les dommages-intérêts résultant de poursuites civiles pourraient être significatifs pour les parties reconnues responsables.

Point de vue des partisans#

• Le projet de loi semble destiné à arrêter l'utilisation par le gouvernement de modèles d'IA capables de produire du matériel d'abus sexuel d'enfants synthétique ou des images intimes non consensuelles.
• Les partisans pourraient soutenir que le projet de loi protégerait les personnes contre l'exploitation en retirant des modèles dangereux des systèmes fédéraux et en incitant les développeurs à adopter des contrôles de sécurité plus stricts.
• Exiger des repères du NIST et des tests des fournisseurs pourrait améliorer les normes techniques et donner aux agences des critères plus clairs pour une utilisation sécurisée de l'IA.
• Permettre aux agences d'exiger des corrections de la part des fournisseurs (à leurs frais) ou d'adopter des protections pourrait accélérer le retrait ou l'atténuation des modèles risqués.
• Le droit d'action privé donne aux victimes et aux développeurs concernés un moyen de demander des recours et de dissuader à la fois l'utilisation abusive et la vente d'outils contournant les protections.

Point de vue des opposants#

• Une préoccupation est que le projet de loi ne définit pas complètement comment les repères du NIST fonctionneront ou ce que sont des contrôles techniques "suffisants", laissant des détails importants incertains jusqu'à ce que le NIST émette des directives.
• La définition des modèles d'IA couverts pourrait être large. Cela pourrait inclure involontairement des modèles légitimes générant des images bénignes, selon la manière dont les repères et les tests sont appliqués.
• Les délais (90 jours pour les repères, 180 jours pour le retrait des agences) pourraient être serrés pour que les agences, les fournisseurs et le NIST effectuent des examens techniques et des modifications.
• Le droit d'action privé pourrait entraîner une augmentation des litiges. Cela pourrait augmenter les coûts juridiques pour les développeurs, les fournisseurs et d'autres parties même dans des cas flous ou limites.
• L'interdiction de contournement pourrait affecter les outils à double usage (outils ayant à la fois des usages légitimes et illégitimes) s'il est difficile de séparer les produits de contournement "principalement conçus" des logiciels légitimes.
• Il n'est pas clair comment le projet de loi serait appliqué en pratique, comment les tribunaux interpréteront les termes clés et comment les modèles internationaux ou open-source seraient traités.