La task force IA de Trump ignore publiquement la CISA

La task force de Donald Trump travaille sur les risques de cybersécurité liés à l’intelligence artificielle. Pourtant, ses responsables n’ont pas cité la Cybersecurity and Infrastructure Security Agency, ou CISA, dans leurs déclarations publiques. Cette agence du Department of Homeland Security est chargée des risques visant les infrastructures critiques. Le groupe présidentiel comprend des équipes consacrées à leur sécurité et au signalement des incidents. CISA ne dirige toutefois pas ces équipes. Sa participation éventuelle n’a pas été confirmée publiquement. Cette absence intervient alors que la task force veut protéger les Américains contre les risques de cette technologie. Des experts interrogés par Cybersecurity Dive y voient un risque opérationnel important.

Le dispositif présidentiel a été créé début octobre pour promouvoir l’IA tout en limitant ses dommages. Donald Trump a estimé que cette technologie pourrait être « plus grande que la révolution industrielle ». La task force est dirigée par Jay Clayton, directeur du renseignement national. Elle comporte trois axes de travail. Emil Michael supervise les protocoles d’alerte précoce concernant les incidents de sécurité. Andrew Ferguson traite la protection des consommateurs et l’application du droit. Scott Kupor s’occupe des infrastructures critiques et des effets sur les effectifs. En octobre, la Maison-Blanche a aussi demandé aux laboratoires de signaler les incidents de perte de contrôle et les comportements dangereux.

Trois responsables pilotent les travaux

Les experts consultés considèrent CISA comme un acteur central pour sécuriser les systèmes d’IA. Daniel Bardenstein, ancien conseiller de l’agence, affirme qu’elle a développé des compétences sur le lien entre IA et cybersécurité. Il cite la sécurisation des systèmes d’IA et leur usage dans les opérations défensives. Matt Altomare, ancien responsable de la chasse aux menaces chez CISA, veut lui confier un rôle dans le signalement des incidents. Lauren Zabierek estime également que l’agence comprend mieux les risques de l’IA pour les infrastructures critiques. CISA coordonne au niveau fédéral leur sécurité et leur résilience, selon Altomare.

Les opérateurs critiques pourraient subir les conséquences d’une coordination insuffisante. CISA entretient des relations avec les acteurs de la sécurité des infrastructures et du secteur privé. Lauren Zabierek redoute que la task force néglige les organisations disposant de moins de ressources. Elle cite notamment les petits services publics et les hôpitaux ruraux. CISA développe aussi des règles de signalement dans le cadre de la loi CIRCIA de 2022. En octobre, CISA et le NIST ont publié des recommandations destinées aux laboratoires d’IA. Une nouvelle approche pourrait donc dupliquer certains processus existants. Un salarié de CISA redoute des consignes différentes selon le caractère « IA » ou « cybersécurité » d’un incident.

CISA risque des règles redondantes

Le choix de Scott Kupor pour dialoguer avec les opérateurs surprend plusieurs experts. Le directeur de l’Office of Personnel Management a été le premier salarié recruté par la société de capital-risque Andreessen Horowitz. Cette société a fortement investi dans l’IA. Daniel Bardenstein estime que l’administration pourrait rechercher son accès à l’expertise privée. Il ajoute que les investisseurs de la Silicon Valley entretiennent généralement moins de relations avec les opérateurs d’infrastructures critiques. La Maison-Blanche a renvoyé les questions sur CISA vers l’OPM. Scott Kupor a répondu que la task force travaillerait avec les administrations, sans citer CISA. L’agence n’a pas répondu aux demandes de commentaire.

Les conséquences institutionnelles concernent aussi la confiance envers CISA. L’agence a subi deux années de suppressions de postes, de réductions de programmes et de turbulences managériales. Ces changements ont déjà inquiété ses partenaires des infrastructures critiques. Daniel Bardenstein estime que ces événements ont réduit la confiance du secteur privé dans sa capacité d’action. Il avertit également qu’une exclusion pourrait démoraliser ses équipes. La task force pourrait produire des règles d’incident distinctes de celles préparées par CISA pour CIRCIA. Les experts recommandent donc d’utiliser les compétences existantes de l’agence et ses relations avec les opérateurs critiques.

Pour approfondir, consultez les travaux de CISA sur la préparation aux incidents et l’annonce des membres rapportée par NBC News.