L'adoption mondiale de l'IA dépasse la compréhension des risques, avertissent les chercheurs

Alors que les organisations se précipitent pour mettre en œuvre l’intelligence artificielle (IA), une nouvelle analyse des risques liés à l’IA révèle des lacunes importantes dans notre compréhension, soulignant le besoin urgent d’une approche plus globale.

L’adoption de l’IA augmente rapidement ; les données du recensement montrent une augmentation significative (47 %) de l’utilisation de l’IA dans les industries américaines, passant de 3,7 % à 5,45 % entre septembre 2023 et février 2024.

Cependant, une étude approfondie menée par des chercheurs du MIT CSAIL et du MIT FutureTech a révélé des lacunes critiques dans les cadres de gestion des risques de l’IA existants. Leur analyse révèle que même le cadre individuel le plus complet néglige environ 30 % des risques identifiés dans tous les cadres examinés.

Pour résoudre ce problème, ils ont collaboré avec des collègues de l'Université du Queensland, du Future of Life Institute, de la KU Leuven et d'Harmony Intelligence, pour publier le tout premier référentiel de risques liés à l'IA : une base de données vivante, complète et accessible, de plus de 700 risques posés par l'IA qui sera étendue et mise à jour pour garantir qu'elle reste actuelle et pertinente.

« Étant donné que la littérature sur les risques liés à l’IA est dispersée dans des revues à comité de lecture, des prépublications et des rapports sectoriels, et qu’elle est assez variée, je crains que les décideurs puissent consulter sans le vouloir des aperçus incomplets, passer à côté de préoccupations importantes et développer des angles morts collectifs », explique le Dr Peter Slattery, nouveau postdoctorant au MIT FutureTech Lab et actuel chef de projet.

Après avoir consulté plusieurs bases de données universitaires, fait appel à des experts et récupéré plus de 17 000 enregistrements, les chercheurs ont identifié 43 cadres de classification des risques d'IA existants. À partir de ceux-ci, ils ont extrait plus de 700 risques. Ils ont ensuite utilisé des approches qu'ils ont développées à partir de deux cadres existants pour classer chaque risque par cause (par exemple, quand ou pourquoi il se produit), domaine de risque (par exemple, « désinformation ») et sous-domaine de risque (par exemple, « informations fausses ou trompeuses »).

Parmi les exemples de risques identifiés, on peut citer « la discrimination injuste et les fausses déclarations », « la fraude, les escroqueries et la manipulation ciblée » et « la dépendance excessive et l’utilisation dangereuse ». Les risques analysés ont été davantage attribués aux systèmes d’IA (51 %) qu’aux humains (34 %) et présentés comme apparaissant après le déploiement de l’IA (65 %) plutôt qu’au cours de son développement (10 %).

Les domaines de risque les plus fréquemment abordés sont « la sécurité, les défaillances et les limites des systèmes d'IA » (76 % des documents) ; « les préjudices socioéconomiques et environnementaux » (73 %) ; « la discrimination et la toxicité » (71 %) ; « la confidentialité et la sécurité » (68 %) ; et « les acteurs malveillants et les abus » (68 %). En revanche, « l'interaction homme-machine » (41 %) et la « désinformation » (44 %) ont reçu comparativement moins d'attention.

Certains sous-domaines de risque ont été évoqués plus fréquemment que d’autres. Par exemple, « Discrimination injuste et fausses déclarations » (63 %), « Compromission de la vie privée » (61 %) et « Manque de capacité ou de robustesse » (59 %) ont été mentionnés dans plus de 50 % des documents. D’autres, comme « Bien-être et droits de l’IA » (2 %), « Pollution de l’écosystème de l’information et perte de la réalité consensuelle » (12 %) et « Dynamique concurrentielle » (12 %), ont été mentionnés dans moins de 15 % des documents.

En moyenne, les référentiels ne mentionnent que 34 % des 23 sous-domaines de risque identifiés, et près d’un quart d’entre eux en couvrent moins de 20 %. Aucun document ou aperçu ne mentionne les 23 sous-domaines de risque, et le plus complet (Gabriel et al., 2024) n’en couvre que 70 %.

Ce travail répond au besoin urgent d'aider les décideurs du gouvernement, de la recherche et de l'industrie à comprendre et à hiérarchiser les risques associés à l'IA et à travailler ensemble pour y faire face. « De nombreuses initiatives de gouvernance de l'IA émergent dans le monde entier, axées sur la gestion des principaux risques liés à l'IA », explique Risto Uuk, responsable de la recherche européenne au Future of Life Institute. « Ces institutions ont besoin d'une compréhension plus complète et plus globale du paysage des risques. »

Les chercheurs et les professionnels de l’évaluation des risques sont également gênés par la fragmentation de la littérature actuelle. « Il est difficile de trouver des études spécifiques sur les risques dans certains domaines de niche où l’IA est utilisée, comme les armes et les systèmes d’aide à la décision militaire », explique Taniel Yusef, chercheur associé au Center for the Study of Existential Risk de l’Université de Cambridge, qui n’a pas participé à la recherche. « Sans référence à ces études, il peut être difficile de parler des aspects techniques des risques liés à l’IA à des experts non techniques. Ce référentiel nous aide à le faire. »

« Il existe un besoin urgent de disposer d'une base de données complète des risques issus de l'IA avancée, que les évaluateurs de sécurité comme Harmony Intelligence puissent utiliser pour identifier et détecter les risques de manière systématique », explique Soroush Pour, PDG et cofondateur de la société Harmony Intelligence, spécialisée dans les évaluations de sécurité par IA et la gestion des équipes. « Sinon, nous ne savons pas quels risques nous devons rechercher ni quels tests doivent être effectués. Il est beaucoup plus probable que nous oublions quelque chose simplement en n'en étant pas conscients. »

L’intelligence artificielle, une activité risquée

Les chercheurs se sont appuyés sur deux cadres (Yampolskiy 2016 et Weidinger et al., 2022) pour catégoriser les risques qu'ils ont extraits. Sur la base de ces approches, ils regroupent les risques de deux manières.

Tout d’abord, par les facteurs causaux :

Entité : Humain, IA et Autre ;
Intentionnalité : intentionnelle, non intentionnelle et autre ; et
Calendrier : avant le déploiement, après le déploiement et autre.

Deuxièmement, par sept domaines de risque de l’IA :

Discrimination et toxicité,
Confidentialité et sécurité,
Désinformation,
Acteurs malveillants et utilisation abusive,
Interaction homme-machine,
Socioéconomique et environnemental, et
Sécurité, défaillances et limites du système d’IA.

Ceux-ci sont eux-mêmes divisés en 23 sous-domaines (descriptions complètes ici) :

1.1. Discrimination injuste et fausses déclarations
1.2. Exposition à des contenus toxiques
1.3. Des performances inégales selon les groupes
2.1. Compromission de la vie privée par la fuite ou la déduction incorrecte d'informations sensibles
2.2. Vulnérabilités et attaques de sécurité des systèmes d'IA
3.1. Informations fausses ou trompeuses
3.2. Pollution de l'écosystème informationnel et perte de la réalité consensuelle
4.1. Désinformation, surveillance et influence à grande échelle
4.2. Cyberattaques, développement ou utilisation d’armes et dommages de masse
4.3. Fraudes, escroqueries et manipulations ciblées
5.1. Dépendance excessive et utilisation dangereuse
5.2. Perte de l'autonomie et de l'autonomie humaine
6.1. Centralisation du pouvoir et répartition inéquitable des bénéfices
6.2. Augmentation des inégalités et déclin de la qualité de l'emploi
6.3. Dévalorisation économique et culturelle de l'effort humain
6.4. Dynamique concurrentielle
6.5. Échec de la gouvernance
6.6. Dommages environnementaux
7.1. L’IA poursuit ses propres objectifs en conflit avec les objectifs ou les valeurs humaines
7.2. L'IA possède des capacités dangereuses
7.3. Manque de capacité ou de robustesse
7.4. Manque de transparence ou d'interprétabilité
7.5. Bien-être et droits de l'IA

« L’AI Risk Repository est, à notre connaissance, la première tentative de sélection, d’analyse et d’extraction rigoureuses des cadres de risque de l’IA dans une base de données de risques accessible au public, complète, extensible et catégorisée. Il fait partie d’un effort plus vaste visant à comprendre comment nous réagissons aux risques de l’IA et à identifier les éventuelles lacunes dans nos approches actuelles », explique le Dr Neil Thompson, directeur du MIT FutureTech Lab et l’un des principaux chercheurs du projet.

« Nous commençons par une liste de contrôle complète, pour nous aider à comprendre l'ampleur des risques potentiels. Nous prévoyons de l'utiliser pour identifier les lacunes dans les réponses organisationnelles. Par exemple, si tout le monde se concentre sur un type de risque tout en négligeant d'autres d'importance similaire, c'est un problème que nous devons remarquer et résoudre. »

La phase suivante consistera à faire évaluer et hiérarchiser les risques par des experts, puis à les utiliser pour analyser des documents publics provenant de développeurs d'IA influents et de grandes entreprises. L'analyse examinera si les organisations réagissent aux risques liés à l'IA (et le font en fonction des préoccupations des experts) et comparera les approches de gestion des risques dans différents secteurs et industries.

Le référentiel est disponible gratuitement en ligne pour téléchargement, copie et utilisation. Les commentaires et suggestions peuvent être soumis ici.