Qu'on l'aime ou qu'on le déteste, le ChatGPT et, en fait, l'IA (Intelligence Artificielle) en général sont là pour rester.
Tous les partisans de l'IA affirment qu'elle doit être considérée comme un outil permettant de rendre les organisations et les individus plus efficaces, tandis que tous ceux qui s'y opposent se demandent si nous ne tombons pas dans le piège de la quantité contre la qualité.
Il s'agit d'un vaste sujet qui donne lieu à une multitude d'opinions et à des débats sans fin.
Limitons-nous donc à la manière dont cela nous affecte. Plongeons dans le monde de la conformité du ChatGPT.
ChatGPT et conformité : les responsables de la conformité sont-ils en danger ?
Quand ChatGPT Les entreprises qui ont émergé, les rédacteurs, les graphistes, les musiciens et à peu près tous ceux qui ont un penchant pour la création ont commencé à paniquer. Des emplois allaient-ils disparaître ? Allons-nous oublier comment écrire, concevoir, dessiner, créer ?
Cette possibilité n'est pas hors de portée de l'imagination. Il n'est pas improbable que nous devenions moins créatifs, moins capables de penser par nous-mêmes et plus susceptibles de dépendre de l'IA pour faire notre travail à notre place. En fait, des études récentes ont montré que l'IA sera effectivement responsable de centaines de milliers de pertes d'emplois.
Cependant, même si ChatGPT imite l'humanité à certains égards (en se référant même à elle-même comme "moi" et "je"), nous devons nous rappeler que l'IA n'en a pas :
- Expériences personnelles
- Émotions
- Mémoire humaine intrinsèque
- La capacité de sympathie
- La capacité d'empathie.
Les responsables de la conformité représentent-ils donc un risque ?
Pour le savoir, nous devons d'abord déterminer si les agents de conformité sont capables d'empathie ou de sympathie.
Je plaisante !
Ce qu'il faut voir, c'est ce qu'est ChatGPT et quelles sont ses limites.
Qu'est-ce que ChatGPT ?
Le GPT en ChatGPT signifie "Generative Pre-trained Transformer" (transformateur génératif pré-entraîné). Il s'agit d'un type de réseau neuronal à grand modèle de langage (LLM) qui peut effectuer diverses tâches de traitement du langage naturel, telles que répondre à des questions, résumer un texte et même générer des lignes de code. - Al Jazeera
ChatGPT est un modèle d'IA qui a été entraîné à fournir des réponses aux instructions données par les utilisateurs. Pour ce faire, il utilise la méthode RLHF (Reinforcement Learning from Human Feedback) et la méthode PPO (Proximal Policy Optimisation).
Open AI (l'organisation qui a développé le Chat GPT) propose cette infographie pour expliquer le processus d'apprentissage.
En tenant compte de ce processus, il n'est pas improbable que ChatGPT puisse essentiellement apprendre à cocher les cases de conformité pour toutes les normes de conformité à l'avenir.
Toutefois, il devrait d'abord être formé pour comprendre tous les aspects d'une organisation, depuis ses protocoles de sécurité jusqu'à ses systèmes, ses produits et son personnel. Nous reviendrons plus tard sur cette formation spécifique à l'organisation.
Il est très peu probable que le ChatGPT puisse identifier les nuances de gris en matière de conformité, en particulier parce qu'il n'est pas en mesure de contextualiser les preuves dans les paramètres de situations et de scénarios spécifiques.
En outre, alors qu'un modèle d'IA tel que ChatGPT pourrait générer un rapport pour un auditeur, assimiler les connaissances en matière de conformité, fournir des résumés et vérifier les mises à jour, sera-t-il en mesure de suivre l'évolution constante du domaine de la conformité ? La réponse est que - dans le futur - il le pourra probablement. Ou plutôt, ComplianceGPT (lorsqu'il sera inventé) sera probablement capable de le faire.
Un outil d'IA de conformité pourrait être formé aux politiques et procédures internes d'une organisation et fournir des conseils et de la documentation aux responsables de la conformité au sein d'une organisation sur les réglementations qui s'appliquent spécifiquement à leur entreprise.
En théorie, le ChatGPT pourrait donc un jour remplir les fonctions de base d'un agent de conformité.
Cependant, comme toutes les choses humaines et non humaines, l'IA a ses limites.
Les limites de ChatGPT
Biais
Le 2 février 2023, le PDG d'Open AI, Sam Altman, a tweeté : "Nous savons que ChatGPT présente des lacunes en matière de partialité et nous nous efforçons de l'améliorer."
Selon un Article du 23 février dans Business Insider, ChatGPT doit devenir plus "woke" car il est peu probable que les entreprises investissent dans une technologie qui pourrait leur causer des maux de tête en matière de relations publiques.
Quel est le lien entre l'objectivité du Chat GPT et sa capacité à assumer le rôle d'un responsable de la conformité ? L'objectivité est l'une des compétences les plus importantes pour les agents de conformité et, naturellement, pour les auditeurs.
Cela ne veut pas dire que les humains ne sont pas victimes de préjugés. La différence est qu'un agent de conformité qui fait preuve de partialité sera tenu pour responsable, alors qu'un automate ne le sera peut-être pas.
"Les agents de conformité sont censés fournir un point de vue objectif sur les politiques de l'entreprise. L'influence exercée par d'autres employés, y compris la direction et les cadres, pour négliger des infractions peut entraîner des amendes ou des sanctions importantes pouvant conduire à des pertes financières, voire à la fermeture de l'entreprise." - Investopedia
Manque de bon sens
ChatGPT n'a pas de cerveau, pas d'émotion, pas d'histoire, pas de famille. Il n'a pas de morale ni de capacité à raisonner et à comprendre. Cela signifie qu'il n'a pas de sens commun.
Nous avons tous besoin d'apprendre par l'expérience. Lorsque vous êtes tout petit, vous mettez volontiers votre main sur la plaque de la cuisinière parce que vous n'avez pas encore appris qu'elle pouvait vous brûler. Une fois que tu as compris que tu risquais de te blesser, il devient logique de ne pas mettre ta main sur la plaque de cuisson. Bien sûr, on peut développer le bon sens en s'inspirant de l'expérience des autres, mais il faut pour cela être capable de raisonner et de déduire, ce dont ChatGPT est dépourvu.
Ou est-ce le cas ?
Faisons un test rapide.
Nous avons posé la question suivante à ChatGPT : "Est-il prudent de laisser un ordinateur portable ouvert sur un bureau ?".
Et voici ce qu'il dit :
Laisser un ordinateur portable ouvert sur un bureau est généralement sans danger tant que le bureau est stable et que l'ordinateur portable ne risque pas d'être renversé ou exposé à d'autres dangers potentiels. Cependant, il existe quelques facteurs à prendre en compte qui peuvent affecter la sécurité de laisser un ordinateur portable ouvert sur un bureau :
- La sécurité : Si vous laissez votre ordinateur portable sans surveillance dans un lieu public, il n'est peut-être pas à l'abri d'un vol. Il est important de sécuriser votre ordinateur portable en le verrouillant à l'aide d'un mot de passe ou en utilisant un cadenas pour ordinateur portable.
- Température : Les ordinateurs portables génèrent de la chaleur lorsqu'ils sont utilisés et le fait de laisser un ordinateur portable sur un bureau pendant une période prolongée peut entraîner une surchauffe. Assurez-vous que la ventilation de l'ordinateur portable n'est pas bloquée et que l'ordinateur portable n'est pas placé en plein soleil ou près d'une source de chaleur.
- Puissance : Si votre ordinateur portable n'est pas branché sur une source d'alimentation, le fait de le laisser ouvert sur un bureau pendant une période prolongée peut entraîner le déchargement de la batterie, ce qui peut affecter ses performances et sa durée de vie.
En résumé, il est généralement sans danger de laisser un ordinateur portable ouvert sur un bureau, mais il est important de prendre en compte les questions de sécurité, de température et d'alimentation avant de le faire.
À aucun moment, Chat GPT n'a pris en compte la conformité, la protection de la vie privée et la sécurité des données. Un manque de bon sens ? Certainement.
Il convient de noter que lorsqu'il a été spécifiquement demandé de prendre en compte la conformité dans le cadre du même scénario, la réponse du Chat GPT a été complètement différente et conforme à ce que l'on attendrait d'une réponse à une question portant spécifiquement sur la conformité.
Incapacité à comprendre le contexte
Dans leur articleLes 10 principales limites de Chat GPTForbes explique que "ChatGPT a des difficultés à comprendre le contexte, en particulier le sarcasme et l'humour. Bien que ChatGPT soit compétent en matière de traitement du langage, il peut avoir du mal à saisir les nuances subtiles de la communication humaine. Par exemple, si un utilisateur utilise le sarcasme ou l'humour dans son message, ChatGPT peut ne pas saisir le sens voulu et fournir une réponse inappropriée ou hors de propos.
Dépendance à l'égard des données de formation
Les données d'entraînement sont utilisées pour entraîner les algorithmes afin qu'ils puissent prédire les résultats. Comme le montre le diagramme ci-dessous, extrait de l'article "Le guide essentiel des données de formation de qualité pour l'apprentissage automatique", lorsqu'il s'agit de données de formation, l'intervention humaine est nécessaire à de nombreux égards.
Cela signifie que :
- L'IA dépend de la précision des données humaines
- L'IA ne peut pas fonctionner sans la présence d'un être humain dans le système
Comme pour la plupart des choses liées à l'IA - et nous l'avons vu avec l'exemple de l'ordinateur portable ci-dessus - ce que vous introduisez est ce que vous obtenez. Par conséquent, si les informations et les connaissances introduites par les humains sont inexactes, fausses ou de mauvaise qualité, les résultats que l'utilisateur final recevra de l'IA seront également inexacts, faux ou de mauvaise qualité.
Connaissance limitée du domaine
La connaissance du domaine fait référence à l'intelligence que l'on a d'un domaine spécifique au sein d'une industrie spécifique. Par conséquent, la connaissance du domaine = l'expertise. ChatGPT n'est pas un expert dans un domaine particulier. Cela signifie que l'application de la conformité dans un domaine spécifique sera difficile à moins que l'utilisateur n'apprenne d'abord à Chat GPT à comprendre son industrie, son organisation ou son contexte.
C'est possible, bien sûr, mais cela reviendrait en fait à augmenter le temps nécessaire à la mise en œuvre des cadres de conformité, plutôt qu'à accroître l'efficacité.
ChatGPT et GDPR : que savons-nous ?
L'autorité italienne de protection des données a ordonné à Open AI de cesser de traiter les données des personnes en Italie, car elle craint que Chat GPT n'enfreigne le règlement général sur la protection des données de l'Union européenne.
Selon la BBC, "l'organisme de surveillance a déclaré le 20 mars 2023 que l'application avait été victime d'une violation de données impliquant des conversations d'utilisateurs et des informations de paiement.
Elle a déclaré qu'il n'y avait pas de base juridique pour justifier "la collecte et le stockage massifs de données à caractère personnel dans le but d'"entraîner" les algorithmes qui sous-tendent le fonctionnement de la plateforme".
Elle a également déclaré qu'en l'absence de moyen de vérifier l'âge des utilisateurs, l'application "expose les mineurs à des réponses absolument inadaptées par rapport à leur degré de développement et de conscience".
À première vue, il semble que le Chat GPT soit en infraction avec la loi sur la protection des données. les principes clés du GDPRMais à en juger par l'absence de réaction en chaîne, il pourrait s'agir d'une réaction instinctive de la part de l'Italie. La situation - comme tout ce qui a trait à l'IA - est en constante évolution.
Que savons-nous exactement sur le ChatGPT et le GDPR ?
- Limitation de l'objet
Selon la Commission de la protection des données, "les données à caractère personnel ne doivent être collectées que pour des finalités déterminées, explicites et légitimes et ne doivent pas être traitées ultérieurement de manière incompatible avec ces finalités".
Il faudra suivre la suite du scénario italien pour savoir si Open AI pratique ou non la limitation d'usage comme il se doit.
- Séparation des données
La protection des données stockées sur des systèmes partagés est une préoccupation essentielle pour de nombreuses organisations. Il y a un certain nombre de raisons pour lesquelles cela est important. L'une d'entre elles est bien sûr la conformité réglementaire.
"En raison de l'impact potentiel qu'un accès non autorisé peut avoir sur une entreprise, il est très important que les organisations mettent en œuvre des mesures robustes de séparation des données pour limiter l'accès aux données sensibles". - Labos suivants.
- Limitation du stockage
Bien que ChatGPT ne contrôle pas les données saisies et n'ait pas la possibilité de les supprimer, les données utilisées pour former l'IA sont stockées dans de grandes bases de données. Les organisations qui utilisent les données pour former Chat GPT affirment qu'elles peuvent avoir besoin de conserver les données pendant de longues périodes à des fins de recherche ou de formation.
ChatGPT et ISO 27001 : à quoi faut-il faire attention ?
- Contrôles d'accès
La sous-section A.9.1 de la norme ISO 27001 exige qu'une organisation dispose d'une politique de contrôle d'accès, définissant quels utilisateurs ont accès à quels réseaux et services.
À ce stade, Chat GPT ne serait pas en mesure d'accomplir cette tâche s'il n'avait pas reçu une formation approfondie sur les protocoles de contrôle d'accès d'une organisation. Bien qu'il puisse fournir des conseils, qui varieraient en fonction du secteur d'activité de la startup technologique, sur la manière de créer la politique, il ne serait pas en mesure de la créer lui-même. En effet, la création d'une politique de contrôle d'accès complète et efficace nécessite une compréhension approfondie des besoins commerciaux spécifiques, des risques et des exigences réglementaires d'une organisation donnée. En fait, le ChatGPT lui-même recommande aux organisations de faire appel à des professionnels expérimentés en matière de sécurité de l'information pour créer et mettre en œuvre une politique de contrôle d'accès adaptée aux besoins spécifiques de leur organisation.
- Gestion des incidents
La norme ISO 27001 définit un incident de sécurité comme "un événement indésirable susceptible de compromettre la confidentialité, l'intégrité ou la disponibilité des informations".
Un incident peut varier d'une situation relativement anodine à une situation extrêmement menaçante pour une organisation. La gestion d'un incident exige non seulement une connaissance approfondie des actifs, des vulnérabilités et de la procédure de réponse d'une organisation donnée, mais aussi une certaine sensibilité en ce qui concerne la communication autour de l'incident.
Les procédures de signalement, les examens post-incidents et les recommandations d'amélioration sont mieux formulés par une personne professionnelle qui a une compréhension complexe de l'organisation concernée.
Encore une fois, même si ChatGPT peut vous fournir des instructions étape par étape sur ce qu'il faut faire, à moins d'avoir été formé à tous les aspects de votre organisation, il ne sera pas en mesure de gérer l'incident ou de créer des communications et des rapports précis autour de l'incident.
- Contrôle et test
Lorsqu'on lui a demandé s'il pouvait effectuer la surveillance et les essais de la norme ISO 27001, Chat GPT a fourni des orientations et des conseils sur les activités de surveillance et d'essai, notamment :
Analyse de la vulnérabilité et tests de pénétration
Essais de contrôle d'accès
Test de réponse aux incidents
Test de continuité des activités
Pourquoi ChatGPT n'est pas adapté à la conformité, en général ?
La conformité repose sur une compréhension précise et méticuleuse des cadres réglementaires. Elle dépend intrinsèquement d'entrées et de sorties honnêtes et exactes.
Open AI cite deux des limites du Chat GPT :
- ChatGPT écrit parfois des réponses plausibles mais incorrectes ou absurdes...
- Le modèle est souvent excessivement verbeux ...
En tant que start-up technologique, vous n'avez certainement pas besoin d'informations erronées lors de votre audit ISO 27001 et vous souhaitez également que les informations soient aussi succinctes et transparentes qu'il est humainement (oui, humainement) possible de l'être.
Comment utiliser ChatGPT dans le cadre de la conformité
ChatGPT peut vous donner le "quoi faire" et le "comment faire" de la conformité ISO 27001. Ce qu'il ne peut pas faire, c'est créer un contenu sur mesure pour votre parcours de conformité, basé sur les informations et les besoins spécifiques de votre organisation.
En ce qui concerne l'IA, Matthew Sag, professeur de droit à l'université Emory, déclare : "On dit qu'un nombre infini de singes finira par donner Shakespeare".
Il est important de comprendre que le Chat GPT n'est que cela (pour l'instant, en tout cas) : le résultat d'une quantité infinie de données provenant de sources inconnues et compilées en "faits".
Les résultats de cette situation, lorsqu'il s'agit de se conformer à des normes telles que la norme ISO 27001, pourraient être désastreux.
Il est donc conseillé, si vous avez l'intention d'utiliser Chat GPT ou toute autre IA pour assurer la conformité (ou toute autre chose d'ailleurs), de vérifier et de revérifier le contenu créé par l'IA.
Un meilleur parcours de conformité vous attend
ChatGPT Compliance pourrait-il être l'avenir de la conformité ?
Peut-être.
Pour l'instant, bien que vous puissiez utiliser ChatGPT pour créer une feuille de route générique pour votre parcours ISO 27001, il existe déjà un outil éprouvé et fiable (avec les instructions qui l'accompagnent)... créé par des experts dans le domaine de la conformité allégée.
Il s'agit de Compleye Online et vous pouvez réserver une démonstration gratuite. ici !
