Analyse de l'IA dans l'écosystème de l'électrique

Analyse des risques potentiels en matière de cybersécurité lors de l'utilisation de l'IA dans le modèle d'avenir de l'écosystème électrique suisse

Management Summary

L'utilisation croissante de l'intelligence artificielle (IA) dans les infrastructures critiques pose de nouveaux défis en matière de cybersécurité et de souveraineté numérique de la Suisse.

L'Institut national de test pour la cybersécurité NTC a donc procédé à une évaluation des risques liés au développement de l'écosystème électrique suisse basé sur l'intelligence artificielle, afin d'identifier les menaces potentielles à un stade précoce et de formuler des recommandations.

Dans le cadre de cette analyse, les huit risques suivants ont été identifiés pour un modèle futur possible de l'écosystème électrique suisse et ont fait l'objet de discussions avec des experts en cybersécurité, en numérisation et en intelligence artificielle.

1. Surface d'attaque accrue des produits commerciaux destinés aux clients finaux
2. Effets en cascade dus à une grande complexité
3. Erreurs involontaires de l'IA
4. Dépendances vis-à-vis des fabricants
5. Détournement et utilisation abusive de données sensibles
6. Perturbations lors de la transmission des données
7. Backdoors et manipulation ciblée
8. Attaques par interception de paquets

Au cours des discussions, les experts ont clairement souligné l'importance d'analyser l'écosystème électrique en pleine mutation, en raison notamment de la numérisation croissante, de la mise en réseau ou de l'utilisation de l'intelligence artificielle. Ils ont convenu de la pertinence et de l'urgence des huit risques identifiés. Ils ont confirmé qu'il s'agissait de risques sérieux qui devaient être pris en compte. En conséquence, de nombreux risques ont été classés comme « élevés » ou « très élevés ». Les résultats soulignent la nécessité pour le NTC de traiter de manière intensive et proactive les défis posés par l'IA.

Les experts ont évalué le risque le plus élevé comme étant celui des produits commerciaux destinés aux clients finaux, qui sont intégrés en très grand nombre dans le réseau de communication du système électrique. Les produits commerciaux destinés aux clients finaux sont des produits destinés à la vente directe aux consommateurs (clients finaux). Ces produits sont développés et distribués pour un usage personnel ou domestique, contrairement aux produits destinés aux entreprises ou à un usage industriel. Ils comprennent notamment des appareils tels que les appareils ménagers intelligents connectés à Internet. Il peut s'agir de machines à laver, de sèche-linge ou d'onduleurs d'installations solaires. Les vulnérabilités dues à une cybersécurité insuffisante et à l'absence de mises à jour de sécurité pourraient être exploitées pour déstabiliser le réseau électrique, introduire de fausses informations ou générer des modèles de consommation et de production destructeurs.

Ce risque est accentué par l'utilisation de l'intelligence artificielle (IA). D'une part, il existe une dépendance vis-à-vis des quelques fournisseurs de modèles d'IA qui pourraient, intentionnellement ou non, générer des modèles de consommation ou de production destructeurs. D'autre part, la complexité augmente, ce qui rend de plus en plus difficile pour les humains de comprendre pleinement l'interaction de différents composants interconnectés afin d'anticiper et d'éviter les incidents.

Lors de l'évaluation des risques, 11 experts sur 12 se sont prononcés en faveur de l'une des deux probabilités les plus élevées (« probable » à « très probable ») et ont classé les effets comme « significatifs » à « critiques ». Les experts ont convenu que ces appareils ne sont souvent pas suffisamment testés en matière de cybersécurité en raison de la pression du temps pour une mise sur le marché rapide.


Recommandations

Les risques de cybersécurité causés par l'IA doivent être contrés par la sensibilisation, la mise en place de réglementations et de moyens nécessaires, ainsi que par des contrôles de cybersécurité répétés :

• Des contrôles de cybersécurité proactifs, coordonnés et répétés sont recommandés, en particulier pour les produits commerciaux destinés aux consommateurs.

• Compte tenu de la complexité croissante des systèmes d'IA, il est indispensable de former régulièrement les utilisateurs et les exploitants, et de mettre en place des mesures de sensibilisation.

• Les infrastructures numériques qui revêtent une grande importance pour l'économie et la société doivent être dotées des moyens nécessaires pour contrer les risques de cybersécurité existants et ceux supplémentaires induits par l'IA.

• Une stratégie d'approvisionnement diversifiée permet également de réduire la dépendance vis-à-vis des quelques fournisseurs de modèles d'IA et les risques géopolitiques. Le risque de défaillance peut également être réduit dans le cadre d'une diversification planifiée. Les logiciels open source représentent une alternative possible.