Treize mille livres sterling. C’est la facture qu’a payée le gouvernement britannique pour passer ses propres systèmes au détecteur de failles, modèles d’IA de pointe à l’appui. Le résultat tient dans un chiffre que Kanishka Narayan, ministre de l’IA, a lâché au micro de la BBC : 500 vulnérabilités inédites, découvertes dans des « zones significatives du secteur public ». Il ne dira pas où, ni lesquelles. Le compte, lui, est public.
Narayan n’est pas un figurant. Andy Burnham l’a nommé en juillet ministre de l’IA, le premier du genre à siéger au cabinet. Il était l’invité de Political Thinking, le podcast politique de la BBC animé par Nick Robinson, et il arrivait avec un message.
« L’essentiel, c’est que le public britannique et la démocratie doivent affirmer leur pouvoir plutôt que de le laisser aux tech bros et aux oligarques », a-t-il dit.
La comparaison qu’il pose est celle de la révolution industrielle victorienne, dont il rappelle qu’elle a « fini par être bonne pour le pays » mais que « la transition a été extrêmement douloureuse pour trop de gens ». L’IA va secouer fort, autant que l’État tienne le volant plutôt qu’une poignée de fondateurs de la Silicon Valley.
Mais le chiffre des 500 failles raconte autre chose. Un État qui dépense treize mille livres pour débusquer cinq cents trous dans ses propres murs ne démontre pas sa puissance, il expose son état. Ces vulnérabilités inédites, dans des zones sensibles du public, elles étaient là avant, bien au chaud, et personne n’était allé voir. Le ministre les a trouvées avec des modèles de pointe achetés à l’extérieur. Il ne précise pas lesquels, ni chez qui. La démocratie reprend la main sur les tech bros grâce aux modèles des tech bros.
Le calendrier ne lui rend pas service non plus. L’interview a été enregistrée la veille de l’annonce de Barclays : 5 000 suppressions de postes dans un plan d’efficacité mené par l’IA. La veille aussi de la découverte d’une faille critique touchant des millions de sites web, trouvée avec l’aide de l’IA (j’en parlais hier à propos de PHP). Le jour où le ministre explique que la transition sera douloureuse pour certains, une banque lui donne raison à la chaîne.
Narayan le reconnaît à moitié. Le Royaume-Uni est « totalement dépendant d’autres pays pour des briques technologiques essentielles », admet-il. D’où son argument : construire de l’IA sur le sol britannique pour « façonner les conditions de travail » et peser à l’international. Le plaidoyer pour la souveraineté sort de la bouche de celui qui vient de prouver qu’on peut auditer l’État pour le prix d’une consultation, avec du matériel étranger.
Il reste une carte qu’il joue volontiers. L’AI Security Institute britannique voit « tous les labos américains » venir lui demander de tester leurs modèles avant déploiement, assure-t-il. Si c’est vrai, c’est un levier. Mais tester les modèles des autres, ça reste dépendre des modèles des autres. Narayan multiplie les sorties depuis qu’un chercheur en sécurité IA a affirmé publiquement que les gens qui construisent la techno la croient capable de détruire l’humanité. Il a aussi prévenu, plus tôt ce mois-ci, que les cyberdéfenses du pays seraient « probablement » percées un jour, après le piratage d’un site du gouvernement australien par un agent OpenAI récalcitrant en juin. Un ministre qui passe son temps à annoncer les fuites finit par ressembler à un pompier qui commente l’incendie.
La cécité n’est pas que publique. Dans une tribune publiée ce 22 octobre sur Maddyness, Rémy Bozonnet, expert Privacy chez Adequacy, pose la question qui fâche : demandez à un dirigeant combien d’outils d’IA tournent dans sa boîte, et vous récoltez une estimation. L’assistant de la DSI, tout le monde le connaît. Le module de recommandation planqué dans un logiciel RH depuis deux ans, personne ne l’a regardé. C’est pourtant là que l’AI Act attend les entreprises : recenser, classer par niveau de risque, dire qui est fournisseur et qui est déployeur. L’inventaire n’est pas une case à cocher, c’est le préalable à tout le reste.
Le Financial Times cherche la même boussole. Le quotidien publiait ce vendredi un papier au titre sans détour, « AI oversight needs a different model to banking », et la veille une tribune qui annonce le « Know Your Agent » comme la nouvelle règle de l’ère IA : contrôler le comportement du logiciel autonome et établir des responsabilités. Deux titres, pas de contenu accessible sans abonnement. L’idée recoupe celle du ministre et de l’expert Privacy. Avant de gouverner, savoir ce qui tourne.
Narayan laisse enfin filtrer qu’il a discuté avec le chancelier John Healey d’une annonce IA possible dans le budget de la semaine prochaine. Sans dire laquelle. Décidément, la transparence a des horaires.
Cinq cents failles pour treize mille livres, c’est une bonne affaire. C’est aussi la démonstration la moins chère qu’on ait vue de ce que martèle le ministre : si tu ne sais pas ce qui tourne chez toi, quelqu’un d’autre finira par le savoir. Cette fois, c’était l’État qui fouillait l’État. La prochaine, la liste aura peut-être fuité avant d’être rendue publique.
Sources :
Comments are closed