Il se pourrait que les États-Unis demandent aux fournisseurs de services cloud de notifier toute intervention d’acteurs internationaux, notamment ceux provenant de Chine, qui louent des infrastructures en tant que service (IaaS) dans le but de créer des modèles d’intelligence artificielle.

La Chine utilise-t-elle le cloud pour contourner les interdictions d’exportation de puces IA ?

Les États-Unis soupçonnent que le cloud puisse être utilisé pour contourner les interdictions d’exportation de puces d’intelligence artificielle (IA) vers la Chine. Pour y remédier, le département du commerce américain a émis une proposition de réglementation. Cette dernière exige que les fournisseurs de certains produits IaaS soumettent un rapport au secrétaire du commerce si une personne étrangère utilise leurs services pour entraîner un grand modèle d’IA qui pourrait potentiellement être utilisé pour mener une activité cybernétique malveillante.

Le texte précise la nature des modèles visés. Ces derniers doivent répondre aux conditions techniques d’un modèle de fondation à double usage, ou inclure d’autres paramètres techniques préoccupants, et posséder des capacités qui pourraient être utilisées pour aider ou automatiser des aspects d’une activité cybernétique malveillante. Derrière ce terme se cachent plusieurs actions : des attaques par ingénierie sociale, des attaques par déni de service, la recherche de vulnérabilités, la sélection et le classement des cibles. Cela inclut également les campagnes de désinformation, l’empoisonnement des données, et le contrôle à distance.

Une réglementation étendue affectant les revendeurs

Toute activité tombant sous ces catégories doit être signalée dans un délai de 15 jours calendaires. Les opérateurs IaaS sont tenus de conserver pendant deux ans les informations relatives aux clients qui se livrent à de telles activités. Le projet de réglementation, publié lundi, fait remarquer qu’il est difficile de repérer les acteurs étrangers malveillants qui utilisent les produits IaaS américains, et que la tâche est encore compliquée par les revendeurs étrangers de services IaaS. Le programme d’information client (CIP) proposé par le Département du commerce exige que les opérateurs IaaS identifient les utilisateurs et s’assurent que leurs revendeurs étrangers fassent de même, ou du moins fassent « tous les efforts raisonnables » pour le faire.

Bien que le nom ne soit pas mentionné dans le projet de réglementation, la secrétaire d’État au commerce, Gina Raimondo, n’a pas hésité à désigner la Chine – et aucun autre pays – lors d’une interview accordée à Reuters vendredi dernier. « Nous ne pouvons pas permettre à des acteurs non étatiques, la Chine, ou d’autres personnes que nous ne voulons pas, d’accéder à notre cloud pour entraîner leurs modèles », a-t-elle déclaré. Elle a noté que le gouvernement impose des contrôles à l’exportation sur les mêmes puces que celles que les opérateurs IaaS louent à leurs clients, et a suggéré de « fermer cette voie pour les activités malveillantes potentielles ».