La Chine fait progresser sa législation sur le cycle de vie de l’IA, avec la déclaration des risques et les bacs à sable réglementaires en ligne de mire

La Chine s’oriente vers un cadre plus large de gouvernance de l’intelligence artificielle, susceptible d’avoir des répercussions sur les entreprises qui associent l’IA à la blockchain. L’orientation présentée le 3 novembre par la Commission nationale du développement et de la réforme étendrait la supervision à l’ensemble du cycle de vie de l’IA, depuis les données et les ressources informatiques jusqu’aux algorithmes et à leurs applications concrètes.

Les développeurs et les opérateurs seraient encouragés à divulguer rapidement les risques de sécurité et à signaler de manière proactive les incidents et les vulnérabilités. Parallèlement, les décideurs envisagent des périodes de transition ainsi que des bacs à sable réglementaires, au sein desquels les entreprises pourraient tester de nouvelles technologies dans un environnement contrôlé.

Pour les entreprises du secteur des cryptomonnaies, une distinction s’impose : les mesures évoquées constituent une orientation politique, et non un ensemble définitif d’obligations. Les entreprises devront rester attentives au champ d’application de la future législation, à son calendrier de mise en œuvre et à son articulation avec les restrictions déjà en vigueur concernant les activités liées aux cryptomonnaies.

Ce qu’une supervision de l’ensemble du cycle de vie de l’IA pourrait impliquer

Plutôt que de s’intéresser uniquement aux résultats produits par un modèle, l’approche proposée prendrait en compte les risques à chaque étape du développement et du déploiement. Elle pourrait notamment couvrir les méthodes d’obtention des données d’entraînement, les procédures de test des systèmes, les conséquences de la mise sur le marché d’un produit et la façon dont les opérateurs réagissent en cas de problème.

La Chine réglemente déjà certains services d’IA. Ses mesures provisoires relatives aux services d’IA générative, entrées en vigueur en 2023, s’appliquent aux services concernés qui génèrent du contenu destiné au public chinois. Une loi plus générale pourrait venir compléter ce cadre, même si l’articulation précise entre les mesures existantes et la future législation reste à clarifier.

Pour les équipes travaillant sur la blockchain, l’IA peut intervenir à de nombreux niveaux d’un produit : assistant d’assistance clientèle, outil de surveillance des transactions, service d’analyse des contrats intelligents ou interface de trading automatisée. Chacun de ces usages présente des risques différents. Un chatbot chargé d’expliquer une transaction peut, par exemple, exposer des données sensibles appartenant à l’utilisateur, tandis qu’un agent d’IA capable d’initier des transactions risque de commettre des erreurs difficiles à annuler.

L’orientation envisagée dépasse également la seule sécurité technique. Parmi les sujets appelés à faire l’objet d’une attention particulière figurent les bouleversements sur le marché de l’emploi, la dépendance des utilisateurs à l’IA, les deepfakes, les discriminations algorithmiques et les fuites de données personnelles. Ces préoccupations pourraient concerner les plateformes de cryptomonnaies qui utilisent l’IA pour prendre des décisions relatives à l’accès aux comptes, produire du contenu financier ou dialoguer avec les utilisateurs.

Pourquoi la déclaration des risques est importante pour les produits liés aux cryptomonnaies

L’accent mis sur le signalement des incidents et des vulnérabilités revêt une importance particulière pour les produits qui gèrent des actifs numériques. Une défaillance peut avoir des conséquences bien plus graves qu’une simple réponse erronée : un système d’IA pourrait mal interpréter un contrat, recommander une adresse malveillante ou convaincre un utilisateur d’approuver une transaction dangereuse.

Pour évaluer leur exposition aux risques, les équipes pourraient commencer par consigner les éléments suivants :

• Périmètre du système : Quelles décisions sont prises par l’IA et lesquelles nécessitent une validation humaine ?
• Flux de données : Quelles informations sur les utilisateurs, adresses de portefeuille ou données de transaction sont transmises à un modèle ou à un prestataire tiers ?
• Réponse aux incidents : Comment l’équipe détectera-t-elle, limitera-t-elle et signalera-t-elle un résultat préjudiciable ou une faille de sécurité ?
• Conséquences pour les utilisateurs : Une erreur pourrait-elle entraîner une perte d’actifs, l’exclusion d’un service ou la divulgation d’informations sensibles ?

Il s’agit de questions pratiques de gouvernance, et non de l’énoncé d’exigences juridiques chinoises définitives. Pour adopter une démarche plus globale d’identification et de gestion des risques liés à l’IA, le cadre de gestion des risques liés à l’IA du NIST constitue une référence utile.

Les bacs à sable réglementaires pourraient offrir un cadre d’expérimentation

Un bac à sable réglementaire permet généralement à une entreprise d’expérimenter un produit dans des limites bien définies, tandis que les autorités de régulation en observent les résultats. Selon l’approche présentée le 3 novembre, de tels dispositifs pourraient être mis en place dans différents secteurs, avec des mécanismes régissant les candidatures, les essais, l’utilisation des produits et la sortie du programme. Les règles pourraient également être réexaminées et adaptées au fil du temps.

Pour les développeurs de solutions blockchain, un essai en environnement contrôlé pourrait faciliter l’évaluation d’un outil de sécurité assisté par l’IA avant son déploiement à plus grande échelle. La limitation du nombre de participants, de la valeur des transactions ou des autorisations accordées au système permettrait de détecter plus facilement les défaillances sans exposer une vaste base d’utilisateurs.

Toutefois, un bac à sable n’équivaut pas à une autorisation générale de proposer des services liés aux cryptomonnaies. La possibilité pour un projet d’y participer dépendrait du programme concerné, de ses règles et de la nature de l’activité testée. Les entreprises doivent examiner les exigences relatives à l’IA indépendamment des règles qui encadrent les actifs numériques et les services financiers dans leur juridiction.

Des périodes de transition raisonnables pourraient également laisser aux organisations concernées le temps de s’adapter. Leur durée et leurs effets concrets dépendront toutefois des règles définitives.

Les agents d’IA rendent la vérification des transactions encore plus importante

Pour les utilisateurs de cryptomonnaies, l’une des questions les plus déterminantes concerne le degré d’autonomie à accorder à un système d’IA. Un assistant peut être utile pour résumer un contrat ou expliquer une transaction, mais ses explications ne prouvent pas que l’opération est sans danger.

Avant d’approuver une transaction suggérée par une IA, les utilisateurs doivent vérifier de manière indépendante :

1. L’adresse de destination et le réseau. Même une explication convaincante n’empêche pas l’envoi de fonds vers une mauvaise adresse.
2. L’actif et le montant. Vérifiez ce qui quittera le portefeuille et assurez-vous que les frais sont raisonnables.
3. Les autorisations du contrat. Examinez attentivement les autorisations accordées sur les jetons, en particulier celles qui permettent à un contrat de dépenser ultérieurement des actifs.
4. L’origine de la demande. Les vidéos deepfake, les voix clonées et les messages persuasifs peuvent rendre les tentatives d’usurpation d’identité plus difficiles à détecter.
5. Les informations sensibles. Ne communiquez jamais une phrase de récupération ni une clé privée à un assistant d’IA, à un service d’assistance en ligne ou à un site web.

Un portefeuille matériel tel que OneKey peut contribuer à isoler les clés privées des appareils connectés à Internet, tout en permettant aux utilisateurs de vérifier et d’autoriser les transactions. Il ne peut cependant pas déterminer si chaque transaction est légitime ni empêcher un utilisateur d’approuver une demande malveillante. Une vérification minutieuse reste donc indispensable.

Les prochaines évolutions à surveiller

La volonté de la Chine de légiférer sur l’ensemble du cycle de vie de l’IA témoigne de l’émergence d’un modèle de gouvernance qui tient compte à la fois de l’innovation et des préjudices que les systèmes d’IA peuvent causer après leur déploiement. Pour les entreprises de la blockchain, la priorité immédiate consiste à recenser les usages de l’IA, les ressources auxquelles elle peut accéder et les procédures prévues en cas d’incident.

Les prochains éléments déterminants concerneront le champ d’application du projet de loi, les éventuelles obligations de signalement, la durée des périodes de transition et la conception de chaque bac à sable. Dans l’attente de leur publication, les entreprises doivent considérer l’orientation annoncée comme une invitation à se préparer, et non comme un substitut aux règles définitives.