MtoM Mag - Le journal de l'MtoM.

La Exposées à des amendes administratives pouvant atteindre 15 millions d’euros ou 3 % de leur chiffre d’affaires annuel mondial, les entreprises opérant en Europe ou vendant leurs produits sur le marché européen doivent s’assurer que leurs déclarations relatives à l’IA et leur gouvernance sont pleinement conformes.

Pour contextualiser ce changement réglementaire, Fabrice de Vésian, Sales Director France and South EMEA chez Yubico, souligne que le véritable enjeu de la loi réside dans la manière dont les entreprises sécurisent le périmètre où les données à caractère personnel entrent en contact avec ces systèmes automatisés soumis à la réglementation.

Dans quelques jours, les exigences en matière de transparence et de conformité vont considérablement s’intensifier. Par ailleurs, la date butoir de mise en conformité pour les applications d’IA à haut risque, telles que la catégorisation biométrique, les infrastructures critiques et la sélection des candidats à l’embauche, étant désormais fixée au 2 décembre 2027, plusieurs organisations anticipent déjà cette échéance en auditant leurs architectures.

Ce qu’il faut bien comprendre, c’est que la responsabilité des entreprises ne s’arrête pas à leurs propres modèles d’IA. Elle englobe aussi tous les outils d’IA tiers intégrés à leur infrastructure technologique. Autrement dit, la gouvernance des données et à la sécurité de leurs points d’accès ne sont plus un sujet secondaire, mais une priorité absolue.

Alors que les technologies d’IA légitimes se retrouvent de plus en plus encadrées, les cybercriminels, eux, développent à grande échelle des IA adversaires sans aucune contrainte réglementaire. Cela leur permet de mener, à une vitesse sans précédent, des escroqueries de phishing convaincantes, des techniques d’ingénierie sociale basées sur le deepfake et des attaques automatisées de credential stuffing. Le problème, c’est que les méthodes traditionnelles d’authentification multi-facteurs (MFA), telles que les mots de passe, les questions de sécurité et les mots de passe à usage unique (OTP) par SMS, reposent largement sur le jugement humain. Elles sont ainsi intrinsèquement fragiles et sont devenues la porte d’entrée pour les cybermenaces basées sur l’IA, comme le phishing, dont l’objectif est de voler des identifiants afin d’accéder aux comptes et aux informations sensibles qu’ils protègent.

C’est là que la MFA résistante au phishing, telle que les passkeys matérielles, change vraiment la donne. Elle déleste l’utilisateur du fardeau de l’authentification. Reposant sur l’architecture FIDO2 cryptographiquement sécurisée, ces passkeys éliminent les identifiants partageables que les outils de phishing basés sur l’IA cherchent à dérober. En remplaçant les secrets vulnérables gérés par l’humain par une cryptographie asymétrique liée à un appareil, les organisations peuvent immuniser efficacement leur infrastructure contre les attaques d’identité automatisées.

De plus, les passkeys offrent une architecture juridiquement solide face aux futures règles de l’IA Act sur les données biométriques. Alors que la centralisation des bases de données biométriques sur les serveurs d’entreprise pour alimenter les systèmes de vérification basés sur l’IA suscite une surveillance réglementaire intense, les passkeys traitent les données biométriques exclusivement sur l’appareil de l’utilisateur. L’entreprise ne voit, ne stocke ni ne traite jamais d’empreinte digitale ou de scan facial, puisqu’elle se contente de vérifier une paire de clés cryptographiques sécurisées. Autrement dit, les passkeys permettent une authentification transparente et une cybersécurité de premier ordre, tout en atténuant les risques liés aux données et les difficultés de conformité qu’impose l’IA Act.