- Le BIS du département du Commerce américain propose une révision du 15 CFR Part 7 imposant aux fournisseurs d’IaaS américains la vérification de l’identité des clients étrangers ainsi que le signalement de certaines transactions liées à l’entraînement de modèles d’IA
- La règle proposée s’appuie sur les décrets présidentiels E.O. 13984 et E.O. 14110, et vise les cas où des acteurs cyber malveillants étrangers utilisent des produits IaaS américains et des revendeurs étrangers pour échapper au traçage
- Les fournisseurs devraient mettre en place un Customer Identification Program (CIP) fondé sur le risque, et collecter, vérifier et conserver le nom, l’adresse, les moyens de paiement, l’e-mail, le numéro de téléphone, l’adresse IP, etc. des clients étrangers et de leurs bénéficiaires effectifs étrangers
- Lorsqu’un fournisseur apprend qu’un étranger entraîne un grand modèle d’IA susceptible d’être utilisé pour des activités cyber malveillantes, les fournisseurs d’IaaS américains comme les revendeurs étrangers seraient soumis à une obligation de déclaration
- Le champ d’application inclut les fournisseurs d’IaaS américains ainsi que les revendeurs américains, avec en cas d’infraction des sanctions civiles et pénales au titre de l’IEEPA et un coût cumulé de conformité estimé entre $270,672 et $171.7 million
Objectif de la proposition de règle et fondement juridique
- Le Bureau of Industry and Security (BIS) du département du Commerce cherche, via une Proposed Rule, à ajouter des sous-dispositions relatives à l’IaaS au 15 CFR Part 7
- La règle proposée est structurée pour mettre en œuvre deux décrets présidentiels
- E.O. 13984 : permet d’exiger des fournisseurs d’IaaS américains qu’ils vérifient l’identité de leurs clients étrangers et qu’ils puissent restreindre l’accès de certains acteurs étrangers ou de certaines juridictions
- E.O. 14110 : impose de déclarer les cas où un étranger entraîne, à l’aide de certains produits IaaS américains, un grand modèle d’IA susceptible d’être utilisé pour des activités cyber malveillantes
- La date limite de dépôt des commentaires était le 29 avril 2024
- D’après les métadonnées du Federal Register, 523 commentaires ont été déposés sur Regulations.gov
Pourquoi l’IaaS est devenu une cible réglementaire
- Les produits IaaS permettent aux clients d’exécuter des logiciels et de stocker des données sans devoir entretenir ni exploiter eux-mêmes les serveurs
- Selon la règle proposée, des acteurs cyber malveillants étrangers se sont servis de produits IaaS américains pour voler de la propriété intellectuelle et des données sensibles, mener des activités de renseignement discrètes et menacer des infrastructures critiques américaines
- Après leurs opérations, ces acteurs peuvent rapidement migrer vers une infrastructure de remplacement chez d’autres fournisseurs IaaS américains, ce qui complique leur traçage par les autorités
- Si les revendeurs étrangers ne suivent pas les informations d’identité, les forces de l’ordre ont plus de mal à obtenir, par voie de contrainte, les éléments permettant d’identifier les acteurs malveillants
- Le fait que des infrastructures de calcul à grande échelle puissent être utilisées pour entraîner de grands modèles d’IA par des acteurs malveillants étrangers constitue aussi un motif de régulation
Exigences du Customer Identification Program (CIP)
- Chaque fournisseur d’IaaS américain devrait maintenir et mettre en œuvre un CIP écrit
- Le CIP devrait reposer sur des procédures fondées sur le risque, adaptées à la taille du fournisseur, au type de produits IaaS, au mode d’ouverture de compte, à la base clientèle et aux risques concernés
- Les fournisseurs d’IaaS américains devraient aussi exiger des revendeurs étrangers qu’ils maintiennent et appliquent un CIP
- Un revendeur américain pourrait, en accord avec le fournisseur IaaS américain d’origine, se référer au CIP de ce fournisseur, l’utiliser ou l’adopter
- Le département du Commerce envisage de permettre jusqu’à un an de période d’ajustement après la publication de la règle finale pour la mise en œuvre de certaines dispositions
Informations client à collecter et vérifier
- Le CIP devrait inclure des procédures permettant de déterminer si un client potentiel et ses bénéficiaires effectifs sont des U.S. persons
- Avant d’ouvrir un compte à un client étranger ou à un bénéficiaire effectif étranger, il faudrait au minimum obtenir les informations suivantes
- le nom légal d’une personne physique, ou la raison sociale d’une personne morale ainsi que ses noms commerciaux actuels et passés
- l’adresse de résidence ou d’activité d’une personne physique, ainsi que le lieu d’utilisation du produit IaaS
- pour une personne morale, l’établissement principal, la juridiction de constitution et le nom des bénéficiaires effectifs du compte
- les moyens et sources de paiement : numéro de carte bancaire, numéro de compte, identifiant client, identifiant de transaction, portefeuille de cryptomonnaie ou identifiant d’adresse de portefeuille, etc.
- l’adresse e-mail et les coordonnées téléphoniques
- l’adresse IP utilisée pour accéder au compte ou l’administrer, ainsi que les dates et heures d’accès ou d’administration
- La collecte et la vérification d’un national identification number ont été exclues des exigences proposées, le département du Commerce estimant que cela constituerait une charge excessive et n’est pas nécessaire à la vérification d’identité
- Le département du Commerce a aussi demandé des avis sur les moyens d’identification numériques ou technologiques, les technologies de protection de la vie privée et la nécessité de collecter davantage de données
Vérification d’identité et traitement des comptes
- Le CIP devrait inclure des procédures de vérification documentaires ou non documentaires permettant de former une conviction raisonnable sur l’identité réelle des clients étrangers et de leurs bénéficiaires effectifs étrangers
- Ces procédures devraient refléter l’évaluation du risque selon le type de service fourni, le mode d’ouverture du compte, les informations d’identification disponibles et la base clientèle
- Le CIP devrait aussi définir la manière de vérifier l’identité lorsqu’un client n’est pas en mesure de fournir les documents demandés
- En cas d’impossibilité de vérifier l’identité, le CIP devrait inclure les critères de traitement suivants
- les cas où le compte ne doit pas être ouvert
- les conditions permettant d’autoriser l’usage du compte pendant la vérification, avec droits limités ou surveillance renforcée
- les conditions de fermeture du compte ou de surveillance supplémentaire après échec de la vérification
- les procédures de recours et de gestion pour les faux comptes résultant d’un échec de vérification d’un client légitime ou d’un vol d’informations
- Si le client et tous les bénéficiaires effectifs sont vérifiés comme U.S. persons, ce compte n’est pas soumis aux autres exigences de cette sous-partie
Conservation des enregistrements et restrictions d’accès
- Le CIP des fournisseurs d’IaaS américains et des revendeurs étrangers devrait inclure des procédures de création et de conservation des enregistrements des informations client obtenues lors de la vérification d’identité
- Les éléments minimaux à enregistrer sont les suivants
- les informations d’identification du client ou du bénéficiaire effectif
- une copie ou une description des documents utilisés pour la vérification
- les méthodes et résultats des vérifications non documentaires
- la résolution des divergences substantielles constatées lors de la vérification des informations d’identification
- Les enregistrements devraient être conservés au moins 2 ans après la fermeture du compte ou la dernière date d’accès
- Ils ne devraient pas être partagés avec des tiers ou des employés qui n’ont pas besoin d’en connaître, et leur disponibilité, intégrité et confidentialité devraient être protégées, notamment par chiffrement
- Le partage de bonnes pratiques de sécurité ou d’informations sur les menaces avec d’autres fournisseurs d’IaaS américains ou des consortiums concernés pourrait ne pas être visé par ces restrictions
Obligations de gestion des revendeurs étrangers
- Les fournisseurs d’IaaS américains devraient exiger des revendeurs étrangers qu’ils maintiennent et mettent en œuvre un CIP écrit conforme à la règle
- Si le département du Commerce demande le CIP d’un revendeur étranger, le fournisseur d’IaaS américain devrait le soumettre dans les 10 jours
- S’il existe des preuves qu’un revendeur étranger ne maintient ni n’applique son CIP, ou qu’il ne déploie pas d’efforts de bonne foi pour empêcher l’usage de produits IaaS américains à des fins cyber malveillantes, le fournisseur d’IaaS américain devrait agir
- signaler l’activité cyber malveillante concernée et fermer le compte
- mettre fin à la relation de revente dans les 30 jours s’il sait que le problème n’a pas été corrigé ou si le maintien de cette relation accroît le risque
- Les fournisseurs d’IaaS américains devraient collecter les informations nécessaires aux certifications initiales et annuelles du CIP des revendeurs étrangers
Déclaration, certification du CIP et évaluation de conformité
- Les fournisseurs d’IaaS américains devraient notifier au département du Commerce la mise en œuvre de leur CIP via un CIP certification form
- Ce formulaire comprendrait notamment les outils et procédures de vérification d’identité, les procédures de notification des changements de propriété, les outils de détection d’activités cyber malveillantes, les procédures imposées aux revendeurs étrangers en matière de CIP et les procédures d’identification des transactions d’entraînement de grands modèles d’IA
- Le CIP devrait être revu et mis à jour chaque année, avec soumission d’une certification annuelle
- prise en compte des changements dans la fourniture du service
- prise en compte de l’évolution de l’environnement de menace
- vérification du respect de la règle
- enregistrement du nombre d’échecs de vérification d’identité client et de la résolution de chaque cas
- Les changements importants dans l’activité ou la structure de l’entreprise, les modifications substantielles du CIP et les changements de contact principal responsable du CIP devraient aussi être notifiés
- Le département du Commerce pourrait évaluer le risque à partir des informations soumises et d’informations publiques, puis, si nécessaire, demander une copie du CIP, une évaluation de conformité, une évaluation de suivi ou un audit
Exemptions au CIP et Abuse of IaaS Products Deterrence Program
- Le Secretary peut exempter des exigences de CIP un fournisseur d’IaaS américain, certains types de comptes, certains locataires ou certains revendeurs étrangers
- La décision d’exemption reposerait sur la mise en œuvre, par l’entité concernée, de bonnes pratiques de sécurité destinées à dissuader l’usage abusif de produits IaaS
- Un fournisseur souhaitant obtenir une exemption devrait soumettre par écrit la description de son Abuse of IaaS Products Deterrence Program (ADP)
- L’ADP devrait comprendre les éléments suivants
- l’identification de Red Flags tenant compte du type de compte, du mode d’accès, des antécédents d’activités malveillantes, etc.
- des procédures de détection de ces Red Flags
- des procédures de réponse telles que la surveillance de compte, le contact client, le changement de mot de passe ou de dispositif de sécurité, le refus de nouveaux comptes, la fermeture ou suspension de compte, ou encore la notification aux forces de l’ordre
- des mises à jour régulières en fonction de l’évolution des risques et de la structure de l’activité
- l’approbation par le conseil d’administration ou la direction, la formation des employés et des procédures de supervision des revendeurs
- Les critères d’exemption incluraient aussi la participation à des consortiums publics ou privés et la coopération avec les enquêtes des forces de l’ordre
- Une exemption pourrait être retirée à tout moment, y compris pour permettre l’imposition de mesures spéciales
Mesures spéciales visant certaines juridictions étrangères ou certains étrangers
- Le Secretary pourrait, s’il dispose d’un fondement raisonnable, interdire ou assortir de conditions l’ouverture ou le maintien de comptes IaaS américains liés à certaines juridictions étrangères ou à certains étrangers
- Seraient visés notamment
- des juridictions étrangères comptant un nombre significatif d’étrangers qui fournissent ou acquièrent directement des produits IaaS américains pour les utiliser à des fins cyber malveillantes
- des étrangers ayant montré un comportement consistant à fournir ou acquérir directement des produits IaaS américains pour des activités cyber malveillantes
- Les facteurs pris en compte incluraient notamment
- les preuves que des acteurs cyber malveillants étrangers ont obtenu des produits IaaS américains dans la juridiction concernée
- la mesure dans laquelle cette juridiction constitue une source d’activités cyber malveillantes
- l’existence d’un traité d’entraide judiciaire avec les États-Unis et l’expérience des forces de l’ordre pour obtenir des informations
- le degré auquel l’usage ou la fourniture de produits IaaS américains par l’étranger facilite l’activité malveillante
- le degré d’usage à des fins commerciales légitimes
- la question de savoir si des mesures moins contraignantes que des mesures spéciales seraient suffisantes
- Le choix des mesures spéciales tiendrait compte d’un désavantage concurrentiel important pour les fournisseurs d’IaaS américains, de coûts ou charges excessifs, d’effets négatifs sur des activités commerciales légitimes, ainsi que d’impacts sur la sécurité nationale, l’application de la loi, la chaîne d’approvisionnement, la politique étrangère, la santé publique et la sécurité
- Une décision de mesures spéciales pourrait rester en vigueur jusqu’à 365 jours et être prolongée par avis publié au Federal Register
- Les fournisseurs d’IaaS américains ne seraient pas tenus d’appliquer ces mesures spéciales avant un délai de 180 jours après la publication de la décision
Déclaration des transactions d’entraînement de grands modèles d’IA
- Un fournisseur d’IaaS américain devrait déclarer au département du Commerce toute covered transaction dont il a connaissance, lorsqu’un étranger entraîne un grand modèle d’IA susceptible d’être utilisé pour des activités cyber malveillantes
- Un revendeur étranger qui a connaissance d’une covered transaction devrait aussi la signaler au fournisseur d’IaaS américain, lequel devrait ensuite la transmettre au département du Commerce
- Une covered transaction inclut les transactions réalisées pour un étranger ou au nom d’un étranger lorsqu’elles entraînent ou sont susceptibles d’entraîner l’entraînement de ce grand modèle d’IA
- Même si la transaction ne remplissait pas initialement les critères, elle deviendrait une covered transaction si des ajustements dans le processus d’entraînement ou de nouvelles informations sur les capacités du modèle finissent par satisfaire ces critères
- Les délais de déclaration seraient les suivants
- fournisseur d’IaaS américain : dans les 15 jours suivant la survenue ou la prise de connaissance de la covered transaction
- revendeur étranger : dans les 15 jours au fournisseur
- fournisseur d’IaaS américain : transmission au département du Commerce du rapport du revendeur étranger dans les 30 jours suivant la covered transaction
- demandes d’informations complémentaires et rapports corrigés : dans les 15 jours suivant la demande ou la découverte de l’inexactitude
- Le rapport initial devrait inclure les informations sur le client étranger et le bénéficiaire effectif, ainsi que des détails sur l’exécution de l’entraînement
- le volume estimé de calcul utilisé pour l’entraînement
- les dates prévues de début et de fin
- les pratiques d’entraînement et les informations sur les principaux modèles d’accélérateurs IA
- les politiques de stockage sécurisé et de protection d’accès aux poids du modèle
- les incidents des 4 dernières années liés à un accès non autorisé aux poids du modèle ou au code source, ou ayant causé des dommages significatifs du fait d’un incident de cybersécurité ou d’une menace interne
Définitions et périmètre d’application
- Un U.S. IaaS provider désigne une U.S. person qui fournit des produits IaaS, ce qui inclut le fournisseur direct et les revendeurs américains
- Il est explicitement proposé de ne pas considérer les filiales étrangères comme des “United States Infrastructure as a Service provider”
- Un IaaS product est un produit ou service qui fournit des ressources informatiques fondamentales de traitement, de stockage, de réseau ou autres, et qui permet au client de déployer et d’exécuter des logiciels non prédéfinis, notamment des systèmes d’exploitation et des applications
- La définition inclut les offres gratuites ou d’essai, les services managés ou non managés, les produits virtualisés et les produits dédiés
- D’après le texte, cette définition pourrait englober des CDN, services proxy et services de résolution de noms de domaine, mais pas les services d’enregistrement de noms de domaine, qui ne fournissent pas de ressources informatiques fondamentales
- Un beneficial owner est défini comme une personne physique qui contrôle effectivement le client ou détient/contrôle au moins 25% de sa participation
Coûts et impacts attendus
- La règle proposée s’appliquerait à tous les fournisseurs et revendeurs de produits IaaS américains
- Le département du Commerce estime le nombre d’entités potentiellement concernées entre 25 et 1,837
- la borne basse correspond à environ 25 grands fournisseurs IaaS opérant aux États-Unis
- la borne haute inclut 1,812 entreprises de Telecommunications Resellers recensées par le Census Bureau en 2020
- Parmi ces Telecommunications Resellers, 99%, soit 1,791 entreprises, sont classées comme ayant 500 employés ou moins
- Les coûts de conformité attendus comprennent l’apprentissage de la règle, le développement, la mise en œuvre et la mise à jour du CIP, la certification annuelle, la formation des revendeurs étrangers, ainsi que le traitement des déclarations concernant les revendeurs étrangers et l’entraînement IA
- Le coût cumulé de conformité est estimé entre $270,672 et $171.7 million
- Dans l’analyse au titre du Paperwork Reduction Act, la charge initiale d’apprentissage, de développement et de mise en œuvre est estimée à 245,229 heures, puis la charge de mise à jour et de certification annuelle à 84,494 heures, et la charge de formation des revendeurs étrangers et de traitement des déclarations à 127,328 heures
- Le coût total estimé pour le gouvernement américain est de $409,200
Application et sanctions
- Toute violation de la règle proposée peut donner lieu à des sanctions civiles ou pénales au titre de l’IEEPA
- Les actes interdits incluent notamment
- l’absence de dépôt des déclarations, certifications ou recertifications requises
- l’absence de mise en œuvre ou de maintien du CIP
- la poursuite de relations commerciales avec un revendeur étranger qui ne met pas en œuvre ni ne maintient son CIP
- la fourniture de produits IaaS à un étranger sans respecter les instructions, décisions ou conditions imposées par le Department
- les déclarations, notifications ou certifications fausses ou trompeuses
- L’amende civile peut aller jusqu’au montant le plus élevé entre $250,000 majoré de l’ajustement à l’inflation par infraction et le double du montant de la transaction à l’origine de l’infraction
- En cas de violation intentionnelle, les sanctions pénales peuvent inclure une amende jusqu’à $1,000,000, une peine pouvant aller jusqu’à 20 ans d’emprisonnement pour une personne physique, ou les deux
- Toute personne ayant connaissance de faits susceptibles de constituer une violation peut en informer l’Office of Information and Communications Technology and Services, Bureau of Industry and Security, U.S. Department of Commerce
1 commentaires
Avis sur Hacker News
En parcourant l’article, cette règle semble surtout viser à obliger les fournisseurs d’infrastructure IaaS à vérifier l’identité des personnes qui utilisent leurs services pour entraîner de l’IA
Cela ressemble à une tentative d’empêcher des personnes sanctionnées ou des acteurs malveillants d’entraîner de l’IA, en particulier en passant d’un service à l’autre ou en utilisant des pseudonymes pour continuer à entraîner le même modèle
Ça paraît assez inoffensif, et je ne comprends pas bien les analogies que d’autres avancent dans cette discussion HN. Je ne sais pas s’ils parlent d’une pente glissante, ou si je vois naïvement la portée du texte
Au final, pour déterminer qui est étranger, les fournisseurs de services devront probablement vérifier l’identité de tout le monde
Autrement dit, pour faire tourner son WordPress, son nœud Mastodon, son site web avec CMS maison, son chat de groupe, IRC ou son nœud Bitcoin, il faudra révéler son identité à l’hébergeur de son choix
C’est assez grave, et cela peut clairement être détourné pour identifier des dissidents politiques. En plus, les IaaS devront signaler au département du Commerce américain les étrangers qui utilisent leurs services pour entraîner de grands modèles d’IA
Personne n’a envie d’envoyer un selfie et son passeport juste pour créer un droplet Digital Ocean
Cela dit, moi non plus je ne comprends pas très bien quelles parties de cette règle posent problème aux gens
Ils peuvent voler les documents de quelqu’un, ou payer des sans-abri pour qu’ils se fassent vérifier. Et, si je comprends bien, les États-Unis n’ont pas de base de données centralisée des citoyens, ce qui rend aussi la vérification des documents difficile
Un cauchemar total. Je serais surpris que les fournisseurs IaaS ne s’y opposent pas fermement. Si AWS commence à exiger des documents KYC, je déplacerai immédiatement toutes mes ressources cloud
L’effort nécessaire pour le faire est pratiquement nul
Même avec Terraform, qui est l’IaC typique, il faudrait réécrire des choses ; et si tu utilises plus que de l’équilibrage de charge, du compute et des conteneurs, ça ne me semble pas du tout proche de zéro
Pour certains services, il faudra peut-être les construire et les exploiter soi-même pour obtenir des fonctionnalités équivalentes
L’objectif en soi paraît raisonnable, mais il y a toujours la crainte que la loi devienne beaucoup plus large que l’intention initiale
Si c’est si facile de migrer, je me demande pourquoi ce serait un « cauchemar total »
Je travaille sur des systèmes KYC dans une institution financière de taille moyenne à grande. La tendance à imposer des exigences KYC à de plus en plus de services en ligne est préoccupante
Le KYC fait peser une lourde charge sur quiconque veut fournir un service. L’identification des utilisateurs par pays et la compréhension des réglementations locales sont complexes, ce qui crée un fardeau important pour les fournisseurs de services, qui finissent par externaliser le KYC à d’autres entreprises
Mais la plupart des prestataires KYC ne prennent pas en charge tous les pays que vous voudriez couvrir ; il faut donc soit limiter le service à la zone couverte par ce prestataire, soit intégrer plusieurs prestataires. Ces derniers préfèrent généralement l’exclusivité, ce qui rend aussi cette intégration difficile
Si vous n’aviez pas déjà une équipe d’ingénierie chargée du KYC, vous en aurez une désormais. Il faudra aussi probablement ajouter ou renforcer une équipe conformité. L’entreprise passe, à des degrés divers, d’une organisation centrée sur l’ingénierie ou le produit à une entreprise centrée sur la conformité
Le KYC augmente les barrières à l’entrée et verrouille la position des acteurs établis. Il suffit de regarder les institutions financières et l’industrie du porno
Le KYC n’est généralement pas non plus une politique fondée sur des preuves [1, 2]. Les acteurs malveillants contournent les exigences KYC, tandis que les systèmes KYC deviennent des obstacles pour les utilisateurs honnêtes
Beaucoup de systèmes KYC s’appuient sur des collecteurs et courtiers en données, c’est-à-dire des gens qui achètent des informations personnelles. Si vous êtes jeune, pauvre ou soucieux de votre vie privée et que vous n’êtes pas « dans le système », vous devenez suspect
D’après mon expérience, les systèmes antifraude filtrent mieux les acteurs malveillants que le KYC imposé de haut en bas par l’État
Pour ceux qui ne connaissent pas, KYC signifie « know your customer », autrement dit connaissance du client. Il vaut mieux développer un sigle à la première occurrence, surtout quand l’article lié lui-même ne l’utilise pas
Il faut aussi préciser que cette proposition ne vise pas les « services Internet » en général, mais les offres américaines d’infrastructure en tant que service (IaaS)
Contribution :
Il reste exactement 4 jours pour laisser au gouvernement fédéral américain un avis s’opposant aux exigences de KYC imposées aux fournisseurs de services Internet
Cette loi n’aide ni l’Internet libre ni la société
Peux-tu présenter la version la plus solide de l’argumentaire des partisans de cette mesure, puis expliquer pourquoi tu estimes qu’il n’est pas convaincant ?
Pour la définition, voir https://www.federalregister.gov/d/2024-01580/p-46
Mal présenter ce dossier n’aide pas
L’argument central que nous devrions employer est : « si les banques connaissent le client, nous n’avons pas besoin de le connaître »
La trace de la vérification d’identité mène toujours aux paiements et à la finance
Si le service est payé par une transaction bancaire standard, comme une carte bancaire ou un virement, la vérification du client peut être centralisée au niveau des banques
Le problème est que le KYC est un centre de coûts sans avantage, sauf celui d’être « imposé par la loi », et devient donc immédiatement un exercice consistant à cocher des cases
Le secteur va produire des solutions médiocres de « conformité en boîte », tout le monde va les utiliser, puis il y aura forcément une fuite de données
Et les gens qui nous avaient apporté le Bulletproof Hosting à l’époque du spam au Viagra reviendront avec un Bulletproof Rack Full Of Quadros
À moins de créer un cadre de gouvernance mondial semblable au FATF pour les produits IaaS, les fournisseurs IaaS américains perdront en compétitivité
Le simple scan d’une pièce d’identité est déjà sur le déclin
La « vérification biométrique » où, pour utiliser une infrastructure Internet de base, il faut allumer sa webcam et laisser un inconnu créer un modèle biométrique complet de sa tête est la dystopie que nous méritons, et c’est bien ce qui arrivera
J’espère que « l’IA » en valait la peine. Voyons si vous pouvez résoudre ce problème que vous avez créé
C’est parce que la base de données gouvernementale des visages de tout le monde, achetée auprès de partenaires privés puis assemblée, n’est pas encore assez complète
Cela n’a rien à voir avec l’IA, c’est un problème d’exécutif et d’agences de renseignement hors de contrôle. L’IA n’est qu’un outil de plus pour rendre tout cela moins cher
Pour ceux qui ne savent pas de quoi il s’agit, l’explication se trouve un peu plus bas sur la page
En résumé, l’E.O. 13984 donne au département du Commerce le pouvoir d’exiger des fournisseurs IaaS américains qu’ils vérifient l’identité des utilisateurs étrangers, conservent des registres sur ces utilisateurs étrangers et restreignent l’accès de certains acteurs étrangers afin de répondre aux menaces d’activités cyber malveillantes
Ensuite, l’E.O. 14110 donne le pouvoir d’exiger des fournisseurs IaaS américains qu’ils obligent aussi les revendeurs étrangers à vérifier l’identité des utilisateurs étrangers, et de demander des rapports au département du Commerce lorsqu’un étranger conclut une transaction pour entraîner un grand modèle d’IA doté de capacités potentielles pouvant être utilisées dans des activités cyber malveillantes
Un « produit d’infrastructure as a service » désigne tout produit ou service proposé à un consommateur, y compris à titre gratuit ou d’essai
Cela s’applique lorsqu’il fournit du traitement, du stockage, du réseau ou d’autres ressources informatiques fondamentales, et permet au consommateur de déployer et d’exécuter des logiciels non prédéfinis, y compris des systèmes d’exploitation et des applications
Le consommateur ne gère ni ne contrôle généralement la majeure partie du matériel sous-jacent, mais contrôle les systèmes d’exploitation, le stockage et les applications déployées
Le terme inclut à la fois les produits et services « managés », où le fournisseur est responsable d’une partie de la configuration ou de la maintenance du système, et les produits et services « non managés », où le fournisseur n’est responsable que de la disponibilité du produit
Il inclut également les produits et services de « virtualisation », qui divisent les ressources de calcul d’une machine physique en ordinateurs virtuels accessibles par Internet, par exemple des « serveurs privés virtuels », ainsi que les produits et services « dédiés » qui fournissent à une personne l’ensemble des ressources de calcul d’une machine physique, par exemple des serveurs « bare metal »
Un bon aperçu est disponible ici : https://www.akingump.com/en/insights/alerts/commerce-issues-...