L'autorité britannique de protection des données (ICO) a publié des recommandations pour aider les organisations à se prémunir contre les cybermenaces basées sur l'intelligence artificielle (IA).

Face à l'évolution rapide des menaces, telles que l'hameçonnage amélioré par l'IA, l'ingénierie sociale par hypertrucage ("deepfake"), le balayage automatisé de vulnérabilités ou les logiciels malveillants adaptatifs, l'ICO souligne que la cybersécurité doit être une responsabilité partagée. Il est conseillé aux organisations de connaître les risques, notamment l'empoisonnement de données et l'injection indirecte de commandes. Il est également recommandé de renforcer les mesures de sécurité fondamentales par des défenses superposées, en assurant notamment une gestion rigoureuse des correctifs. La restriction des points d'accès est jugée cruciale, par le biais de l'authentification multifacteur (MFA), de l'application du principe du moindre privilège et d'une surveillance de la chaîne d'approvisionnement.

L'autorité insiste sur la nécessité de mettre en œuvre une surveillance complète de la sécurité pour détecter les activités suspectes et de maintenir un plan de réponse aux incidents testé régulièrement, en précisant que l'IA peut également servir d'outil de défense sous supervision humaine. Conformément aux obligations de protection des données, les organisations doivent appliquer des mesures techniques et organisationnelles appropriées. Celles-ci incluent la minimisation des données, la limitation de la conservation, la réalisation d'audits, la formation du personnel aux nouvelles techniques d'attaque et la mise en place d'une gouvernance de l'IA, comprenant une analyse d'impact relative à la protection des données (AIPD) pour les traitements à haut risque.