La formule employée par OpenAI le 9 septembre est difficile à rendre plus explicite : les engagements volontaires ne suffisent plus.

Dans un texte signé par son responsable des affaires internationales Chris Lehane, l'entreprise appelle le Congrès américain à créer une réglementation nationale obligatoire, fondée non pas sur une catégorie commerciale comme « chatbot » ou « modèle open source », mais sur les capacités et les risques réels des systèmes les plus avancés.

Autrement dit, plus un modèle peut agir, chercher, exploiter des outils et fonctionner de manière autonome, plus le niveau de contrôle devrait augmenter.

OpenAI veut des tests indépendants, pas uniquement les devoirs corrigés à la maison

Le cadre défendu par l'entreprise repose sur plusieurs briques assez concrètes : tests communs, évaluations réalisées par des organismes indépendants, protections renforcées en cybersécurité, obligations de signalement lors d'incidents graves et mécanismes permettant de suivre l'accélération de la recherche par l'IA elle-même.

OpenAI veut notamment que les développeurs de modèles de pointe soient capables de montrer que leurs systèmes sont effectivement surveillés lorsqu'ils disposent d'outils ou d'une forte autonomie.

L'entreprise soutient aussi l'idée d'une notification rapide lorsqu'un modèle contourne sans autorisation les protections informatiques d'une organisation et accède réellement à ses systèmes ou à ses données.

Ce n'est pas une hypothèse abstraite sortie d'un rapport de prospective. Les pratiques de sécurité d'OpenAI ont été examinées après plusieurs incidents survenus pendant des tests d'agents autonomes, notamment un épisode au cours duquel un système a réussi à atteindre l'infrastructure de Hugging Face après avoir obtenu un accès à Internet qui n'était pas prévu.

Le seuil le plus intéressant concerne le moment où il faut arrêter d'accélérer

La position d'OpenAI va plus loin que l'obligation de publier un rapport de sécurité.

L'entreprise explique que les gouvernements devraient définir des seuils communs permettant de décider quand le développement doit ralentir ou s'arrêter. Si un laboratoire n'arrive pas à atteindre un niveau de sécurité suffisant sans réduire la vitesse de progression des capacités, OpenAI affirme que la sécurité doit passer en premier.

Le groupe précise toutefois que l'amélioration récursive entièrement autonome, où une IA concevrait seule des générations successives de systèmes toujours plus puissants, n'existe pas aujourd'hui. Ce qu'il observe déjà est plus limité : des agents capables d'accélérer certaines tâches de recherche nécessaires au développement des modèles suivants.

La nuance compte. Réglementer un risque émergent n'implique pas de prétendre qu'il est déjà arrivé.

Les petites entreprises ne sont pas censées recevoir la même facture réglementaire

OpenAI demande que ces obligations soient concentrées sur une poignée de laboratoires disposant des ressources nécessaires pour travailler à la frontière technologique.

Le texte exclut explicitement l'idée d'imposer le même régime aux startups, petits développeurs ou chercheurs dont les modèles restent loin des capacités de pointe. OpenAI affirme également qu'une législation de sécurité ne devrait pas devenir indirectement une interdiction des modèles à poids ouverts.

C'est un point sensible.

Une réglementation très coûteuse peut améliorer la sécurité tout en créant une barrière à l'entrée que seuls OpenAI, Google, Anthropic, Meta ou quelques autres groupes peuvent absorber. L'entreprise dit vouloir éviter ce résultat et demande un système proportionnel aux capacités.

La manière dont le Congrès traduirait cette promesse en seuils techniques sera autrement plus compliquée que la formulation du principe.

En attendant Washington, OpenAI mise sur la Californie

OpenAI soutient parallèlement une stratégie qu'elle appelle « reverse federalism » : laisser plusieurs États établir des protections suffisamment proches pour former progressivement une base commune, puis demander au gouvernement fédéral de l'harmoniser.

Le 9 septembre, l'entreprise a ainsi annoncé son soutien à quatre textes californiens.

  • SB 813 crée un mécanisme permettant de désigner des organisations indépendantes capables d'évaluer les risques des systèmes d'IA.
  • AB 1405 établit notamment des exigences d'enregistrement, d'indépendance, de transparence et de responsabilité pour les auditeurs d'IA.
  • SB 1119 renforce les protections destinées aux enfants utilisant des chatbots compagnons, avec évaluation des risques, audits et contrôles parentaux.
  • AB 1864 vise les fournisseurs de synthèse génétique afin de renforcer les barrières physiques face aux risques biologiques facilités par l'IA.

Le même jour, le gouverneur Gavin Newsom a signé SB 813 et AB 1405. SB 1119 a ensuite été signé le 10 septembre dans le cadre d'un ensemble plus large consacré à la protection des mineurs en ligne.

Le calendrier rend la situation presque paradoxale : OpenAI veut une réglementation fédérale précisément au moment où la Californie démontre qu'elle peut légiférer plus vite que Washington.

Ce n'est pas la première fois qu'OpenAI réclame une régulation

Présenter cette annonce comme une conversion soudaine serait trompeur. Sam Altman demandait déjà devant le Sénat en 2023 qu'un régulateur supervise les systèmes dépassant certains seuils de capacités.

Le changement se trouve davantage dans le niveau de précision et dans le diagnostic. OpenAI dit désormais qu'une nouvelle augmentation des capacités justifie des règles obligatoires, que certains mécanismes doivent être indépendants des laboratoires eux-mêmes et que ralentir le développement doit faire partie des options réelles.

L'entreprise reconnaît même avoir reconsidéré son opposition passée à certains textes californiens en raison des progrès récents des modèles.

Demander à être régulé n'efface pas le conflit d'intérêts

Une entreprise qui contribue à écrire les règles de son propre secteur mérite forcément un peu de méfiance. OpenAI possède une expertise technique utile aux législateurs, mais elle possède aussi un intérêt commercial très clair dans la façon dont les seuils, les audits et les exemptions seront définis.

Une règle mal dessinée peut être trop faible pour protéger qui que ce soit. Elle peut aussi être suffisamment coûteuse pour neutraliser des concurrents plus petits sans réellement réduire le risque des plus gros modèles.

Le débat n'est donc plus simplement « faut-il réglementer l'IA ? ». OpenAI répond oui.

La question pénible commence juste après : qui mesure le danger, qui audite les modèles, à partir de quel seuil et avec quel pouvoir lorsqu'un laboratoire estime qu'il peut continuer alors que son évaluateur dit le contraire ?

C'est précisément la partie que l'autorégulation ne pouvait pas résoudre toute seule.