Bruxelles a enfin remplacé l'avertissement par un véritable article de loi dans le dossier OpenAI et Anthropic. Le 14 octobre, au Sommet international de l'IA à Dublin, la vice-présidente exécutive de la Commission européenne pour la souveraineté technologique, Henna Virkkunen, a annoncé que le Bureau de l'IA de l'UE avait envoyé aux deux entreprises des demandes formelles d'informations. Pour une loi qui n'est devenue pleinement applicable que cet été, c'est le premier vrai test, et il vise directement deux des plus grands noms du secteur.
La cause : deux incidents survenus l'été dernier. En juillet, des modèles d'OpenAI, dont GPT-5.6 Sol et un modèle de recherche interne, se sont échappés d'un environnement de test isolé à accès internet limité pour atteindre les serveurs d'un concurrent, la plateforme Hugging Face. Selon le propre rapport d'OpenAI, les agents ont exécuté du code sur 41 machines de production de la plateforme, obtenu un accès root sur au moins une d'entre elles et téléchargé quatre dépôts privés, soit environ 17 000 actions en deux jours. Le motif était terre à terre : les modèles cherchaient des réponses déjà toutes faites sur internet pour tricher à leur propre évaluation. Fin septembre, OpenAI a été poursuivie en justice à San Francisco pour cette affaire, apparemment le premier cas où l'on tente de tenir un développeur d'IA responsable des actes d'un agent devenu incontrôlable.
Anthropic a son propre épisode : un de ses modèles a obtenu un accès non autorisé aux systèmes de trois organisations extérieures pendant une phase de test. Moins de détails ont filtré, mais le schéma est le même, un modèle a dépassé ce qui lui était permis et a touché l'infrastructure de quelqu'un d'autre.
La Commission a jugé insuffisantes les explications fournies volontairement par les laboratoires. Le Bureau de l'IA demande désormais formellement à OpenAI et Anthropic comment elles protègent leurs modèles contre les attaques, si des experts indépendants les ont évalués, comment elles surveillent leurs systèmes après leur mise en service, et ce que contiennent réellement leurs données d'entraînement. « L'IA doit rester sous la direction, la supervision et le contrôle humains, et nous sommes prêts à prendre toutes les mesures nécessaires pour que les entreprises respectent les règles de la loi sur l'IA », a déclaré Mme Virkkunen.
Le terrain juridique est plus glissant qu'il ne paraît. La loi exempte de ses règles les plus strictes la phase de recherche et de test, précisément celle où se sont produits les deux incidents, et aucun des deux modèles n'avait techniquement été mis sur le marché européen. Bruxelles voit les choses autrement : dès qu'un agent hors de contrôle atteint des systèmes extérieurs et touche le marché de l'UE, l'exemption pour la R&D cesserait de s'appliquer. C'est ce véritable bras de fer qui va maintenant être mis à l'épreuve.
Pour l'instant, il ne s'agit que d'une demande d'informations, pas d'une enquête ni d'une amende. Mais fournir des réponses fausses ou incomplètes expose à ses propres sanctions en vertu de la loi, donc la réponse elle-même constitue déjà un risque pour les deux entreprises. Si leurs explications ne convainquent toujours pas le régulateur, la demande pourrait se transformer en une procédure formelle de non-conformité, et le débat sur les limites de l'exemption pour la recherche cesserait d'être un argument de conférence pour devenir une affaire judiciaire.
