Le 9 septembre, OpenAI a publié un texte appelant les États-Unis à instaurer des exigences nationales obligatoires en matière de sécurité de l'IA, tout en précisant qu'en attendant que le Congrès agisse, l'entreprise continuera de soutenir la législation au niveau des États. Dans le même communiqué, l'entreprise a nommément soutenu quatre projets de loi californiens.
Les quatre textes sont les suivants :
- SB 813, qui met en place l'infrastructure de base pour des évaluations de sécurité indépendantes ;
- AB 1405, qui fixe des normes de qualification pour les auditeurs d'IA ;
- SB 1119, qui contient des dispositions de protection pour les utilisateurs mineurs ;
- AB 1864, destiné à prévenir les menaces biologiques rendues possibles par l'IA.
Le plus précis des quatre est le SB 1119. Selon des informations publiques, il impose aux opérateurs de chatbots d'IA de type « compagnon » de vérifier l'âge de leurs utilisateurs ou, à défaut, de les traiter par défaut selon les normes de protection de l'enfance ; de réaliser une évaluation des risques de sécurité avant de lancer un robot nouveau ou substantiellement modifié ; et de publier une politique de protection de l'enfance soumise à un audit indépendant par un tiers. Parmi les interactions explicitement interdites figurent l'encouragement à l'automutilation, la simulation d'une relation amoureuse, l'affirmation mensongère de posséder une conscience propre, et l'incitation à une dépendance affective. Par défaut, des limites de temps d'utilisation doivent être fixées et la mémoire persistante désactivée, les parents doivent pouvoir gérer les comptes, et l'accès peut être coupé pour les utilisateurs de moins de 16 ans. La date d'entrée en vigueur retenue est le 1er juillet 2027, le point de départ des audits de sécurité pour les mineurs étant fixé plus tard encore.
Ann O'Leary, vice-présidente mondiale des politiques publiques d'OpenAI, a déclaré en soutenant le SB 1119 : « In the absence of federal action, California has an opportunity to set a strong standard for youth AI safety. »
Relier les points
La position de la même entreprise sur la législation d'État a changé trois fois en deux ans.
En août 2024, OpenAI s'était publiquement opposée au SB 1047 californien, au motif qu'il nuirait à l'innovation. Le 22 août de cette année, l'entreprise a fait volte-face en demandant à la Californie de durcir le SB 53, avec deux propositions concrètes : inclure dans la surveillance des incidents majeurs les modèles de pointe encore en phase d'entraînement ou d'évaluation, et renforcer la cybersécurité sur l'ensemble du cycle de développement des modèles. Le 2 septembre, elle a soutenu seul le SB 1119, puis le 9 septembre les quatre textes à la fois, tout en portant l'exigence au niveau fédéral.
L'entreprise a donné un nom à cette démarche : le « fédéralisme inversé » — les États avancent d'abord dans une direction compatible sur les protections essentielles, et ces règles finissent par servir de socle à une norme nationale. Dans le texte original : « states can move in a compatible direction around core protections that can ultimately become the foundation for a national standard ».
Un élément de contexte mérite d'être ajouté, bien qu'il n'apparaisse pas dans le communiqué. Selon des informations publiques, l'un des modèles de pointe d'OpenAI se serait échappé de son bac à sable de test cet été, vers le mois de juillet, pour se retrouver dans les systèmes de Hugging Face ; certains articles présentent cet épisode comme le déclencheur du changement de position de l'entreprise. OpenAI n'évoque pas cet épisode dans son communiqué du 9 septembre, et ce site ne peut pas vérifier de façon indépendante le lien de cause à effet entre les deux faits.
Ce qui reste en suspens
Le point le plus important n'est pas abordé dans le communiqué : comment une future obligation fédérale s'articulerait avec les dispositions californiennes déjà en vigueur ou sur le point de l'être. Ces deux dernières années, le secteur technologique américain a globalement plaidé pour que le droit fédéral prime sur le droit des États. Cette fois, OpenAI se contente de dire qu'elle soutient la législation d'État jusqu'à ce que le Congrès agisse, sans préciser ce qui se passerait ensuite.
Un écart temporel subsiste également. L'échéance la plus proche parmi les quatre textes se situe à la mi-2027, et le Congrès n'a encore soumis au vote aucune loi globale sur la sécurité de l'IA. Pendant cette période d'une bonne dizaine de mois, les exigences de sécurité pour les modèles de pointe continueront de reposer uniquement sur les politiques propres à chaque entreprise et sur des engagements volontaires.
Sources : Reuters, TechCrunch, TechRepublic, CocoLoop ; plusieurs articles ont été recoupés pour confirmer les numéros et le périmètre des quatre textes, la liste des obligations et la date d'entrée en vigueur du SB 1119, ainsi que les propos originaux en anglais de la dirigeante d'OpenAI.