La Maison-Blanche confie la politique de l'IA à son chef du renseignement, et l'application des règles vient d'ailleurs

Le président Trump a nommé Jay Clayton, directeur du renseignement national, à la présidence d'un nouveau groupe de travail fédéral sur l'IA. Cet arrangement place une seule personne à la tête à la fois de la communauté du renseignement et de l'agenda national en matière d'IA.

Lu comme un organigramme, c'est une histoire de coordination. Lu comme un signal, cela signifie que l'administration entend traiter l'IA avant tout comme une question de sécurité nationale plutôt que de protection des consommateurs. Un chef du renseignement pense aux adversaires, aux infrastructures critiques et aux lacunes capacitives. Un régulateur de la consommation pense aux informations à fournir, aux recours et aux pratiques déloyales. La présidence du groupe de travail détermine le vocabulaire qu'il emploiera.

Dans le même temps, la pression en matière d'application des règles monte dans des lieux qui n'ont rien à voir avec la communauté du renseignement.

La posture fédérale et les projets de loi fédéraux divergent

Quatre projets de loi bipartisans ont été présentés au Congrès durant la semaine du 2 octobre, et chacun d'eux aborde un sujet que le prisme du renseignement ne couvre pas.

Le premier rendrait les opérateurs d'agents d'IA pénalement et civilement responsables lorsque leurs systèmes sont utilisés dans des incidents de piratage. C'est la question de la responsabilité que les entreprises ont largement laissée en suspens : quand un agent autonome provoque une violation, qui est le défendeur ? Le texte va au-delà de l'attribution d'un blâme après coup. Il crée une catégorie de risque que l'entreprise doit évaluer avant de déployer quoi que ce soit capable d'agir sur des systèmes externes.

Le deuxième interdirait aux agences fédérales d'utiliser la reconnaissance faciale et d'autres technologies de surveillance biométrique. Cela toucherait les sous-traitants et fournisseurs qui proposent ces capacités aux clients gouvernementaux, un marché à part entière.

Le troisième imposerait que les interactions avec des chatbots à apparence humaine destinées aux mineurs soient désactivées par défaut. L'obligation incombe aux développeurs de produits plutôt qu'aux parents, un changement notable : la conception sécurisée par défaut est un instrument réglementaire différent d'un simple contrôle d'âge.

Le quatrième autoriserait 10 millions de dollars de concours dotés de prix, organisés par le Department of Homeland Security sur cinq ans, centrés sur l'interprétabilité de l'IA et sa résilience face à la manipulation adverse.

Aucun des quatre n'a été adopté. Leur contenu collectif est ce qui compte. L'agenda fédéral en matière d'IA se définit à au moins deux endroits à la fois, et les deux ne sont pas manifestement alignés.

Les agences ont commencé les premières

Tandis que les projets de loi restent en commission, les agences exécutives ont déjà ouvert des fronts.

La FTC a confirmé mener une enquête active de protection des consommateurs visant OpenAI, Anthropic et d'autres entreprises d'IA au sujet des agents d'IA autonomes. Le procureur général de Californie a signifié à OpenAI une assignation à comparaître dans le cadre d'une enquête de l'État. Le conseil municipal de New York a tenu une audition sur les risques de l'IA en présence de ses 51 membres, en invitant les dirigeants d'OpenAI et d'Anthropic à s'exprimer.

Ces actions partagent une caractéristique qui compte pour la rapidité avec laquelle elles mordent. Elles n'exigent pas de nouvelle loi. Une loi de protection des consommateurs rédigée à une autre époque peut être interprétée comme couvrant une entreprise qui présente faussement ce que fera son agent. Un procureur général d'État peut enquêter en vertu de ses pouvoirs existants. Un conseil municipal peut tenir une audition aujourd'hui et adopter une ordonnance le mois prochain.

C'est là l'asymétrie structurelle de la situation actuelle. La voie législative fédérale est lente et contestée. La voie de l'application des règles est rapide et déjà en mouvement.

Les États fédérés écrivent les règles opérationnelles

La Californie a promulgué un ensemble de protections des travailleurs face à l'IA, obligeant les employeurs à informer les travailleurs concernés de l'usage de l'IA, imposant une consultation avant toute décision assistée par IA en matière d'embauche, de planification ou de licenciement, et créant des mécanismes de responsabilisation pour la gestion algorithmique.

La Californie devient ainsi le premier État américain à imposer des obligations contraignantes aux employeurs qui déploient l'IA dans la gestion de leur personnel. Plusieurs entreprises d'IA dont le siège se trouve dans l'État ont objecté que des exigences de transparence aussi prescriptives ralentiront l'adoption en RH, mais aucune contestation juridique n'a été déposée.

L'importance réside dans le mécanisme de diffusion plutôt que dans les règles spécifiques. Le marché du travail californien est suffisamment vaste pour que les employeurs présents dans de nombreux États tendent à adopter une pratique conforme unique plutôt que de maintenir un patchwork. L'effet est celui qu'a produit la loi de l'État sur la vie privée : un texte étatique devient de facto un socle national, parce qu'il est plus simple de s'y conformer que de segmenter.

Le Nouveau-Mexique s'est engagé dans une direction similaire, le procureur général et un élu de l'État ayant annoncé un projet de loi « Frontier Artificial Intelligence Safety and Accountability Act » avant son dépôt préalable.

Le volet électoral est celui que personne n'avait anticipé

Un problème de gouvernance a surgi en Géorgie, où une réunion d'urgence de la commission électorale a été convoquée après qu'un chercheur de Princeton a démontré qu'un système d'IA pouvait recouper des registres électoraux publics pour désanonymiser des bulletins secrets.

La technique ne casse pas de chiffrement et n'attaque pas une machine à voter. Elle relie des enregistrements qui ont chacun été publiés légitimement, et ce croisement révèle une information qu'aucun d'eux ne contenait isolément. C'est une capacité que personne ne régule, parce qu'aucun jeu de données pris seul n'est sensible et que le préjudice n'apparaît qu'après corrélation.

Les responsables électoraux ont une échéance, celle des élections de mi-mandat de novembre, qu'aucun autre régulateur n'affronte au même calendrier. La conséquence, c'est que la confidentialité du vote pourrait devenir le premier domaine où l'inférence assistée par IA à partir de données publiques reçoit des règles spécifiques, et elle en recevra plus vite que la question plus large de la responsabilité des agents.

L'échéance sur le filigrane dont personne ne parle

De l'autre côté de l'Atlantique, une règle différente est sur le point d'entrer en vigueur.

Les obligations de l'article 50 du règlement européen sur l'IA exigent des filigranes lisibles par machine et des marquages de détection de contenu synthétique pour les systèmes d'IA génératifs. OpenAI a commencé à déployer textGrain, un procédé de filigrane invisible pour le texte, pour les utilisateurs de ChatGPT et Codex dans l'UE avant la date du 2 décembre.

Le calendrier est instructif. Une obligation technique assortie d'une date fixe a produit une fonctionnalité livrée, tandis que le débat de gouvernance plus large continue de tourner. Les obligations assorties d'échéances sont mises en œuvre. Les principes qui en sont dépourvus sont discutés.

Là où les deux voies se heurtent

La collision se manifestera sur la question de la responsabilité des agents.

Une posture fédérale pilotée par le renseignement est à l'aise avec la capacité. Elle veut des modèles américains puissants et conçoit la sécurité comme une question d'empêcher les mauvaises personnes de les utiliser. Un régime de responsabilité qui expose pénalement les opérateurs pour ce que font leurs agents est un instrument différent. Il ralentit le déploiement en faisant de chaque action autonome une infraction potentielle.

Les entreprises prises entre les deux feront ce que font les entreprises : elles suivront l'application des règles qu'elles peuvent voir. Cela signifie un examen juridique des permissions des agents, la journalisation des actions autonomes et une préférence pour les agents qui marquent une pause en attendant l'approbation humaine. Ces choix se font dès maintenant, en réponse aux assignations des États et aux enquêtes des agences, bien avant qu'un quelconque texte fédéral existe.

Les prix consacrés à l'interprétabilité pointent le même vide, mais par l'autre bout. Dix millions de dollars sur cinq ans représentent une erreur d'arrondi face aux budgets de recherche de l'industrie, et leur inclusion dans un texte aux côtés de règles de responsabilité suggère que le Congrès sait qu'il demande aux entreprises de rendre des comptes sur des systèmes dont personne ne peut expliquer les décisions. Financer un concours coûte moins cher qu'imposer une norme.

Ce qu'il faut surveiller

Trois dates et un chiffre.

Surveillez si l'un des quatre projets de loi atteint l'étape de l'examen en commission, ce qui indiquerait que la voie législative avance au lieu de se donner en spectacle. Surveillez si l'enquête de la FTC débouche sur un accord comportant des exigences de conduite nommées, car cela donnerait à toutes les autres entreprises d'IA un modèle à suivre. Surveillez si une coalition d'employeurs dépose un recours en préemption contre les lois californiennes sur le travail, car une décision dans un sens ou dans l'autre fixerait la portée de l'action des États à travers le pays.

Le chiffre est la part des actions d'application des règles sur l'IA engagées par les États plutôt que par les agences fédérales au cours de l'année à venir. Si elle continue d'augmenter, le groupe de travail fédéral se retrouvera à définir une stratégie pour un domaine qu'il ne contrôle pas.