AI Safety ou Gel de l’Innovation ? – Ce que la Loi RAISE de New York se Trompe
La Loi sur la Sécurité et l’Éducation de l’IA Responsable (RAISE), récemment adoptée par la législature de l’État de New York, tente d’aborder les risques fondamentaux posés par les modèles d’IA de pointe. Cependant, en imposant des obligations uniquement aux développeurs de ces modèles, elle néglige la chaîne de valeur plus large de l’IA, ce qui risque de freiner l’innovation sans améliorer significativement la sécurité.
Adoptée le 12 juin 2025, la Loi RAISE attend maintenant l’approbation de la gouverneure Kathy Hochul. Cette mesure fait suite à l’One Big Beautiful Bill Act, qui avait initialement envisagé un moratoire de dix ans sur la réglementation de l’IA au niveau des États, mais qui n’a jamais été adoptée. Dans ce contexte, la Loi RAISE représente la première grande incursion dans la régulation de l’IA de pointe à New York et à travers les États-Unis, car elle s’applique non seulement à tous les modèles de pointe développés dans l’État, mais également à tout modèle mis à disposition des résidents de New York.
Inspiration et Objectifs de la Loi
S’inspirant de la Loi sur l’IA de l’UE et de la SB 1047 de Californie—vetoée par le gouverneur Gavin Newsom en 2024 en raison de préoccupations concernant un étouffement de l’innovation—, la Loi RAISE vise à assurer la sécurité des « modèles de pointe ». Ces modèles sont définis comme des modèles d’IA coûtant plus de 100 millions de dollars à former et dépassant un seuil computationnel spécifié. La loi cherche à prévenir les abus pouvant causer des dommages critiques, définis comme la mort ou des blessures graves d’au moins 100 personnes, ou des dommages économiques de plus de 1 milliard de dollars.
Obligations des Développeurs
Avant de publier un modèle de pointe, un développeur doit :
- metre en œuvre des protocoles de sécurité, y compris pour les risques créés par les utilisations tierces du modèle en dehors du contrôle du développeur,
- publier ces protocoles de manière visible et les transmettre à la Division de la Sécurité Intérieure et des Services d’Urgence,
- mettre en œuvre des safeguards pour prévenir les risques déraisonnables de dommages critiques, sans critères définis pour ce qui constitue une protection appropriée.
Si les risques déraisonnables ne peuvent pas être évités, la loi interdit la publication du modèle. L’application de la loi incombe au Procureur Général, qui peut imposer des pénalités civiles allant jusqu’à 10 millions de dollars pour une première violation et jusqu’à 30 millions de dollars pour des violations répétées.
Une Répartition Unilatérale des Responsabilités
La Loi RAISE impose toutes les obligations aux développeurs de modèles de pointe, sans étendre les devoirs à d’autres acteurs de la chaîne de valeur de l’IA, tels que ceux qui affinent ou modifient les modèles, les intègrent dans des systèmes d’IA ou les utilisent en tant qu’utilisateurs finaux. Cela contraste avec la Loi sur l’IA de l’UE, qui, bien qu’elle ait été critiquée pour sa complexité et ses coûts de conformité élevés, répartit au moins les obligations entre plusieurs catégories d’acteurs.
En ne réglementant que les développeurs de modèles et en les tenant responsables même des abus des tiers, la Loi RAISE crée une norme de responsabilité déraisonnable. Les développeurs ne peuvent pas anticiper, encore moins contrôler, la vaste gamme d’applications possibles en aval et leur utilisation potentielle (ou abus).
La Problématique du “Dommage Critique”
Le concept de risque de dommage critique est tout aussi défaillant. Les modèles de pointe sont intrinsèquement polyvalents ; les risques qu’ils posent dépendent de leurs utilisations en aval, qui varient largement selon le secteur et le contexte. Pourtant, la loi exige que les développeurs évaluent et atténuent ces risques à l’ex ante, au moment de la publication, lorsque ces risques sont largement spéculatifs, diffus et inévaluables.
En même temps, la Loi RAISE ne fournit aucun critère significatif pour déterminer quand ces risques existent ou ce qui constitue des safeguards appropriés. En laissant ces déterminations à une interprétation future, la loi crée une incertitude juridique et expose les développeurs à une application ex post sans directives claires ex ante.
Vers une Approche Plus Équilibrée
La critique de la Loi RAISE ne doit pas être interprétée comme un rejet de toute réglementation des fournisseurs de modèles d’IA de pointe ou de grande envergure. En fait, il existe des arguments solides en faveur de l’imposition d’obligations minimales, telles que des tests de résistance et une modération des requêtes pour prévenir les résultats facilitant des activités illégales. Les développeurs devraient également être tenus de partager suffisamment d’informations avec les acteurs en aval, leur permettant de remplir leurs propres obligations et de mettre en œuvre des protections.
Mais une réglementation significative doit aller plus loin. Les fournisseurs en aval – y compris ceux qui affinent, déploient et utilisent les modèles – sont mieux placés pour évaluer les risques spécifiques au contexte. Ils peuvent amplifier les risques existants ou en créer de nouveaux en améliorant les capacités d’un modèle, en désactivant les fonctionnalités de sécurité intégrées ou en utilisant un modèle de manière imprévue. Concentrer toutes les obligations sur les développeurs en amont est donc inefficace.
Conclusion
La Loi RAISE échoue à établir un cadre équilibré pour la gouvernance de l’IA. En ciblant uniquement les développeurs de modèles de pointe, en s’appuyant sur des concepts vagues de « dommage critique », en imposant des audits perpétuels, et en contournant les arrangements contractuels, elle ignore les capacités différenciées des acteurs tout au long de la chaîne de valeur de l’IA.
Si elle est adoptée, la Loi RAISE pourrait réaliser peu en termes de sécurité, tout en décourageant considérablement l’innovation et le développement open-source à New York et au-delà. Loin de devenir un modèle de gouvernance responsable, elle risque de devenir un avertissement sur la manière dont une réglementation bien intentionnée mais disproportionnée peut entraver le progrès qu’elle cherche à protéger. Une voie plus efficace consisterait à réglementer l’ensemble de la chaîne de valeur pour assurer une répartition équitable des responsabilités, ou à s’abstenir de règles prescrites jusqu’à ce que les risques des modèles d’IA de pointe puissent être identifiés, évalués et juridiquement traités de manière plus claire.
