Ne régulez pas les modèles d’IA. Régulez l’utilisation de l’IA
Parfois, il peut sembler que les efforts pour réguler et maîtriser l’IA sont omniprésents. La Chine a émis les premières réglementations spécifiques à l’IA en 2021, se concentrant sur les fournisseurs et la gouvernance du contenu, appliquées par le biais du contrôle des plateformes et des exigences de tenue de dossiers.
En Europe, la loi sur l’IA de l’UE date de 2024, mais la Commission européenne propose déjà des mises à jour et des simplifications. L’Inde a chargé ses conseillers techniques seniors de créer un système de gouvernance de l’IA, publié en novembre 2025. Aux États-Unis, les États légifèrent et appliquent leurs propres règles sur l’IA, même si le gouvernement fédéral, en 2025, s’est efforcé d’empêcher les actions des États et de desserrer les restrictions.
Cela soulève une question cruciale pour les ingénieurs et les décideurs américains : que peut réellement appliquer les États-Unis de manière à réduire les dommages dans le monde réel ? La réponse proposée est de réguler l’utilisation de l’IA, et non les modèles sous-jacents.
Pourquoi la régulation centrée sur le modèle échoue
Les propositions de licence des « formations de pointe », de restrictions sur les poids ouverts, ou d’exigences de permission avant la publication des modèles, comme la loi de Californie sur la transparence en matière d’IA, promettent un contrôle mais ne font que créer un théâtre. Les poids et le code des modèles sont des artefacts numériques ; une fois publiés, par un laboratoire, une fuite ou un concurrent étranger, ils se répliquent à coût quasi nul. On ne peut pas « dépublier » des poids ou empêcher la recherche de s’échapper.
Essayer de contenir ces artefacts produit deux résultats indésirables : les entreprises conformes se noient dans la paperasse tandis que les acteurs imprudents contournent les règles à l’étranger, sous terre, ou les deux. Aux États-Unis, la licence de publication de modèles risque également de heurter la loi sur la liberté d’expression, car les tribunaux fédéraux ont considéré le code source comme une expression protégée.
« Ne rien faire » n’est pas une option non plus. Sans garde-fous, nous continuerons à voir des arnaques deepfake, des fraudes automatisées et des campagnes de persuasion de masse jusqu’à ce qu’un événement catastrophe déclenche une réponse brutale optimisée pour l’optique, et non pour les résultats.
Une alternative pratique : réguler l’utilisation, proportionnelle au risque
Un régime basé sur l’utilisation classifie les déploiements par risque et ajuste les obligations en conséquence. Voici un modèle opérationnel axé sur le maintien de l’application là où les systèmes touchent réellement les utilisateurs :
- Baseline : Interactions avec les consommateurs à usage général (chat ouvert, écriture créative, assistance à l’apprentissage, productivité occasionnelle).
Conformité réglementaire : divulgation claire de l’IA au point d’interaction, politiques d’utilisation acceptable publiées, garde-fous techniques empêchant l’escalade vers des niveaux de risque plus élevés, et un mécanisme pour que les utilisateurs signalent des résultats problématiques. - Assistance à faible risque (rédaction, résumé, productivité de base).
Conformité réglementaire : divulgation simple, hygiène des données de base. - Support à risque modéré affectant les individus (tri de candidatures, screening des avantages, préqualification de prêts).
Conformité réglementaire : évaluation des risques documentée, supervision humaine significative, et un « cahier des charges de l’IA » comprenant au moins la lignée du modèle, les évaluations clés et les atténuations. - Utilisations à fort impact dans des contextes critiques pour la sécurité (support à la décision clinique, opérations d’infrastructure critique).
Conformité réglementaire : tests rigoureux avant le déploiement liés à l’utilisation spécifique, surveillance continue, rapports d’incidents et, si nécessaire, autorisation liée à la performance validée. - Fonctions à double usage dangereuses (par exemple, outils pour fabriquer des empreintes vocales biométriques pour contourner l’authentification).
Conformité réglementaire : confinement aux installations licenciées et aux opérateurs vérifiés ; interdiction des capacités dont le but principal est illégal.
Les systèmes habilités par l’IA deviennent réels lorsqu’ils sont connectés aux utilisateurs, à l’argent, aux infrastructures et aux institutions, et c’est là que les régulateurs doivent concentrer l’application : aux points de distribution (boutiques d’applications et places de marché d’entreprise), accès aux capacités (cloud et plateformes d’IA), monétisation (systèmes de paiement et réseaux publicitaires), et transfert de risque (assureurs et contreparties contractuelles).
Pour les utilisations à haut risque, il est nécessaire d’exiger un lien d’identité pour les opérateurs, un contrôle des capacités aligné sur le niveau de risque, et un enregistrement à preuve de falsification pour les audits et les examens post-incident, accompagné de protections de la vie privée. Nous devons exiger des preuves pour les revendications des déployeurs, maintenir des plans de réponse aux incidents, signaler les défauts matériels et fournir un recours humain. Lorsque l’utilisation de l’IA entraîne des dommages, les entreprises doivent démontrer leur travail et faire face à des responsabilités pour les préjudices.
Cette approche crée des dynamiques de marché qui accélèrent la conformité. Si des opérations commerciales cruciales telles que l’approvisionnement, l’accès aux services cloud et l’assurance dépendent de la preuve que vous suivez les règles, les développeurs de modèles d’IA construiront selon des spécifications que les acheteurs peuvent vérifier. Cela élève le niveau de sécurité pour tous les acteurs de l’industrie, y compris les startups, sans donner un avantage à quelques grandes entreprises licenciées.
Conclusion
Cette structure s’aligne avec la loi sur l’IA de l’UE de deux manières importantes. Tout d’abord, elle centre le risque au point d’impact : les catégories « à haut risque » de la loi incluent l’emploi, l’éducation, l’accès aux services essentiels et l’infrastructure critique, avec des obligations de cycle de vie et des droits de plainte. Elle reconnaît également un traitement spécial pour les systèmes largement capables sans prétendre que le contrôle de publication est une stratégie de sécurité.
La proposition américaine diffère en trois points clés. Premièrement, il est nécessaire de concevoir pour la durabilité constitutionnelle. Les tribunaux ont traité le code source comme une expression protégée, et un régime qui exige une autorisation pour publier des poids ou former une classe de modèles commence à ressembler à une retenue préalable. Un régime basé sur l’utilisation régissant ce que les opérateurs d’IA peuvent faire dans des contextes sensibles, et sous quelles conditions, s’adapte plus naturellement à la doctrine du premier amendement des États-Unis que des régimes de licence basés sur les locuteurs.
Deuxièmement, l’UE peut compter sur les plateformes s’adaptant aux règles de précaution qu’elle rédige pour son marché unique. Les États-Unis doivent accepter que des modèles existeront à l’échelle mondiale, ouverts et fermés, et se concentrer sur l’endroit où l’IA devient actionnable : boutiques d’applications, plateformes d’entreprise, fournisseurs de cloud, couches d’identité d’entreprise, canaux de paiement, assureurs et gardiens de secteurs réglementés.
Troisièmement, les États-Unis devraient ajouter un niveau explicite de « danger à double usage ». La loi sur l’IA de l’UE est principalement un régime de droits fondamentaux et de sécurité des produits. Les États-Unis ont également une réalité de sécurité nationale : certaines capacités sont dangereuses parce qu’elles amplifient les dommages.
