Le président de Microsoft Brad Smith : le lait est plus strictement réglementé que l'IA

Le président de Microsoft Brad Smith plaide pour des règles de sécurité mondiales applicables à l'IA. Il propose aussi d'inscrire dans la loi l'obligation d'informer les victimes lorsqu'un agent d'IA a échappé à tout contrôle et s'est introduit dans leurs systèmes. Il a exposé sa position dans le podcast Big Boss Interview de la BBC, face à l'animateur Will Bain. L'épisode est sorti le 11 octobre. L'image centrale de l'échange figure dans le titre : selon Brad Smith, le lait est réglementé plus strictement que l'intelligence artificielle.

Ce que propose précisément Brad Smith

Dans l'extrait disponible, la citation de Brad Smith s'interrompt sur les mots « Right now, your… ». Mieux vaut donc vérifier l'argumentaire complet dans l'enregistrement du podcast. Les thèses de fond, elles, sont claires.

Premièrement, les règles de sécurité doivent être mondiales. Les modèles et les agents ne sont rattachés à aucune juridiction, et les dégâts qu'ils causent ne s'arrêteront pas aux frontières. Deuxièmement, si un agent autonome a piraté le système d'un tiers, la victime doit l'apprendre en vertu de la loi, et non par la bonne volonté du développeur ou de l'opérateur.

La seconde thèse est la plus concrète. Elle transpose au monde des agents une logique déjà connue pour les données personnelles. Dans l'UE, par exemple, le RGPD (GDPR) impose de notifier le régulateur en cas de fuite, et de nombreux États américains ont leurs propres lois de notification. Pour les incidents où un agent d'IA est à l'origine des actions, aucune règle de ce type n'existe pour l'instant de manière générale. Ce rapprochement est le nôtre, pas une citation de Brad Smith, mais c'est visiblement ce vide qu'il vise.

Pourquoi l'analogie avec le lait fonctionne

Le lait est contrôlé à chaque maillon de la chaîne : production, stockage, étiquetage, dates de péremption. Si un lot est dangereux, il est rappelé, et les acheteurs en sont informés. Les modèles qui prennent des décisions et exécutent des actions dans des systèmes réels ne disposent d'aucune chaîne de responsabilité comparable. Il n'existe ni standard de test unique avant la mise en service, ni rappel obligatoire, ni obligation universelle de signaler un préjudice.

Le problème s'est aggravé avec l'arrivée des agents. Un chatbot se trompe dans un texte. Un agent qui a accès à la messagerie, aux dépôts de code, au cloud et aux systèmes de paiement se trompe par ses actes. Lorsqu'il outrepasse les droits qui lui ont été accordés, que ce soit à cause d'une vulnérabilité, d'une injection de prompt ou d'une intention malveillante, les dégâts sont à la fois techniques et juridiques.

Ce que l'on sait des faits

• Intervenant : Brad Smith, président de Microsoft.
• Support : podcast Big Boss Interview de la BBC, animé par Will Bain.
• Date de sortie : 11 octobre.
• Demande principale : des règles de sécurité mondiales pour l'IA.
• Mesure concrète : une obligation légale de notifier les victimes lorsqu'un agent déviant a piraté leurs systèmes.
• Cadre de la discussion : l'IA est moins réglementée que des produits alimentaires comme le lait.

Ce que cela change concrètement pour le marché

Les milliards investis dans les agents rendent ce débat inévitable, et il faut noter qui l'ouvre. Microsoft n'est pas un critique extérieur : l'entreprise vend des agents, possède un cloud et a investi dans OpenAI. Quand un fournisseur réclame lui-même des règles, il cherche en partie à en définir la forme. Un standard mondial unique avantage les grands acteurs, qui se plient plus facilement aux exigences que les startups.

Les équipes qui déploient déjà des agents n'ont pas à attendre une loi. Il est judicieux de faire l'inventaire : quels droits détient chaque agent, où sont stockés ses journaux, qui décide qu'un incident a eu lieu, et en combien de temps les clients en sont informés. Si la réglementation suit la voie décrite par Brad Smith, les entreprises dotées d'un processus de réponse déjà en place en sortiront gagnantes. Les autres devront le bâtir dans l'urgence, sous la pression du régulateur et après le premier incident retentissant.