Anthropic et OpenAI répètent leur réaction à la première grande catastrophe liée à l'IA

Les dirigeants d'Anthropic, OpenAI et de plusieurs autres entreprises qui travaillent sur l'intelligence artificielle passent en revue, en privé, des scénarios pour le cas d'un premier incident à grande échelle lié à l'IA. Ils s'intéressent avant tout aux réactions extérieures : comment la société et les responsables politiques réagiront lorsqu'une panne touchera des millions de personnes. L'un des scénarios est une cyberattaque après laquelle les gens perdent l'accès aux services financiers et à internet et, dans le pire des cas, se retrouvent sans électricité ni eau.

Les détails publics sont peu nombreux. La source ne donne ni chiffres, ni probabilités, ni délais, et ne précise pas quelles mesures les entreprises préparent. Mais le simple fait que de tels exercices existent en dit long. Pendant des années, l'industrie a parlé des risques surtout dans le langage des rapports techniques. Elle répète désormais un scénario où il faudra s'expliquer non pas devant des chercheurs, mais devant des législateurs et des électeurs.

Ce que l'on sait à ce stade

• Participants : les dirigeants d'Anthropic, d'OpenAI et d'autres entreprises d'IA.
• Format : discussions à huis clos, « simulation » de scénarios.
• Objet : le mécontentement du public et la réaction politique à un incident majeur.
• Scénario clé : une cyberattaque contre les services financiers, internet, le réseau électrique et l'approvisionnement en eau.
• Inconnu : les estimations de probabilité, les mesures de protection envisageables, le rôle de l'État dans ces plans.

Pourquoi la cyberattaque est au centre de l'attention

Ce choix de scénario n'est pas fortuit. Parmi tous les risques évoqués autour des modèles avancés, la cybersécurité est le plus concret. Nul besoin de superpouvoirs hypothétiques : il suffit d'un modèle qui écrit du code, cherche des vulnérabilités et agit comme un agent autonome.

Les deux laboratoires ont déjà intégré ce risque dans leurs propres cadres. Chez OpenAI, la cybersécurité fait partie des catégories du Preparedness Framework ; chez Anthropic, la Responsible Scaling Policy prévoit des niveaux de sécurité. En novembre 2025, Anthropic a elle-même fait état d'une campagne dans laquelle des attaquants ont utilisé Claude Code pour automatiser une grande partie d'une opération d'espionnage.

Ce n'était pas un incident catastrophique, mais il a montré la direction que prend la pratique.

Les infrastructures critiques ajoutent une dimension sociale au problème technique. Paiements bancaires, télécommunications, réseaux électriques et services des eaux sont interdépendants. La défaillance d'un maillon se transforme vite en effet de cascade, et les personnes privées d'argent, de communications ou d'eau n'auront aucune envie de chercher le responsable : l'attaquant, le développeur du modèle ou l'opérateur du réseau.

Le choc politique compte plus que le choc technique

L'histoire des crises technologiques le montre : après une catastrophe très médiatisée, la régulation arrive vite et se révèle rarement précise. Si un incident est lié à l'IA, c'est toute la filière qui sera sous pression, y compris les entreprises qui n'y sont pour rien. Parmi les conséquences possibles, on peut s'attendre à des exigences strictes sur l'accès aux modèles, à des obligations de reporting et à une responsabilité des développeurs. Ce sont des hypothèses logiques, et non des plans annoncés par les entreprises.

C'est pourquoi les laboratoires préparent non seulement des « plans B » techniques, mais aussi leur communication et leurs relations avec les régulateurs. Celui qui expliquera le premier ce qui s'est passé et montrera ce qu'il avait fait en amont gagnera davantage de confiance. Celui qui se taira risque de se voir imposer une loi écrite dans la précipitation.

Que doivent faire les équipes et les entreprises

Les exercices des laboratoires ne dispensent pas de sa propre préparation. Si votre produit dépend d'un fournisseur d'IA, il convient de vérifier plusieurs points :

• Cartographiez les dépendances : quels processus s'arrêteraient si l'API était indisponible pendant plusieurs heures ou plusieurs jours.
• Prévoyez un fournisseur de secours ou un modèle local pour les fonctions critiques.
• Limitez les droits des agents IA : un accès minimal aux systèmes de paiement, de production et d'infrastructure, et une confirmation humaine obligatoire pour les actions dangereuses.
• Intégrez à votre plan de réponse aux incidents le scénario « composant d'IA compromis ou indisponible » et testez-le lors d'exercices.
• Conservez des procédures manuelles pour les paiements et les communications là où une interruption pénaliserait directement les personnes.

La conclusion principale est simple : l'industrie elle-même considère qu'un incident majeur est une question de « quand », et non de « si ». Mieux vaut se préparer à l'avance, tant que le scénario reste un exercice.