Régulation de l'IA : arrêtons de faire la guerre au code, surveillons plutôt les usages

Les tentatives des responsables politiques pour brider l'intelligence artificielle rappellent aujourd'hui une volonté d'interdire les mathématiques ou de mettre l'océan en bouteille. Depuis 2021, année où la Chine a publié ses premières règles encadrant les algorithmes, le monde est devenu un laboratoire d'expérimentations juridiques. L'Europe réécrit déjà son tout récent EU AI Act, l'Inde met en place un système de gouvernance et, aux États-Unis, les États rivalisent avec l'échelon fédéral dans la sévérité des interdictions.

Mais tout ce bruit masque une question fondamentale : que cherche-t-on exactement à réguler ? Si l'on continue de se focaliser sur les modèles eux-mêmes, la partie est perdue. Un contrôle réel n'est possible qu'à partir du moment où l'on régule l'usage de l'IA, et non sa création.

L'idée de soumettre à licence les modèles « frontière » ou de restreindre l'accès aux poids ouverts relève du pur théâtre sécuritaire. Des artefacts numériques comme du code ou des poids de réseau de neurones ne peuvent pas être « dépubliés ». Dès qu'ils se retrouvent en ligne, à la suite d'une fuite ou d'une publication, les copier ne coûte strictement rien.

Vouloir enfermer l'IA à l'intérieur des frontières nationales n'aura que deux conséquences fâcheuses : les entreprises respectueuses de la loi crouleront sous la paperasse, tandis que celles qui se moquent des règles passeront simplement dans l'ombre ou à l'offshore. Qui plus est, dans le cadre juridique des États-Unis notamment, le code est souvent assimilé à la liberté d'expression : toute tentative d'en interdire la publication se fracassera inévitablement sur des recours en justice.

Il nous faut au contraire une approche pragmatique, fondée sur des niveaux de risque. Imaginez un système où les exigences augmentent en proportion des responsabilités. Un chatbot ordinaire, qui écrit des poèmes ou aide aux devoirs, doit respecter des règles de transparence de base et disposer de mécanismes de réclamation.

Mais dès que l'IA intervient dans le recrutement ou l'évaluation de la solvabilité, les enjeux montent. Il faut alors un audit des données, une supervision humaine et une documentation claire sur la « provenance » du modèle. Le contrôle le plus strict doit porter sur la médecine et les infrastructures critiques, où les erreurs se paient en vies humaines.

Ici, pas question de parler de liberté de création : il faut des tests rigoureux et une surveillance permanente.

La clé d'une supervision efficace ne réside pas dans la traque des développeurs, mais dans le contrôle des « goulets d'étranglement » du secteur. L'IA ne devient une force réelle qu'au moment où elle se connecte aux utilisateurs, à l'argent et aux infrastructures. C'est précisément là, dans les magasins d'applications, les services cloud, les systèmes de paiement et les compagnies d'assurance, que les régulateurs doivent dresser leurs barrières. Si, pour accéder à des capacités cloud ou à des transactions bancaires, une entreprise doit prouver la sûreté de sa solution d'IA, le marché se débarrassera de lui-même des bricolages dangereux. Cela créera une dynamique saine, où la sécurité deviendra un avantage concurrentiel et non une contrainte agaçante.

En comparant les approches des différents pays, on constate que la vérité se situe quelque part entre les deux. L'Europe a raison de vouloir protéger les droits humains, mais elle pèche par excès de bureaucratie. La Chine a avancé des idées pertinentes sur le marquage des contenus synthétiques et les outils forensiques de détection des deepfakes, même si ses méthodes de censure sont inacceptables pour une société libre. Il faut retenir le meilleur : la transparence sur la provenance des fichiers multimédias et l'enregistrement obligatoire des méthodes de maîtrise des risques pour les services publics. Cela permettra de préserver l'élan d'innovation des startups, sans laisser la société sans défense face à la fraude automatisée ou aux cyberattaques.

L'essentiel : réguler des modèles mathématiques revient à combattre des fantômes. La véritable sécurité commencera lorsque la responsabilité des actions de l'IA incombera à ceux qui la déploient « sur le terrain », et que le contrôle se déplacera vers les points d'interaction réelle entre les systèmes et les humains.