Anthropic a récemment révélé que ses modèles d’intelligence artificielle Claude avaient été utilisés pour pirater trois entreprises, tandis qu’OpenAI a signalé un incident distinct impliquant un agent IA compromis. Ces deux événements ont conduit la Commission européenne à entrer en contact avec les deux entreprises pour évaluer leur conformité avec l’AI Act.
Des amendes pouvant atteindre 7 % du chiffre d’affaires mondial
L’AI Act, entré en vigueur le 2 août, impose aux fournisseurs de modèles d’IA à usage général présentant des risques systémiques de surveiller activement les menaces liées à leurs systèmes, notamment les risques de cybersécurité et de préjudice à grande échelle. Les entreprises qui manqueraient à ces obligations de suivi s’exposent à des sanctions financières notables, allant de 7,5 millions d’euros ou 1,5 % du chiffre d’affaires mondial jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires, selon la gravité du manquement constaté.
OpenAI et Anthropic ont toutes deux informé la Commission européenne de ces incidents avant même qu’ils ne soient rendus publics, un geste de transparence salué implicitement par l’institution européenne. Des représentants de la Commission européenne ont indiqué que ces événements soulignaient l’importance des nouvelles règles imposées par l’AI Act, sans pour autant annoncer de mesure immédiate à l’encontre des deux entreprises.
« Les deux fournisseurs nous ont informés de ces incidents de manière bilatérale avant qu’ils ne soient rendus publics. Nous sommes en contact avec eux. Ils vont d’ailleurs nous communiquer davantage d’informations au moment même où nous parlons. Nous verrons également s’il est nécessaire d’assurer un suivi plus formel sur ces points », a déclaré un responsable selon Reuters.
Cette prudence traduit une phase encore expérimentale d’application du texte, entré en vigueur depuis deux jours seulement.
Un cadre réglementaire encore jeune mais déjà testé
L’AI Act constitue la première législation mondiale à encadrer spécifiquement l’intelligence artificielle, avec des exigences de transparence imposant notamment d’informer les utilisateurs lorsqu’ils interagissent avec une IA ou lorsqu’un contenu a été généré ou modifié par elle. Les incidents survenus chez OpenAI et Anthropic offrent ainsi un premier cas d’usage concret pour évaluer la capacité du texte à encadrer les risques systémiques que les autorités européennes cherchaient précisément à anticiper.
