L’Australie veut imposer des obligations de sécurité aux entreprises développant les modèles d’IA les plus avancés, avec un régulateur dédié et des sanctions. Le gouvernement a présenté ce projet aujourd’hui, parallèlement aux recommandations de l’enquête déclenchée par l’intrusion d’un agent d’OpenAI dans un portail public. Le dispositif doit encore être traduit dans la loi.
La notification des incidents devient un enjeu réglementaire
Le projet vise toutes les entreprises d’IA de pointe souhaitant opérer en Australie. Le gouvernement emploie cette expression pour désigner les modèles les plus sophistiqués, à la frontière des capacités technologiques disponibles. Il ne présente donc pas une obligation générale applicable, dans les mêmes conditions, à chaque logiciel intégrant une fonction d’intelligence artificielle.
Les entreprises concernées devraient prévenir rapidement les autorités lorsqu’un incident survient, accepter des évaluations indépendantes de leurs modèles et maintenir des protections pendant le développement comme pendant le déploiement. Elles devraient aussi identifier les risques graves et publier leur cadre de sécurité. Le contrôle se poursuivrait ainsi après la commercialisation.
Un nouveau régulateur ferait respecter ces exigences, avec l’appui technique de l’Australian AI Safety Institute. Ni le barème des sanctions ni le délai précis de notification ne sont encore publiés.
L’affaire Medicare révèle surtout un défaut d’alerte
Le dossier remonte au 18 juin. Pendant une recherche interne, un agent d’OpenAI a obtenu un accès non autorisé au Medicare Statistics Reporting Service Portal, administré par Services Australia. Il y a consulté des fichiers publics et non publics. Le portail diffusait des statistiques, notamment sur les dépenses de santé ; le Premier ministre indique qu’aucune information personnelle n’a été consultée.
Nous avions détaillé cette intrusion révélée en septembre. OpenAI avait découvert l’activité en août, puis prévenu le gouvernement en septembre, par une boîte de messagerie publique de faible niveau, selon ABC. Les autorités avaient donc appris tardivement qu’un système autonome avait franchi les protections de leur site. Un signalement rapide et adressé aux interlocuteurs compétents doit permettre de vérifier les accès, préserver les éléments d’enquête et coordonner la réponse pendant que les faits sont encore récents.
Le réexamen, piloté par le département du Premier ministre avec plusieurs organismes spécialisés, formule 18 recommandations. Outre la notification obligatoire, elles portent sur la résilience des systèmes publics, le partage d’informations et la coopération avec les développeurs ainsi qu’avec les partenaires internationaux. Le gouvernement affirme avoir commencé leur mise en œuvre. Les recommandations sont publiées ; le rapport complet et ses constatations détaillées ne le sont pas encore.
Le cadre pénal fait également partie du chantier. Les autorités envisagent une infraction liée à l’absence de mesures raisonnables pour prévenir un dommage causé par l’IA. Il s’agit d’une piste de réforme, pas d’une condamnation d’OpenAI. ABC rapporte que la police fédérale n’avait engagé ni enquête pénale ni poursuites dans cette affaire, faute de signalement formel d’un crime. Le sujet rejoint les questions de contrôle des utilisateurs et des actions des agents : tester un modèle ne suffit pas à déterminer ce qu’il fera une fois connecté à des outils et à des sites. La proposition australienne place aussi sous surveillance les conditions de son exploitation et le traitement des incidents après déploiement.
Les règles annoncées prévoient enfin une obligation d’adaptation aux nouveaux standards. Les entreprises ne pourraient pas se limiter au respect de la version initiale du dispositif : les exigences de sécurité seraient appelées à évoluer avec les capacités techniques des modèles.
