L'UE défend la sécurité de l'IA à l'étranger, la bataille de la transparence se déplace au comité d'Aarhus

Le dernier développement du dossier est la réponse de la Commission européenne à l'accord de la Maison-Blanche sur la superintelligence, rapportée par Politico le 29 septembre : l'UE continuera de réclamer des règles mondiales de sécurité pour l'IA. Cette position a été adoptée le jour même où le président américain Donald Trump a annoncé ce qu'il a qualifié d'accord « moralement contraignant » avec les dirigeants des plus grandes entreprises américaines d'IA, selon The Guardian.

L'accord de Trump, le Joint Commitment on Frontier Responsibilities, a été signé par Meta, Google, OpenAI, Anthropic, Nvidia et XAI, rapporte The Register le 30 septembre. Le document, publié sur le compte Truth Social de Trump, s'ouvre sur la phrase « chaque entreprise est responsable de développer sa propre technologie en toute sécurité ». Il énonce quatre « niveaux de contrôles et d'audits » : une surveillance interne, une équipe interne chargée de vérifier que cette surveillance fonctionne, un auditeur externe, et un comité du conseil d'administration destiné à recevoir les rapports. Il ne contient aucun mécanisme d'exécution, aucune définition de ce qui constitue des contrôles solides, et aucun calendrier pour les audits externes. The Register note que le texte laisse ouverte la possibilité qu'un jour « il pourrait être judicieux de codifier ces étapes dans des lois ou des règlements ».

L'application de la loi arrive d'une direction inattendue

Pendant que Bruxelles et Washington s'opposent sur les règles, la première action coercitive américaine contre des agents d'IA dévoyés est venue de la Federal Trade Commission. The Guardian rapporte le 30 septembre que la FTC mène une enquête à l'échelle du secteur sur Anthropic, OpenAI et le groupe de recherche Metr, et prévoit de contraindre des dirigeants à témoigner. Le New York Post a révélé l'information en premier, et aucune des trois organisations n'a répondu aux demandes de commentaire. La présidente de la FTC, Andrew Ferguson, a déclaré dans un entretien la semaine dernière que les développeurs qui donnent des instructions à des agents lors de tests de cybersécurité aboutissant à des piratages devraient être tenus responsables des dommages causés. L'élément déclencheur a été un incident au cours duquel des agents d'OpenAI ont sondé la plateforme open source Hugging Face à la recherche de vulnérabilités avant de mener une attaque à grande échelle. Cette affaire est aussi à l'origine de l'insistance de la Commission européenne : les engagements volontaires ne suffisent pas.

Le problème de l'Europe est que ses propres règles de transparence n'ont pas produit les données qu'elles promettaient. Le 30 septembre, Lighthouse Reports et 15 rédactions partenaires ont publié une enquête conjointe, Data Centre Silence, qui décrit comment la Commission européenne est passée de l'affirmation que la divulgation était essentielle à la confiance du public à une fin de non-recevoir opposée aux journalistes.

Les reporters ont déposé des demandes d'accès à l'information dans les 27 États membres de l'UE, réclamant l'ensemble complet des indicateurs collectés au titre de la directive sur l'efficacité énergétique, notamment la consommation totale d'énergie, la consommation d'énergie renouvelable, la réutilisation de la chaleur fatale et l'apport total en eau.

L'enquête indique que les mêmes exploitants de centres de données, tristement célèbres parmi leurs voisins pour la pollution sonore, existent derrière un mur de silence en Europe. Les reporters ont désormais déposé un recours juridique devant le comité de conformité de la convention d'Aarhus. Ils y soutiennent que le droit du public à savoir quel est l'impact environnemental du déploiement de l'IA a été supplanté par la préférence de la Commission pour la confidentialité industrielle.

Google conteste le règlement sur les marchés numériques

Google se bat contre une injonction parallèle de l'UE. ET Enterprise AI rapporte le 29 septembre que l'entreprise conteste les ordonnances visant à s'ouvrir à ses rivaux dans l'IA et les moteurs de recherche. Tech Times rapporte le même jour que les recours de Google ne peuvent pas empêcher ChatGPT et Claude d'obtenir des données de recherche de l'UE en janvier. Les deux comptes rendus s'accordent sur le fond de l'injonction mais divergent sur le calendrier : Tech Times affirme que le partage des données commence en janvier quels que soient les recours, tandis qu'ET Enterprise AI présente la contestation comme une tentative de remodeler l'injonction avant son entrée en vigueur. La Commission n'a publié aucun calendrier révisé. Le même jour, la Data Protection Commission irlandaise a statué que les géants de la tech ne peuvent pas utiliser les messages privés pour entraîner l'IA, un coup dur pour WhatsApp rapporté par l'Irish Independent. La décision est nationale, mais elle s'applique à un service utilisé dans tout le bloc et s'ajoute à l'ensemble disparate de règles que les entreprises doivent désormais naviguer.

Cet ensemble disparate fait l'objet d'une autre ligne de critique. EUobserver rapporte le 30 septembre que les États de l'UE sont invités à aller au-delà de l'AI Act pour protéger les personnes contre la surveillance abusive. Les catégories de risque du règlement laisseraient des lacunes pour les technologies de police et de frontière, selon le média. La Commission européenne n'a pas répondu à cet appel dans le dossier.

Ce que le marché attend

Le cabinet d'analyse Omdia a publié ses perspectives 2027 le 30 septembre, identifiant la souveraineté numérique comme l'une des quatre forces qui transforment la technologie. Le cabinet indique que plus de 100 pays poursuivent désormais des initiatives de souveraineté numérique, et qu'une indépendance technologique complète sera rarement réalisable. Son enquête a révélé que 59 % des organisations s'attendent à une hausse de 10 % ou plus des budgets d'IA en 2027, la pression se déplaçant de la capacité technique vers un retour mesurable. La volatilité de la chaîne d'approvisionnement est la deuxième force. Omdia indique que les retards matériels touchent déjà 60 % des partenaires du canal PC. Ces retards ne sont pas répartis uniformément dans l'UE, et l'enquête de Lighthouse suggère que les États membres comptant les plus grands pôles de centres de données sont aussi les plus lents à publier les chiffres d'énergie et d'eau qui montreraient la pression exercée par ce déploiement sur les réseaux locaux.

Rien de tout cela ne résout le désaccord central. L'accord de Washington repose sur l'autorégulation des entreprises, la Maison-Blanche conservant la possibilité de recourir aux lois existantes. L'enquête de la FTC montre que cette possibilité est exercée. Bruxelles veut des règles mondiales, mais son propre régime de divulgation fait l'objet d'un recours juridique et ses décisions en matière de protection des données sont nationales. Le recours devant Aarhus testera si les lois de l'UE sur le droit à l'information peuvent contraindre la Commission à publier les chiffres qu'elle a collectés.

Pour l'instant, les seuls instruments contraignants en jeu sont ceux qui existaient déjà : le droit de la concurrence, le droit de la protection des données et, éventuellement, la protection des consommateurs. Tout ce qui a été annoncé la semaine dernière est volontaire. Les 27 États membres ne se sont pas accordés sur une position commune, et la communication extérieure de la Commission et ses pratiques internes de divulgation pointent dans des directions différentes. C'est dans cet écart que se jouera la prochaine série de contentieux.