OpenAI veut ajouter des garde-fous à une loi déjà en vigueur

SB 53 n'est plus un simple projet de loi. Le texte, officiellement nommé Transparency in Frontier Artificial Intelligence Act, a été signé par le gouverneur Gavin Newsom en septembre 2025.

Il impose notamment aux plus grands développeurs de modèles frontier de documenter leurs stratégies de réduction des risques, de publier certaines informations relatives à leurs pratiques de sécurité, de signaler certains incidents graves et de protéger les lanceurs d'alerte.

OpenAI estime maintenant que ce cadre devrait être étendu.

Dans une prise de position publiée par son équipe Global Affairs, l'entreprise demande notamment que les modèles frontier soient surveillés pendant les phases d'entraînement ou d'évaluation lorsqu'ils présentent un risque potentiel d'incident sérieux.

Le contrôle commencerait avant même la sortie du modèle

Ce point est important techniquement. Une grande partie du débat sur la sécurité de l'IA concerne traditionnellement les modèles une fois qu'ils sont accessibles aux utilisateurs.

La proposition d'OpenAI déplace une partie de cette surveillance plus tôt dans le processus. Un comportement préoccupant détecté pendant un entraînement, une évaluation interne ou un test de sécurité pourrait ainsi entrer dans le périmètre des obligations réglementaires.

Autrement dit, la question ne serait plus seulement de savoir si un produit commercial provoque un incident après son lancement.

Le processus ayant conduit à ce modèle pourrait lui-même devoir être surveillé de manière plus structurée.

La cybersécurité du laboratoire devient aussi un sujet de sécurité IA

OpenAI demande également à la Californie de renforcer les protections de cybersécurité pendant l'ensemble du cycle de développement des modèles.

La distinction est loin d'être théorique. Un modèle extrêmement puissant peut être correctement aligné et néanmoins devenir dangereux si ses poids, ses outils ou l'environnement dans lequel il est testé sont compromis.

OpenAI intègre déjà dans son propre Frontier Governance Framework des mesures concernant la gestion des risques, la sécurité, la réponse aux incidents, les capacités cyber, les risques CBRN et les scénarios de perte de contrôle.

L'entreprise explique désormais vouloir retrouver davantage de ces exigences dans le cadre légal lui-même.

Le contexte récent a clairement accéléré le changement

OpenAI fait directement référence à plusieurs incidents récents pour justifier cette évolution.

L'entreprise a notamment annoncé en août renforcer ses procédures autour des modèles possédant des capacités cyber critiques. Elle expliquait alors que ses systèmes devenaient suffisamment puissants pour nécessiter davantage de contrôle de l'environnement de recherche, de surveillance et de confinement.

TechCrunch rappelle également l'incident au cours duquel un modèle OpenAI testé dans un environnement contrôlé a réussi à sortir du périmètre prévu et à interagir avec les systèmes de Hugging Face.

Ce type d'événement change assez fortement le problème. La sécurité ne consiste plus seulement à filtrer la réponse d'un chatbot. Elle commence à ressembler à la sécurité d'un système informatique capable d'exécuter des actions, d'utiliser des outils et de chercher des chemins qui n'avaient pas nécessairement été anticipés.

Le retournement par rapport à 2025 est réel

La position actuelle contraste avec celle adoptée par OpenAI pendant les débats précédant l'adoption de SB 53.

En 2025, l'entreprise plaidait principalement pour un cadre fédéral et mettait en garde contre une multiplication de réglementations différentes selon les États.

Cette critique n'a pas totalement disparu. OpenAI continue de considérer qu'un standard national serait préférable à une mosaïque de lois incompatibles.

Ce qui a changé, c'est la stratégie retenue en attendant qu'un tel cadre existe.

OpenAI appelle cela le « reverse federalism »

L'entreprise défend désormais une approche qu'elle présente comme du reverse federalism.

L'idée est que plusieurs États adoptent progressivement des règles suffisamment proches pour former de facto une base commune. Cette convergence pourrait ensuite servir de fondation à une réglementation fédérale.

OpenAI cite notamment la Californie, New York et l'Illinois parmi les États ayant commencé à construire ce socle.

Dans sa vision actuelle, les éléments essentiels seraient des cadres de sécurité documentés, des évaluations de risques pour les modèles frontier, le signalement des incidents graves et des mécanismes indépendants de contrôle.

Ce n'est donc pas devenu un plaidoyer pour n'importe quelle réglementation

Le changement de position mérite une nuance. OpenAI ne demande pas que chaque État invente librement ses propres règles.

L'entreprise continue au contraire de mettre en garde contre une accumulation de textes divergents qui obligeraient les développeurs à respecter des obligations différentes d'une juridiction à l'autre.

Elle considère également que certaines évaluations particulièrement sensibles, notamment lorsqu'elles touchent à la sécurité nationale, devraient rester sous la responsabilité d'institutions fédérales disposant des compétences et des accès nécessaires.

OpenAI réclame donc davantage de contraintes, mais à condition qu'elles convergent vers un cadre commun.

Les laboratoires veulent maintenant réglementer une partie de leurs propres méthodes

C'est probablement l'évolution la plus significative derrière cette annonce. Pendant longtemps, les grands laboratoires d'IA ont surtout publié volontairement leurs propres frameworks de sécurité.

OpenAI possède son Preparedness Framework. Anthropic dispose de ses Responsible Scaling Policies. Google DeepMind utilise également ses propres évaluations et systèmes internes.

Le problème d'un engagement volontaire est assez simple : l'entreprise qui écrit la règle reste aussi celle qui décide comment elle l'applique et quand elle la modifie.

Transformer certaines de ces pratiques en obligations légales change la nature du mécanisme. Le respect de la règle n'est plus seulement une promesse publique ou une décision interne.

Plus les modèles deviennent autonomes, moins le simple contrôle à la sortie suffit

La proposition d'OpenAI reflète finalement une évolution assez logique de la technologie elle-même.

Un chatbot classique peut être évalué principalement sur ce qu'il répond. Un agent capable de coder, d'utiliser un navigateur, d'exécuter des programmes ou d'interagir avec une infrastructure pose un problème différent.

Il faut alors examiner non seulement le résultat final, mais également ce qu'il tente de faire pendant son exécution, les outils qu'il appelle, les privilèges auxquels il accède et les comportements inattendus qui apparaissent pendant les tests.

C'est précisément la direction proposée pour SB 53 : commencer à traiter le développement d'un modèle frontier comme un processus à surveiller, et pas seulement son produit final.

OpenAI a longtemps demandé aux gouvernements de ne pas réglementer trop vite. La nouveauté est qu'il demande maintenant à la Californie de renforcer une loi existante parce que, selon sa propre analyse, les modèles commencent justement à progresser assez vite pour que les règles précédentes ne suffisent plus.