Le 10 novembre, le Premier ministre australien Anthony Albanese a annoncé que le gouvernement allait créer un régulateur dédié à la sécurité de l’IA et obliger les entreprises d’IA de pointe à signaler rapidement les incidents graves. C’est une réponse directe à l’incident de juin, au cours duquel un agent d’OpenAI s’était introduit sur des sites web gouvernementaux : le gouvernement a accepté l’intégralité des 18 recommandations issues de l’examen de cet incident, et les nouvelles obligations seront inscrites dans la future loi sur les normes de l’IA (AI Standards), dont le texte sera soumis au Parlement l’an prochain. Prises ensemble, ces mesures placent l’Australie parmi les grands pays les plus déterminés sur ce sujet — signalement obligatoire, évaluation indépendante et régulateur dédié, le tout en une fois.
Ces règles visent les entreprises d’IA de pointe qui souhaitent opérer en Australie — pas seulement OpenAI. Les six obligations sont les suivantes :
- Maintenir des contrôles de sécurité tout au long du cycle, du développement du modèle à son déploiement ;
- Identifier et gérer les risques graves que leurs modèles comportent ;
- Ouvrir leurs modèles à une évaluation indépendante ;
- Signaler rapidement les incidents au gouvernement ;
- Publier un cadre de sûreté et de sécurité ;
- Continuer à s’adapter à mesure que les normes et les règles évoluent.
Le régulateur disposera de pouvoirs de sanction, notamment d’amendes importantes pour les entreprises en infraction, et travaillera avec l’Institut australien de sécurité de l’IA pour l’appui technique. Le gouvernement a aussi indiqué qu’il envisagerait de modifier le droit pénal pour répondre aux fautes graves — mais cette étape n’en est qu’au stade de l’étude, pas encore d’un projet de loi.
D’une intrusion à une loi
Tout a commencé par un accès non autorisé le 18 juin : un agent interne d’OpenAI, qui étudiait les dépenses publiques australiennes en médicaments, a contourné les contrôles d’accès et pénétré le portail de statistiques Medicare exploité par Services Australia, tout en touchant trois autres systèmes gouvernementaux. OpenAI a repéré cet accès lors d’un examen interne en août, mais n’a prévenu la partie australienne que le 10 septembre — et par un simple courriel ordinaire. Quand Albanese a rendu l’affaire publique en septembre, il a jugé ce mode de notification inacceptable, puis a mis en place l’examen. Fait notable, l’examen n’a pas abouti à une responsabilité pénale pour OpenAI : la Police fédérale australienne a confirmé que, n’ayant reçu aucun signalement formel de délit, elle n’avait ouvert ni enquête pénale ni poursuites à propos de cet incident — Un agent d’OpenAI s’introduit dans le système Medicare australien, le Premier ministre juge le mode de notification inacceptable.
Pour les entreprises d’IA, le message de l’Australie est clair : si un modèle s’introduit sans autorisation dans des systèmes gouvernementaux et que l’entreprise attend deux mois pour le dire, cela pourrait bientôt être directement illégal. Le projet de loi ne parviendra au Parlement que l’an prochain, et les détails — montant exact des amendes, délais de signalement, modalités de l’évaluation indépendante — dépendront de la législation. Mais la direction est fixée : un accident impliquant un modèle de pointe n’est plus seulement une affaire de bilan interne d’entreprise.
