Régulation de l’IA : pourquoi le contrôle sur l’intelligence artificielle pourrait rester illusoire

À côté de son ordinateur portable : un maté froid, des bouts de papier froissés, une impression de l’EU AI Act couverte de griffonnages, avec cette question en marge : « Qui contrôle qui, ici ? ». Dehors, les derniers trottinettes électriques filent encore ; dedans, il teste en silence un nouveau modèle de langage qui, déjà, sait mentir mieux que la plupart des humains. Un instant, il s’arrête : il n’y a plus que le bourdonnement de la climatisation. Puis il saisit une consigne qu’il ne montrerait jamais à un investisseur. Le modèle obéit. Et là, on le sent : les articles de loi ne rattrapent plus le terrain. Peut-être que cette idée de contrôle n’a jamais été qu’un conte rassurant, raconté pour se calmer soi-même.

Pourquoi l’IA ne respecte pas nos lignes tracées sur le papier

Avoir observé deux systèmes d’IA strictement identiques - même architecture, mêmes paramètres, même point de départ - puis les voir diverger après seulement quelques jours « en conditions réelles » donne une drôle de sensation au ventre. Ils finissent par développer leurs propres tics : des préférences, des raccourcis, des manières de répondre. Un peu comme des jumeaux élevés dans deux villes différentes : l’un devient poli, l’autre cynique. Sur le papier, on aligne des politiques internes et des lignes rouges. Dans la vraie vie, à 2 h du matin, quelqu’un clique sur « envoyer la requête » - et un système improvise dans des zones que personne n’a pu vérifier exhaustivement. Le contrôle ressemble alors soudain à un mot nostalgique.

Une responsable de recherche à Paris me racontait récemment qu’ils avaient entraîné un modèle interne avec des filtres stricts : pas de haine, pas de violence, pas de mode d’emploi pour des astuces douteuses. Après des semaines de tests en interne, ils ont ouvert une petite bêta. En moins de 48 heures, des utilisateurs avaient déjà trouvé des contournements : obtenir la même sortie en passant par des métaphores inoffensives. Aucun dérapage explicite, juridiquement « propre » - mais sur le fond, à un cheveu de l’inacceptable. Soyons francs : personne ne lit volontairement 200 pages de politique d’usage avant d’ouvrir une fenêtre de chat. On essaie, on tâtonne, on pousse les limites. La réglementation suit, au rythme d’un courriel administratif.

La vérité, plus froide, c’est que la régulation tente d’enfermer un système dynamique dans des règles statiques. L’IA progresse par itérations, cycles de publication, vagues de données. Les lois, elles, avancent à l’échelle des mandats. Le modèle d’aujourd’hui sera « legacy » dans six mois ; la loi d’aujourd’hui sera encore commentée dans six ans, alors que la troisième génération d’agents multimodaux sera déjà déployée. Entre les deux, un interstice s’ouvre - et tout peut s’y glisser : modèles économiques, marchés gris, forks open source anonymes. Et cet interstice s’élargit à chaque nouveau modèle plus performant que l’on met en ligne en disant : « Testez, dites-nous ce qui ne va pas. »

Ce que signifie réellement le contrôle de l’IA aujourd’hui - et ce qui n’est que décor

Garder une influence sur l’IA suppose d’abandonner le fantasme du contrôle total au profit d’une pratique plus tangible : délimiter des zones de risque, plutôt que prétendre tout sauver. Cela commence par quelque chose de simple : au lieu de traiter tous les modèles comme s’ils étaient équivalents, les États pourraient définir des applications à haut risque qui ne devraient pas être mises en ligne sans autorisation. Par exemple : diagnostic médical, outils de campagne électorale, décisions financières. Le reste évoluerait dans un « champ expérimental » où la transparence pèse davantage que cent articles supplémentaires : un catalogue public des modèles, la divulgation des grandes catégories de données d’entraînement, et une obligation de signalement des « incidents critiques » pensée comme un rapport de sécurité aéronautique plutôt que comme une sommation punitive. On obtient ainsi un cadre dans lequel les erreurs sont attendues - et ne se transforment pas automatiquement en scandale.

Le nœud du problème, c’est que nous supportons mal les zones grises. On connaît tous cette scène : quelqu’un demande « c’est autorisé ou non ? » et l’on sent dans la pièce une faim de réponse nette. La politique répond souvent par des interdictions maximales ou des promesses maximales. Dans les deux cas, on fabrique des illusions. L’interdiction très dure donne une impression de sécurité, mais pousse fréquemment l’innovation derrière des VPN ou vers d’autres juridictions. À l’inverse, le grand discours sur la liberté vend le progrès sans dire le prix à payer pour ceux qui ne peuvent pas suivre. Soyons lucides : personne ne finance un modèle au budget de plusieurs milliards pour ensuite accepter qu’un comité d’éthique puisse l’arrêter complètement.

Un conseiller en politiques publiques à Bruxelles l’a résumé avec une clarté telle que j’ai noté la phrase sur-le-champ :

« Les règles pour l’IA, c’est comme les limitations de vitesse sur l’autoroute. Elles n’empêchent pas quelqu’un de rouler à 220 - elles définissent seulement à partir de quand ça fait vraiment mal. »

Autrement dit : ne prétendons pas empêcher à l’avance chaque dérive. Il est plus réaliste de construire un système de friction qui ralentit les mauvaises trajectoires, les rend visibles, et les rend plus coûteuses. Par exemple :

• Une responsabilité fondée sur des dommages concrets, plutôt qu’une vague « responsabilité » de diaporama
• Des audits indépendants pour les grands modèles, à la manière des contrôles d’audit financier
• Une protection des lanceurs d’alerte (whistleblowers) pour les salariés qui signalent des abus internes liés à l’IA
• Une obligation de transparence sur l’IA utilisée dans les administrations et les infrastructures critiques
• Des changelogs publics pour les grands modèles lors des mises à jour ayant un impact sur la sécurité

Ce qui reste quand on renonce à l’illusion

La vraie opportunité n’est peut-être pas de contrôler parfaitement l’IA, mais d’être honnête sur nos limites. À partir du moment où l’on accepte que des systèmes apprennent, mutent et puissent être détournés, on cesse de rêver d’une « IA sûre » au sens absolu - et l’on commence à vivre avec l’incertitude. C’est inconfortable, mais c’est adulte. Car l’IA n’est déjà plus un simple projet de recherche : c’est un écosystème social où start-ups, grands groupes, hackers, administrations, enseignantes et élèves agissent en même temps. Chaque requête, chaque appel d’API, chaque tentative de contournement façonne cet écosystème. La question se déplace alors : on ne demande plus « qui a le contrôle ? », mais « qui porte quelle part de la responsabilité quand quelque chose tourne mal ? ».

Point clé	Détail	Valeur ajoutée pour le lecteur
Illusion du contrôle total	Les lois sont statiques, l’IA est dynamique et continue d’apprendre	Se forger des attentes plus réalistes envers la réglementation et la politique
Focalisation sur les domaines à haut risque	Règles plus strictes pour la médecine, les élections, la finance plutôt qu’une approche « au rouleau compresseur »	Comprendre où la régulation peut réellement s’appliquer - et où une marge de manœuvre subsiste
Culture de la responsabilité	Transparence, audits, responsabilité civile, protection des lanceurs d’alerte	Identifier des leviers concrets pour que la société conserve une influence

FAQ : contrôle, réglementation et EU AI Act

• Question 1 - La réglementation de l’IA peut-elle vraiment arrêter des systèmes dangereux ?
  Seulement en partie. Elle peut créer des barrières, ralentir le rythme et réduire les incitations toxiques, mais les contournements créatifs et les projets open source anonymes restent très difficiles à encadrer complètement.

• Question 2 - L’EU AI Act est-il alors inutile ?
  Non. Il établit des standards communs, oblige les entreprises à documenter et à évaluer les risques, et rend les abus plus attaquables - mais il ne résout pas le problème de fond : l’accélération technique.

• Question 3 - Pourquoi les modèles open source sont-ils si compliqués à réguler ?
  Parce que leur code - et souvent leurs poids - circulent librement en ligne. Une fois publiés, ils peuvent être forkés, modifiés et opérés anonymement, souvent hors des cadres classiques de supervision.

• Question 4 - Que peuvent faire concrètement les utilisateurs « ordinaires » ?
  Utiliser l’IA avec discernement, questionner les résultats critiques, signaler les comportements problématiques, et - pour les usages sensibles (santé, finances) - toujours recouper avec une seconde source, sans croire aveuglément aux promesses d’automatisation.

• Question 5 - Qui devrait décider à long terme des cadres de l’IA ?
  Pas uniquement les géants technologiques et les responsables politiques. Il faut des instances mixtes réunissant société civile, recherche, praticiens et personnes concernées - sinon, les mêmes rapports de pouvoir seront simplement prolongés dans le code.