Le seuil américain pour l'IA de frontière est secret

Ce qui a été achevé le 1er août

Mardi, des équipes d'Anthropic, de Google, de Meta et d'OpenAI étaient attendues au Bureau du directeur national du cyber pour discuter d'un document qu'aucune d'elles ne peut montrer à un client. Deux jours plus tôt, la Maison-Blanche avait confirmé que le cadre volontaire exigé par le décret 14409 était prêt dans les délais. "Le cadre volontaire décrit dans le décret du 2 juin était complet à l'échéance", a déclaré un responsable. "Les discussions avec l'industrie sur les prochaines étapes sont engagées."

Le décret, signé le 2 juin 2026 et intitulé Promoting Advanced Artificial Intelligence Innovation and Security, comportait deux livrables datés: une chambre de compensation sur la cybersécurité de l'IA au Trésor avant le 2 juillet, et ce cadre avant le 1er août. Il permet au gouvernement fédéral de disposer jusqu'à 30 jours d'un modèle de frontière concerné avant que ce modèle n'atteigne d'autres partenaires de confiance, choisis conjointement par le développeur et le gouvernement. Le décret indique clairement qu'il ne crée ni licence obligatoire, ni autorisation préalable, ni régime de permis.

Ce qui est retenu compte davantage que ce qui a été livré. Le cadre n'est pas classifié, mais il n'a pas été publié. Le test de référence servant à évaluer les capacités cyber avancées est classifié, tout comme le seuil qui décide des modèles concernés, communiqué aux développeurs lorsque cela paraît opportun. Interrogé sur les raisons pour lesquelles un document non classifié n'est pas public, un responsable a répondu: "Ce n'est pas parce qu'une chose n'est pas classifiée que nous allons la diffuser à tout le monde." Google, OpenAI et Anthropic ont examiné un projet et transmis des corrections fin juillet.

La même semaine, Bruxelles a publié son chiffre

Le 2 août, la Commission a commencé à appliquer les règles du règlement sur l'IA relatives aux modèles à usage général. L'article 51 précise à quel moment un modèle devient un modèle à risque systémique: il est présumé doté de capacités à fort impact lorsque le calcul cumulé utilisé pour son entraînement dépasse 10^25 opérations en virgule flottante, ou lorsque la Commission constate une capacité équivalente au regard des critères de l'annexe XIII.

Ce chiffre n'est pas figé. L'article 51, paragraphe 3, autorise la Commission à modifier le seuil par acte délégué pour tenir compte des progrès algorithmiques et de l'efficacité du matériel. Mais il bouge en public, dans un acte publié, et tant qu'il ne bouge pas, quiconque dispose d'une calculatrice et des informations d'entraînement du fournisseur peut déterminer de quel côté de la ligne se situe un modèle.

L'asymétrie ne porte pas sur la sévérité. Deux juridictions ont tenu une échéance la même semaine, sur la même variable, et ont fait des choix de divulgation opposés. Le régime contraignant a publié la ligne qui décide du champ d'application. Le régime volontaire l'a classifiée et a confié à un service de renseignement la construction du test qui se trouve derrière. C'est l'inverse de ce que la plupart des acheteurs attendent d'une réglementation.

Ce qu'un seuil classifié fait à une chaîne d'assurance

Pourquoi cela compte: une phrase de fournisseur du type "notre modèle a suivi le processus fédéral d'examen" ne peut pas être vérifiée par celui qui la lit. Vous ne pouvez pas établir que le modèle relevait seulement du champ d'application, puisque le critère de ce champ est classifié. Vous ne pouvez pas lire le test de référence, puisqu'il est classifié. Et vous ne pouvez pas distinguer si l'absence d'examen signifie que le modèle se situait sous la ligne ou que le développeur a simplement choisi de ne pas participer, puisque la participation est volontaire.

Il ne s'agit pas de confidentialité commerciale ordinaire. Un rapport d'audit qu'on ne vous montre pas reste un rapport produit par une partie indépendante au regard d'une norme publiée, et c'est la norme qui vous sert d'appui. Ici la norme elle-même est le secret, et l'évaluateur est un gouvernement, l'Agence nationale de sécurité étant au coeur de l'étalonnage. Aucun tiers ne peut attester la conformité, faute d'une chose publiée à laquelle se conformer.

L'effet pratique est de renvoyer l'assurance vers le seul régime qui imprime ses critères. Pour un acheteur français, le statut au titre de l'article 51 est un fait relatif au modèle et non une affirmation relative à une procédure: soit le calcul d'entraînement franchit le seuil, soit il ne le franchit pas, et les obligations qui en découlent sont écrites et appliquées par le Bureau de l'IA de la Commission, non par une autorité nationale. Cela ne rend pas un modèle sûr. Cela rend une ligne de votre questionnaire fournisseurs susceptible d'une réponse.

Que faire avant le prochain contrat

Trois questions méritent d'être ajoutées ce mois-ci. D'abord: le modèle est-il un modèle à usage général présentant un risque systémique au titre de l'article 51, et sur quelle base, le calcul ou une désignation de la Commission? Cette réponse est vérifiable. Ensuite: le fournisseur participe-t-il au programme volontaire américain d'accès anticipé? Classez la réponse comme une déclaration invérifiable, non comme une preuve. Enfin: à quoi le fournisseur s'engage-t-il si sa participation change? Cet avis est toute la visibilité que vous obtiendrez. Un acheteur français doit en outre savoir que, pour les modèles à usage général, la compétence appartient à la Commission: une autorité nationale ne peut pas répondre à cette question, et une qualification nationale de sécurité cloud ne dit rien du calcul d'entraînement d'un modèle.

Le point plus large pour quiconque rédige des clauses IA ce trimestre est simple. Une affirmation de surveillance vaut exactement ce que vaut son critère. Un régime qui publie un chiffre vous donne de quoi tenir un fournisseur. Un régime qui classifie le chiffre vous donne une phrase.

À lire ensuite: Bruxelles évaluera l'IA avant qu'elle vous parvienne  |  Bruxelles peut désormais retirer le modèle qui vous porte