Californie : Nouvelle Proposition pour Réguler l’IA après le Veto de SB 1047

La Californie revient à la charge pour réguler les géants de l'IA En septembre dernier, tous les regards étaient braqués sur le projet de loi sénatorial 1047 (SB 1047) alors qu'il arrivait sur le bureau du gouverneur de Californie, Gavin Newsom, avant d'y être vetoé. Ce projet de loi visait à obliger les fabricants de grands modèles d'IA, particulièrement ceux coûtant 100 millions de dollars ou plus pour l'entraînement, à les tester pour des dangers spécifiques. Les lanceurs d'alerte de l'industrie de l'IA ont déplore le veto, tandis que les grandes entreprises technologiques se réjouissaient. Cependant, cette histoire n'est pas terminée. Newsom, estimant que la législation était trop stricte et uniformisée, a confié une mission à un groupe de chercheurs de premier plan en IA pour proposer un plan alternatif. Celui-ci serait censé soutenir le développement et la gouvernance de l'IA générative en Californie, tout en mettant en place des garde-fous contre ses risques. Le rapport, intitulé "California Report on Frontier Policy", a été publié mardi. Ses auteurs soulignent que les capacités de l'IA, y compris sa capacité à produire des chaînes de raisonnement, ont "rapidement progressé" depuis la décision de Newsom de vetoer SB 1047. Une Nouvelle Proposition de Cadre Réglementaire Utilisant des études de cas historiques, des recherches empiriques, des modélisations et des simulations, ce groupe a proposé un nouveau cadre visant à accroître la transparence et l'évaluation indépendante des modèles d'IA. Ils concluent que les percées de l'IA à la frontière en Californie pourraient avoir un impact majeur sur divers secteurs comme l'agriculture, la biotechnologie, les technologies propres, l'éducation, la finance, la médecine et le transport. Malgré la nécessité de ne pas freiner l'innovation et de "garantir que les charges réglementaires permettent aux organisations de disposer des ressources nécessaires pour se conformer," ils insistent sur l'importance de réduire les risques, car "sans précautions appropriées... une IA puissante pourrait causer des dommages graves et, dans certains cas, potentiellement irréversibles." Une version préliminaire de ce rapport avait été publiée en mars pour recevoir des commentaires du public. Depuis, les auteurs ont noté une augmentation des preuves montrant que ces modèles contribuent à des risques liés aux armes chimiques, biologiques, radiologiques et nucléaires (CBRN). Des sociétés de premier plan ont même signalé des pics préoccupants dans les capacités de leurs modèles dans ces domaines. Les modifications apportées au rapport incluent une attention accrue aux réalités géopolitiques changeantes, plus de contexte sur les risques posés par les grands modèles d'IA et une position plus tranchée concernant la catégorisation des entreprises pour la régulation. Selon les auteurs, baser la définition uniquement sur la puissance de calcul requise pour l'entraînement n'est pas la meilleure approche, car "les besoins d'entraînement de l'IA changent constamment" et cette définition ignore comment ces modèles sont adoptés dans des cas d'utilisation réels. Elle peut servir de "filtre initial pour évaluer rapidement les entités potentiellement plus importantes," mais des facteurs comme les évaluations initiales des risques et l'impact en aval sont essentiels. La Transparence et la Protection des Lanceurs d'Alerte Le rapport souligne la nécessité de protéger les lanceurs d'alerte, d'établir des évaluations par des tiers avec une protection juridique pour les chercheurs, et de partager les informations directement avec le public. Actuellement, l'industrie de l'IA manque cruellement de transparence, sans consensus sur les meilleures pratiques et "avec une opacité systémique dans des domaines clés comme l'acquisition de données, les processus de sécurité et de sûreté, les tests pré-lancement et l'impact potentiel en aval." Pour illustrer ce point, le rapport cite les limitations de Metr, une société partenaire d'OpenAI pour les tests de sécurité, qui n'a pas reçu autant de temps ni d'accès aux données et à la logique interne du modèle o3 d'OpenAI comme elle l'avait eu pour les tests précédents. Ces restrictions empêchent une évaluation robuste des capacités, selon Metr. OpenAI a depuis indiqué qu'il explorait des moyens de partager davantage de données avec des sociétés comme Metr. Le rapport met en avant l'importance de l'évaluation indépendante des risques par des tiers. En effet, "pour une technologie naissante et complexe développée et adoptée à un rythme remarquable, les développeurs seuls ne suffisent pas à comprendre entièrement la technologie et, en particulier, ses risques et ses dommages." L'évaluation par des tiers, qui dispose de "diversité et d'expertise inégalées, surtout quand les développeurs reflètent principalement certaines démographies et certaines géographies qui diffèrent souvent de celles le plus affectées négativement par l'IA," est donc cruciale. Pour mener des évaluations significatives, il faut donner aux évaluateurs tiers un accès substantiel, ce qu'hésitent à faire les entreprises. Même un API ou des divulgations des paramètres du modèle peuvent ne pas suffire pour tester efficacement les risques, et certaines entreprises peuvent utiliser des conditions d'utilisation "répressives" pour interdire ou menacer d'action en justice les chercheurs découvrant des failles de sécurité. Une Ligne de Conduite Harmonisée Scott Singer, l'un des principaux rédacteurs du rapport, a indiqué au The Verge que les discussions sur la politique de l'IA ont "complètement changé" au niveau fédéral depuis la publication de la version préliminaire. Il a soutenu que la Californie pourrait jouer un rôle de chef de file dans un effort d'harmonisation entre les États pour des "politiques sensées soutenues par beaucoup de gens à travers le pays," contrairement à la mosaïque de lois étatiques que les partisans d'une interdiction temporaire prétendent que cela créera. Dans une tribune parue plus tôt ce mois-ci, Dario Amodei, PDG d'Anthropic, a appelé à une norme fédérale de transparence obligeant les grandes entreprises d'IA à "publier publiquement sur leurs sites web... la manière dont elles prévoient de tester et d'atténuer les risques de sécurité nationale et autres risques catastrophiques." Mais, comme le soulignent les auteurs du rapport de mardi, même ces mesures ne suffisent pas. "Un dispositif de sécurité parfaitement conçu ne peut pas prévenir 100% des issues adverses importantes," écrivent les auteurs. "Alors que les modèles fondationnels sont largement adoptés, comprendre les dommages qui surviennent dans la pratique devient de plus en plus important." Les auteurs recommandent des options de signalement pour les personnes touchées par les systèmes d'IA et des protections juridiques robustes pour garantir une évaluation indépendante. Implications Industrielles et Sociales Ce rapport intervient alors que des initiatives similaires sont discutées à l'échelle fédérale, avec notamment un moratoire de 10 ans sur la régulation de l'IA par les États, soutenu par le Congrès républicain et des entreprises comme OpenAI. Cependant, la proposition californienne vise à créer un équilibre entre l'innovation et la protection, en reconnaissant que la course effrénée de l'IA comporte des risques significatifs qui doivent être gérés de manière transparente. Les auteurs suggèrent également des mécanismes pour évaluer et atténuer les risques liés à l'adoption à grande échelle de ces modèles, tout en veillant à ce que les charges réglementaires ne deviennent pas un obstacle à l'innovation. L'industrie de l'IA en Californie, représentée par des acteurs majeurs tels qu'OpenAI, Anthropic, Google et Microsoft, est actuellement caractérisée par une absence de régulation uniforme. Ce rapport, en appelant à une transparence accrue et à une évaluation indépendante, pourrait marquer un tournant décisif, permettant à la fois de tirer parti des avancées technologiques et de minimiser les risques pour la société. La recommandation de créer des structures d'information et de signalement pour les victimes d'IA est également un point crucial, visant à assurer une supervision continuée et responsable de ces systèmes en évoluation rapide. En bref, la proposition d'un nouveau cadre réglementaire pour l'IA en Californie souligne la nécessité de trouver un juste milieu entre l'innovation technologique et la gestion des risques, en promouvant la transparence et l'évaluation indépendante, tout en offrant des protections essentielles aux lanceurs d'alerte et aux victimes potentiels. Cette initiative pourrait servir de modèle pour d'autres États et contribuer à la création d'un paysage réglementaire harmonisé et sensible aux enjeux contemporains.