Régulation de l’IA : Scott Wiener arrive au Congrès

Un élu qui a déjà transformé un débat en textes de loi

L'intérêt de l'élection de Wiener ne tient pas seulement à ses prises de position. En tant que sénateur de Californie, il a déjà tenté de transformer des inquiétudes liées aux modèles d'IA avancés en obligations légales. En 2024, il a porté le SB 1047, un projet visant à encadrer certains risques associés aux systèmes les plus puissants. Le texte a été vetoé par Gavin Newsom, qui a estimé qu'il fallait éviter une réglementation trop large ou mal calibrée.

Wiener a ensuite travaillé sur le SB 53, une approche plus modérée, signée par le gouverneur. Son parcours rappelle une réalité assez classique pour les responsables politiques : un texte peut réussir à installer un problème dans l'agenda, sans pour autant réunir une majorité dès la première tentative. Pour changer les pratiques, on finit souvent par réduire la portée d'une proposition, préciser les obligations et élargir le cercle de soutien.

La Californie pèse particulièrement dans ce débat. L'État concentre une part importante de l'industrie américaine de l'IA et peut imposer des règles à des entreprises dont les produits sont utilisés bien au-delà de ses frontières. Les textes californiens peuvent alors servir de référence, déclencher des adaptations, voire pousser le Congrès à construire un cadre national. Mais ils ne remplacent pas une loi fédérale : tout dépend de la répartition des compétences, des sanctions et des mécanismes de contrôle.

Pourquoi la question des risques avancés a pris de la place

Après son élection, Wiener a rapidement mentionné un rapport de METR consacré aux capacités des systèmes d'IA. Beaucoup y ont vu un signe de progression vers l'auto-amélioration récursive : un scénario où une IA contribuerait à améliorer, de façon substantielle, les systèmes qui viennent après. Wiener s'en sert comme argument pour accélérer l'action politique.

Il faut pourtant distinguer trois niveaux : ce qui est mesuré dans une étude, la façon dont on l'interprète, et les scénarios de risque qu'on en déduit. Progresser sur certaines capacités ne prouve pas qu'un système soit capable de se concevoir et de se perfectionner sans intervention humaine. En revanche, cela peut justifier des évaluations plus strictes, surtout si les mêmes capacités permettent aussi des usages dangereux ou rendent un système difficile à surveiller.

C'est là que l'action publique doit être solide. Une réglementation crédible ne peut pas s'appuyer uniquement sur des scénarios extrêmes, mais elle ne devrait pas non plus attendre un dommage majeur déjà trop tardif. Le travail consiste à relier des risques identifiables à des obligations proportionnées, révisables et vérifiables.

Un régulateur fédéral doté de moyens réels

Wiener défend la création d'un régulateur fédéral spécialisé, idée aussi portée par le représentant démocrate Ro Khanna. L'objectif n'est pas d'empiler une nouvelle institution chargée de produire des lignes directrices sans pouvoir d'action. Il s'agit de disposer d'une autorité capable de suivre les systèmes, d'exiger des informations, de mener des contrôles et d'imposer des règles communes.

Un régulateur national pourrait réduire une partie de l'incertitude pour les entreprises qui opèrent dans plusieurs États. Aujourd'hui, la multiplicité des règles locales peut créer des obligations contradictoires et faire grimper les coûts de conformité. Mais centraliser ne suffit pas à garantir une bonne régulation. Si l'autorité manque d'expertise technique, de budget ou d'indépendance, elle risque de dépendre trop étroitement des informations fournies par les entreprises qu'elle supervise.

La question clé reste donc celle des pouvoirs et des ressources. Pour fonctionner, l'autorité aurait besoin de compétences en ingénierie, cybersécurité, droit et analyse des usages. Elle devrait aussi pouvoir ajuster ses exigences à mesure que les techniques évoluent, sans que chaque mise à jour devienne un bras de fer législatif. La souplesse est utile, à condition de s'accompagner de transparence et de voies de recours.

Des audits, des protections pour les lanceurs d'alerte et des mécanismes d'arrêt

Wiener insiste sur les évaluations, les audits et la protection des personnes qui signalent des problèmes au sein des laboratoires d'IA. Le problème de départ est simple : les autorités externes n'ont souvent ni l'accès aux données, ni la connaissance des incidents nécessaires pour repérer rapidement une défaillance. Les salariés et les prestataires peuvent être les premiers à voir un risque, mais ils hésitent à parler si leur emploi ou leur situation juridique est en jeu.

Les audits ne sont efficaces que si leur périmètre est clair. Une simple vérification documentaire ne dit pas, à elle seule, qu'un système est sûr dans tous ses usages. Il faut préciser qui réalise l'évaluation, quelles capacités sont testées, selon quels critères, et à quelle fréquence. Les tests doivent aussi tenir compte du contexte : un outil destiné à un usage interne n'a pas le même profil de risque qu'un système utilisé pour des décisions essentielles ou accessible à grande échelle.

Le « coupe-circuit » évoqué par Wiener pose aussi une question délicate. Un mécanisme d'arrêt peut être utile pour un système donné, mais il ne constitue pas une garantie universelle. Il faut savoir qui peut l'activer, dans quelles circonstances, avec quelles conséquences sur les services qui en dépendent, et avec quelle capacité à empêcher une reprise non autorisée. Présenter un bouton d'arrêt comme solution complète, c'est confondre un détail technique avec une véritable stratégie de gouvernance.

Le rôle des États et le risque d'un cadre trop uniforme

Wiener s'oppose à une préemption fédérale trop large, qui empêcherait les États d'adopter leurs propres règles. Son argument est pragmatique : les États peuvent tester plus vite des réponses et remonter des retours concrets sur leur application. Cette diversité peut aider à faire émerger des dispositifs efficaces avant d'envisager une harmonisation au niveau national.

Mais beaucoup de règles peuvent aussi compliquer la conformité, en particulier pour les petites entreprises, qui n'ont pas d'équipes juridiques capables de gérer les différences État par État. Le compromis, c'est de fixer un socle fédéral clair tout en laissant une marge aux États pour traiter des risques locaux ou renforcer certaines protections. Le défi, c'est de définir cette marge sans permettre aux acteurs de choisir le régime le moins exigeant.

Le désaccord porte autant sur le niveau de risque que sur les moyens d'agir

Wiener décrit les risques de perte de contrôle et d'auto-amélioration récursive comme des enjeux majeurs. Cette vision est discutée dans les milieux de la sécurité de l'IA, mais elle n'est pas la seule grille de lecture du public. Aux États-Unis, une partie de la mobilisation contre l'IA commence par les centres de données : leur consommation d'énergie, leur usage de l'eau, les effets sur les factures et la proximité avec les zones habitées.

Ces préoccupations comptent réellement. Elles touchent directement les collectivités, les infrastructures et le coût de la transition numérique. Wiener distingue lui-même ces motifs locaux des inquiétudes plus générales pour la société. Pour les responsables politiques, la différence est importante : une coalition formée autour des nuisances liées aux centres de données ne soutiendra pas forcément des règles sur l'évaluation de modèles avancés.

La réglementation doit donc composer avec plusieurs niveaux de décision. Les autorisations d'implantation, les réseaux électriques et la gestion de l'eau relèvent souvent de contraintes territoriales. La transparence sur les modèles, les exigences de test et la responsabilité des fournisseurs appellent plutôt des règles sectorielles ou nationales. Tout regrouper sous une même étiquette (« réguler l'IA ») risque de rendre le débat confus et de produire des textes mal ciblés.

Le financement politique nourrit des soupçons, même sans preuve de contrôle

La campagne de Wiener a reçu plus de trois millions de dollars de Public First Action, une organisation favorable à la régulation de l'IA et financée de manière importante par Anthropic. Ses opposants s'en sont servi pour mettre en doute sa proximité avec l'industrie. Wiener explique que ce soutien correspond à son travail de régulation et refuse l'idée qu'il serait aligné sur les grandes entreprises technologiques.

Les deux aspects doivent être traités séparément. Un groupe lié à un acteur du secteur qui finance une campagne ne prouve pas que l'élu agit sous contrôle direct. En revanche, cela soulève une question de transparence et d'incitations, surtout si les lois envisagées devaient favoriser des acteurs capables d'absorber plus facilement les coûts de conformité.

Pour juger une politique publique, on a de meilleures chances d'y voir clair en regardant le contenu des règles proposées plutôt que de se focaliser sur l'étiquette d'un soutien. Qui doit déclarer quoi ? Les mêmes obligations s'appliquent-elles aux acteurs déjà installés et aux nouveaux entrants ? Les seuils sont-ils justifiés par des risques réellement mesurés ? Les consultations et les financements sont-ils publiés ? Ce sont des questions qui permettent d'analyser les intérêts en présence sans transformer le débat en procès d'intentions.

Le Congrès et la présidence peuvent ralentir l'action

Wiener se dit plutôt prudent quant à la capacité du Congrès à encadrer l'IA. Le bilan américain en matière de régulation des grandes plateformes technologiques n'est pas très fourni, et la polarisation rend les compromis difficiles. Même si un texte passe au Congrès, son application dépendra ensuite des agences, de leurs budgets, et de la volonté politique de l'exécutif.

La position du président Donald Trump ajoute aussi une incertitude. D'après le texte source, il a qualifié de « canular » les inquiétudes autour de risques catastrophiques liés à l'IA. Wiener estime par ailleurs qu'une coopération avec la Chine est nécessaire pour limiter certains scénarios extrêmes, alors que les relations entre les deux pays rendent ce type de coordination compliqué.

La coopération internationale ne veut pas forcément dire partager des technologies sensibles ou des informations stratégiques. Elle peut porter sur des protocoles de signalement, des normes de sécurité ou des canaux de dialogue en cas d'incident. Mais ces mécanismes exigent au minimum de la confiance et des intérêts communs. Sans cela, le Congrès devra arbitrer sur les protections possibles au niveau national, sans attendre un accord international incertain.

Ne pas confondre le débat américain et le cadre européen

Pour une entreprise française ou européenne, les initiatives de Wiener ne deviennent pas automatiquement des obligations applicables. Aux États-Unis, les compétences se répartissent entre le Congrès, les agences fédérales et les États. Dans l'Union européenne, le cadre est différent : l'UE a adopté un règlement commun sur l'intelligence artificielle, en complément du RGPD et d'autres textes.

Cette différence de structure n'empêche pas les décisions américaines d'avoir des effets indirects. Une entreprise qui commercialise ses services sur plusieurs marchés peut devoir répondre aux exigences de ses clients, de ses partenaires et de ses contrats. Les grands fournisseurs de modèles peuvent aussi ajuster leurs évaluations ou leur documentation en fonction de nouvelles règles, ce qui modifie concrètement les conditions d'accès à leurs produits.

Au final, il est souvent plus utile de suivre les mécanismes concrets que les annonces générales. Une proposition de régulateur, un texte adopté, un décret d'application et une règle entrée en vigueur n'ont pas le même statut. Les équipes juridiques et produit gagnent à distinguer ces étapes avant de transformer une déclaration politique en chantier de conformité.

Construire une gouvernance qui résiste aux changements de règles

Les entreprises n'ont pas besoin d'attendre une nouvelle loi pour mieux maîtriser leurs usages de l'IA. Un point de départ raisonnable, c'est un inventaire : quels outils sont utilisés, pour quelles tâches, avec quelles données, et quelles conséquences en cas d'erreur ? Sans cette cartographie, il est difficile de choisir des contrôles adaptés ou de répondre correctement à un client.

Ensuite, pour chaque usage, l'entreprise peut documenter quelques décisions clés : qui valide le système, qui contrôle les résultats, quelles informations sont partagées avec les utilisateurs, et comment un incident est signalé puis corrigé. Pour les usages sensibles, la validation humaine doit avoir un rôle réel, pas servir à entériner automatiquement une décision déjà prise par le système.

Cette approche reste utile, quel que soit le futur cadre américain. Elle aide à gérer les risques liés aux données personnelles, à la propriété intellectuelle, à la fiabilité et à la sécurité. Elle facilite aussi les discussions avec les clients et les fournisseurs, qui demandent de plus en plus souvent des informations sur les modèles, leurs limites et leurs dispositifs de contrôle.

Évaluer les fournisseurs au-delà des promesses de performance

La course aux capacités crée une asymétrie : les fournisseurs connaissent mieux leurs systèmes que les entreprises qui les intègrent. Une équipe produit devrait donc demander des informations vérifiables sur les usages prévus, les limites connues, la façon dont les mises à jour sont gérées et comment les incidents sont traités. Une démonstration commerciale peut convaincre, mais elle ne remplace pas une évaluation dans le contexte réel d'utilisation.

Il faut aussi éviter de mesurer uniquement le gain de productivité. Une automatisation peut réduire le temps de traitement tout en augmentant le coût de vérification, dégrader l'expérience client ou créer une dépendance forte à un fournisseur unique. Les bons indicateurs incluent les erreurs, les exceptions, les besoins de reprise manuelle et les conséquences en cas d'interruption.

Enfin, la gouvernance doit évoluer avec les usages. Un outil présenté comme simple assistant interne peut, quelques mois plus tard, devenir une brique d'un processus décisionnel plus large. L'inventaire et les évaluations ne doivent pas être des exercices ponctuels : ils doivent être remis à jour quand le modèle change, quand les données évoluent, ou quand l'outil reçoit une nouvelle fonction. C'est ce suivi qui fait passer une politique IA du papier au quotidien.