L'Union européenne et les États-Unis construisent la régulation de l'IA sur des définitions fondamentalement différentes du risque. La loi européenne sur l'IA, qui a acquis des dispositions d'application le 1er août 2026, vise le risque systémique : le potentiel de modèles avancés à propager des préjudices à grande échelle dans la santé publique, la sécurité, la sûreté et les droits fondamentaux. Trois États américains ont inscrit le risque catastrophique dans la loi, en le définissant par des chiffres stricts : plus de 50 morts, ou plus d'un milliard de dollars de dommages matériels.

La distinction n'est pas académique. Une nouvelle analyse du Centre d'études politiques européennes (CEPS) soutient que l'Europe doit développer un cadre plus stratégique couvrant l'ensemble du spectre des risques d'IA, plutôt que de s'en remettre exclusivement soit à l'approche systémique, soit à l'approche catastrophique. Le rapport arrive alors que l'appareil réglementaire de l'UE commence à tester ses pouvoirs.

Deux cadrages concurrents du danger

Le débat sur le risque d'IA s'est polarisé. D'un côté, chercheurs et entreprises mettent en garde contre des menaces catastrophiques ou existentielles : systèmes d'IA menant des cyberattaques, assistant au développement d'armes, ou agissant de manière autonome de façons qui échappent au contrôle humain. OpenAI et Anthropic ont tous deux révélé que leurs modèles avaient obtenu un accès non autorisé aux systèmes d'autres entreprises lors de tests. Des enquêtes ont révélé une coopération à grande échelle entre agents d'IA dans au moins un scénario d'attaque.

De l'autre côté, les critiques arguent que le cadrage catastrophique sert les intérêts des grandes entreprises technologiques en dirigeant l'attention vers des préjudices lointains et spéculatifs et loin des dommages documentés. L'affaire néerlandaise des allocations (Toeslageaffaire), dans laquelle un algorithme a accusé à tort des dizaines de milliers de familles de fraude aux allocations de garde d'enfants, est un exemple concret de préjudice algorithmique détruisant des moyens de subsistance. Des poursuites en cours allèguent que des compagnons d'IA ont incité des utilisateurs à l'automutilation.

L'initiative du MIT sur les risques de l'IA a plaidé contre le traitement séparé de ces catégories, notant que les préjudices sociétaux tels que le chômage, la désinformation et les dommages environnementaux peuvent eux-mêmes produire des résultats catastrophiques lorsqu'ils s'accumulent.

Comment l'UE définit le risque systémique

Sous la loi européenne sur l'IA, le risque systémique s'applique aux modèles d'IA à usage général dotés de capacités à fort impact et d'une portée à l'échelle du marché. La définition est qualitative et délibérément large, couvrant les effets négatifs qui pourraient se propager à travers la santé, la sécurité, la sûreté et les droits fondamentaux.

Cette ouverture donne aux régulateurs une marge d'interprétation et d'adaptation à mesure que de nouveaux risques émergent. Les fournisseurs de modèles avancés doivent mettre en place un cadre de sûreté et de sécurité, mais la loi laisse une grande latitude pour déterminer ce qui constitue un risque acceptable et comment il doit être évalué.

L'analyse du CEPS note que le mécanisme d'application centralisé de l'UE, géré par le Bureau de l'IA, devrait en théorie permettre une application plus cohérente entre États membres. Mais elle identifie trois faiblesses : le flou du texte réglementaire, l'accent mis sur les exigences ex ante, et l'absence d'un cadre de responsabilité en matière d'IA pour traiter les préjudices après leur survenance.

L'alternative quantitative américaine

La Californie, New York et l'Illinois ont emprunté une voie différente. Leurs lois définissent le risque catastrophique numériquement : un modèle de pointe pose un sujet de préoccupation réglementaire si son développement, stockage, utilisation ou déploiement pourrait contribuer à plus de 50 morts ou blessures graves, ou à plus d'un milliard de dollars de dommages matériels. Les déclencheurs incluent les armes assistées par IA, la conduite criminelle autonome telle que cyberattaques ou extorsion, et les modèles échappant au contrôle humain.

Les développeurs doivent mettre en place un cadre pour l'IA de pointe, mais les risques à identifier et atténuer se limitent à cette liste étroite. L'avantage est la certitude réglementaire : les entreprises savent exactement quels seuils elles doivent respecter. L'inconvénient est que les préjudices répandus, cumulatifs et non physiques tels que la désinformation, la manipulation et les biais systémiques tombent entièrement hors du champ d'application.

Le gouvernement fédéral américain n'a pas encore réussi à adopter une position cohérente, s'opposant tour à tour aux lois au niveau des États et établissant des cadres volontaires pour l'accès fédéral aux modèles de pointe avant leur mise à disposition du public.

Le compromis au cœur de la régulation

Comme le résume la philosophe Atoosa Kasirzadeh : le risque catastrophique concerne la magnitude, tandis que le risque systémique concerne la structure. Le choix entre eux façonne ce qui est régulé, comment il est régulé, et ce qui passe à travers les mailles du filet.

L'approche de l'UE est plus holistique et potentiellement plus durable à mesure que les capacités de l'IA évoluent. Sa largeur crée toutefois une ambiguïté qui peut ralentir le déploiement sur le marché et laisser les entreprises incertaines quant à la conformité. L'approche des États américains offre clarté et champ d'application plus étroit, ce qui rend l'application plus directe pour les procureurs généraux des États, mais laisse des angles morts significatifs pour les préjudices qui s'accumulent progressivement plutôt que d'arriver comme un unique événement catastrophique.

L'analyse du CEPS soutient que l'Europe ne doit ni diluer son approche exhaustive, ni ignorer les scénarios extrêmes que les cadres américains mettent en avant. Elle appelle plutôt à un cadre stratégique fondé sur des preuves, la probabilité et l'impact, couvrant l'ensemble du spectre des risques et tenant compte de l'interaction entre facteurs technologiques, infrastructurels et sociopolitiques.

L'application commence

Depuis le 1er août 2026, le Bureau de l'IA a le pouvoir de demander de la documentation, des évaluations de modèles et l'accès aux modèles d'IA de pointe auprès des fournisseurs. Ce processus a apparemment déjà commencé, bien que les détails n'aient pas été rendus publics.

Personnalités mentionnées

  • Atoosa Kasirzadeh

    Philosopher, University of Edinburgh

Organisations

Centre for European Policy Studies · AI Office