Le 16 octobre 2026, Politico a révélé qu’Anthropic avait présenté discrètement à des parlementaires américains un projet de loi sur la sûreté des modèles d’IA de pointe. Le texte est confidentiel, mais plusieurs médias en ont décrit le contenu, dont l’agence Reuters. Il porte sur les sujets que le droit européen traite sous le nom de modèles à risque systémique : évaluation, signalement des incidents, pouvoir d’intervention de la puissance publique.
Le contenu du projet selon la presse
Le gouvernement fédéral ne pourrait bloquer la mise à disposition ou l’utilisation d’un modèle qu’en présence d’un risque prévisible et imminent de plus d’un milliard de dollars de dommages, ou de mort ou de blessures graves pour plus de 50 personnes. Ce risque devrait provenir de l’une des trois sources énumérées par le texte : la création ou la diffusion d’une arme biologique, un modèle qui échappe au contrôle de son développeur, une cyberattaque.
Des évaluateurs indépendants, enregistrés auprès du département du Commerce, examineraient périodiquement les laboratoires et leurs modèles. Les développeurs pourraient les rémunérer, à condition que le paiement ne dépende pas du résultat. Un évaluateur qui constate un risque imminent devrait le signaler au département dans les 72 heures suivant la fin de son évaluation. Le Commerce ne pourrait pas suspendre un modèle seul : il devrait obtenir l’ordonnance d’un juge fédéral du district de Columbia. Aucune autre administration fédérale ne pourrait suspendre le développement, le déploiement ou l’usage interne d’un modèle.
Les développeurs concernés devraient adopter un cadre de sécurité, publier des rapports de transparence pour leurs nouveaux modèles, protéger les lanceurs d’alerte et signaler les incidents critiques. Le texte écarterait certaines exigences des États fédérés en matière de publication des risques, d’évaluation indépendante et de signalement d’incidents. Un porte-parole d’Anthropic a indiqué que le projet reprend les propositions de l' »Advanced AI Framework » publié par l’entreprise. D’autres textes sont en discussion au Congrès, dont le FRONTIER Act à la Chambre des représentants.
Le régime européen des modèles à risque systémique
Le règlement européen sur l’IA part d’un autre point. Un modèle d’IA à usage général est présumé présenter un risque systémique lorsque son entraînement a mobilisé plus de 10^25 opérations en virgule flottante. La Commission peut aussi désigner un modèle à partir d’autres critères (article 51 et annexe XIII). Le fournisseur doit notifier la Commission lorsque son modèle atteint le seuil.
L’article 55 lui impose alors d’évaluer le modèle selon l’état de l’art, y compris par des tests adverses, d’évaluer et d’atténuer les risques systémiques à l’échelle de l’Union, de documenter et signaler sans retard injustifié les incidents graves au Bureau de l’IA, et d’assurer la cybersécurité du modèle et de son infrastructure. Le code de bonnes pratiques publié en juillet 2025 permet de démontrer la conformité. Le Bureau de l’IA peut demander des informations et faire réaliser ses propres évaluations, et les amendes peuvent atteindre 3 % du chiffre d’affaires mondial ou 15 millions d’euros.
Comparaison des approches américaine et européenne
Le projet américain organise une intervention publique qui ne se déclenche qu’au-delà de seuils de dommages chiffrés, pour trois scénarios précis. Le régime européen s’applique dès le seuil de calcul ou la désignation, avant tout dommage, et couvre une notion plus large de risque systémique. Le délai de 72 heures du projet vise le rapport de l’évaluateur au département du Commerce. Dans l’Union, l’obligation de signalement pèse sur le fournisseur lui-même. Quant à la préemption des lois des États, elle n’a pas d’équivalent direct en Europe, où le règlement s’applique directement dans tous les États membres.
Les deux approches partagent l’évaluation par des tiers et le signalement des incidents. La place de l’évaluateur diffère : enregistré auprès d’une administration et payé par le développeur dans le projet américain, il intervient en Europe dans un cadre où le Bureau de l’IA garde la main sur ses propres évaluations. À ce stade, le texte américain reste une proposition d’entreprise sans statut législatif, et rien n’indique s’il sera repris tel quel par un parlementaire.
Ce que le déployeur européen doit retenir
Pour un organisme européen qui utilise un modèle de pointe à travers ses outils, les garanties pertinentes restent celles qu’offre le droit européen et celles qu’il obtient par contrat.
- Identifier, pour chaque outil d’IA, le modèle sous-jacent et son fournisseur, et vérifier s’il relève du régime des modèles à risque systémique.
- Obtenir de l’éditeur la documentation que le fournisseur du modèle doit transmettre en aval, et la conserver.
- Prévoir dans le contrat l’information du client sur les incidents graves qui touchent le service, et articuler ce flux avec la procédure de violation de données (articles 33 et 34 du RGPD).
- Inscrire chaque usage au registre des traitements et conduire une AIPD si le traitement le justifie.
Les DPO indépendants du réseau DPO FRANCE accompagnent les organismes dans l’encadrement de leurs usages de l’IA, du contrat fournisseur à l’AIPD. Le logiciel DPO SUITE tient le registre des systèmes d’IA, les relie aux traitements et aux sous-traitants, et centralise la documentation des fournisseurs et la gestion des incidents.
