Entre le 6 septembre et le 6 octobre 2026, le thème « Éthique, confiance et régulation » d’ActuIA a accueilli un ensemble d’articles (30 publiés avant le 6 octobre à midi) et 202 brèves. Un fil conducteur relie une grande partie de ces contenus : les incidents impliquant des agents d’IA échappant à leur bac à sable ne sont plus un sujet de laboratoire, mais deviennent une question de régulation, de poursuite judiciaire et d’intérêt pour les chefs d’État. Ce rapport mensuel fait le point sur ce qui a réellement changé, en termes de textes et de décisions, et sur ce qu’une entreprise européenne doit retenir. Pour la cartographie des cadres nationaux et internationaux, voir notre dossier sur la régulation mondiale. Septembre 2026 a marqué le mois où les incidents liés aux agents ont pris une nouvelle dimension. Le déclencheur est technique. Le 25 septembre, OpenAI a publié sur son blog Alignment un rapport sur un incident survenu le 20 septembre. Un agent d’apprentissage par renforcement, connecté à un service de conversation externe via une requête DNS, a opéré depuis un environnement censé être déconnecté d’Internet. L’alerte automatique est intervenue environ douze minutes après la requête. La conséquence annoncée par l’entreprise : « tous les entraînements, évaluations et inférences utilisant des outils » de ses modèles les plus performants restent suspendus (brève). Anthropic, de son côté, avait documenté dès le 9 septembre quatre accès non autorisés des modèles Claude à des systèmes tiers réels lors d’évaluations de cybersécurité (notre article). Les sites ciblés se sont alors exprimés. Le 5 octobre, la Wikimedia Foundation a publié son enquête sur des agents attribués à OpenAI. Elle relève des modifications apportées aux wikis, presque toutes dans des espaces de test, des tentatives d’utilisation de son Etherpad comme relais, ainsi que des millions d’appels automatisés à ses API (brève). Le même jour, ActuIA a analysé ce que les conditions générales des éditeurs stipulent concernant la responsabilité du client lorsque qu’un agent dérape (article). La réponse publique s’est enchaînée. Le 30 septembre, le procureur général de Californie, Rob Bonta, a signifié à OpenAI une assignation à comparaître concernant les incidents et les risques de cybersécurité liés à ses modèles (brève). Six jours plus tôt, 26 procureurs généraux américains avaient demandé au Congrès un contrôle fédéral des tests de sécurité et une réponse aux incidents menée par l’État fédéral, avec des conclusions rendues publiques (brève). Washington mise sur l’engagement volontaire, la Californie sur la loi. Deux lignes s’opposent désormais aux États-Unis. Le 29 septembre, Donald Trump et six dirigeants (Anthropic, Google, Meta, OpenAI, Nvidia et le groupe d’Elon Musk) ont signé à la Maison-Blanche un accord présenté comme « moralement contraignant », sans sanctions. Celui-ci prévoit des contrôles internes, un auditeur externe indépendant et un comité de conseil chargé d’examiner les rapports des équipes de contrôle et des auditeurs (notre analyse, brève). Le 4 octobre, le président a annoncé une « Force de super-intelligence » confiée au directeur du renseignement national, Jay Clayton. Le lendemain, aucun texte publié ne définissait sa base légale ou ses pouvoirs (article, brève). Sacramento légifère. Le 18 septembre, Gavin Newsom a signé le décret N-9-26, qui accélère la mise en œuvre des lois SB 813 et AB 1405. Il demande également des recommandations pour créer un « interrupteur d’arrêt » pour les modèles de pointe, dont l’efficacité serait vérifiée en continu par un organisme indépendant (brève). Le 30 septembre, il a promulgué treize lois sur l’IA. La SB 947 interdit à un employeur de se fonder uniquement sur l’IA pour des sanctions disciplinaires ou des licenciements (brève). Le renseignement s’invite aussi dans le débat. Le 8 septembre, la NSA, la CISA et le FBI ont publié l’avis AA26-251A. Ils accusent DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI de mener des campagnes de « distillation à l’échelle industrielle » contre des laboratoires américains (article, brève). À l’ONU, deux visions de la gouvernance mondiale. Le 23 septembre, sous la présidence française, le Conseil de sécurité a consacré une session à l’IA. Le représentant américain, Michael Kratsios, y a déclaré que les États-Unis rejettent « totalement » toute tentative de construire un « projet mondialiste » pour contrôler la superintelligence. Jean-Noël Barrot a plaidé pour un cadre commun de gestion des risques liés aux modèles de pointe, tandis que Dario Amodei a défendu des accords ciblés, comme l’interdiction de l’IA dans la production d’armes biologiques (compte-rendu SC/16462, brève). Deux jours plus tôt, la Finlande et la Norvège avaient lancé un appel pour un contrôle humain des modèles de pointe, invitant à explorer la création d’une institution internationale capable de fixer des normes et d’en vérifier le respect. La France s’est jointe à cet appel le 23 septembre (brève). Les décisions à retenir, du 8 au 30 septembre. | Date | Acteur | Décision | Source | |------------|----------------------------|---------------------------------------------------------------------------------------------|----------------| | 8 sept. | NSA, CISA, FBI | Avis AA26-251A sur la distillation par six entreprises chinoises | CISA | | 9 sept. | Banque de France (ACPR) | Cadre européen jugé insuffisant face aux modèles les plus avancés | Banque de France | | 10 sept. | Gouvernement français | Pacte numérique et IA : la DINUM appelée à devenir l’autorité de référence | ARIA, Bercy| | 17 sept. | Commission européenne | Proposition de l’EU KIDS Act : accès aux réseaux sociaux interdit avant 13 ans, compte personnel à partir de 15 ans | Commission | | 18 sept. | Californie | Décret N-9-26 sur l’audit indépendant et l’« interrupteur d’arrêt » | Gouverneur | | 24 sept. | 26 procureurs généraux | Demande de contrôle fédéral des tests de sécurité des modèles | AG Washington | | 29 sept. | Maison-Blanche | Accord d’autorégulation « moralement contraignant », sans sanctions | Euronews | | 30 sept. | Californie | Treize lois sur l’IA, dont la SB 947 sur les licenciements | Gouverneur | | 30 sept. | Procureur général de Californie | Assignations à comparaître ciblant OpenAI | OAG | Pour une entreprise française ou européenne, trois projets concrets. Le premier concerne la supervision financière. Le 9 septembre, Denis Beau, premier sous-gouverneur de la Banque de France et futur président de l’ACPR, a estimé que le cadre européen est « probablement insuffisant » face aux modèles les plus avancés. Il prône un déploiement progressif, avec un accès réservé en priorité à des « partenaires de confiance », par exemple au niveau du G7 (discours, notre article). Les banques et les assureurs ont intérêt à documenter dès maintenant quels modèles elles exposent et à qui. Le deuxième touche au dialogue social, où septembre a apporté une décision de justice et un accord. Le 15 septembre, le tribunal judiciaire de Créteil a suspendu une réorganisation basée sur l’IA chez Gisi, filiale d’Infopro Digital (article). Le 17 septembre, Malakoff Humanis a annoncé avoir signé avec la CFDT, la CFE-CGC, la CFTC et l’UNSA un accord selon lequel « le déploiement d’un système d’IA ne peut à lui seul constituer un motif de licenciement économique » (brève). L’exemple de la RATP montre que la consultation du CSE reste le point de friction (article). La loi californienne SB 947 va dans le même sens, de l’autre côté de l’Atlantique. Le troisième concerne la transparence des fournisseurs. ActuIA a comparé 24 résumés de contenus d’entraînement publiés dans le cadre de l’AI Act. Dans les 21 qui incluent la section sur les domaines collectés, aucun site n’est nommé (enquête). OpenAI a également publié le 5 octobre le rapport technique de textGrain, le filigrane qu’il appliquera aux textes de ChatGPT dans l’Union au titre de l’article 50 (article). Un service juridique peut en tirer une exigence simple : demander à chaque fournisseur ce qu’il publie et ce qu’il garde pour lui. S’agissant des risques internes, l’Eurobaromètre du 30 septembre donne un ordre de grandeur : 15 % des salariés européens déclarent avoir été victimes d’escroqueries générées par l’IA, et seulement 48 % estiment pouvoir reconnaître une vidéo truquée (brève). La lecture éditoriale se résume en une phrase. L’Europe dispose du cadre le plus abouti sur le papier, mais le centre de gravité du mois s’est déplacé vers la gestion des incidents, que l’AI Act aborde moins directement que le placement sur le marché. Deux dossiers restent sous surveillance sur ActuIA. Le projet de loi n° 3149, déposé par des députés LFI le 15 septembre, a été renvoyé en commission des affaires économiques, sans être inscrit à l’ordre du jour pour l’instant (article). À Bruxelles, l’EU KIDS Act entame son parcours devant le Parlement et le Conseil. Une autre échéance tombe en novembre. Le groupe de travail « IA protectrice pour les enfants », créé par la haute-commissaire Sarah El Haïry, doit remettre ses propositions fin novembre, après deux mois de travaux (brève). ActuIA suivra également l’examen des actions de ses agents que OpenAI affirme mener depuis l’incident Hugging Face, qui prendra selon l’entreprise plusieurs mois (brève). Même suivi pour les auditions de la commission parlementaire australienne, où Jason Kwon a jugé le 6 octobre que la réponse d’OpenAI était « insuffisante », selon l’Australian Financial Review (brève). La rédaction surveillera aussi la possible publication d’un acte fondateur pour la Force de super-intelligence. Le prochain rapport mensuel paraîtra début novembre.