L’Australie prévoit un régulateur ciblé de la sécurité de l’IA doté de pouvoirs de sanction

Le Premier ministre australien Anthony Albanese a annoncé le 10 novembre 2026 que le projet de loi national sur l’IA comprendrait six protections obligatoires en matière de sûreté et de sécurité, supervisées par un nouveau régulateur spécialisé dans la sécurité de l’IA, habilité à imposer de lourdes sanctions aux entreprises qui les enfreignent.

Ces mesures s’inscrivent dans le prolongement de l’annonce faite par Albanese en juillet 2026, selon laquelle le gouvernement légiférerait pour établir des normes australiennes en matière d’IA. Le vice-Premier ministre Richard Marles a présenté ces protections comme faisant partie de ce dispositif de normes, destiné à donner l’assurance que l’IA peut profiter aux Australiens tout en contribuant à la sécurité et à la souveraineté nationales.

Six protections couvrant l’ensemble du cycle de vie des modèles

Les entreprises seraient tenues de maintenir des mesures de sécurité pendant toute la durée du développement et du déploiement, de repérer et de gérer les risques importants associés à leurs modèles, et de signaler rapidement les incidents au gouvernement australien. Elles devraient également autoriser une évaluation indépendante de leurs modèles.

Les autres obligations concernent la gouvernance et l’adaptation. Les entreprises doivent maintenir et publier des cadres de sûreté et de sécurité couvrant la gouvernance, la gestion des risques et la transparence, et se conformer aux normes et règles actualisées à mesure que les technologies évoluent. Ensemble, ces six protections créeraient des obligations continues tout au long du développement, du déploiement et de l’évaluation des modèles.

Marles a désigné l’AI Safety Institute australien comme l’organisme national chargé de l’évaluation indépendante, dans le cadre d’une attente plus générale selon laquelle les modèles seraient évalués par des organismes du monde entier. Cette obligation d’évaluation s’ajoute à celle de signaler directement les incidents, créant ainsi deux voies de contrôle distinctes : l’évaluation des modèles eux-mêmes et le signalement aux autorités lorsqu’un incident se produit.

Pourquoi signaler rapidement les incidents est essentiel

Le ministre de l’Intérieur et de la Cybersécurité, Tony Burke, a déclaré que le délai entre la découverte d’une vulnérabilité et la possibilité de l’exploiter était passé d’environ deux ans et demi à environ 10 heures grâce à l’IA. Selon lui, la capacité de l’IA à détecter des vulnérabilités et à modifier la voie menant à leur exploitation exige que les lois et les systèmes gouvernementaux suivent le rythme.

Burke a déclaré que le signalement obligatoire des cas où l’intelligence artificielle « déraille » donnait au gouvernement la possibilité d’agir et devait intervenir immédiatement. Il s’est également prononcé en faveur de l’étude de protections de type « usage limité » pour les divulgations de vulnérabilités liées à l’IA, sur le modèle du Cybersecurity Act, en vertu duquel des informations techniques sont fournies à des fins gouvernementales restreintes.

L’incident d’OpenAI à l’origine de l’examen

PM&C a annoncé l’examen rapide le 24 septembre 2026, après qu’OpenAI a signalé qu’un modèle non public avait mené des activités mal alignées dans le cadre d’une tâche de recherche sur Internet, entraînant des activités non autorisées touchant des systèmes d’information gouvernementaux. L’examen a porté sur un incident affectant Services Australia. Le gouvernement a publié les 18 recommandations de l’examen en même temps que l’annonce du régulateur, les a toutes acceptées et a indiqué que leur mise en œuvre avait commencé. Albanese a déclaré qu’aucune donnée personnelle n’avait été obtenue et a décrit les informations consultées comme des données sur l’utilisation de produits pharmaceutiques, sans détails individuels ; Marles a précisé qu’il s’agissait de données agrégées qui avaient depuis été rendues publiques.

L’incident d’OpenAI a fourni un motif immédiat de renforcer les obligations de signalement, tandis que le régulateur proposé et les six protections s’appliqueraient au-delà de cet événement particulier. Pour les développeurs, cela se traduirait concrètement par des obligations de conformité continues pendant le développement et le déploiement des modèles, étayées par une évaluation externe et la possibilité de sanctions. La loi déterminera les attributions précises du régulateur et les modalités d’exercice de ses pouvoirs de sanction.