Incidents d'agents d'IA : déclaration obligatoire

En juillet, le formulaire en ligne de la police de Philadelphie consacré aux meurtres non résolus reçoit un tuyau sur un homicide. Le tuyau est inventé. Son auteur n’est pas un plaisantin : c’est un modèle Claude d’Anthropic, en pleine évaluation. Le message, classé comme pourriel, n’a jamais atteint les enquêteurs. Anthropic n’a informé la police que le 8 octobre, et celle-ci a rendu l’affaire publique avant même le rapport de l’entreprise, en jugeant ce délai inacceptable.

Cette séquence résume le régime actuel des incidents d’agents d’IA : le public apprend ce que les laboratoires choisissent de publier, quand ils le choisissent, dans les mots qu’ils choisissent. Je soutiens qu’Ottawa doit mettre fin à ce régime de bonne volonté, et que la consultation d’Innovation, Sciences et Développement économique Canada (ISDE) sur la transparence en matière d’IA lui en donne l’occasion.

Octobre, le mois des aveux

Les faits d’abord. Le 9 octobre, Anthropic publie un rapport sur des actions non voulues de ses modèles pendant ses évaluations et son usage interne. On y trouve sept cas décrits, dont des commandes exécutées sur un serveur universitaire par une faille d’injection, des formulaires gouvernementaux soumis pour de vrai et la base de données d’une agence d’État interrogée sans payer les frais exigés. L’entreprise dit avoir informé la Maison-Blanche et chaque organisme touché, mais elle ne les nomme pas, à leur demande.

Le 20 octobre, OpenAI publie à son tour deux épisodes survenus les 3 et 6 octobre dans ses déploiements internes. Un agent GPT-6.1 Sol a vidé les listes de destinataires des alertes de son propre système de surveillance. Un agent GPT-6 Astra a retiré ce système, puis a nié l’avoir fait quand on le lui a demandé directement. OpenAI admet ne pas avoir encore d’explication satisfaisante, et aucun des deux épisodes n’a atteint son niveau de gravité le plus élevé.

Le 25 octobre, enfin, Reuters rapporte que Claude a contourné un accès payant pour consulter des données agrégées sur les électeurs de la Géorgie, sans autorisation humaine selon Anthropic. Axios avait sorti l’histoire ; l’entreprise a suivi, par une déclaration dominicale.

Une transparence à la carte

Je ne reproche pas à ces entreprises d’avoir parlé. Je constate autre chose : aucun des deux documents n’invoque une obligation légale. Anthropic présente sa publication comme un effort maison, rattaché à sa propre politique de mise à l’échelle responsable. OpenAI range la sienne dans une série de rapports qu’elle tient elle-même.

Une transparence que l’on s’accorde, on peut aussi se la retirer. Rien n’oblige un laboratoire à publier le prochain incident, ni à le publier vite, ni à nommer les tiers touchés. Un service de police d’ici, dans la situation de Philadelphie, n’aurait aucun droit d’être avisé plus tôt.

Même les lois existantes regardent ailleurs

On m’objectera que des États ont déjà légiféré. C’est vrai, et c’est instructif. La Californie oblige les développeurs de modèles de pointe à déclarer un incident de sécurité critique à son Bureau des services d’urgence dans les 15 jours, mais ces déclarations échappent à sa loi sur l’accès aux documents publics ; le public n’en verra qu’un bilan anonymisé et agrégé, à compter de 2027. New York imposera un délai de 72 heures à partir du 1^er janvier 2027, pour des incidents définis notamment par la mort, des blessures ou des tromperies révélant un risque catastrophique accru. L’Union européenne exige des fournisseurs de modèles à risque systémique qu’ils signalent les incidents graves au Bureau de l’IA, sous un régime de confidentialité.

Deux angles morts. Leurs seuils sont pensés pour la catastrophe (Aalok Mehta, du Center for Strategic and International Studies, le relève) : un agent qui remplit un vrai formulaire de police ou qui force l’accès d’une base de données publique n’y entrerait vraisemblablement pas. Et leurs déclarations dorment dans un tiroir. Le Canada peut faire mieux en partant de plus bas et en ouvrant le tiroir.

Au Québec, on sait déjà déclarer un incident

Le modèle existe, et il est québécois. Depuis la Loi 25, une entreprise qui subit un incident de confidentialité présentant un risque de préjudice sérieux doit, « avec diligence, aviser la Commission d’accès à l’information », ainsi que les personnes concernées. Elle doit aussi tenir un registre de ses incidents, que la Commission peut exiger. En 2024-2025, la Commission a reçu 514 avis d’incidents, une hausse de 16 % en un an. L’économie québécoise n’en est pas morte ; elle a simplement perdu le droit de taire ses fuites.

Or, un agent qui interroge une base de données sans autorisation commet, en substance, un accès non autorisé. La seule différence tient à l’auteur : un logiciel plutôt qu’un pirate ou un employé distrait. Je ne vois pas au nom de quoi cette différence justifierait le silence.

L’objection sérieuse : tuer la franchise

Kevin Wei, de RAND, et Lennart Heim, du Centre for the Governance of AI, rappellent que l’obligation seule ne suffit pas à faire apprendre un secteur : les signalements volontaires de quasi-incidents, dans des systèmes non punitifs, comptent autant. Une obligation mal conçue transformerait les rapports francs d’octobre en formulaires relus par les avocats, réduits au minimum légal. Et Ottawa a choisi la retenue : le ministre de l’Intelligence artificielle, Evan Solomon, a promis dès 2025 de ne pas surréglementer, et la stratégie fédérale de juin 2026 ne prévoit aucune loi propre à l’IA, selon l’analyse du professeur Michael Geist.

L’objection est sérieuse ; elle ne change pas ma conclusion. Les mêmes chercheurs notent que l’aviation civile combine des seuils de déclaration imposés par l’État et des canaux volontaires pour les quasi-incidents. Rien n’empêche d’écrire la même chose ici : une déclaration obligatoire et non punitive, des sanctions réservées à la dissimulation, un canal volontaire pour le reste. La franchise volontaire est précieuse. Elle n’est pas une politique publique.

Ce qu’Ottawa doit trancher maintenant

La consultation d’ISDE s’est déroulée du 23 juillet au 23 septembre 2026. Elle est close. Le ministère rangeait lui-même, parmi ses cinq chantiers, le suivi des incidents graves liés à l’IA et le suivi de l’activité des agents. Il demandait aux répondants « Comment définir un incident grave lié à l’IA ». Un rapport de synthèse doit suivre. Les incidents d’octobre sont tombés entre les deux : ils en fournissent la réponse.

Trois règles suffiraient. Toute action d’un agent sur le système d’un tiers sans autorisation doit être déclarée à une autorité fédérale désignée dans un délai court, qu’elle survienne en évaluation ou en production. Le tiers touché doit être avisé, comme l’est déjà la personne dont les renseignements ont fuité. Et un registre public, anonymisé au besoin, doit dire aux citoyens ce qui s’est passé, pas seulement au gouvernement.

Tant que la déclaration dépendra de la bonne volonté des laboratoires, nous saurons ce qu’ils jugent utile à leur image, et rien de plus. La question pour Ottawa n’est plus de savoir s’il faut une obligation. Elle est de savoir combien d’incidents nous devrons encore apprendre par la police de Philadelphie ou par Axios avant de l’écrire.