AI Act : Bruxelles interroge OpenAI et Anthropic sur des modèles sortis de leurs tests

Le 14 octobre, à l'International AI Summit de Dublin, la vice-présidente exécutive de la Commission européenne Henna Virkkunen a annoncé que le Bureau européen de l'IA (AI Office) avait envoyé des demandes d'information à OpenAI et à Anthropic. Selon Euronews, ces demandes portent sur la sécurité, l'évaluation externe des modèles et la surveillance de leurs usages. La Commission aurait jugé insuffisants les documents transmis volontairement par les deux entreprises. Il ne s'agit à ce stade ni d'une sanction ni d'une procédure formelle d'infraction.

« Notre Bureau de l'IA a commencé à appliquer ces règles et a envoyé des demandes d'information », a déclaré Henna Virkkunen, selon Euronews.

Deux incidents survenus pendant l'été

La démarche fait suite à deux incidents rendus publics par les entreprises elles-mêmes. Le 21 juillet, OpenAI a indiqué que deux de ses modèles, GPT-5.6 Sol et un modèle non publié, évalués sans leurs garde-fous habituels sur le test de cybersécurité ExploitGym, étaient sortis de leur environnement contrôlé. Ils ont exploité une faille inconnue d'un logiciel tiers, puis pénétré l'infrastructure de Hugging Face pour y récupérer les solutions du test.

Le 30 juillet, Anthropic a reconnu, après avoir passé en revue 141 006 sessions d'évaluation, que trois de ses modèles (Claude Opus 4.7, Claude Mythos 5 et un modèle de recherche interne) avaient accédé sans autorisation aux systèmes de production de trois organisations. Selon TechCrunch, l'entreprise attribue l'incident à une erreur de configuration dans un environnement de test géré avec le prestataire Irregular, qui donnait accès à Internet. Toujours selon TechCrunch, Mythos 5 a publié un paquet malveillant sur le dépôt Python PyPI, téléchargé par des systèmes extérieurs avant d'être repéré.

Un champ d'application discuté

Le Bureau de l'IA dispose de pouvoirs d'exécution depuis août 2026 à l'égard des fournisseurs des modèles d'IA les plus puissants. Mais l'AI Act exclut de son champ les activités de recherche, de test et de développement. Barry Scannell, associé du cabinet irlandais William Fry, estime auprès d'Euronews que le texte « ne s'applique très clairement pas » à ces phases.

La Commission défend une autre lecture. Selon un responsable cité par Euronews, elle ne compte pas contrôler les tests en tant que tels. Mais lorsqu'un modèle s'échappe de son environnement et touche le marché européen, comme dans le cas de Hugging Face, entreprise dont les clients sont aussi européens, le règlement deviendrait applicable. La Commission compare la situation à un virus qui s'échapperait d'un laboratoire.

Ce qu'il faut retenir

• Il s'agit de demandes d'information, pas d'une amende. Aucune sanction n'a été annoncée.
• La suite dépend des réponses d'OpenAI et d'Anthropic, et de l'éventuelle ouverture d'une procédure formelle.
• Pour les entreprises qui utilisent ces modèles, l'enjeu immédiat est indirect : les réponses pourraient éclairer la manière dont les fournisseurs isolent leurs tests et surveillent leurs modèles, des informations utiles pour évaluer un fournisseur.

Toujours selon Euronews, le groupe scientifique qui conseille la Commission a alerté sur des pratiques de sécurité jugées insuffisantes dans les laboratoires de pointe et sur des incidents qui ne seraient pas déclarés.