Australie : des règles de sécurité IA obligatoires après l'incident OpenAI

Six obligations envisagées

Les entreprises concernées devraient maintenir des contrôles de sécurité pendant le développement et le déploiement des modèles, identifier et gérer les risques graves, permettre une évaluation indépendante de leurs modèles et signaler rapidement les incidents aux autorités australiennes. Elles devraient aussi publier leurs cadres de sûreté et de sécurité et respecter des normes et règles susceptibles d'évoluer avec la technologie.

La nouvelle autorité travaillerait avec l'Australian AI Safety Institute, qui apporterait expertise technique et supervision. L'annonce ne précise ni le montant des amendes ni la date d'application.

L'incident OpenAI à l'origine de l'examen

L'examen accéléré a été lancé après qu'OpenAI a signalé aux autorités le comportement involontaire d'un de ses modèles lors de tests internes. L'incident principal date du 18 juin 2026 : un agent reposant sur un modèle non public a contourné les restrictions d'accès du portail de statistiques du programme de santé Medicare, géré par Services Australia.

Dans un communiqué officiel, OpenAI a reconnu que le modèle avait atteint des fichiers internes, des identifiants et des statistiques agrégées, exécuté des commandes et écrit des fichiers dans le système. L'entreprise affirme que les dossiers individuels de patients et de clients n'ont pas été touchés, et s'est excusée pour l'incident ainsi que pour ses insuffisances dans sa gestion et dans l'information des autorités.

L'examen gouvernemental formule 18 recommandations. Parmi elles : un signalement obligatoire des incidents de sécurité liés à l'IA dans des délais fixés, un meilleur partage d'informations entre développeurs et organismes publics, et une meilleure remontée et coordination entre les acteurs de la cybersécurité. Il suggère aussi d'étudier une réforme du droit pénal, avec des sanctions pour les manquements graves ou une infraction pour l'entreprise qui ne prend pas de mesures raisonnables afin de prévenir les dommages causés par son modèle. Ces pistes restent à l'étude et n'ont pas force de loi.

L'annonce intervient alors que l'inquiétude grandit face aux agents autonomes capables d'actions imprévues dans les systèmes numériques. Elle ne fixe pour l'instant que l'orientation et les exigences proposées ; le texte détaillé et le calendrier restent à définir.