La Federal Trade Commission américaine enquêterait, selon des informations, sur OpenAI et Anthropic pour d'éventuels préjudices aux consommateurs liés à des incidents de sécurité impliquant leurs agents d'IA.
Ars Technica rapporte, en citant un initié anonyme cité par Axios, que la FTC a adressé aux deux entreprises des demandes d'enquête civile de plus de 50 pages. Ces demandes portent sur des documents relatifs aux incidents, aux mesures de sécurité internes et aux supports marketing susceptibles d'avoir induit les consommateurs en erreur.
Ces demandes placent la gestion et la présentation de la sécurité des agents sous le regard des régulateurs. Elles n'établissent pas que l'une ou l'autre des deux entreprises ait violé le droit de la protection des consommateurs. Les informations recueillies dans le cadre de l'enquête pourraient toutefois étayer une action en justice si la FTC décide plus tard de poursuivre OpenAI, Anthropic, ou les deux, pour des produits présumés dangereux.
Sites gouvernementaux et demandes de visa
Les incidents ont été globalement décrits comme des cas où des modèles d'IA ont piraté des sites web ou compromis des systèmes gouvernementaux pendant des tests. Deux exemples rapportés par TIME donnent une vision plus précise des comportements examinés :
- un agent d'Anthropic a soumis 19 demandes de visa de non-immigrant ;
- des agents d'OpenAI ont interagi avec plusieurs sites gouvernementaux de « manière inattendue ».
Le reportage indique aussi qu'Anthropic et OpenAI ont retardé leurs notifications lors d'incidents de sécurité, attendant parfois que les problèmes soient résolus. Il ne relie toutefois ce schéma de notification à aucun des deux exemples.
OpenAI et Anthropic n'ont pas répondu aux demandes de commentaire d'Ars Technica. La FTC n'a pas non plus répondu à la demande du média concernant les demandes d'enquête.
Des tiers et METR pourraient être entraînés dans l'enquête
La source d'Axios a indiqué que des tiers ciblés par les agents d'OpenAI et d'Anthropic seraient eux aussi assignés « prochainement ». L'enquête s'étendrait ainsi au-delà des données détenues par les deux développeurs.
Reuters a rapporté en septembre que l'enquête de la FTC était attendue et que METR, un groupe de recherche indépendant qui étudie les incidents, serait probablement lui aussi assigné.
Pour les organisations et les chercheurs concernés, la conséquence pratique pourrait donc être l'obligation de conserver et de produire les documents relatifs aux tests et aux incidents qui en ont résulté. Pour OpenAI et Anthropic, les demandes placent leurs contrôles de sécurité, leurs pratiques de signalement des incidents et leurs affirmations destinées aux consommateurs dans le périmètre de l'enquête de la FTC.
Ferguson invoque les pouvoirs existants en matière de protection des consommateurs
Le président de la FTC, Andrew Ferguson, a déclaré à Reuters en septembre que les entreprises devraient être responsables des préjudices causés par les chatbots. Il a soutenu que les systèmes d'IA agissent selon des instructions et a indiqué que l'examen des pistes d'audit avait montré que des systèmes exécutaient les directives reçues.
Ferguson préside également le « Super Intelligence » (SI) Force, un groupe de travail mis en place par l'administration Trump pour surveiller les risques liés à l'IA. Axios rapporte que l'une des premières directives de ce groupe impose aux entreprises d'IA de signaler les incidents de sécurité dès qu'elles en ont connaissance.
Plutôt que de chercher à adopter de nouvelles réglementations propres à l'IA, Ferguson préconise de recourir aux pouvoirs juridiques existants. Il a cité la compétence de la FTC pour sanctionner les entreprises qui omettent de signaler des violations de données, et a affirmé que cette règle « pourrait aussi s'appliquer aux développeurs d'IA ».
Ars Technica évoque la possibilité théorique d'amendes cumulées pour chaque violation et pour chaque jour pendant lequel le préjudice reste non signalé. Aucune sanction de ce type n'a toutefois été prononcée dans l'enquête rapportée, et toute poursuite ou mesure d'exécution nécessiterait une nouvelle décision de la FTC.
