Les décideuses et décideurs politiques doivent parfois intervenir avant même de cerner tous les risques, une réalité inhérente à l'intelligence artificielle (IA). La gestion des risques traditionnelle repose sur le calcul des probabilités et de la gravité, des estimations impossibles à établir de façon fiable, surtout pour les modèles d’IA de pointe. L'absence de données historiques, l'évolution rapide des modèles et les limites des tests en laboratoire occultent le comportement réel de l'IA sur le terrain. Comme le souligne le Rapport international sur la sécurité de l'IA 2026, ce déficit de preuves s'explique par la difficulté d'évaluer les impacts d'un progrès si rapide. Attendre des preuves irréfutables avant d'agir peut sembler plus prudent, mais l'inaction demeure un choix qui laisse le champ libre aux vulnérabilités et aux préjudices.
Enseignements issus des secteurs à haut risque
Plutôt que d'essayer de tout prédire, la réglementation doit miser sur la résilience : réduire les vulnérabilités, contenir les dégâts et s'adapter rapidement. D'autres secteurs en offrent d'excellents exemples :
- L'aviation allie règles de sécurité, déclaration obligatoire des incidents et retour d'expérience continu.
- La sécurité automobile montre la nécessité d'anticiper les scénarios de danger avant le déploiement des véhicules et d'imposer des mesures d'atténuation.
- Le nucléaire associe modèles probabilistes et exigences strictes pour garantir la résistance des centrales aux pires scénarios.
- La cybersécurité anticipe l'émergence constante de nouvelles menaces en misant sur une détection et une reprise rapides.
- La climatologie et la régulation financière privilégient la simulation de scénarios et les tests de résistance aux prévisions uniques.
- La santé publique et les OGM s'appuient sur un suivi en temps réel et des mesures de précaution pour éviter les dommages irréversibles.
Même si l'IA présente des caractéristiques uniques, ces secteurs prouvent qu'une gouvernance efficace ne nécessite pas une clairvoyance parfaite, mais s'appuie sur des défenses à plusieurs niveaux.
Quatre niveaux d'intervention
Une stratégie pragmatique s'articule autour de quatre niveaux complémentaires, les faiblesses de l'un étant compensées par les garde-fous d'un autre :
- Niveau du modèle : Évaluations standardisées, tests d'intrusion (red teaming), audits et signalement d'incidents pour détecter au plus tôt les failles techniques.
- Niveau individuel : Cybersécurité renforcée, détection des abus, authentification des contenus et application des lois existantes pour prévenir les dérives.
- Niveau sociétal : Suivi continu de l'impact économique, accompagnement de l'emploi, protection des consommateurs et sensibilisation du public.
- Niveau international : Définitions communes, normes d'évaluation partagées et coordination mondiale pour éviter la fragmentation réglementaire.
Adapter la fabrique des politiques publiques
Face à une incertitude majeure, l'évaluation classique des risques et les analyses coûts-bénéfices montrent leurs limites. Les décideurs doivent revoir leur façon de définir les enjeux et de comparer les options réglementaires à travers plusieurs mesures concrètes :
- Actualiser les évaluations des risques en continu en suivant la recherche, l'actualité et les retours d'incidents, en concertation avec les experts et la société civile.
- Modéliser les chaînes de causalité pour comprendre la concrétisation des risques, en distinguant clairement faits établis et hypothèses non vérifiées.
- Cibler les vides juridiques où les lois actuelles, les directives gouvernementales et les initiatives de l'industrie s'avèrent insuffisantes face aux risques émergents.
- Évaluer les mesures selon des critères souples en privilégiant la flexibilité, la réversibilité, la faisabilité administrative et la compatibilité internationale au-delà de la seule efficacité économique.
- Mettre en balance délais et dommages potentiels, en soupesant le bénéfice d'accumuler plus de données face au risque de préjudices irréparables.
Tous les risques liés à l'IA n'exigent pas une réponse d'égale intensité. Les impacts mineurs ou réversibles s'accommodent d'un suivi, de bacs à sable réglementaires ou de projets pilotes. En revanche, face à des préjudices potentiellement graves et définitifs, attendre des certitudes risque d'anéantir toute possibilité d'action efficace. Dans ces situations critiques, instaurer des garanties initiales évolutives constitue une précaution essentielle.
Gérer les risques de l'IA dans l'incertitude exige de reconnaître les limites des connaissances actuelles et de bâtir des cadres politiques adaptables et résilients, capables d'agir efficacement, même sans prédictions parfaites. Cette approche doit être intégrée d'urgence dans la gouvernance de l'IA, à l'échelle nationale comme internationale.
Pour en savoir plus, nous vous invitons à lire Gérer les risques liés à l’IA en contexte d’incertitude : boîte à outils pour les analystes de politiques.
