Votre fournisseur d’IA annonce des contrôles de sécurité et un auditeur indépendant. Le projet peut avancer, pense la direction. Puis un audit révèle un problème sérieux, quelques jours avant le lancement. Qui peut imposer une correction, informer les clients ou demander un report ?
C’est la question que soulève le code de bonne conduite signé à la Maison-Blanche le 29 septembre 2026. Pour une direction juridique, la signature compte moins que les conséquences attachées au non-respect de l’engagement.
1. Ce que les six entreprises ont effectivement signé
Google, Anthropic, Meta, OpenAI, xAI et Nvidia figurent parmi les signataires du document publié par la présidence américaine. L’accord concerne les entreprises qui entraînent et déploient les modèles les plus avancés, souvent appelés modèles de frontière. Il vise notamment les risques cyber, biologiques et chimiques, ainsi que les accès informatiques non souhaités.
Le texte organise les contrôles à quatre niveaux :
| Niveau | Engagement annoncé |
|---|---|
| Contrôles techniques internes | Surveiller les capacités et le comportement des modèles pendant leur entraînement et leur déploiement. |
| Équipe interne de vérification | Vérifier le fonctionnement des contrôles, de la surveillance et de la détection, et la correction des problèmes. |
| Auditeur ou évaluateur externe indépendant | Évaluer indépendamment le fonctionnement de ces dispositifs. |
| Comité indépendant du conseil d’administration | Recevoir les rapports internes et externes, superviser les contrôles et veiller aux corrections. |
Il s’agit bien d’un comité au sein du conseil de chaque entreprise, pas d’un régulateur commun aux six signataires. Des réunions entre entreprises sont également prévues pour élaborer des standards et bonnes pratiques.
Source du tableau et des engagements : Présidence américaine, « White House Accord on Super Intelligence », 29 septembre 2026.
2. Un audit indépendant n’est pas une autorisation de mise sur le marché
Le dispositif n’est pas vide. Il répartit des responsabilités et fait remonter les alertes au niveau du conseil d’administration. En revanche, le document ne précise ni fréquence minimale d’audit, ni délai chiffré de correction, ni obligation générale de publier les rapports ou de notifier les incidents aux clients.
Il n’institue pas non plus de sanction administrative spécifique ou d’autorité publique chargée d’autoriser chaque lancement. Le texte envisage lui-même une éventuelle inscription future de ces mesures dans des lois ou règlements. Il ne réalise pas cette codification.
Le comité est chargé de veiller aux corrections, mais l’accord ne définit pas une procédure détaillée d’arrêt ou de report d’un lancement. L’indépendance d’un évaluateur ne lui confère pas, à elle seule, un pouvoir de veto.
Prenons un exemple hypothétique : l’audit d’un agent révèle qu’il peut accéder à des fichiers hors du périmètre autorisé. Une entreprise cliente doit pouvoir savoir si son propre usage est concerné et suspendre les accès à risque. La seule signature du code ne lui donne pas automatiquement accès au rapport, au calendrier de correction ou à un recours contractuel dédié.
3. Pourquoi la comparaison avec le code européen doit être précise
L’Union européenne utilise elle aussi un instrument volontaire. La Commission européenne, « The General-Purpose AI Code of Practice » présente un code organisé en trois chapitres : transparence, droit d’auteur, sécurité et sûreté. Il aide les fournisseurs à démontrer le respect de l’AI Act ; sa signature ne remplace pas l’exécution des obligations correspondantes.
La différence se situe dans le socle légal. Le Règlement (UE) 2024/1689, article 55 impose aux fournisseurs de modèles d’IA à usage général présentant un risque systémique des évaluations, des tests contradictoires, une réduction des risques, le signalement des incidents graves et une protection cyber adaptée. Ces devoirs ne concernent pas indistinctement chaque entreprise utilisant un chatbot.
Le Règlement (UE) 2024/1689, article 93 permet à la Commission, dans les conditions prévues, de demander des mesures correctrices et de restreindre la mise à disposition d’un modèle, voire d’en demander le retrait ou le rappel. Le droit européen ne repose donc pas seulement sur la volonté du fournisseur de suivre un audit.
Le calendrier reste important : les modèles à usage général mis sur le marché avant le 2 août 2025 bénéficient du régime transitoire prévu au Règlement (UE) 2024/1689, article 111, paragraphe 3, avec une échéance au 2 août 2027.
Volontaire ne signifie donc pas la même chose dans les deux cadres : l’accord américain formule des engagements ; le code européen facilite la démonstration d’obligations imposées par un règlement. Aucun de ces codes ne dispense une entreprise de qualifier les règles applicables à son modèle et à son usage.
4. Sans sanction propre ne signifie pas sans conséquence juridique
Une promesse publique ne devient pas automatiquement une clause du contrat client. Elle n’est pas pour autant toujours dépourvue de portée juridique.
En droit français, le Code de la consommation, article L. 121-2 vise notamment les présentations trompeuses portant sur les tests, les contrôles et la portée des engagements du professionnel. Une affirmation commerciale selon laquelle un service aurait subi un audit qu’il n’a jamais passé pourrait ainsi soulever une difficulté distincte, sous réserve des conditions du texte. Cela ne signifie pas que toute promesse non tenue caractérise automatiquement une infraction.
Le contrat offre un autre levier. Le Code civil, article 1103 consacre la force obligatoire des conventions légalement formées. Lorsqu’une obligation précise de sécurité ou d’information est intégrée au contrat, son inexécution peut engager la responsabilité du fournisseur dans les conditions du Code civil, article 1231-1.
Le raisonnement doit rester en deux temps : identifier la véritable obligation opposable, puis démontrer le manquement et ses conséquences. L’adhésion à une charte ne remplace aucune de ces étapes.
5. Ce qu’une direction juridique peut négocier avant de déployer l’IA
L’accord peut servir de point de départ à la négociation, pas de réponse finale au questionnaire de conformité. Selon le risque et le pouvoir de négociation de l’entreprise, quatre sujets méritent d’être précisés :
- Le périmètre de l’évaluation : version du modèle, fonctionnalités testées, limites connues et synthèse des résultats communicables sous confidentialité.
- Les suites d’une alerte : critères de gravité, destinataires, délai de notification au client et calendrier de correction.
- La décision de suspendre : conditions permettant de désactiver une fonctionnalité, restreindre les accès ou reporter un déploiement.
- Les recours : coopération, conservation des éléments utiles, suspension ou résiliation et responsabilité, en tenant compte des plafonds et exclusions contractuels.
Ces clauses sont des pistes de sécurisation, pas des droits universellement garantis par l’accord. Elles doivent aussi être cohérentes avec les capacités techniques de l’entreprise cliente. Un droit de suspension sera peu utile si personne ne sait désactiver l’agent ou isoler ses connexions.
Conclusion : le test commence lorsque la sécurité contrarie le calendrier commercial
Réduire ce code à un simple coup de communication serait excessif : des évaluations externes et un suivi par le conseil peuvent améliorer la gouvernance. Y voir une certification de sécurité serait tout aussi trompeur.
La question utile est plus concrète : si l’auditeur demande de corriger un risque avant le lancement, qui peut imposer la décision et qui en vérifiera l’exécution ?
Pour l’entreprise cliente, la confiance devient exploitable lorsque les engagements se traduisent en preuves accessibles, en responsabilités identifiées et en possibilités d’action. C’est à cet endroit que la direction juridique transforme une annonce rassurante en protection opérationnelle.
Le code américain de bonne conduite de l’IA est-il une loi ?
Non. L’accord du 29 septembre 2026 énonce des engagements volontaires. Il ne crée pas, à lui seul, un nouveau régime de sanctions publiques.
Prévoit-il réellement un audit indépendant ?
Oui. Il prévoit un auditeur ou évaluateur externe indépendant. Le comité de supervision relève du conseil d’administration de chaque entreprise et ne constitue pas une autorité publique commune.
Une entreprise cliente peut-elle exiger les rapports d’audit ?
L’accord ne lui accorde pas automatiquement ce droit. L’accès à une synthèse ou à des éléments de preuve doit notamment être examiné dans le contrat, sous réserve des autres obligations légales applicables.
Quelle différence avec le code européen pour les modèles d’IA à usage général ?
Le code européen est également volontaire, mais sert à démontrer la conformité aux obligations de l’AI Act. L’accord américain ne remplace ni ces obligations ni les pouvoirs des autorités européennes.
Une promesse volontaire peut-elle engager une responsabilité ?
Potentiellement. Une obligation contractualisée ou une présentation commerciale trompeuse peut produire des conséquences selon le droit applicable. L’absence de sanction propre au code ne signifie donc pas absence de tout recours.