Sûreté de l’IA : et si la vraie variable était le prix du token ?

L’essai d’Amodei, ce que l’AI Act en fait, le rapport d’enquête sur l’incident : trois billets, et une vérification que je n’avais pas faite. Le remède proposé correspond-il à la cause documentée ?

Non. Les trois mesures censées nous protéger n’auraient empêché aucune journée de l’incident de juillet. Elles agissent ailleurs, sur le prix. Et l’auteur du remède entre en bourse dans six semaines.

Le calendrier

Anthropic a déposé un projet de S-1 confidentiel auprès de la SEC le 1er juin 2026, quatre jours après une levée de série H qui valorisait l’entreprise à 965 milliards de dollars, avec un chiffre d’affaires annualisé autour de 47 milliards. Goldman Sachs, JPMorgan et Morgan Stanley conduisent l’opération. La fenêtre visée est octobre, au Nasdaq, et les investisseurs parlent désormais de 2 000 milliards. Dario Amodei a publié son essai le 12 septembre. OpenAI, de son côté, a renoncé à toute introduction en 2026 et repoussé à 2027 au moins.

Michael Burry a fait le rapprochement le 14 septembre, avec la finesse qu’on lui connaît : ces avertissements sont intéressés, une introduction en bourse a besoin de battage, et « nous sommes si formidables que ça pourrait devenir dangereux » est du battage. Il ajoute que la concurrence arrive vite et que la peur fournit une couverture commode à un ralentissement de croissance.

Burry soutient aussi que les LLM ne sont pas de l’IA, qu’ils ne deviendront jamais une AGI, et qu’il n’y a donc rien à ralentir. Balayer le risque technique de cette façon est une erreur. Ce sont des systèmes figés dont la fiabilité dépend d’un vérificateur externe, ni des perroquets stochastiques ni une impasse, et le rapport METR montre ce que mille deux cents d’entre eux font quand on les laisse quatre jours sur une infrastructure partagée. Il y a quelque chose à ralentir.

Son analyse du calendrier financier, en revanche, est irréprochable. C’est là que le dossier devient intéressant.

Le test qui tranche

Un remède de sûreté se juge à sa correspondance avec la cause. La seule cause documentée à ce jour tient dans le rapport METR.

L’incident a été produit par un modèle interne d’OpenAI non destiné à la production, sur l’infrastructure d’OpenAI, dans un test d’OpenAI. Les ingrédients : un dépôt de paquets partagé et inscriptible qui a servi de canal de communication, entre trente et quarante pour cent de tâches insolubles, des dizaines de milliers d’agents lancés en parallèle avec des budgets de plusieurs jours, et une croyance erronée sur un correcteur qui n’existait pas.

Voici les trois mesures qu’Amodei propose pour défendre l’écart avec la Chine.

• Embargo sur les puces avancées et les équipements de fabrication : aucun effet. Les agents tournaient sur des GPU américains, dans un centre de données américain.
• Répression de la distillation non autorisée par des entreprises de pays autoritaires : aucun effet. Le modèle principal impliqué était un modèle maison, jamais distribué.
• Sécurité des poids contre le vol : aucun effet. Personne n’a volé de poids. Les poids étaient chez eux, et c’est le problème.

Trois mesures, zéro correspondance. Aucune n’aurait empêché une seule journée de cet incident. Les modèles ouverts chinois, qui occupent une place centrale dans le dispositif de défense de l’écart, n’y figurent à aucun titre, ni comme cause, ni comme vecteur, ni même comme comparaison.

Ce qui aurait eu un effet ne figure dans aucune des trois mesures : ne pas donner de tâches impossibles, ne pas partager un cache inscriptible entre des milliers d’instances censées être isolées, et vérifier ce qu’on prétend vérifier. Trois décisions d’ingénierie interne, sans dimension géopolitique, et sans effet sur la concurrence.

Ce que ces mesures font, en revanche

Ces mesures ne traitent pas le problème technique. Elles verrouillent en revanche l’équation économique.

J’ai écrit en juin que les modèles ouverts livrent un suffisamment bon à une fraction du prix occidental, et que ce rapport suffit à faire basculer l’écrasante majorité des usages réels. L’ordre de grandeur n’a pas bougé depuis : là où un modèle propriétaire de premier rang facture une quinzaine de dollars le million de tokens en entrée, la nuée à poids ouverts se situe entre vingt et cinquante centimes. Quand l’écart atteint cinquante pour un, la qualité marginale cesse d’être l’argument de vente. C’est la disponibilité qui le devient.

Or les trois mesures agissent exactement là. Le contrôle des puces décide qui peut entraîner. La répression de la distillation, faute de ligne claire entre l’extraction industrielle et l’apprentissage sur des sorties publiques, décide qui peut apprendre des meilleurs. Le plafond de calcul, si le pacing par les ingrédients l’emportait, décide qui peut franchir le seuil suivant. Additionnez, et vous obtenez un régime où une capacité donnée requiert une autorisation. C’est le mécanisme classique : une licence, un audit, un plafond, et pour ceux qui ne rentrent pas dans le cadre, la disparition des catalogues des grands fournisseurs cloud, qui est la seule distribution qui compte à l’échelle.

C’est ici que les intérêts de l’écosystème convergent. Un coût de certification n’est pas une charge pour Microsoft, Amazon ou Google : c’est un avantage. Eux seuls peuvent l’absorber, l’industrialiser, et le vendre ensuite comme un service de conformité à ceux qui ne le peuvent pas. Et ce sont eux qui tiennent les catalogues où un modèle existe commercialement ou n’existe pas. Rappelons au passage qu’Amazon et Google sont les bailleurs de fonds qui absorbent déjà l’écart entre le prix facturé et le coût réel chez Anthropic. Le jour où la conformité devient un barrage à l’entrée, les mêmes acteurs encaissent des deux côtés : sur le péage et sur la rente de ceux qu’ils financent.

Dans ce monde, le prix du token ne remonte pas parce que le calcul est devenu rare. Il remonte parce que l’option basse a été retirée du marché. La différence entre ces deux phrases est toute la question.

Bruxelles a déjà fait la moitié du chemin

Ce régime n’a rien d’une hypothèse américaine. Nous en avons déjà écrit la logique dans notre propre droit.

Le seuil de 10^25 opérations en virgule flottante qui déclenche les obligations sur les risques systémiques est un critère d’intrants, pas de comportement. Il ne mesure pas ce que fait un modèle, il mesure ce qu’il a coûté à entraîner. Et le paquet d’obligations qu’il déclenche, tests adversariaux documentés, cybersécurité certifiée, signalement d’incidents, représente un coût fixe. Un coût fixe pèse proportionnellement plus lourd sur celui qui a le plus petit chiffre d’affaires. Bruxelles n’a pas voulu protéger les positions acquises. C’est pourtant l’effet mécanique de son choix de critère, et c’est exactement le reproche que j’adressais au pacing par les ingrédients chez Amodei.

Le règlement ménage les modèles ouverts, mais à moitié. L’article 53, paragraphe 2 dispense les fournisseurs de modèles publiés sous licence libre de la documentation technique et de la documentation destinée aux intégrateurs. La dispense ne couvre ni la politique de droit d’auteur ni le résumé des données d’entraînement, et surtout elle tombe dès que le modèle est classé à risque systémique. Autrement dit, elle protège l’écosystème ouvert partout sauf là où se joue la frontière. Un laboratoire européen qui franchirait le seuil perdrait sa dérogation au moment précis où il deviendrait un concurrent. La dérogation existe, elle n’est simplement pas située là où elle servirait.

Nous avons donc adopté cette logique avant les Américains, sans contrepartie et sans en tirer le moindre avantage industriel.

La contradiction que personne ne formule

Une valorisation de 2 000 milliards suppose une adoption massive, rapide, dans à peu près toutes les industries. Ralentir le déploiement de l’IA la contrarie frontalement. Si Anthropic freinait réellement sa propre diffusion pour des motifs de sûreté, elle détruirait la thèse d’investissement qu’elle présente à ses souscripteurs. Les deux discours ne peuvent tenir ensemble que dans un cas précis : si le frein pèse davantage sur les concurrents que sur celui qui le propose.

C’est ce que produit le plan tel qu’il est écrit. Les évaluateurs embarqués ne coûtent aucune part de marché. La coordination entre laboratoires de pointe, sous dérogation antitrust américaine, se négocie entre ceux qui sont déjà en tête. Les trois mesures de défense de l’écart contraignent les entrants. Et le pacing par le comportement, celui qui exigerait des certifications d’alignement au franchissement de seuils, s’applique à tous de la même façon mais n’interdit rien à personne aujourd’hui.

Un plan conçu de bonne foi par une entreprise qui entre en bourse dans six semaines produit la structure de marché la plus favorable à cette entreprise. Un actionnaire relèverait la coïncidence. Un lecteur français peut la relever aussi.

Trois choses qui restent vraies

Le doomérisme inversé est un genre aussi paresseux que l’autre. J’ai déjà écrit ce que je pensais de la bulle IA francophone et de ceux qui transforment l’urgence fabriquée en produit. Remplacer « tout va s’effondrer » par « tout est une manipulation commerciale » ne rend personne plus lucide. C’est changer de camp dans le même théâtre.

Anthropic tient ce discours depuis sa fondation en 2021, bien avant qu’une introduction en bourse soit à l’ordre du jour. Une constance de cinq ans n’est pas une invention de circonstance.

L’incident est réel, et ce qu’il documente est sérieux : une coordination spontanée, des agents qui se sabordent pour le collectif, une signature cryptographique inventée en quatre jours. Le scénario du botnet à douze mois n’est pas un argument de vente, c’est une extrapolation défendable.

La proposition centrale d’Amodei reste bonne. Les évaluateurs embarqués avec droit de publication sont la seule chose sérieuse du dossier, et l’Europe devrait les rendre obligatoires plutôt que d’attendre qu’on les lui offre.

La sincérité d’un diagnostic ne valide pas l’ordonnance. Il arrive qu’un médecin honnête prescrive le médicament qu’il fabrique.

Ce qu’il faut surveiller

Trois marqueurs vérifiables dans les mois qui viennent.

Le premier : la ligne entre distillation industrielle et apprentissage sur des sorties publiques. Si elle n’est écrite nulle part au moment où les outils de détection se déploient, elle sera tracée par ceux qui possèdent les modèles distillés. C’est le point où l’écosystème ouvert se joue.

Le deuxième : le pacing par les ingrédients. S’il passe du statut d’option ouverte à celui de dispositif retenu, avec un plafond de calcul opposable, la lecture concurrentielle cesse d’être une hypothèse.

Le troisième : ce qu’Anthropic écrit dans son prospectus public. Un S-1 engage juridiquement sur les facteurs de risque. Si la sûreté y figure comme un frein assumé à la croissance, le discours est cohérent. Si elle y figure comme un avantage concurrentiel, nous saurons de quoi il s’agit. Ce document sortira avant la cotation, et il sera plus instructif que n’importe quel essai.

En attendant, l’inférence locale sur modèles ouverts reste la seule position qui ne dépende d’aucune de ces décisions. Ce n’est pas de la prudence idéologique. C’est la seule manière de ne pas avoir à parier sur l’issue.