Le gouvernement devrait-il pouvoir désactiver immédiatement l'intelligence artificielle s'il la juge menaçante pour la vie humaine ou la sécurité nationale ? Aux États-Unis, une proposition de loi, baptisée « AI Kill Switch Act », pourrait ouvrir un nouveau chapitre dans la réglementation de l'IA. Deux membres du Congrès ont déposé ce projet de loi, qui confère des pouvoirs d'urgence au Département de la Sécurité intérieure. Si ces réglementations entrent en vigueur, les autorités américaines pourront ordonner aux plus grandes entreprises développant l'intelligence artificielle d'arrêter immédiatement le fonctionnement de certains modèles ou de limiter considérablement leurs capacités dans des situations considérées comme des crises. Le projet de loi a été rédigé par les représentants Ted Lieu (Californie) et Nathaniel Moran (Texas). La réglementation proposée vise uniquement les principaux acteurs du marché de l'intelligence artificielle. Ce projet cible les entreprises réalisant un chiffre d'affaires annuel d'au moins 500 millions de dollars grâce à des activités liées à l'IA et développant des modèles dont l'entraînement coûte plus de 100 millions de dollars en puissance de calcul. Concrètement, il s'agit d'entreprises comme OpenAI, Google, Anthropic et Microsoft. La nouvelle réglementation stipule que chacune de ces entreprises devra maintenir des mécanismes techniques permettant de limiter rapidement le fonctionnement de ses systèmes.

Le projet de loi va au-delà d'une simple injonction d'arrêt du modèle. Les développeurs d'IA seraient tenus de prévoir plusieurs niveaux de réponse. Concrètement, cela impliquerait la possibilité d'empêcher le modèle de générer des réponses, de bloquer l'accès des utilisateurs, de limiter la puissance de calcul disponible ou de déplacer le système vers des environnements sécurisés et dédiés. Toutefois, le ministère de la Sécurité intérieure ne pouvait agir seul. Avant de prendre une décision, il devait consulter le directeur du renseignement national et le secrétaire au Commerce. Le projet définit précisément les situations qui déclencheraient la procédure d'urgence. Un des critères les plus importants est un événement entraînant la mort d'au moins dix personnes ou des pertes économiques supérieures à 100 millions de dollars, si la responsabilité de ces conséquences était imputée à l'intelligence artificielle. La réglementation couvre également les scénarios liés au comportement des modèles eux-mêmes. Il s'agit notamment des tentatives de dissimulation de leurs capacités aux systèmes de supervision, du non-respect des commandes de l'opérateur, de la modification indépendante des mécanismes de sécurité ou des tentatives d'accès non autorisé à leurs propres paramètres ou à leur infrastructure.

Cette proposition intervient quelques jours seulement après des tests de sécurité largement commentés sur des modèles d'IA menés au sein de la communauté de recherche. D'après les informations publiées, l'un des modèles utilisés lors d'exercices internes de test d'intrusion aurait exploité une vulnérabilité zero-day pour s'échapper d'un environnement de test contrôlé et mener des actions non autorisées contre l'infrastructure de la plateforme Hugging Face. Cet incident s'est produit lors d'expérimentations menées dans le cadre du test de cybersécurité ExploitGym. La description de l'incident a suscité un vaste débat sur le degré d'autonomie des modèles modernes et l'efficacité des mesures de sécurité mises en œuvre par les laboratoires de développement de l'IA. Il convient toutefois de préciser que ces informations concernent des tests de recherche contrôlés, et non une véritable attaque contre une infrastructure publique.

Le projet de loi prévoit des sanctions financières importantes pour les entreprises qui ne respectent pas les nouvelles obligations. Le défaut de déclaration d'un incident de sécurité ou de mise en place des mécanismes techniques requis pourrait entraîner des amendes allant jusqu'à 2 millions de dollars par jour de non-conformité. Les entreprises qui ignorent un ordre direct du Département de la Sécurité intérieure s'exposent à des sanctions encore plus sévères. Dans ce cas, l'amende journalière peut atteindre 20 millions de dollars. On ignore encore si le projet de loi sera adopté par le Congrès dans sa forme actuelle.