OpenAI a expliqué comment il aligne ses travaux de sûreté, de sécurité et de transparence avec le code GPAI de la loi européenne sur l’IA en tant qu’approches d’application.
La société a contribué et approuvé le code de bonnes pratiques de l’UE en matière d’IA à usage général (GPAI) et le code de bonnes pratiques sur la transparence du contenu généré par l’IA. Tous deux sont issus de processus multipartites.
Le code GPAI fixe une barre commune en matière de transparence, de sûreté et de sécurité pour tous les modèles à usage général vendus ou déployés dans l’UE. OpenAI cite une pile de pratiques existantes comme preuve qu’il fonctionne déjà près de cette barre : tests préliminaires de modèles, cartes système publiées accompagnant les lancements majeurs et red-teaming externe via ce qu’il appelle son Red Teaming Network. La société maintient également un document public Model Spec décrivant comment elle façonne le comportement du modèle.
Deux cadres internes se trouvent sous ce travail. Le cadre de préparation est en place depuis 2023 et a été mis à jour en 2025 ; il explique comment OpenAI identifie, évalue et gère les risques sérieux liés aux systèmes avancés. Un cadre de gouvernance Frontier distinct s’appuie sur celui-ci, expliquant comment les pratiques de sûreté et de sécurité de l’entreprise correspondent aux exigences légales, y compris le code GPAI en particulier.
Ensemble, selon OpenAI, ces deux documents régissent l’évaluation des risques, les garanties, les modèles de reporting, la posture de sécurité, la réponse aux incidents et la manière dont les experts externes sont impliqués dans le processus.
OpenAI cite sa participation au Frontier Model Forum ainsi que ses collaborations avec le Center for AI Standards and Innovation des États-Unis et le UK AI Security Institute, ainsi que ses contributions aux normes d’évaluation tierces de manière plus large. L’objectif déclaré est une recherche partagée sur la sécurité et des critères de test plus clairs dans l’ensemble de l’industrie, et pas seulement au sein d’une seule entreprise.
La provenance devient plus difficile à mesure que les modalités se multiplient
Les engagements du Code de transparence se concentrent sur une problématique différente : aider les gens à savoir quand un contenu a été créé ou modifié par l’IA.
L’approche d’OpenAI repose sur deux mécanismes destinés à se renforcer mutuellement. Les informations d’identification de contenu, basées sur la norme C2PA, attachent le contexte directement à un fichier. Le filigrane SynthID fournit un signal de secours dans les cas où ces métadonnées sont supprimées quelque part en cours de route.
La couverture s’étend des images aux sorties audio, et OpenAI affirme s’efforcer d’étendre les mesures de provenance à d’autres modalités, y compris le texte, à mesure que les normes et les outils sous-jacents évoluent. La société élabore également des signaux et des conseils destinés aux développeurs qui doivent respecter leurs propres obligations de transparence lorsqu’ils construisent sur leurs modèles.
Rien de tout cela ne résout directement la provenance. Les métadonnées se perdent et les étiquettes ne survivent pas toujours à un transfert entre plateformes. Aucun signal, qu’il soit cryptographique ou basé sur un filigrane, ne détecte tout à lui seul. La réponse d’OpenAI est une approche à plusieurs niveaux associée à un travail continu au sein de la communauté de normalisation au sens large plutôt qu’une affirmation selon laquelle un mécanisme unique comblerait l’écart.
La cybersécurité comme test pour une gouvernance adaptative
Les capacités qui aident les défenseurs à repérer et à corriger les vulnérabilités sont les mêmes que celles qui pourraient aider un attaquant à les trouver en premier. OpenAI estime que la réponse réside dans son programme Trusted Access for Cyber, conçu pour donner aux défenseurs agréés un accès à des cybercapacités plus avancées tout en limitant l’exposition aux abus.
Ce programme dispose désormais d’un volet de déploiement européen. OpenAI déclare avoir lancé son plan d’action cyber de l’UE début mai 2026, en collaboration avec les agences cyber de l’UE et nationales, des partenaires du secteur privé et des opérateurs d’infrastructures pour leur donner accès à ses modèles cyber les plus avancés.
L’objectif déclaré du plan est de renforcer la cyber-résilience à travers le continent. La question de savoir si « le plus avancé » se traduit par des gains défensifs mesurables au sein de ces agences est une affirmation d’OpenAI elle-même ; le matériel source n’offre aucune vérification indépendante des résultats du programme.
L’entreprise considère ce travail comme cohérent avec le plan d’action de la Commission européenne sur la cybersécurité et l’intelligence artificielle, qui appelle à une gestion coordonnée des risques liés à l’IA parallèlement à son utilisation pour renforcer la capacité défensive, y compris des dispositions d’accès sécurisées à des fins spécifiques de cybersécurité.
OpenAI affirme qu’elle continuera d’ajuster son approche de conformité à mesure que la mise en œuvre de la loi européenne sur l’IA se poursuit, et qu’elle espère continuer à apprendre des régulateurs et de la communauté plus large impliquée dans l’élaboration des règles. L’entreprise affirme que les règles doivent être suffisamment flexibles pour s’adapter à l’évolution de la technologie, afin que les entreprises et les organisations puissent continuer à en bénéficier.
Le Code GPAI et le Code de transparence sont encore des instruments relativement nouveaux, et la documentation de conformité d’OpenAI est une cible mouvante plutôt qu’un produit fini. Les équipes qui s’appuient sur les modèles d’OpenAI sur les marchés européens réglementés devraient considérer les cartes système actuelles et le cadre de gouvernance des frontières comme un point de départ pour leur propre diligence raisonnable, et non comme un substitut à celle-ci.
