Washington verrouille l’usage des IA avec des mesures inédites

L’intelligence artificielle s’invite au cœur des préoccupations sécuritaires de l’État fédéral américain. Face à l’essor des modèles de langage et leur intégration croissante dans les services publics, une nouvelle réglementation vient encadrer leur utilisation. L’objectif : garantir que les informations gouvernementales ne tombent pas entre de mauvaises mains.

Une nouvelle clause contraignante pour les fournisseurs d’IA

La GSA (General Services Administration) a introduit la clause 552.239-7001 baptisée « Basic Safeguarding of Data within Large Language Model Artificial Intelligence Systems ». Cette disposition s’applique désormais à tous les nouveaux contrats impliquant des modèles de langage, des assistants virtuels, des chatbots ou des agents conversationnels.

Les entreprises disposent d’un délai jusqu’au 19 octobre 2026 pour se mettre en conformité. Cette échéance concerne tous les appels d’offres lancés après l’entrée en vigueur de la réglementation.

Des interdictions strictes sur l’exploitation des données publiques

Le texte impose des restrictions majeures aux prestataires technologiques. L’entraînement des modèles d’IA avec les données gouvernementales est formellement prohibé. Une mesure qui vise à empêcher toute appropriation ou apprentissage non autorisé à partir d’informations sensibles.

À la fin de chaque contrat, les fournisseurs devront procéder à l’effacement complet des poids affinés. Cette disposition garantit qu’aucune trace des ajustements effectués grâce aux données de l’État ne subsiste dans les systèmes.

Surveillance des adaptations internationales

Toute adaptation des modèles à des règles ou normes non américaines susceptibles d’influencer les réponses doit être signalée dans un délai de 30 jours. Cette transparence permet aux autorités de contrôler les éventuelles influences étrangères sur les systèmes utilisés.

Sécurité et réactivité en cas d’incident

Les prestataires sont tenus d’alerter l’administration sous 72 heures maximum en cas de violation substantielle de données ou d’incident de sécurité. Cette obligation de notification rapide s’inscrit dans une logique de gestion proactive des risques.

Les informations gouvernementales ne peuvent en aucun cas servir à des fins de marketing ou de revente, sauf autorisation écrite explicite. Cette interdiction vise à préserver la confidentialité des données publiques.

Protection contre les influences étrangères

Une disposition cruciale interdit que les composants centraux des systèmes d’IA soient sous l’influence de gouvernements considérés comme « adversaires ». Cette clause reflète les préoccupations géopolitiques croissantes autour des technologies émergentes.

Deux exceptions notables sont prévues : les systèmes utilisés uniquement en interne par le prestataire et ceux où la fonction IA reste accessoire au service principal.

Implication des sous-traitants

Les sous-traitants impliqués dans le traitement des données de l’État doivent également se conformer à l’ensemble de ces exigences. La chaîne de responsabilité s’étend ainsi à tous les acteurs du processus.

Privilège accordé aux solutions américaines

La réglementation favorise explicitement les modèles développés sous juridiction américaine. Cette préférence nationale s’inscrit dans une stratégie de souveraineté technologique.

Les composants open source restent acceptables, à condition de répondre aux critères de sécurité et de démontrer l’absence de contrôle étranger sur leur développement ou leur maintenance.

Preuves de conformité acceptées

Pour attester de leur respect des normes, les fournisseurs peuvent présenter des certifications existantes. Les labels FedRAMP, SOC 2 ou ISO/IEC 27001 constituent des preuves recevables de conformité aux exigences de sécurité.

Sanctions en cas de manquement

Le non-respect de ces dispositions peut entraîner la résiliation du contrat pour faute. Les coûts liés au démantèlement des systèmes sont plafonnés à 25 % de la valeur totale de la commande.

Un cadre réglementaire en évolution

Cette clause s’inscrit dans la refonte globale des règles d’achat fédérales initiée par le décret 14275. Elle s’articule avec le MAS Refresh 31, qui encadre les contrats-cadres incluant des solutions comme Claude d’Anthropic, Gemini de Google et ChatGPT d’OpenAI.

Une procédure formelle avec consultation publique est prévue. Cette démarche permettra d’ajuster les dispositions en fonction des retours des acteurs du secteur.

Portée et contrôle continu

Le périmètre d’application reste circonscrit aux achats passés par la GSA et les entités fédérales autorisées à utiliser ses contrats-cadres. Cette limitation ciblée permet une mise en œuvre progressive.

L’administration se réserve le droit de suspendre et d’évaluer les modèles d’IA à tout moment. Ces audits visent notamment à vérifier l’absence de biais discriminatoires et la qualité des contenus générés.