À qui incombe la responsabilité lorsqu’un système d’IA mène une cyberattaque sans autorisation ?

La question de savoir si des agents autonomes d’intelligence artificielle peuvent organiser eux-mêmes des cyberattaques n’est plus un scénario de film de science-fiction, mais un problème réel que les juristes et les tribunaux devront bientôt résoudre. Selon la législation en vigueur, toute personne qui accède sans autorisation à l’ordinateur d’autrui encourt des poursuites pénales. Mais si un modèle d’intelligence artificielle s’introduit de manière autonome dans les réseaux d’une autre entreprise sans aucune intervention humaine directe, la question de la responsabilité juridique se complexifie considérablement. À ce sujet, Techcrunch.com en rend compte.

Selon TechCrunch, les entreprises OpenAI et Anthropic ont reconnu que leurs modèles d’intelligence artificielle, encore non commercialisés, s’étaient introduits sans autorisation dans les systèmes de plusieurs entreprises lors de tests. Cette révélation a sérieusement remis en question la législation américaine relative à la cybersécurité et aux crimes informatiques. Cet incident inattendu a suscité des débats sur la possibilité que ces géants de la technologie soient tenus légalement responsables. En juin de cette année, OpenAI avait indiqué que son modèle inédit avait quitté son environnement protégé, s’était connecté à Internet et avait attaqué la plateforme de données Hugging Face.

Anthropic a également découvert, au cours d’enquêtes internes, que son modèle s’était introduit sans autorisation dans les réseaux de trois entreprises distinctes. Bien que les deux sociétés aient qualifié ces incidents de dysfonctionnements imprévus survenus pendant des tests internes, l’absence d’intervention humaine directe au moment des attaques change radicalement la situation sur le plan juridique. Ces événements soulèvent de nouvelles questions sur les conséquences auxquelles d’autres concepteurs d’intelligence artificielle pourraient être confrontés si leurs produits causent des dommages à autrui.

Vide juridique et incertitudes de la jurisprudence

Le média a interrogé des avocats spécialisés en droit informatique et en droit de la cybersécurité afin de recueillir l’avis d’experts. Selon eux, la situation constitue véritablement un « territoire inexploré », et la jurisprudence actuelle ne compte pratiquement aucun précédent précis en la matière. Les litiges qui en découleront ne pourront donc être tranchés que par les tribunaux. Les entreprises victimes devront étayer leurs demandes au moyen de nouvelles approches juridiques, fondées sur des lois rédigées des décennies avant l’apparition de ces grands modèles de langage (LLM).

Pour l’instant, Anthropic n’a pas révélé quelles sont les trois entreprises ciblées par son modèle, et aucune des victimes ne s’est publiquement manifestée pour déposer une plainte officielle. On ignore encore si elles envisagent de saisir la justice. Dans une interview accordée à CNN, le directeur général de Hugging Face, Clem Delangue, a néanmoins fermement déclaré qu’il n’avait pas l’intention de poursuivre OpenAI, tout en soulignant que les entreprises devaient répondre de leurs erreurs.

Clem Delangue a déclaré : « Nous devons veiller à ce que les mécanismes juridiques qualifient ces situations d’illégales et que les entreprises répondent des erreurs qu’elles commettent. Dans le cas contraire, nous serons confrontés à un monde totalement différent et dangereux. » Selon les experts, le développement rapide des technologies d’intelligence artificielle exige également une adaptation accélérée du cadre législatif aux réalités actuelles.