Trump signe un décret sur l'IA demandant aux entreprises de laisser la NSA tester les modèles de pointe avant leur publication

Le président Trump a signé le 2 juin 2026 un décret intitulé « Promoting Advanced Artificial Intelligence Innovation and Security », établissant un cadre volontaire qui demande aux entreprises d'IA de donner au gouvernement fédéral un accès anticipé aux modèles de pointe pour des tests de cybersécurité avant leur mise à disposition du public.

Ce décret marque un tournant significatif pour une administration qui avait initialement adopté une approche non interventionniste en matière de régulation de l'IA. Il reprend directement des éléments d'une proposition antérieure que la Maison-Blanche avait mise de côté après les pressions de l'industrie — mais avec un changement clé : là où le projet initial prévoyait une période d'examen obligatoire de 90 jours, le décret final ne demande qu'une participation volontaire.

Ce que fait réellement le décret

Le mécanisme central est une demande — et non une obligation — faite aux entreprises d'IA de permettre aux agences fédérales d'évaluer leurs « covered frontier models » jusqu'à 30 jours avant leur publication publique. Ces modèles sont définis comme les plus puissants, capables d'identifier et d'exploiter des vulnérabilités logicielles à grande échelle. La participation est explicitement volontaire, et le décret interdit expressément la création de tout système obligatoire de licence ou d'autorisation gouvernementale pour le développement ou la distribution de l'IA.

Soutenant le cadre de tests volontaire, le décret met en place un centre d'échange d'informations sur la cybersécurité de l'IA coordonné par le Trésor, la NSA et la CISA. Ce centre est chargé de scanner les vulnérabilités logicielles à grande échelle, de valider les failles découvertes et de prioriser les correctifs — en coordination avec l'industrie de l'IA et les opérateurs d'infrastructures critiques.

La NSA se voit confier un rôle supplémentaire spécifique : développer un processus de Benchmark classifié pour évaluer les capacités cyber avancées des modèles d'IA. Ce Benchmark définira également le seuil à partir duquel un modèle est désigné comme « covered frontier model » soumis à la demande d'examen volontaire.

Réactions de l'industrie et critiques

Le décret final est nettement plus modéré que son prédécesseur. Une version antérieure, qui aurait circulé en mai, incluait une fenêtre d'examen obligatoire de 90 jours qui avait suscité une forte opposition de la part des entreprises d'IA, inquiètes qu'un accès gouvernemental avant la publication ralentisse les délais de développement et expose l'architecture propriétaire des modèles. Le décret du 2 juin a entièrement supprimé le langage obligatoire.

La nature classifiée du seuil des modèles de pointe de la NSA a été critiquée par Dean Ball, ancien conseiller politique en IA de l'administration Trump, qui a fait valoir que le public et la communauté de recherche ont le droit de comprendre comment le gouvernement définit les modèles suffisamment capables pour justifier un examen de sécurité. La Maison-Blanche a décrit ce seuil classifié comme nécessaire pour empêcher les adversaires de calibrer leurs propres modèles afin d'éviter de déclencher un examen gouvernemental.

Le député Josh Gottheimer, qui milite pour une législation plus stricte sur l'encadrement de l'IA, a estimé que le cadre volontaire manque de « dents » pour garantir la participation effective des entreprises d'IA. Comme l'ont noté plusieurs analystes, l'efficacité du décret dépend entièrement de la décision des principaux laboratoires d'IA — Anthropic, OpenAI, Google DeepMind, Meta, etc. — de soumettre leurs modèles avant publication.

Contexte : pourquoi l'administration a finalement agi

Le décret justifie sa nécessité par la capacité démontrée des modèles d'IA de pointe à découvrir de manière autonome des vulnérabilités logicielles. La fiche d'information de la Maison-Blanche mentionnait le projet Glasswing d'Anthropic, dans lequel Claude Mythos Preview aurait identifié plus de 10 000 vulnérabilités de gravité élevée ou critique dans des logiciels d'importance systémique en un seul mois. Une telle capacité, entre les mains d'adversaires, représente une nouvelle catégorie de risque pour les infrastructures critiques que l'administration a conclu qu'elle ne pouvait ignorer.

Le décret ordonne aux agences fédérales d'étendre leur utilisation des outils défensifs de cybersécurité basés sur l'IA et de mettre ces outils à la disposition des gouvernements des États et locaux ainsi que des opérateurs d'infrastructures critiques — positionnant l'IA à la fois comme la menace et la principale défense contre cette menace.

Reste à savoir si le cadre volontaire produira des examens significatifs avant publication ; cela dépendra de la perception qu'a l'industrie de l'IA du rapport coût-bénéfice de sa participation. L'administration a délibérément laissé la question ouverte.

Sources : White House ; The Next Web ; Council on Foreign Relations