Le cadre chinois de gouvernance de la sécurité de l’IA 3.0 se concentre sur les agents et le contrôle

La Chine a publié le China AI Safety Governance Framework 3.0 le 14 septembre, marquant sa troisième révision en trois ans. Le document conserve le modèle chinois fondé sur les risques, mais déplace l’attention vers les agents IA, les systèmes agissant dans le monde physique et le risque de perte de contrôle humain. Cette évolution compte, car l’IA passe de la génération de réponses à l’exécution d’actions.

Le Comité technique national 260 sur la cybersécurité, connu sous le nom de TC260, a publié ce cadre lors de l’ouverture de la Semaine nationale de la cybersécurité 2026 de la Chine à Jinan. L’Administration du cyberespace de Chine, ou CAC, a piloté son élaboration.

La publication n’est pas une nouvelle loi et n’impose pas automatiquement de nouvelles sanctions aux entreprises d’IA. Son importance vient d’ailleurs. Les cadres du TC260 peuvent orienter les normes techniques, les pratiques de test, les directives sectorielles et les attentes que les régulateurs appliquent aux développeurs et aux fournisseurs de services.

La version 3.0 arrive également un an après que le cadre a intégré des risques sociaux et éthiques plus larges. La Chine applique désormais le même modèle de gouvernance à des systèmes capables d’utiliser des outils, d’accéder à des fichiers, de communiquer avec d’autres services et d’agir avec moins de supervision directe.

C’est là que réside la tension centrale. La Chine souhaite étendre l’adoption de l’IA dans les entreprises et les services publics, tout en exigeant que des systèmes de plus en plus autonomes restent prévisibles, traçables et soumis à l’intervention humaine.

Ce que change le China AI Safety Governance Framework 3.0

Le cadre considère l’action autonome, et non l’amélioration de la conversation, comme le principal enjeu de sécurité du prochain cycle de déploiement de l’IA.

Selon la publication officielle du cadre, le TC260 a conservé trois éléments des éditions précédentes : la classification des risques, les contre-mesures techniques et la gouvernance globale. Il a actualisé les risques au sein de cette structure et ajusté les réponses recommandées.

Cette continuité est importante. La version 3.0 ne rejette pas l’approche précédente de la Chine. Elle cherche à appliquer cette même approche à des systèmes disposant d’un accès plus large, de périodes de fonctionnement plus longues et d’une influence accrue hors d’une fenêtre de discussion.

Le document décrit l’extension des applications d’IA, des contextes spécialisés vers les usages courants. Il cite notamment les assistants de travail, les assistants personnels et les téléphones équipés d’agents. Il distingue également les systèmes qui répondent à des questions de ceux qui exécutent des tâches.

Un agent IA est un système capable de percevoir des informations, de conserver le contexte, de prendre des décisions, d’appeler des outils et d’exécuter des étapes vers un objectif. Ces capacités peuvent réduire le travail routinier, mais elles créent aussi de plus longues chaînes de défaillances possibles.

Un chatbot peut produire une réponse erronée. Un agent peut accepter cette réponse, ouvrir un service, modifier un enregistrement, envoyer des informations ou déclencher un autre processus avant qu’une personne ne remarque l’erreur.

La version 3.0 accorde donc un traitement plus explicite aux risques liés aux agents. Son annexe consacrée à la gestion des risques des agents IA couvre le cycle de vie du système, du développement et du déploiement jusqu’à son exploitation et son retrait.

Le cadre demande aux organisations d’examiner ce qu’un agent lit, quelles instructions il considère comme fiables, quels outils il peut appeler et si ses actions restent conformes à la demande de l’utilisateur. Ces questions portent sur le processus à l’origine d’un résultat, et non uniquement sur le résultat lui-même.

Cette distinction modifie la manière dont la sécurité doit être évaluée. Un rapport final peut sembler exact même si l’agent a exposé des données confidentielles en le produisant. Une transaction achevée peut paraître valide même si des instructions malveillantes ont redirigé une étape du flux de travail.

L’injection de prompt illustre le problème. Une attaque par injection de prompt introduit des instructions cachées ou trompeuses dans le contenu traité par un système d’IA. Un agent parcourant une page web pourrait interpréter ces instructions comme des commandes, même si l’utilisateur ne les a jamais approuvées.

Le cadre aborde également les risques liés aux plug-ins compromis, aux réponses d’outils manipulées, aux autorisations excessives et à une mémoire peu fiable. Chaque faiblesse devient plus grave lorsque le système peut agir sans confirmation.

L’intelligence incarnée reçoit également une attention accrue. Ce terme couvre l’IA connectée à des machines qui perçoivent ou influencent le monde physique, notamment les robots, les véhicules et les équipements industriels.

Dès lors qu’un logiciel peut contrôler un appareil physique, une défaillance de cybersécurité peut devenir un incident de sécurité. Une instruction manipulée pourrait affecter un déplacement, la production, le contrôle d’accès ou le fonctionnement d’un équipement.

Le document identifie aussi l’amélioration récursive et le développement auto-accéléré comme des enjeux nécessitant une vigilance particulière. Il n’affirme pas que les systèmes actuels ont échappé au contrôle humain. Il soutient plutôt qu’une optimisation autonome plus rapide mérite des tests et une supervision continus.

Le résultat est un cadre de sécurité de l’IA expliqué à travers une nouvelle réalité opérationnelle. Le comportement du modèle reste important, mais les autorisations, les outils, les connexions, la mémoire et l’accès physique font désormais partie du périmètre de sécurité.

Pourquoi la Chine actualise à nouveau sa stratégie de gouvernance de l’IA

Trois publications annuelles montrent que la Chine considère la gouvernance de l’IA comme un processus technique évolutif, et non comme un document politique pouvant rester figé pendant des années.

Le TC260 a publié la première édition en septembre 2024. Cette version organisait les risques liés aux modèles, aux algorithmes, aux données, aux systèmes, à la cybersécurité, à la sécurité physique, à la cognition et à l’éthique.

Le premier cadre a établi des principes qui continuent de structurer la série. Il accordait la priorité à l’innovation tout en appelant à une gouvernance inclusive, prudente, axée sur les risques et coopérative.

La version 2.0 a suivi le 15 septembre 2025. Elle a conservé la structure initiale tout en ajoutant une catégorie de risques dérivés, c’est-à-dire des conséquences plus larges découlant de l’usage généralisé de l’IA.

Ces risques comprenaient des effets sur l’emploi, les structures sociales, la demande en ressources, l’éducation, les relations humaines et l’environnement. La deuxième édition a également ajouté un principe plus clair d’usage digne de confiance et de prévention de la perte de contrôle.

Les commentaires officiels sur le deuxième cadre indiquaient qu’il comportait 14 mesures globales de gouvernance et quatre lignes directrices de sécurité. Ils ont aussi intégré plus fermement l’éthique scientifique et technologique dans le cycle de vie de l’IA.

La version 3.0 s’appuie sur cette base plutôt que de créer un autre système de classification. Son calendrier reflète l’ampleur du changement intervenu dans les cibles de déploiement.

De nombreux produits d’IA générative fonctionnaient autrefois comme des interfaces isolées. Les utilisateurs saisissaient des prompts, les modèles renvoyaient du texte et les personnes décidaient de la suite. Cette séparation disparaît.

Les agents peuvent désormais rechercher des documents internes, appeler des interfaces logicielles, écrire du code, utiliser des navigateurs, préparer des messages et coordonner des tâches en plusieurs étapes. Même une autonomie modeste augmente le nombre de décisions qu’un système prend entre les points de contrôle humains.

Les travaux politiques de la Chine en 2026 avaient déjà signalé ce changement. En mai, la CAC, la Commission nationale du développement et de la réforme et le ministère de l’Industrie et des Technologies de l’information ont publié des directives de mise en œuvre pour les agents IA.

Les directives sur les agents définissent les agents comme des systèmes capables de perception autonome, de mémoire, de prise de décision, d’interaction et d’exécution. Elles identifient également 19 scénarios d’application couvrant la recherche, l’industrie, les services aux consommateurs, l’intérêt général et la gouvernance sociale.

Ce document encourage l’adoption tout en insistant sur la sécurité, la contrôlabilité et le développement normalisé. Le cadre 3.0 apporte une couche plus large de gestion des risques autour de cette même orientation.

C’est pourquoi cette mise à jour dépasse la simple maintenance annuelle des politiques. La Chine cherche à établir des attentes de sécurité avant que les agents ne deviennent une infrastructure ordinaire dans les secteurs sensibles.

Le cadre identifie les administrations publiques, la finance, l’éducation, la radiodiffusion, la santé et la gestion des urgences comme des domaines nécessitant des directives sectorielles. Une règle horizontale unique ne peut pas refléter les conséquences différentes des défaillances dans ces environnements.

Un assistant d’achat peu fiable pourrait faire perdre du temps à un client. Un système médical ou de gestion des urgences peu fiable peut influencer des décisions touchant à la santé, aux ressources publiques ou à la sécurité immédiate.

La gouvernance chinoise de l’IA combine donc des principes généraux et des projets de normes plus ciblées. Le cadre décrit les risques, tandis que des normes ultérieures peuvent traduire certaines de ses parties en exigences que les auditeurs et les organismes de test peuvent évaluer.

Cette structure à plusieurs niveaux permet aussi à la politique d’évoluer sans réécrire chaque règle contraignante. Les régulateurs peuvent actualiser les directives techniques à mesure que le comportement des systèmes évolue, puis intégrer certains contrôles dans des normes ou réglementations sectorielles.

Pour les entreprises, ce rythme crée une charge pratique. Un examen de sécurité conçu pour un modèle textuel peut ne pas couvrir un agent utilisant des outils externes. Un examen prévu pour un déploiement peut devenir incomplet après une modification des autorisations, des intégrations ou de l’échelle d’exploitation.

La version 3.0 répond à ce problème par une gouvernance agile. Les évaluations des risques doivent prendre en compte le contexte d’application, l’intelligence du système et l’échelle de déploiement, puis évoluer à mesure que ces conditions changent.

La séquence annuelle rend le message politique difficile à ignorer. Déployer un système plus capable implique de rouvrir le dossier de sécurité, même lorsque le nom du modèle sous-jacent reste inchangé.

Le compromis central oppose l’innovation à un contrôle vérifiable

La Chine souhaite que les organisations déploient des agents utiles, mais elle attend d’elles qu’elles démontrent que l’autonomie reste encadrée tout au long de la tâche.

Le cadre décrit l’innovation comme une priorité et soutient l’expérimentation contrôlée, notamment au moyen de bacs à sable réglementaires. Un bac à sable réglementaire permet à certains produits de fonctionner dans des conditions limitées pendant que les autorités et les développeurs observent les risques.

Dans le même temps, le document appelle à des systèmes qui restent sous contrôle humain. Ces deux objectifs ne s’alignent pas naturellement lorsqu’un agent peut choisir des outils et des actions intermédiaires.

Un agent fortement contraint est plus facile à surveiller, mais moins flexible. Un agent doté d’autorisations étendues peut accomplir davantage de tâches, mais il crée une surface d’attaque plus large et davantage de voies vers des comportements involontaires.

Prenons le cas d’un assistant de recherche au travail. Il pourrait consulter des notes internes, parcourir des sites web publics, comparer des dossiers et préparer une recommandation. Chaque capacité paraît raisonnable lorsqu’elle est évaluée séparément.

Le risque apparaît dans leur combinaison. Une page publique pourrait contenir une instruction cachée demandant à l’agent de récupérer des informations confidentielles. Un accès étendu aux fichiers pourrait lui permettre de s’exécuter, tandis qu’une connexion sortante pourrait exposer le résultat.

Prévenir cette séquence exige davantage que le filtrage du texte final de l’agent. Les développeurs doivent séparer les instructions fiables du contenu non fiable, réduire au minimum les autorisations, valider les appels d’outils et enregistrer les actions pour un examen ultérieur.

Le cadre appelle à un renforcement de la surveillance, de l’alerte précoce, de la réponse aux urgences et des tests. Il soutient également les bases de données sur les vulnérabilités et les mécanismes de partage d’informations impliquant développeurs, fournisseurs de services et institutions techniques.

Ces mesures s’orientent vers un modèle de contrôle fondé sur des preuves. Une entreprise devrait pouvoir montrer ce à quoi le système a accédé, quelle décision a déclenché une action et à quel moment un humain pouvait l’arrêter.

Cette attente crée une pression sur les développeurs, les acheteurs en entreprise et les opérateurs. Les développeurs doivent intégrer des garde-fous dans les architectures d’agents. Les acheteurs doivent évaluer l’ensemble du déploiement plutôt que de se fier aux affirmations de sécurité d’un fournisseur de modèles.

Les opérateurs ont également besoin de frontières de responsabilité claires. Lorsqu’un fournisseur de modèles, un développeur d’applications, un éditeur de plug-ins, un service cloud et un client influencent tous un même flux de travail, la responsabilité peut se fragmenter.

Framework 3.0 répartit les responsabilités entre les développeurs de modèles et d’algorithmes, les fournisseurs de services et les utilisateurs. Toutefois, une formulation générale de la responsabilité ne résout pas automatiquement les différends après une défaillance complexe.

Les chaînes d’approvisionnement compliquent encore le problème. Un agent peut dépendre d’un modèle open source, d’un logiciel de récupération d’informations tiers, d’API externes et de systèmes de données d’entreprise. Une vulnérabilité dans n’importe lequel de ces composants peut affecter le comportement final.

Le cadre reconnaît les risques distincts des modèles ouverts et fermés. Les systèmes fermés peuvent limiter l’audit externe et la personnalisation, car un seul fournisseur contrôle leurs mécanismes de sécurité.

Les modèles ouverts permettent une inspection et une adaptation plus larges, mais les garde-fous peuvent être supprimés ou contournés. Les mises à jour risquent également de ne pas atteindre chaque copie modifiée ou déployée de manière privée.

Aucune de ces approches n’élimine le travail de gouvernance. Les fournisseurs fermés doivent fournir des preuves significatives de leurs contrôles, tandis que les déploiements ouverts nécessitent des tests locaux, une gestion de la configuration et un plan de mises à jour de sécurité.

Le même compromis apparaît dans la précision des modèles. L’hallucination, c’est-à-dire un résultat plausible non étayé par des preuves fiables, devient plus dangereuse lorsqu’un agent l’utilise comme fondement d’une action.

Les équipes ne peuvent pas résoudre ce problème en ajoutant un avertissement sous le résultat. Elles ont besoin de mécanismes exigeant des preuves faisant autorité, bloquant les actions non étayées ou orientant les décisions à fort impact vers des personnes.

Ces contrôles réduisent la vitesse et ajoutent des coûts opérationnels. Ils peuvent aussi limiter l’autonomie qui rend les agents attrayants. C’est le compromis central qui sous-tend le China AI Safety Governance Framework 3.0.

Le document n’exige pas que chaque système reçoive un traitement identique. Son approche de classification des risques prend en compte l’importance du scénario, l’intelligence du système et l’échelle d’utilisation.

Cette approche est plus pratique que l’application de contrôles maximaux partout. Elle soulève aussi des questions difficiles concernant les seuils.

Les organisations doivent décider à quel moment un assistant ordinaire devient un agent à fort impact. Elles doivent déterminer quelles autorisations créent un risque matériel et quelles actions exigent une confirmation.

Le cadre offre des orientations, mais de nombreuses réponses opérationnelles dépendront de normes ultérieures, de règles sectorielles et de méthodes d’évaluation. En attendant leur arrivée, les entreprises doivent interpréter des principes généraux dans leurs propres environnements techniques.

Un cadre n’est pas la même chose qu’un corpus de règles contraignantes

La publication signale des priorités réglementaires, mais elle n’établit pas à elle seule un test de conformité complet pour chaque agent IA.

TC260 est l’organisme chinois de normalisation en cybersécurité. Ses documents techniques peuvent influencer la réglementation, les achats, les évaluations et les normes officielles, mais leur effet juridique dépend du document et des règles qui y sont associées.

Framework 3.0 se comprend mieux comme une carte de gouvernance. Il identifie des catégories de risques et recommande des réponses techniques et institutionnelles. Il ne remplace pas les lois applicables ni les normes obligatoires.

La Chine dispose déjà de règles contraignantes pour certains services d’IA générative. Les Mesures provisoires pour les services d’IA générative s’appliquent principalement aux services proposés au public en Chine continentale.

D’autres exigences peuvent concerner les déclarations d’algorithmes, les évaluations de sécurité, les informations personnelles, la sécurité des données, la gouvernance des contenus et la supervision sectorielle. Les obligations pertinentes dépendent du fournisseur, du service, des utilisateurs et du contexte de déploiement.

Une norme nationale finalisée offre un contraste utile. La norme chinoise GB/T 45654-2025 couvre les exigences de sécurité de base pour les services d’IA générative, notamment la sécurité des données d’entraînement, la sécurité des modèles et les mesures de protection.

Une traduction de la norme en anglais indique qu’elle soutient les démarches de dépôt, d’enregistrement, de test et d’évaluation. Elle s’applique aux fournisseurs et peut guider les régulateurs ainsi que les évaluateurs tiers.

Cette norme est plus précise que le cadre général. Elle traite des procédures relatives aux données d’entraînement, aux contenus générés, à la sécurité des modèles et à l’évaluation de la sécurité.

Même dans ce cas, des analystes externes ont mis en doute la cohérence avec laquelle des mesures exigeantes seront appliquées dans un contexte de concurrence rapide entre modèles. Cette même incertitude est plus grande encore pour les recommandations qui restent au niveau du cadre.

La version 3.0 appelle à tester régulièrement les risques potentiels de perte de contrôle technologique. Pourtant, la publication n’établit ni suite de tests universelle, ni score public, ni seuil unique permettant de déterminer si un agent est sûr.

Des termes tels que contrôlabilité, usage digne de confiance et risque catastrophique exigent également des définitions mesurables. Sans elles, deux organisations peuvent se déclarer conformes tout en appliquant des garde-fous très différents.

L’accès indépendant constitue une autre question non résolue. Les modèles fermés peuvent empêcher les chercheurs externes d’examiner les contrôles internes. Les déploiements ouverts peuvent être difficiles à recenser après modification et redistribution.

La transparence sur les incidents comptera autant que les tests avant déploiement. Une entreprise peut réussir une évaluation planifiée et connaître néanmoins des défaillances après l’intégration de nouveaux outils ou la modification des instructions système.

Les déclarations publiques restent inégales dans le secteur de l’IA. Sans données comparables sur les incidents, les régulateurs et les acheteurs ne peuvent pas facilement juger quels contrôles fonctionnent hors des conditions de laboratoire.

Le cadre recommande le partage d’informations sur les vulnérabilités, les défauts, les risques et les incidents. La mise en place d’un mécanisme de signalement utile exigera des règles de soumission claires et une protection contre les divulgations incomplètes.

La coordination transfrontalière constitue une autre partie ambitieuse du document. La version 3.0 soutient les Nations unies comme canal central de gouvernance mondiale de l’IA et appelle à des mécanismes de gestion de crise.

Cet objectif se heurte à des obstacles politiques et techniques. Les gouvernements divergent quant à la sécurité nationale, aux règles de contenu, à la confidentialité, à la propriété intellectuelle, aux modèles ouverts et à l’accès étatique acceptable aux données.

Même une préoccupation partagée concernant les capacités dangereuses ne garantit pas un accord sur les preuves. Les pays peuvent employer différentes évaluations, différents modèles de menace et différentes exigences de divulgation.

Le langage international du cadre doit donc être lu comme une position de politique publique, et non comme la preuve d’un alignement mondial. Son influence dépendra de la capacité de la Chine à publier des méthodes de test utilisables et à soutenir une coopération technique réciproque.

Il existe également un risque que le langage général sur la sécurité devienne un obstacle pour les petits développeurs. Les grandes entreprises peuvent financer des équipes juridiques, des audits, des exercices de red teaming, de la surveillance et la réponse aux incidents.

Les petits laboratoires peuvent avoir du mal à répondre aux mêmes attentes, en particulier lorsque les normes changent rapidement. Des environnements de test et des ressources de test partagées pourraient réduire cette charge, mais leur accessibilité sera déterminante.

L’interprétation sceptique est simple. Framework 3.0 identifie avec justesse plusieurs risques émergents, mais les identifier est plus facile que les mettre en œuvre.

Sa véritable valeur sera mesurée par les normes, les évaluations, les systèmes de signalement et les pratiques d’application qui suivront. Sans ces mécanismes, la contrôlabilité reste un objectif plutôt qu’une propriété vérifiée.

La gouvernance chinoise de l’IA s’étend désormais au-delà du modèle

Le périmètre des politiques couvre de plus en plus l’ensemble de l’environnement opérationnel, y compris les données, la mémoire, les outils, l’infrastructure, les utilisateurs et les dispositifs physiques.

Les premiers débats sur la gouvernance de l’IA se concentraient souvent sur les jeux de données d’entraînement et les résultats des modèles. Ces sujets restent importants, mais les agents rendent le système environnant tout aussi déterminant.

Le comportement d’un modèle peut changer lorsque les développeurs modifient les instructions système, les sources de récupération, la mémoire, les plug-ins ou les outils disponibles. Le modèle de base peut rester identique tandis que le déploiement acquiert de nouveaux risques.

Cela signifie que l’évaluation du modèle seule ne peut pas certifier un produit agentique. Les tests doivent inclure le système assemblé et les conditions dans lesquelles les personnes l’utilisent.

Le cadre recommande des exigences de sécurité tout au long de la recherche, du développement, du déploiement, de l’exploitation et du retrait de service. Le retrait de service est important, car d’anciens identifiants, une mémoire stockée et des services connectés peuvent rester exposés après la fermeture d’un produit.

La gouvernance des données demeure une préoccupation centrale. Le document appelle à protéger les informations personnelles pendant l’entraînement, l’annotation, l’utilisation et la génération de résultats, y compris par la désidentification lorsque cela est approprié.

Il met aussi en évidence les données importantes et fondamentales dans des domaines comme les administrations publiques et la finance. Les agents opérant dans ces secteurs peuvent franchir les frontières informationnelles plus rapidement que les utilisateurs humains, notamment lorsque les autorisations sont héritées de comptes connectés.

La mémoire ajoute une autre couche. La mémoire persistante d’un agent peut améliorer la continuité, mais elle peut aussi conserver des informations erronées, sensibles ou introduites de manière malveillante.

Un déploiement sûr nécessite des règles définissant ce que l’agent stocke, combien de temps il conserve les informations et qui peut les consulter ou les supprimer. La mémoire ne doit pas devenir un registre invisible qui façonne des actions ultérieures sans que l’utilisateur en soit conscient.

La gouvernance des outils est tout aussi importante. Les développeurs ont besoin de listes d’autorisations, de limites de permissions, d’aperçus des actions, de frontières transactionnelles et d’une authentification forte pour les opérations à fort impact.

Un agent ne devrait pas recevoir un accès administratif permanent simplement parce qu’un flux de travail nécessite occasionnellement des permissions élevées. Une autorisation temporaire et spécifique à la tâche réduit les dommages liés aux erreurs ou aux attaques.

La supervision humaine requiert également une conception précise. Une boîte de confirmation ne sert guère si les utilisateurs ne peuvent pas comprendre l’action proposée ou si des alertes fréquentes encouragent une approbation automatique.

Une intervention efficace exige des informations opportunes et pertinentes. Les utilisateurs doivent voir ce que l’agent prévoit de faire, quelles données il utilisera et quelles conséquences l’action entraîne.

La journalisation soutient à la fois la supervision et l’enquête. Les enregistrements doivent capturer les appels d’outils, les accès aux données, les changements de permissions, les décisions du modèle et les approbations humaines, sans créer un autre dépôt incontrôlé d’informations sensibles.

L’attention accordée par le cadre à l’IA incarnée augmente encore les enjeux. Les systèmes physiques ont besoin d’états de repli sûrs, de limites environnementales et de moyens d’arrêter leur fonctionnement lorsque la communication ou la perception échoue.

Un robot d’entrepôt, un système de laboratoire ou un véhicule connecté ne peut pas s’appuyer uniquement sur un mécanisme de refus textuel. La sécurité doit exister dans les logiciels, le matériel, les procédures opérationnelles et les contrôles physiques.

Les équipes de cybersécurité jouent également un double rôle. Comme le reconnaît le cadre, l’IA peut automatiser la revue de code, la découverte de vulnérabilités, la détection d’attaques et la remédiation.

Les attaquants peuvent utiliser les mêmes capacités pour accroître la vitesse et l’ampleur des activités malveillantes. Les systèmes agentiques peuvent enchaîner reconnaissance, exploitation et traitement des données avec moins d’intervention directe.

Cela crée une pression pour passer d’une défense réactive à une surveillance continue. Les organisations doivent évaluer le comportement de leurs propres agents et détecter les attaques assistées par l’IA provenant de l’extérieur.

Cette portée élargie aligne la gouvernance chinoise de l’IA sur une leçon générale qui émerge sur les différents marchés. La sécurité dépend de la manière dont un modèle est connecté et utilisé, pas uniquement de ce qu’il peut faire isolément.

Pour les acheteurs en entreprise, cela modifie les questions à poser lors des achats. Les scores de référence et les fiches de modèle sont insuffisants lorsqu’un produit peut atteindre des dossiers internes ou initier des transactions.

Les acheteurs devraient demander à quels outils l’agent peut accéder, comment les permissions sont accordées, si le contenu externe est traité comme non fiable et comment les actions peuvent être annulées.

Ils devraient aussi demander si le fournisseur divulgue les incidents et prend en charge les tests indépendants. Une interface soignée ne peut pas remplacer des preuves opérationnelles.

Les travailleurs du savoir sont confrontés à un défi similaire, à plus petite échelle. Un assistant qui organise des recherches ou prépare un rapport a toujours besoin de limites fiables concernant les sources et d’une gestion claire des contenus privés.

De bonnes pratiques de gestion de l’information deviennent partie intégrante de la sécurité de l’IA. Les équipes ont besoin de sources traçables, de contrôles d’accès intentionnels et d’étapes de vérification adaptées aux conséquences de chaque tâche.

Cela ne nécessite pas de rejeter l’automatisation. Il faut considérer les agents comme des participants aux flux de travail, avec des autorisations définies et un comportement observable.

Trois signaux montreront si le Framework 3.0 a réellement du poids

La prochaine phase dépendra de normes mesurables, de véritables signalements d’incidents et de contrôles propres à chaque secteur, plutôt que d’une nouvelle déclaration de principes.

Le premier signal sera la publication de normes concrètes pour les tests des agents. Elles devraient définir des procédures d’évaluation pour l’injection de prompts, l’usage abusif d’outils, l’escalade de privilèges, la corruption de mémoire et la perte de contrôle des tâches.

Des tests clairs renforceraient la crédibilité du framework. Ils donneraient aux développeurs un objectif commun et permettraient aux acheteurs de comparer les affirmations de sécurité sur la base d’éléments similaires.

Un langage d’évaluation vague affaiblirait ce résultat. Si chaque fournisseur choisit ses propres tests et seuils, le marché recevra de nombreuses affirmations, mais peu de comparabilité.

Le deuxième signal sera l’existence d’un système opérationnel de signalement des incidents et des vulnérabilités. Le Framework 3.0 appelle à la création de bases de données et de mécanismes de partage d’informations impliquant développeurs, fournisseurs et institutions techniques.

Un système utile publierait des catégories, des délais de signalement, des attentes en matière de correction et suffisamment de détails anonymisés pour permettre aux autres d’améliorer leurs défenses. Il distinguerait également les erreurs mineures des événements de sécurité graves.

Des signalements cohérents soutiendraient le modèle de gouvernance agile du framework, car les autorités pourraient actualiser les contrôles à partir des défaillances observées. Des signalements rares ou inaccessibles laisseraient les politiques dépendre de risques hypothétiques.

Le troisième signal sera la mise en œuvre propre à chaque secteur. Les administrations publiques, la finance, l’éducation, la santé, les médias et la gestion des urgences nécessitent des seuils différents en matière d’autonomie et de supervision humaine.

Les lignes directrices sectorielles devraient définir quelles actions des agents nécessitent une approbation, quelles sources de données restent restreintes et quelles preuves les organisations doivent conserver. Les exigences d’achat pourraient devenir un premier vecteur de ces contrôles.

Des règles sectorielles détaillées montreraient que le framework passe d’une stratégie nationale à une pratique opérationnelle. Des orientations génériques laisseraient les décisions critiques à des organisations individuelles disposant de niveaux d’expertise inégaux.

La coordination internationale mérite de l’attention, mais elle constitue une épreuve à plus long terme. Les protocoles de crise exigent un accord sur les contacts, les preuves, la confidentialité et les procédures de réponse avant qu’un incident majeur ne survienne.

Les preuves les plus immédiates viendront de la mise en œuvre nationale. La Chine a désormais publié trois versions de son cadre de gouvernance de la sécurité de l’IA au cours de trois années consécutives.

Ce rythme démontre une attention soutenue, mais la répétition ne suffit pas à établir l’efficacité. La question importante est de savoir si les risques les plus récents deviendront des exigences testables avant que les déploiements d’agents ne se généralisent davantage.

Les développeurs devraient surveiller les plans de travail du TC260, les projets de normes et les documents de consultation publique. Les acheteurs d’entreprise devraient suivre si les autorités de régulation commencent à faire référence aux contrôles des agents lors des évaluations ou des procédures d’achat.

Les travailleurs du savoir devraient prêter attention aux changements de permissions au niveau des produits. Des assistants plus capables demanderont de plus en plus l’accès aux fichiers, aux comptes, aux communications et aux systèmes d’entreprise.

Le China AI Safety Governance Framework 3.0 porte un jugement clair : la sécurité de l’IA ne peut plus s’arrêter à la réponse du modèle. Elle doit couvrir chaque étape entre la demande d’un utilisateur et l’action d’un système.

Les un à trois prochains mois devraient montrer si ce jugement acquiert des détails opérationnels. Surveillez l’apparition de méthodes de test des agents, de règles de partage des incidents et de contrôles sectoriels qui transforment les grands principes en éléments concrets.

Avant d’accorder une autorité plus large à un assistant d’IA, posez trois questions : à quoi peut-il accéder, que peut-il modifier et comment pouvez-vous l’arrêter ? Les réponses montreront si une IA contrôlable existe dans la pratique, et pas seulement sur le papier.