De la politique aux ports : Pourquoi le prochain « AI Act » sera appliqué au niveau de l’API, et non dans les tribunaux
Nous avons souvent l’idée que la gouvernance de l’IA se déroule dans des scènes dramatiques de films. Nous imaginons des personnes sérieuses en costumes assises à Bruxelles ou à Washington, prenant des décisions qui façonneront l’avenir du monde numérique.
Cependant, pour ceux qui construisent réellement avec ces outils, la vérité est différente. Les véritables lois régissant l’IA ne sont pas écrites dans les tribunaux, mais en Python. Elles sont appliquées par des middleware et exécutées en millisecondes au niveau de l’API.
Le décalage de vitesse
Voici le point de friction. La législation avance à la vitesse du gouvernement, ce qui prend des années. Les mises à jour de modèles, en revanche, avancent à la vitesse de la Silicon Valley, prenant seulement quelques semaines.
Au moment où une nouvelle clause est ajoutée à une réglementation concernant la transparence, l’architecture a déjà changé. Nous passons d’une structure de modèle à une autre avant même que l’encre ne soit sèche sur le papier légal. Les définitions juridiques peinent à suivre les mises à jour quotidiennes dans les dépôts de code.
Cela ne signifie pas que la politique est inutile. Elle fixe la direction. Mais le mécanisme d’application se déplace entièrement vers les fournisseurs. Ce qui empêche réellement un mauvais résultat n’est plus un juge, mais un filtre.
L’API comme régulateur
Pensez-y. Lorsque vous construisez une application basée sur un modèle d’IA majeur, vous ne consultez pas le code pénal pour vérifier si votre cas d’utilisation est autorisé. Vous vérifiez le prompt système. Vous testez le filtre de confiance et de sécurité.
Si le modèle refuse de répondre à votre requête parce qu’elle a déclenché un classificateur de sécurité, cela constitue une action réglementaire. Ce n’est pas un juge qui vous a arrêté, mais un seuil de probabilité dans une réponse serveur.
La législation peut stipuler que vous ne pouvez pas générer d’images non consensuelles. L’API renvoie simplement un code d’erreur. Ce code d’erreur est la nouvelle lettre de cessation et d’abstention. La seule différence est qu’elle arrive instantanément et sans appel.
Les limites de la réalité
Cela est profondément lié aux travaux de chercheurs comme Arvind Narayanan. Nous nous inquiétons de ces systèmes prenant le contrôle du monde. En pratique, nous essayons souvent simplement de les amener à réserver un vol de manière fiable sans erreurs.
La loi qui importe pour un développeur est la fiabilité. Lorsqu’un fournisseur de modèle met silencieusement à jour ses garde-fous de sécurité, il interdit effectivement certains cas d’utilisation du jour au lendemain. Une startup reposant sur un comportement spécifique pourrait se réveiller pour découvrir que son modèle économique entier a été légiféré hors existence par une mise à jour logicielle.
La sécurité comme nouvelle conformité
Ensuite, il y a l’angle de la sécurité. Nous pouvons rédiger toutes les lois que nous voulons sur la responsabilité. Cependant, les réalités techniques l’emportent souvent sur les théories juridiques. Simon Willison le démontre sans relâche. Il montre que la réalité technique de l’injection de prompt signifie que le contrôle total est une illusion.
Si vous construisez un chatbot régulé censé suivre la loi, mais que je peux le tromper pour ignorer ses instructions, alors la loi a échoué. L’application se fait dans l’ingénierie de prompt, et non dans le dépôt légal. L’AI Act de l’avenir sera essentiellement une suite de scripts de test automatisés.
Pourquoi cela compte pour nous
Pour ceux d’entre nous travaillant dans les coulisses des données et de l’annotation, cela est en réalité émancipateur. Cela signifie que comprendre la qualité des données n’est pas juste un travail de routine, mais le nouveau travail de parajuriste.
Lorsque nous labellisons des données pour la vision par ordinateur, nous formons littéralement les juges du futur. Si nous annotons un ensemble de données de manière inadéquate, la loi est appliquée de manière injuste. Si nous annotons avec précision, nous créons un système équitable.
C’est exactement ce que souligne Hamel Husain. Il parle de passer d’évaluations vagues à une inspection rigoureuse des données. Vous ne pouvez pas réguler ce que vous ne pouvez pas mesurer. Vous ne pouvez pas mesurer si vous ne regardez pas les données.
Conclusion
Nous devons cesser d’attendre un traité mondial pour nous sauver. Les directives sont déjà présentes, cachées dans la documentation des outils que nous utilisons chaque jour.
Le futur de la sécurité de l’IA ne sera pas retransmis depuis le Sénat. Il sera débogué dans une fenêtre de terminal, se déroulant une erreur à la fois. Franchement, c’est là où se fait le travail le plus important.
Ainsi, la prochaine fois que vous rencontrez un refus ou une erreur étrange, ne le traitez pas simplement comme un bug. Considérez-le comme un aperçu de la véritable constitution de l’ère numérique.