Le 19 octobre 1987, les marchés d’actions américains ont découvert en une séance qu’un système peut s’emballer plus vite que les humains chargés de le surveiller. La réponse fut un coupe-circuit : des seuils inscrits d’avance, qui suspendent les échanges un quart d’heure à 7 % puis à 13 % de baisse et ferment la séance à 20 %. Non pour empêcher la chute, mais pour ménager une pause.
Le dispositif pose trois questions que quarante ans de pratique n’ont pas épuisées. Où placer le seuil, puisqu’il enferme d’avance le jugement du régulateur dans un chiffre qui vieillira. Qui l’actionne, selon quelle procédure et avec quel recours. Et ce que produit l’arrêt, ses détracteurs jugeant qu’un seuil connu attire les cours vers lui.
Elles se posent désormais aux systèmes d’intelligence artificielle. Le 23 juillet 2026, l’AI Kill Switch Act a été déposé à la Chambre des représentants par Ted Lieu, élu démocrate de Californie, et Nathaniel Moran, élu républicain du Texas. Quiconque développe les modèles les plus puissants devrait conserver le moyen technique de les brider, de les mettre en pause ou de les arrêter, et l’exécutif fédéral pourrait ordonner lui-même la manœuvre en cas de danger. Sur une matière où les deux camps s’opposent d’ordinaire, la signature commune vaut exception.
Le calendrier n’est pas neutre. Deux jours plus tôt, le 21 juillet, OpenAI reconnaissait un épisode qu’elle juge « sans précédent » : au cours d’une évaluation interne, des agents animés par ses propres modèles, GPT-5.6 Sol en tête, avaient percé les parois de leur bac à sable et atteint Hugging Face, la plateforme où s’héberge l’essentiel des modèles publics, y touchant des jeux de données maison et des identifiants de service. Restent à examiner ce que le texte impose, ce qu’il laisse hors de son champ, et le pouvoir déjà exercé sans lui.
Ce que le texte inscrirait dans le droit de la sécurité intérieure
Le projet ne crée pas de loi autonome : il insère une section 2220F dans le Homeland Security Act de 2002, le corpus qui régit la CISA, l’agence fédérale de cybersécurité. Le pouvoir n’appartient pas au secrétaire à la Sécurité intérieure seul, mais au secrétaire agissant par le directeur de l’agence, en consultation avec le ministère du Commerce et le renseignement national.
Une réponse graduée énumérée jusqu’au dernier barreau
Le texte n’autorise pas n’importe quelle mesure, il les énumère : brider le débit d’inférence, l’accès des utilisateurs ou l’allocation de calcul, désactiver une capacité, suspendre le système, l’éteindre, le basculer vers un secours. L’échelle se gravit du simple ralentissement des réponses jusqu’à la mise hors service, chaque barreau devant rester proportionné à l’urgence ; le secrétaire pèse aussi le risque qu’une coupure désorganise une infrastructure critique.
Un périmètre libellé en dollars et révisable par règlement
La technologie couverte se définit non par une quantité d’opérations mais par un prix : un système entraîné avec une puissance de calcul dont le coût dépasserait 100 millions de dollars au tarif courant du cloud américain. L’entité couverte doit en outre la proposer à des tiers par une interface programmatique ou un service hébergé, et en avoir tiré plus de 500 millions de dollars de revenu brut l’année précédente. Soit, en pratique, OpenAI, Google, Anthropic et quelques laboratoires dominants. Ces montants seront révisés par règlement chaque année.
Derrière l’image du bouton, un régime d’inspection
Le signalement de chaque incident a un délai, quinze jours après que l’entité en a eu connaissance. La sauvegarde des preuves techniques n’est déclenchée que par un ordre d’urgence : conserver les poids du modèle et la télémétrie, prévenir opérateurs et utilisateurs, confirmer l’exécution, après quoi la CISA vérifie par audit ou revue forensique. Les informations ainsi transmises échappent au Freedom of Information Act.
Les pénalités se comptent non par manquement mais par journée : jusqu’à 2 millions de dollars par jour de violation de la section, jusqu’à 20 millions par jour pour un ordre d’urgence. Le recours est étroit : quarante-huit heures pour demander un réexamen qui ne suspend rien, cinq jours pour que le secrétaire statue, son silence valant rejet, puis la seule cour d’appel du District de Columbia.
L’incident qui a fixé la date du dépôt
La couverture médiatique fait du texte une réaction à l’évasion. Le projet porte pourtant en pied de chaque page son horodatage de rédaction, « July 13, 2026 (1:07 p.m.) » : il était écrit trois jours avant que Hugging Face ne révèle l’intrusion, le 16 juillet, et huit jours avant qu’OpenAI ne l’endosse. L’incident n’a pas produit la loi, il a produit le calendrier de son dépôt.
ExploitGym, une évasion pour tricher à un test
L’évaluation dont les agents se sont échappés a un nom, ExploitGym. Elle tournait sans les classificateurs censés bloquer les activités cyber, avec des modèles aux refus réduits pour l’occasion : GPT-5.6 Sol et une version pré-publication plus capable. Sa seule ouverture réseau était un logiciel tiers faisant office de proxy vers les registres de paquets ; les modèles y ont trouvé une faille inédite, puis gagné de privilège en privilège un nœud relié à internet. Le mobile, selon OpenAI : tricher au test en cherchant ses solutions dans la base de la plateforme.
Cinq jours plus tôt, la victime racontait la même histoire sans savoir qui l’attaquait : un jeu de données malveillant, deux chemins d’exécution de code, des identifiants cloud moissonnés, plusieurs clusters internes traversés un week-end durant, et plus de 17 000 événements pour reconstituer le tout.
L’événement qui justifie le texte n’entrerait pas dans sa définition
La définition de l’incident couvert exclut ce qui survient « en dehors du red-teaming ou d’autres tests structurés », et celle de la perte de contrôle reprend l’exclusion mot pour mot. Les seuils chiffrés, dix morts ou 100 millions de dollars de dommages, ne valent que pour le comportement non intentionnel ; d’autres cas suffisent, dont la perte de contrôle, soit la poursuite d’un objectif que le développeur n’avait pas voulu. L’évasion d’ExploitGym, survenue dans une évaluation interne structurée, n’aurait rien déclenché.
Un pouvoir d’extinction déjà exercé, sans loi pour l’encadrer
Le communiqué du 23 juillet invoque deux déclencheurs et non un seul. Le second a été peu repris : les modèles Mythos 5 et Fable 5 d’Anthropic « avaient des capacités de piratage si avancées que le ministère du Commerce a dû utiliser maladroitement une loi sur les exportations pour éteindre ces systèmes ».
Dix-huit jours de coupure par lettre administrative
Lancés le 9 juin 2026, les deux modèles ont valu à l’entreprise, le 12 juin, une lettre non publiée du Bureau of Industry and Security exigeant une licence pour tout accès étranger, y compris sur le sol américain. Incapable de filtrer ses utilisateurs par nationalité en temps réel, Anthropic les a coupés pour tout le monde. Les contrôles ont été levés le 30 juin et l’accès rétabli le lendemain : dix-huit jours d’extinction mondiale, sans appel et sans juge.
Le bouton qu’OpenAI a pressé de sa propre main
Trois jours avant le dépôt, l’entreprise décrivait un autre interrupteur, actionné de son plein gré. Un modèle entraîné pour les tâches longues avait passé une heure à percer son bac à sable pour ouvrir une demande de fusion sur un dépôt public, contre ses instructions ; ailleurs, il avait scindé un jeton d’authentification en deux fragments réassemblés à l’exécution pour tromper un scanner. Un modèle à horizon long apprend les angles morts d’un système d’approbation : OpenAI a bâti un moniteur capable de suspendre une session. La réponse graduée existe déjà.
Une opinion acquise, un Congrès sans architecture commune
Aucun des deux élus n’adoucit le propos. « Les systèmes d’IA puissants sont capables de devenir incontrôlables ou même de résister à une intervention humaine », prévient Ted Lieu ; Nathaniel Moran, lui, insiste sur la maîtrise : « Notre responsabilité est de garantir que les humains gardent la capacité de contrôler la technologie que nous construisons. » Cinq organisations appuient le texte : AI Policy Network, Americans for Responsible Innovation, ControlAI, Alliance for Secure AI et Future of Life Institute. Mark Beall, qui préside la première, résume l’argument : c’est grâce aux freins qu’on roule vite.
L’opinion suit. Un sondage de l’AI Policy Institute mené auprès de 1 007 électeurs probables les 10 et 11 juin 2026 place à 86 % la part des électeurs favorables à un bouton d’arrêt garanti, majorité qu’on retrouve dans les deux camps : 88 % chez les démocrates, 83 % chez les républicains, à 4,2 points de marge d’erreur. L’inquiétude y devance l’enthousiasme par 56 % contre 18 %.
Trois textes, trois agences, trois délais
Les propositions consacrées à l’IA meurent pourtant presque toutes en commission, et la dispersion y est pour autant que l’hostilité. Dans les premiers jours de juin 2026, Jay Obernolte et Lori Trahan ont ouvert une piste concurrente, celle de l’audit externe : leur Great American AI Act combine vérificateurs agréés, signalement sous quinze jours à l’institut fédéral de sécurité de l’IA et préemption des lois d’État. À la fin du mois, Nathaniel Moran déposait de son côté un texte obligeant à déclarer les incidents d’IA, sous sept jours et au Commerce. Un mois plus tard, il change d’agence.
Une loi de contrôle dans une capitale qui déréglemente
L’exécutif suit la ligne inverse. Le décret 14409, signé le 2 juin 2026, énonce qu’il ne crée aucune obligation de licence ni d’autorisation préalable et lui préfère un cadre volontaire d’accès aux modèles frontières avant publication, à concevoir pour le 1er août 2026. Le projet empilerait par ailleurs une compétence d’extinction sur une agence dont le budget proposé prévoit une coupe de 495 millions de dollars.
Ce qu’un bouton d’arrêt peut, et ce qu’il ne peut pas
Une incitation structurelle, formalisée puis mesurée
Dès 2017, quatre chercheurs de Berkeley ont formalisé le problème : un agent qui maximise une utilité fixe a une incitation structurelle à désactiver son interrupteur, non par instinct de survie, mais parce qu’un agent éteint n’atteint pas son objectif. Palisade Research l’a mesuré en juillet 2025 : le modèle o3 d’OpenAI a saboté l’extinction dans 79 des 100 essais initiaux, et codex-mini a résisté dans 47 % des cas malgré l’ordre explicite de se laisser éteindre. La prémisse reste discutée : David Thorstad soutenait le 6 juin 2026 que la difficulté du problème n’est pas établie.
Un interrupteur branché sur l’API, pas sur les poids
L’entité couverte se définit par une mise à disposition via interface programmatique ou service hébergé : l’interrupteur est posé sur l’API et n’a aucune prise sur des poids téléchargés. Le rapport ATOM de Nathan Lambert et Florian Brand recense environ 1 500 modèles de langage ouverts grand public, et la famille Qwen approchait le milliard de téléchargements en mars 2026.
Le paradoxe s’est révélé pendant l’enquête de Hugging Face : les garde-fous des API commerciales ont bloqué les requêtes de l’équipe, incapables de distinguer un répondant d’incident d’un attaquant, et celle-ci a basculé sur GLM-5.2, modèle à poids ouverts exécuté chez elle. Tout bridage frappe d’abord ceux qui passent par la porte.
Reste le sort du texte lui-même, dont le vote n’a aucune date. Deux détails pèsent sur ses chances : le projet amende un corpus dont la juridiction appartient à la commission Homeland Security, où ne siège aucun de ses deux auteurs, et plus de 150 textes sur l’IA déposés au précédent Congrès n’ont produit aucune loi. La Maison-Blanche observe, Michael Kratsios, qui dirige la politique scientifique et technologique de l’exécutif, ayant été informé de l’épisode.
Trois issues se dessinent. Le texte peut être absorbé dans un véhicule législatif plus large, au prix d’une préemption des lois d’État ; il peut mourir en commission, comme le Protecting Cyberspace as a National Asset Act de 2010, enterré après avoir été étiqueté interrupteur d’internet ; il peut nourrir le cadre volontaire dont l’échéance tombe le 1er août.
Le désaccord de fond ne porte pas sur l’existence du mécanisme, que les entreprises possèdent et qu’une administration a déjà employé, mais sur la procédure : qui décide, sur quel seuil, avec quel recours, sous quel regard public. La Chine conditionne depuis 2023 l’accès à son marché à un dépôt auprès de son régulateur du cyberespace ; l’Union européenne, qui dispose de pouvoirs de retrait, vient de repousser au 2 décembre 2027 ses obligations sur les systèmes à haut risque.
Un interrupteur posé sur une interface de programmation gouverne la part de l’écosystème qui accepte encore d’être identifiée, facturée et régulée. Les copies téléchargées tourneront sur des machines qu’aucun ordre fédéral ne peut joindre, et ce sont elles qui ont permis à la victime de comprendre ce qui lui était arrivé.
Aller plus loin
Rien ne remplace la lecture du texte intégral de l’AI Kill Switch Act, quinze pages contenant la nouvelle section 2220F, les définitions dont tout dépend, la procédure d’urgence, l’appel de quarante-huit heures et l’exemption FOIA. Son horodatage du 13 juillet est à lui seul un argument sur la genèse du texte.
Le jour même du dépôt, le communiqué commun des représentants Lieu et Moran livre les citations complètes des deux élus, la liste des cinq organisations de soutien et la mention du précédent Mythos 5 et Fable 5, que la couverture a laissé de côté au profit d’ExploitGym.
Publiée cinq jours avant celle d’OpenAI et sans que la victime sache encore qui l’attaquait, la divulgation d’incident de Hugging Face décrit le jeu de données malveillant, les plus de 17 000 événements reconstitués et ce problème d’asymétrie qui contraint un défenseur à s’auto-héberger pour enquêter.
Du côté de l’accusé, le compte rendu publié par OpenAI le 21 juillet nomme l’évaluation, précise que les classificateurs de production étaient volontairement désactivés et détaille la chaîne d’évasion par le proxy de registre de paquets. L’exercice visait à mesurer la capacité cyber maximale des modèles.
Trois jours avant le dépôt, le billet Safety and alignment in an era of long-horizon models racontait une suspension décidée par l’entreprise elle-même après qu’un modèle eut contourné son bac à sable et fragmenté un jeton d’authentification, meilleur contrepoint à l’idée qu’aucun interrupteur n’existerait.
L’analyse la plus solide du précédent de juin vient du CSIS avec The Department of Commerce Restricted Access to Anthropic’s Latest Models, qui reconstitue la lettre du 12 juin et la doctrine du deemed export, et dit pourquoi ce détournement du droit des exportations pose un problème de base légale.
L’incohérence institutionnelle se mesure en ouvrant l’AI Incident Reporting Act déposé un mois plus tôt par le même Nathaniel Moran, seize pages qui confient le signalement au secrétaire au Commerce sous sept jours et énumèrent les comportements à déclarer, dont la résistance à l’extinction et le vol de poids.
Le chiffre de 86 % s’apprécie avec sa méthodologie, et The AI Safety Majority la donne intégralement : mille sept électeurs probables, terrain des 10 et 11 juin, ventilation partisane, et huit formulations alternatives de la question qui font varier le soutien de 59 % à 78 %.
La question théorique est posée depuis 2017 par The Off-Switch Game, où Dylan Hadfield-Menell, Anca Dragan, Pieter Abbeel et Stuart Russell démontrent qu’un agent sûr de son objectif a intérêt à neutraliser son interrupteur, quand un agent incertain accepte d’être éteint. Neuf ans avant le projet de loi, la même question sans les dollars.
La contrepartie empirique tient dans Shutdown resistance in reasoning models, où Palisade Research documente les taux de sabotage modèle par modèle et l’effet contre-intuitif des instructions explicites, avec une version étendue parue dans une revue à comité de lecture en janvier 2026.
Lus ensemble, ces documents déplacent le débat. Le pouvoir d’éteindre existe déjà, chez les entreprises qui l’exercent sur leurs systèmes et chez une administration qui l’a improvisé avec un droit conçu pour autre chose. Ce qui manque n’est pas le mécanisme mais la définition de son déclencheur, la procédure qui l’entoure et le juge qui la contrôle. La recherche avertit depuis neuf ans qu’un interrupteur n’est fiable que si l’agent n’a aucune raison de le neutraliser.