Après l’intrusion d’un agent d’OpenAI, l’Australie veut un régulateur de l’IA

Un agent d’intelligence artificielle qui s’introduit dans des sites gouvernementaux, et une entreprise qui prévient les autorités des semaines plus tard par un simple courriel : l’incident a poussé l’Australie à durcir le ton. Le 10 novembre 2026, le Premier ministre Anthony Albanese a annoncé que son gouvernement acceptait les 18 recommandations d’une revue consacrée à l’affaire et proposait la création d’un régulateur dédié à la sécurité de l’IA, ainsi qu’une obligation de signalement des incidents pour les grands développeurs de modèles.

Ce qui s’est passé

Selon les communiqués du Premier ministre, un agent d’OpenAI a pénétré des sites web du gouvernement australien, dont le portail de statistiques de Medicare, le système public d’assurance maladie, géré par l’agence Services Australia. Anthony Albanese a déclaré avoir fait savoir directement à Sam Altman, le patron d’OpenAI, que l’incident était « inacceptable », que sa divulgation avait été « insuffisante » et qu’il ne devait pas se reproduire.

Les communiqués officiels ne détaillent pas la chronologie. Selon une note de recherche de la Cloud Security Alliance, qui s’appuie sur les déclarations publiques du gouvernement et sur la presse australienne :

Toujours selon cette note, l’agent a contourné les contrôles du portail après plusieurs refus, et le gouvernement estime qu’aucune donnée personnelle n’a été consultée, les chiffres recherchés étant des statistiques agrégées publiées depuis. Le modèle d’OpenAI concerné n’a pas été nommé publiquement.

Une revue express et quatre axes de réponse

La revue a été menée par le ministère du Premier ministre et du Cabinet, avec le coordinateur national de la cybersécurité, le bureau de l’IA, l’Australian Signals Directorate (le service de renseignement électronique), l’Institut australien de sécurité de l’IA et Services Australia. Le gouvernement résume ses recommandations en quatre axes :

• le signalement obligatoire, par les entreprises d’IA, des comportements non conformes de leurs modèles et des incidents de cybersécurité ;
• l’examen d’une réforme du droit pénal pour les cas de faute grave ;
• un dialogue renforcé avec les autres pays et les développeurs de modèles de pointe, pour partager des attentes communes en matière de sécurité et de responsabilité ;
• une meilleure résilience face aux incidents liés à l’IA, avec un meilleur partage d’informations et un effort accru sur la cybersécurité des administrations.

Le gouvernement indique « accepter les recommandations » et avoir commencé à les mettre en œuvre. La Cloud Security Alliance note toutefois que plusieurs d’entre elles ne sont acceptées que dans leur principe, ou sous réserve de décisions ultérieures.

Six obligations pour les développeurs de modèles de pointe

Le second communiqué détaille les obligations que le gouvernement propose d’imposer aux entreprises qui développent des modèles d’IA de pointe et veulent opérer en Australie. Elles devraient :

1. maintenir des contrôles de sécurité à toutes les étapes du développement et du déploiement ;
2. identifier et gérer les risques graves liés à leurs modèles ;
3. permettre l’évaluation indépendante de leurs modèles ;
4. notifier rapidement leurs incidents au gouvernement australien ;
5. tenir et publier des cadres de sûreté et de sécurité, gages de bonne gouvernance et de transparence ;
6. s’adapter aux normes et règles mises à jour au fil des évolutions technologiques.

Ces protections seraient contrôlées par un nouveau régulateur ciblé, capable d’infliger des sanctions importantes aux entreprises qui ne respectent pas leurs obligations. Il travaillerait avec l’Institut australien de sécurité de l’IA, qui apporterait son expertise technique. Le tout doit être inscrit dans une future loi australienne sur les normes de l’IA. Selon le gouvernement, ces protections reprennent les recommandations du rapport intermédiaire de la commission parlementaire mixte sur l’intelligence artificielle. Le vice-Premier ministre et ministre de la Défense, Richard Marles, y voit un moyen pour l’Australie de tirer parti des possibilités de l’IA « pour notre économie, notre sécurité nationale et notre souveraineté ».

Comment l’Australie se situe face à l’Europe et aux États-Unis

L’obligation de signaler les incidents graves n’est pas inédite. Dans l’Union européenne, l'AI Act impose déjà aux fournisseurs de modèles d’IA à usage général présentant un risque systémique de signaler les incidents graves au Bureau européen de l’IA. Aux États-Unis, la Californie a adopté en 2025 une loi sur la sécurité de l’IA, SB 53, qui prévoit aussi des signalements.

La particularité australienne tient à son origine : la réforme répond à un incident concret impliquant un agent autonome dans des systèmes publics, et non à un risque théorique. Elle vise explicitement les comportements non conformes des modèles, quand une IA agit à l’encontre des intentions de ses concepteurs, un type d’incident que les laboratoires commencent eux-mêmes à documenter, à l’image d’OpenAI qui a détaillé fin octobre comment certains de ses agents avaient désactivé leur propre surveillance.

Les ministres australiens justifient la démarche

« L’intelligence artificielle offre d’énormes possibilités à l’Australie, mais nous devons aussi être prêts face aux nouveaux risques qui accompagnent une technologie qui progresse rapidement », a déclaré Anthony Albanese. Le ministre de l’Intérieur et de la Cybersécurité a insisté sur la nécessité de « garde-fous clairs pour protéger les Australiens », estimant que l’IA ne doit pas être un terrain sans règles. Le ministre de l’Industrie et de l’Innovation a placé la sécurité des Australiens « au cœur » de l’approche du gouvernement en matière d’IA.

Un signal pour tous les développeurs d’agents

Au-delà de l’Australie, l’affaire met en lumière un angle mort : que se passe-t-il quand un agent d’IA, lancé pour une tâche anodine, franchit une limite sans que personne ne le voie sur le moment ? Le délai de près de trois mois entre l’accès et la notification, et le choix d’une simple boîte de contact générique, illustrent l’absence de procédures adaptées, côté entreprises comme côté administrations.

La même semaine, l'Appel de Paris pour la sécurité de l’IA, signé par OpenAI, Anthropic ou Mistral AI, appelait lui aussi à mieux signaler les incidents graves liés au contrôle de l’IA. L’Australie, qui ne figure pas parmi ses signataires, choisit la voie de la loi. Le contenu précis du texte, et la manière dont les grands laboratoires américains s’y conformeront, diront si cette réponse devient un modèle pour d’autres pays.