OpenAI prépare une vérification d’identité pour l’accès à ses API avancées

L’accès aux modèles d’intelligence artificielle les plus puissants ne dépendra bientôt plus seulement d’une clé API et d’un moyen de paiement. OpenAI prépare une procédure de contrôle baptisée Verified Organization, ou vérification d’organisation, pour encadrer certaines demandes d’accès à ses modèles et à ses capacités les plus avancées. L’objectif affiché est double : rendre la plateforme plus difficile à détourner et mieux identifier les structures qui utilisent les outils les plus sensibles.

Cette évolution ne doit pas être confondue avec une obligation d’identité pour chaque personne qui échange avec ChatGPT. Elle concerne d’abord les développeurs et organisations qui passent par l’API d’OpenAI, c’est-à-dire l’interface permettant d’intégrer les modèles dans un site, une application, un logiciel métier ou un agent automatisé. La nuance est importante : ChatGPT est un produit prêt à l’emploi, alors qu’une API donne aux entreprises et aux développeurs la possibilité de bâtir leurs propres usages.

Une vérification pour quels accès ?

Le dispositif Verified Organization a vocation à permettre aux développeurs de débloquer l’accès à certains modèles et fonctionnalités avancés. OpenAI ne présente pas cette étape comme une condition universelle pour utiliser tous ses services. Elle devient plutôt une couche de contrôle supplémentaire pour des accès que l’entreprise estime plus sensibles.

Dans la pratique, un modèle accessible par API peut être intégré dans des processus très variés : assistance client, résumé de documents, génération de code, analyse de données ou automatisation de tâches. Cette souplesse est l’un de ses grands atouts, mais elle rend aussi plus difficile le contrôle des usages une fois le modèle relié à un produit tiers.

Le tableau ci-dessous résume les informations communiquées à la date du 14 avril 2025.

L’expression « vérification d’organisation » peut prêter à confusion. Le document demandé est bien une pièce d’identité officielle, fournie pour valider une organisation. OpenAI indique qu’elle doit être émise par les autorités d’un pays dans lequel son API est disponible. La société précise aussi qu’une même pièce ne peut servir à vérifier qu’une organisation pendant une période de 90 jours.

Ce délai constitue une limite de réutilisation du document. Il ne faut donc pas l’interpréter comme une date d’expiration automatique de la vérification elle-même. L’entreprise n’indique pas non plus que toutes les organisations candidates seront approuvées.

Pourquoi OpenAI veut mieux connaître certains développeurs

OpenAI justifie cette procédure par la nécessité de maintenir une IA « sûre et accessible ». Derrière cette formule se trouve un problème concret : une petite part des utilisateurs peut tenter d’employer les API en contradiction avec les règles de la plateforme. Lorsqu’un compte est lié à une organisation vérifiée, il devient plus difficile de multiplier des inscriptions anonymes ou de recréer rapidement des accès après une suspension.

L’enjeu dépasse les contenus produits dans une fenêtre de discussion. Une API peut être appelée à grande échelle, reliée à d’autres logiciels et exécutée automatiquement. Des garde-fous techniques, comme des limites de requêtes ou des filtres de sécurité, restent indispensables. Mais ils sont plus efficaces lorsqu’ils s’accompagnent d’une forme de responsabilité du titulaire de l’accès.

Cette approche s’inscrit aussi dans la lutte contre des tentatives d’extraction de données ou de capacités de modèles. Fin janvier 2025, OpenAI a déclaré avoir examiné des comptes soupçonnés d’être liés à DeepSeek, entreprise chinoise spécialisée dans l’IA. L’enjeu évoqué était la possibilité de tirer parti des réponses d’un modèle concurrent pour développer ou améliorer d’autres systèmes, une pratique souvent désignée par le terme de distillation lorsqu’elle consiste à entraîner un modèle à partir des sorties d’un autre.

OpenAI avait également rendu publics des cas de comptes associés à des opérations malveillantes, dont certains usages liés à la surveillance de conversations sur les réseaux sociaux. Ces situations ne signifient pas que tout développeur représente un risque. Elles illustrent en revanche pourquoi les fournisseurs de modèles cherchent à associer les accès puissants à des contrôles plus stricts.

Un changement concret pour les équipes techniques

Pour une entreprise qui utilise déjà l’API, la principale conséquence est administrative : il faudra anticiper la vérification si un projet dépend d’un modèle ou d’une capacité nécessitant ce statut. Les responsables techniques ne pourront pas toujours se contenter de créer un compte au nom d’un collaborateur et de commencer immédiatement les tests sur les fonctions les plus avancées.

Cette étape pose plusieurs questions opérationnelles. Quelle personne au sein de l’organisation est habilitée à fournir la pièce d’identité ? Comment l’entreprise documente-t-elle cette démarche auprès de son service juridique ou de sa direction informatique ? Que se passe-t-il si cette personne change de poste ? Les informations publiées à ce stade ne détaillent pas tous ces scénarios.

Pour les petites structures, les indépendants et les jeunes pousses, l’enjeu est particulièrement sensible. Beaucoup expérimentent rapidement avec les API avant d’avoir une organisation administrative très formalisée. Une procédure de vérification peut renforcer la confiance dans l’écosystème, mais elle ajoute aussi une friction au moment où la rapidité de prototypage est souvent déterminante.

Les développeurs ont donc intérêt à distinguer deux besoins : les fonctions nécessaires pour expérimenter un produit et les accès avancés requis pour le déployer à plus grande échelle. Cette clarification peut éviter qu’un projet soit bloqué tardivement par une exigence de vérification non anticipée.

Une mesure de sécurité, mais aussi une question de données personnelles

La présentation d’une pièce d’identité à une grande plateforme technologique ne relève pas uniquement de la sécurité informatique. Elle implique aussi le traitement d’une donnée personnelle particulièrement sensible dans la vie courante. Pour les organisations européennes, la question de la transparence sur ce traitement est d’autant plus importante que leurs collaborateurs peuvent être soumis à des règles internes et à des obligations de protection des données.

À ce stade, l’annonce décrit les conditions d’accès, mais ne détaille pas l’ensemble des modalités pratiques attendues par les utilisateurs : durée de conservation des documents, éventuels prestataires impliqués dans la vérification, procédure de recours en cas de refus ou informations communiquées à la personne dont l’identité est utilisée. Ces précisions compteront autant que le principe de la vérification lui-même.

La mesure met également en lumière une tension désormais familière dans l’IA générative. D’un côté, des outils accessibles rapidement favorisent l’innovation, l’apprentissage et la concurrence. De l’autre, l’anonymat et la facilité d’ouverture de comptes peuvent compliquer les enquêtes sur les abus, les tentatives de contournement des règles ou le détournement de capacités avancées.

Le retrait de GPT-4 de ChatGPT ne ferme pas l’accès aux développeurs

Cette annonce intervient alors qu’OpenAI a prévu de retirer GPT-4 de ChatGPT le 30 avril 2025. Ce changement concerne l’interface ChatGPT. Les développeurs pourront toutefois continuer à utiliser GPT-4 par l’intermédiaire de l’API d’OpenAI.

Les deux décisions répondent à des logiques différentes, même si elles montrent une volonté commune de mieux organiser l’accès aux modèles. Le retrait de GPT-4 de ChatGPT concerne l’évolution du produit grand public et de son catalogue de modèles. Verified Organization concerne, elle, la gouvernance des accès API les plus avancés.

Il serait donc erroné d’en déduire que GPT-4 devient inaccessible aux professionnels le 30 avril. L’accès via API demeure possible, dans le cadre des conditions applicables à la plateforme. Les équipes techniques doivent surtout vérifier quels modèles, quelles fonctionnalités et quels niveaux d’accès sont nécessaires à leurs applications.

Ce qu’il faut surveiller dans les prochains mois

Le point décisif sera la liste précise des modèles et des capacités soumis à Verified Organization. OpenAI devra aussi clarifier le calendrier de déploiement, les pays effectivement concernés, les délais de traitement des dossiers et les voies de recours disponibles lorsqu’une demande est refusée.

La réaction des développeurs sera tout aussi révélatrice. Si la vérification reste simple, rapide et limitée aux accès les plus sensibles, elle pourrait devenir une norme comparable aux contrôles déjà pratiqués dans certains services de paiement, d’hébergement ou de cloud. Si elle ralentit trop fortement l’expérimentation ou manque de transparence sur les données demandées, elle risque au contraire d’alimenter les critiques sur une fermeture progressive des plateformes d’IA.

Au fond, OpenAI tente de répondre à une question qui concerne tout le secteur : comment laisser des milliers d’organisations créer avec des modèles puissants, tout en empêchant qu’une minorité exploite cette ouverture pour contourner les règles ou industrialiser des usages abusifs ? La vérification d’organisation ne résout pas seule ce dilemme. Elle marque néanmoins une étape claire vers des accès API plus sélectifs et davantage rattachés à une identité vérifiable.