La cyberattaque perpétrée par deux modÚles d'intelligence artificielle (IA) d'OpenAI de leur propre initiative pose la question de la responsabilité légale de l'IA et de son concepteur, un terrain juridique encore vierge.
Vendredi, ClĂ©ment Delangue, patron d'Hugging Face, la plateforme victime de ces intrusions, a estimĂ© publiquement nĂ©cessaire "que les sociĂ©tĂ©s qui ont commis des erreurs ayant menĂ© à ça (des cyberattaques autonomes) puissent ĂȘtre tenues pour responsables".
Mi-juillet, deux modĂšles d'OpenAI en phase de tests ont choisi de sortir de leur milieu confinĂ©, un scĂ©nario que n'avait pas prĂ©vu les dĂ©veloppeurs, pour s'aventurer sur internet, oĂč ils ont attaquĂ© Hugging Face, site de rĂ©fĂ©rencement d'IA.
Clément Delangue a aussi mentionné Anthropic, qui a révélé jeudi que trois de ses modÚles avaient fait intrusion sur trois sites différents, également lors de tests.
Interrogé par la chaßne CNN, le patron de la start-up franco-américaine, a néanmoins écarté l'éventualité d'une procédure judiciaire contre OpenAI.
"Nous sommes une petite start-up de 200 personnes et nous n'avons ni les moyens financiers ni le temps" de chercher à obtenir réparation devant les tribunaux, a-t-il déclaré.
"Mais nous devons nous assurer que ces faits soient considérés comme illégaux", a-t-il exhorté. "Il faut se rappeler qu'une cyberattaque est une infraction, que c'est illégal."
- La piste de la négligence -
Les lois civile et pénale américaines classent l'intrusion dans un systÚme informatique comme un délit.
"Si un employé humain d'OpenAI" avait pénétré par effraction dans les infrastructures informatiques d'Hugging Face, "OpenAI serait considéré comme responsable", a jugé Gabriel Weil, professeur de droit à l'université de Houston, dans une tribune publiée par la lettre d'information Transformer.
"Mais quand c'est une IA, la loi considĂšre la chose trĂšs diffĂ©remment, en tout cas pour l'instant", a-t-il ajoutĂ©, en soulignant que les textes reposent sur la notion d'intentionnalitĂ©, qui ne peut selon lui ĂȘtre retenue contre un modĂšle.
"Nous n'avons pas encore eu Ă discuter de ce concept pour quelque chose qui ne soit pas humain et je ne pense pas que les tribunaux soient prĂȘts Ă le faire aujourd'hui", abonde Matthew Tokson, professeur de droit Ă l'universitĂ© de l'Utah.
En revanche pour ce qui est de l'entreprise à l'origine du modÚle, le débat est ouvert.
"Est-ce que le fait de dire +nous n'avons pas dit à l'IA de faire ça+ clÎt la question de la responsabilité?", interroge, sur X, Rob T. Lee, responsable de la recherche au sein de l'institut de formation à la cybersécurité SANS.
Sur le plan pénal, Ryan Calo, professeur de droit à l'université de Washington, ne pense pas qu'une telle procédure puisse prospérer.
"Il faudrait que l'entreprise ou un individu ait commis une faute dĂ©libĂ©rĂ©e (recklessness)", dit-il, "c'est-Ă -dire ĂȘtre certain que le dĂ©lit va ĂȘtre commis mais lancer quand mĂȘme l'IA."
Les spécialistes voient plus d'avenir à un volet civil, domaine dans lequel la charge de la preuve est moins lourde.
"Certains considĂšrent que les entreprises d'intelligence artificielle devraient ĂȘtre directement dĂ©clarĂ©es responsables si un agent IA s'Ă©chappe et fait des dĂ©gĂąts", explique Matthew Tokson.
"D'autres prĂ©fĂ©reraient que soit Ă©valuĂ©e une possible nĂ©gligence", poursuit l'universitaire, "pour dĂ©terminer si c'Ă©tait un accident impossible Ă Ă©viter ou si cela aurait pu ĂȘtre empĂȘchĂ©."
Dans des affaires de ce type, "il existe généralement des standards" en matiÚre de négligence dans la conception d'un produit, auxquels les juges ou les jurys peuvent se référer, selon Matthew Tokson.
"Mais on n'avait encore jamais vu une IA s'Ă©chapper et pirater des gens sur internet", rappelle-t-il. "C'est nouveau."
Si OpenAI peut, en cas de poursuites, jouer sur cette absence de jurisprudence, ce ne sera plus le cas pour les suivants, prĂ©vient Ryan Calo. Prouver qu'un incident similaire pouvait ĂȘtre anticipĂ© "ne devrait plus ĂȘtre si difficile maintenant que ça a commencĂ© Ă arriver".
AFP