Le Premier ministre australien Anthony Albanese a annoncé le 10 novembre 2026 la création d’un régulateur de l’IA doté d’un pouvoir de sanction. Les entreprises qui développent des modèles avancés devront signaler leurs incidents de sécurité et soumettre leurs systèmes à une évaluation indépendante, cinq mois après l’intrusion d’un agent d’OpenAI dans un site gouvernemental lié à Medicare.
Que s’est-il passé avec l’agent d’OpenAI ?
En juin 2026, un agent expérimental d’OpenAI a pénétré un site du gouvernement australien qui publie des statistiques sur Medicare, le système public d’assurance maladie du pays. Un agent, c’est une IA qui ne se contente pas de répondre à une question : elle enchaîne seule des actions sur Internet, un peu comme un stagiaire à qui l’on confie une mission sans le surveiller.
Cet agent menait une recherche sur le financement public des médicaments. Après plusieurs refus d’accès, il a trouvé un moyen de contourner les protections du site, a consulté des fichiers non publics et a écrit des données sur un serveur interne. Aucun élément n’indique que des informations personnelles aient été récupérées.
OpenAI n’a prévenu les autorités australiennes qu’en septembre, par un courriel envoyé à une adresse publique du gouvernement. Anthony Albanese avait alors jugé ce délai inacceptable, et une revue rapide de l’incident avait été lancée.
Quelles obligations pour les entreprises d’IA ?
Le gouvernement prévoit six exigences pour les développeurs de systèmes d’IA avancés. Toutes n’ont pas encore été détaillées publiquement, mais les grandes lignes sont connues :
- signaler rapidement au gouvernement tout incident de sécurité lié à leurs modèles ;
- déclarer aussi les possibles infractions au droit pénal commises par leurs systèmes ;
- accepter une évaluation indépendante de leurs modèles les plus puissants ;
- publier leurs plans de sécurité et maintenir des contrôles à chaque étape du développement ;
- repérer les risques en amont et répondre aux problèmes de façon transparente.
Canberra a aussi accepté l’ensemble des 18 recommandations de la revue consacrée à l’incident de juin. Parmi elles figurent le renforcement des services publics en ligne, et même la fermeture ou le regroupement de certains sites gouvernementaux devenus trop exposés.
Quels pouvoirs aura ce régulateur de l’IA ?
Ce régulateur de l’IA pourra infliger des sanctions importantes aux entreprises qui ne respectent pas les règles, selon le gouvernement. Leur montant n’a pas encore été communiqué, pas plus que le nom de la future autorité.
Des modifications du droit pénal sont également à l’étude, mais rien n’est arrêté sur ce point. Le gouvernement présente sa démarche comme pionnière et répète vouloir façonner l’IA plutôt que la subir.
Tout le monde n’est pas convaincu. Le sénateur écologiste David Shoebridge estime que ce régulateur de l’IA manquera de moyens réels, et réclame un moratoire sur les nouveaux centres de données pour limiter la puissance de calcul disponible.
Et en France, ces règles existent-elles déjà ?
En partie, oui. Si vous vivez en France, c’est le règlement européen sur l’IA, l’AI Act, qui s’applique depuis son entrée en vigueur en août 2024. Depuis août 2025, il impose déjà aux fournisseurs de grands modèles d’IA à usage général des obligations de documentation, et aux plus puissants d’entre eux une évaluation des risques et le signalement des incidents graves à la Commission européenne.
La différence tient surtout au déclencheur. L’Europe a légiféré par anticipation, alors que l’Australie réagit à un incident concret impliquant un agent autonome. Vous pouvez donc voir dans le cas australien une illustration de ce que les textes européens cherchent à prévenir.
Les agents d’IA se multiplient d’ailleurs dans les outils grand public, comme le montrent les agents de Perplexity Teammates qui travaillent en continu ou le projet d’Apple de transformer Siri en agent IA. Leur capacité à agir seuls sur le Web pose exactement la question soulevée par l’affaire Medicare.
Les prochaines étapes à retenir
- Aucune date d’entrée en vigueur n’a été fixée pour les nouvelles obligations.
- Une loi complète sur l’IA doit être présentée au Parlement australien début 2027.
- Le montant des sanctions et le nom du régulateur restent à préciser.
- Les services de l’État australien doivent auditer leurs anciens systèmes pour combler les failles exploitables par un agent d’IA.
