Ce qu’est réellement un cadre de sécurité
Le cadre de sécurité d’un laboratoire d’IA de pointe est la politique publiée par le laboratoire lui-même, qui définit des seuils de capacité — des choses précises qu’un modèle pourrait être en mesure de faire — ainsi que les garde-fous ou engagements organisationnels censés se déclencher une fois qu’un modèle atteint l’un de ces seuils. Anthropic appelle sa version une Responsible Scaling Policy (politique de mise à l’échelle responsable) ; OpenAI, un Preparedness Framework (cadre de préparation) ; Google DeepMind, un Frontier Safety Framework (cadre de sécurité de pointe) ; Meta, un Advanced AI Scaling Framework (cadre de mise à l’échelle de l’IA avancée) ; xAI, un Frontier Artificial Intelligence Framework (cadre d’intelligence artificielle de pointe) ; Microsoft, un Frontier Governance Framework (cadre de gouvernance de pointe). Les noms diffèrent ; structurellement, les six tentent de répondre à la même question — comment une entreprise sait-elle qu’un modèle est trop dangereux pour être déployé tel quel, et à quoi s’engage-t-elle réellement à ce sujet ?
Cette question compte parce qu’aucun régulateur externe ne fixe actuellement de seuils de capacité contraignants et spécifiques à chaque modèle pour l’une quelconque de ces six entreprises (voir le droit de l’IA et son application en 2026). Pour l’instant, ces documents constituent la véritable réponse opérationnelle du secteur. Ce ne sont pas non plus le même document copié six fois : les risques que chaque laboratoire surveille, la façon dont un seuil est défini et — ce qui compte le plus — ce qui se passe lorsqu’on le franchit diffèrent de manière significative.
Une chose doit être dite avant que la comparaison ne commence, car elle conditionne la lecture de tout ce qui suit : chaque affirmation du tableau est la politique déclarée par le laboratoire lui-même. Rien de tout cela ne constitue une vérification indépendante que le laboratoire fait réellement ce qu’il annonce. Une section distincte après le tableau, « Affirmations et pratique réelle », couvre les audits externes qualifiés, les critiques académiques et les écarts documentés entre les engagements déclarés de ces six entreprises et leur conduite réelle — et c’est cette section, non le tableau, qui est la plus importante.
Chaque détail de cadre ci-dessous a été vérifié par rapport au document actuel publié par le laboratoire lui-même, ainsi que (pour la section « affirmations et pratique réelle ») les rapports et études indépendants cités, à la date de septembre 2026. Les numéros de version exacts et les dates d'entrée en vigueur sont indiqués partout afin qu'un lecteur qui revient puisse savoir si quelque chose a changé. Ces politiques sont révisées fréquemment — Anthropic à elle seule a publié neuf versions numérotées depuis septembre 2023 — traitez donc chaque ligne comme une photographie datée, non comme une description définitive.
Les cadres, comparés
| Laboratoire (cadre) | Version actuelle / date | Domaines de risque suivis | Structure de seuils / niveaux | Ce qui se passe en cas de franchissement d’un seuil |
|---|---|---|---|---|
| Anthropic — Responsible Scaling Policy | v3.4, en vigueur depuis le 8 juil. 2026 | Gain CBRN non nouveau ; gain CBRN nouveau ; sabotage à fort enjeu ; accélération automatisée de la R&D en IA | Tableau de seuils capacité/usage ; les niveaux fixes ASL-2/ASL-3/ASL-4 ont été abandonnés dans la refonte v3.0 (les étiquettes ASL héritées sont conservées uniquement pour les contrôles déjà en place) | Feuille de route de sécurité de pointe publique et non contraignante, notée par rapport aux performances passées, plus des rapports de risque tous les 3 à 6 mois avec examen externe — aucune pause inconditionnelle |
| OpenAI — Preparedness Framework | v2, 15 avr. 2025 | Biologique et chimique, cybersécurité, auto-amélioration de l’IA (suivis) ; autonomie à long rayon d’action, sandbagging, réplication et adaptation autonomes, sape des garde-fous, nucléaire et radiologique (catégories de recherche, critères pas encore complets) ; persuasion explicitement exclue | Deux niveaux : Élevé et Critique | Élevé : garde-fous requis avant le déploiement. Critique : garde-fous requis pendant le développement ; peut arrêter le développement entièrement. Le groupe consultatif interne de sécurité recommande ; le PDG ou son délégué décide ; le comité de sécurité et de sûreté du conseil d’administration supervise |
| Google DeepMind — Frontier Safety Framework | v3.1, 17 avr. 2026 | CBRN ; cyber ; manipulation nuisible (signalée comme « exploratoire et sujette à recherche complémentaire ») ; R&D en apprentissage automatique et désalignement (fusionnés en un seul domaine dans la v3.1) | Niveaux de capacité critique (CCL) plus des niveaux de capacité suivie (TCL), à seuil plus bas et nouveaux en v3.0/3.1 ; les niveaux de sécurité SL1–SL4 servent de vocabulaire, pas de norme de conformité | Un « seuil d’alerte » déclenche une évaluation formelle de capacité avant qu’un CCL ne soit atteint ; atteindre un CCL exige un dossier de sécurité supplémentaire et une validation de gouvernance avant tout déploiement externe (et, spécifiquement pour les CCL de R&D, avant aussi un déploiement interne à haut risque) |
| Meta — Advanced AI Scaling Framework | v2, 3 févr. 2025 (renommé depuis « Frontier AI Framework » v1.1 ; remplacé vers avr. 2026) | Chimique et biologique ; cybersécurité ; perte de contrôle (ajoutée en v2) | « Niveau de gain vers un scénario de menace », pas une échelle de niveaux fixe | Si le risque critique ne peut être atténué : ne déploiera pas le modèle à l’externe et ne poursuivra pas son développement |
| xAI — Frontier Artificial Intelligence Framework (FAIF) | En vigueur depuis le 30 juin 2026 (a remplacé le précédent Risk Management Framework, mis à jour pour la dernière fois le 20 août 2025) | CBRN ; cybersécurité offensive ; perte de contrôle ; manipulation nuisible | Évaluation complète du risque systémique au moins une fois par an ; pas d’échelle de niveaux fixe | Langage conditionnel tout du long (« nous pourrions », « si nous jugeons que c’est justifié ») ; aucun déclencheur explicite d’arrêt du développement comparable à ses pairs |
| Microsoft — Frontier Governance Framework | Mise à jour de févr. 2026 (la v1 datait de févr. 2025) | Armes CBRN ; cyberopérations offensives ; autonomie avancée ; perte de contrôle et manipulation nuisible (ajoutées en févr. 2026) | Deux étapes : détection automatisée d’« indicateurs avancés » par tests de référence au moins tous les 6 mois, s’escaladant vers une évaluation plus approfondie notée Faible/Moyen/Élevé/Critique | « Si… nous identifions un risque que nous ne pouvons pas suffisamment atténuer, nous mettrons en pause le développement et le déploiement jusqu’à ce que les pratiques d’atténuation évoluent pour répondre au risque » — l’engagement d’arrêt le plus direct des six |
Le changement le plus déterminant : l’abandon par Anthropic de la pause inconditionnelle
La RSP d’Anthropic a l’historique public le plus long des six, et son changement structurel le plus récent est le développement le plus discuté parmi les cadres de sécurité de pointe en 2026. La version 1.0, publiée le 19 septembre 2023, a introduit le système de niveaux de sécurité IA (ASL) — ASL-2, ASL-3, ASL-4 — chacun défini par une liste précise et fixe de contrôles requis, accompagnée d’un engagement ferme : Anthropic ne s’entraînerait pas au-delà d’un seuil sans garde-fous déjà démontrés comme adéquats à l’avance. Les versions 2.0 (octobre 2024), 2.1 (mars 2025) et 2.2 (mai 2025) ont étendu cette structure et ajouté le seuil CBRN.
La version 3.0, en vigueur depuis le 24 février 2026, a réécrit la politique. Anthropic a remplacé les niveaux ASL fixes par un tableau de seuils capacité/usage, et a expliqué ce raisonnement directement dans une annexe — les propres mots de l’entreprise sur les raisons de son abandon des listes de contrôles précises et détaillées figurent ci-dessous comme citation enregistrée. À la place de l’ancienne pause ferme, la v3.0 a introduit deux nouveaux instruments : une feuille de route de sécurité de pointe publique et non contraignante, notée ouvertement par rapport aux performances passées d’Anthropic elle-même, et des rapports de risque publiés tous les trois à six mois et soumis à l’examen d’au moins un réviseur externe validé, sans conflit d’intérêts. Le document d’Anthropic précise explicitement qu’il s’agit d’un basculement délibéré, d’une posture unilatérale de risque absolu vers une posture conditionnelle et dépendante des concurrents : une annexe nommée expose des scénarios tels qu’« Anthropic en tête » et « Les concurrents disposent de mesures de sécurité solides », sous lesquels les propres engagements de l’entreprise changent. Les versions 3.1 (2 avril), 3.2 (29 avril), 3.3 (26 mai) et 3.4 (8 juillet 2026, actuelle) ont chacune révisé des détails depuis lors — le plus récemment en resserrant le seuil de R&D automatisée et en élargissant la diffusion interne des rapports de risque — sans rétablir l’ancienne pause ferme.
La gouvernance autour de la politique elle-même est restée constante à travers ces versions : un responsable désigné de la mise à l’échelle responsable, un canal de signalement de non-conformité, et un examen annuel de conformité procédurale par un tiers qu’Anthropic elle-même décrit comme vérifiant « la conformité procédurale, non les résultats de fond » — une distinction qui mérite d’être notée, puisqu’elle signifie que l’audit confirme que le processus a été suivi, non que les décisions qui en résultent étaient correctes.
Ce changement a immédiatement été perçu comme un événement de crédibilité en dehors de l’entreprise. Chris Painter, directeur des politiques de METR, a examiné une ébauche précoce avec l’autorisation d’Anthropic et, tout en saluant la transparence accrue des rapports de risque, a livré aux journalistes l’évaluation sans détour citée ci-dessous.
Où les cinq autres cadres convergent et divergent
Le Frontier Governance Framework de Microsoft est le contraste le plus direct avec la nouvelle posture conditionnelle d’Anthropic : son engagement de pause, cité intégralement dans le tableau ci-dessus et ci-dessous, est inconditionnel en apparence, lié uniquement à l’évaluation propre de Microsoft qu’un risque ne peut être suffisamment atténué — sans aucune exception de scénario liée aux concurrents comparable à l’annexe A d’Anthropic.
L’Advanced AI Scaling Framework de Meta prend un engagement tout aussi inconditionnel pour son cas plus étroit : si un modèle atteint le « seuil de risque critique » de Meta et que ce risque ne peut être atténué, Meta déclare qu’elle ne déploiera pas le modèle à l’externe et ne poursuivra pas son développement. Meta utilise un « niveau de gain vers un scénario de menace » plutôt qu’une échelle de niveaux fixe, mais les domaines sous-jacents — risque chimique/biologique, cybersécurité et perte de contrôle (ajoutée dans la v2 de Meta) — s’avèrent plus partagés entre laboratoires que ne le laisse penser la publication séparée de chaque cadre. Le propre Preparedness Framework v2 d’OpenAI indique ouvertement, en note de bas de page, que ses rapports de capacité et ses rapports de garde-fous « sont parallèles à la RSP mise à jour d’Anthropic », et que ses critères de seuil « se sont en partie inspirés du récent Frontier AI Framework de Meta » — une reconnaissance rare de convergence entre laboratoires, dans un ensemble de documents qui, par ailleurs, se lisent comme s’ils avaient chacun été rédigés en vase clos.
La propre structure à deux niveaux d’OpenAI ne place la porte la plus exigeante — un arrêt possible du développement lui-même — qu’au niveau Critique, et même alors, elle fait passer la décision par un groupe consultatif interne de sécurité dont la recommandation peut être annulée par le PDG d’OpenAI ou son délégué, le comité de sécurité et de sûreté du conseil d’administration (codirigé par ce même PDG) assurant la supervision de cette annulation. Le cadre a été appliqué en pratique en juillet 2026 : la fiche système GPT-5.6 d’OpenAI a désigné ses modèles plus petits et plus rapides, Sol, Terra et Luna, comme présentant une capacité Élevée à la fois en cybersécurité et en risque biologique et chimique — la première fois que des modèles plus petits d’une même famille recevaient cette désignation —, déclenchant de nouveaux classificateurs d’activation, un blocage des résultats en temps réel, et environ 700 000 heures-GPU de red-teaming automatisé (page de sécurité de déploiement GPT-5.6 d’OpenAI). C’est le propre récit d’OpenAI sur sa propre conformité, pas un audit indépendant.
Le Frontier Safety Framework de Google DeepMind fonctionne encore différemment : plutôt qu’un franchissement binaire de niveau, un « seuil d’alerte » est censé déclencher une évaluation formelle de capacité avant qu’un niveau de capacité critique ne soit réellement atteint, et atteindre un tel niveau exige un dossier de sécurité supplémentaire et une validation de gouvernance avant tout déploiement externe — étendue, spécifiquement pour le domaine de la R&D en apprentissage automatique, à un déploiement interne à haut risque également (DeepMind, Frontier Safety Framework v3.1). L’exemple le plus clair d’un laboratoire nommant publiquement les limites de son propre cadre : le niveau de sécurité 4 recommandé par DeepMind pour les modèles capables d’automatiser entièrement le travail d’une équipe entière de recherche en IA de Google s’accompagne de la note explicite que cela « doit être pris en charge par le domaine de l’IA de pointe dans son ensemble » — DeepMind affirmant, dans son propre document publié, que les contrôles d’aucune entreprise seule ne suffisent à ce niveau de capacité.
Le FAIF de xAI est comparativement mince sur cette dimension. Sur ses quatre domaines, le langage conditionnel est quasi constant — « nous pourrions », « si nous jugeons que c’est justifié » — et le document ne contient aucun engagement d’arrêt de déploiement comparable au niveau Critique d’OpenAI ou au langage « ne déploiera pas » de Meta (xAI, Frontier Artificial Intelligence Framework). Il a remplacé un précédent Risk Management Framework, lui-même déjà publié avec des mois de retard sur le calendrier annoncé par xAI — un schéma à l’historique documenté, traité ci-après.
Pour un index plus large des politiques publiées par des laboratoires de pointe au-delà de ces six, METR tient à jour une comparaison (METR, « Common Elements of Frontier AI Safety Policies » ; index) couvrant douze laboratoires. Elle fonctionne surtout comme un index structurel plutôt qu’une notation évaluée — pour une comparaison notée, voir la section suivante.
Affirmations et pratique réelle
Tout ce qui précède décrit ce que six entreprises disent qu’elles feront. Savoir si elles l’ont réellement fait est une question différente, et plus importante, et les preuves disponibles sont sensiblement moins flatteuses que les cadres eux-mêmes.
La vérification indépendante la plus utile est le SaferAI Frontier Risk Management Tracker, une notation véritablement indépendante et distincte du cadre auto-déclaré de tout laboratoire. Il note douze entreprises — pas seulement les six comparées ci-dessus — sur quatre dimensions : identification des risques, analyse et évaluation des risques, traitement des risques, et gouvernance des risques. Selon sa mise à jour de juillet 2026, les scores globaux sur 100 % étaient : Anthropic 35 % (la plus élevée globalement, et la plus forte spécifiquement en gouvernance des risques à 50 %), OpenAI 34 %, Microsoft 33 %, Meta 33 %, G42 24 %, Google DeepMind 20 %, xAI 18 %, Amazon 18 %, NVIDIA 16 %, Magic 11 %, Naver 10 % et Cohere 8 % (la plus basse) (SaferAI Frontier Risk Management Tracker). Le propre repère de SaferAI sur ce que produirait la meilleure pratique actuelle, si chaque entreprise adoptait la pratique existante la plus solide trouvée n’importe où dans le secteur, est cité ci-dessous — et il n’est nulle part proche de 100 %. Aucun laboratoire évalué, y compris le meneur, n’approche ce que SaferAI considère comme adéquat.
Le Preparedness Framework d’OpenAI a été examiné directement par des universitaires extérieurs plutôt que pris pour argent comptant. Coggins, Saeri, Daniell, Ruster, Liu et Davis appliquent un cadre d’« affordances » — distinguant ce qu’un document de politique exige, demande, encourage et se contente de permettre — et parviennent à trois constats. Premièrement, le cadre demande l’évaluation d’une minorité seulement des sous-domaines de risque de la taxonomie à 24 sous-domaines du MIT AI Risk Repository, et n’en exige l’évaluation d’aucun. Deuxièmement, il encourage le déploiement de systèmes à capacité « Moyenne » pour un préjudice grave — la propre définition d’OpenAI couvrant la mort ou la blessure grave de milliers de personnes, ou des centaines de milliards de dollars de dommages économiques — en citant le propre déploiement par OpenAI de son modèle o1 malgré une capacité biologique/chimique et de persuasion notée Moyenne. Troisièmement, il permet au PDG d’OpenAI d’annuler les recommandations de garde-fous du groupe consultatif de sécurité, alors que ce même PDG codirige le comité du conseil censé superviser cette latitude — un constat de conflit d’intérêts structurel, pas hypothétique.
Le propre dossier de sécurité de Google DeepMind a été audité en externe — l’exemple le plus clair, parmi les six laboratoires, d’une affirmation précise relative à la sécurité vérifiée par des réviseurs extérieurs nommés et qualifiés, plutôt que par le processus interne du laboratoire. L’argument interne de DeepMind selon lequel ses modèles seraient dépourvus de la capacité à « comploter » (scheme) a été examiné par Barrett, Campos Zabala, Fillingham, Siddique, Walpole, Bloomfield et Papadatos, à l’aide d’une méthodologie formelle d’assurance. Leur évaluation a reconnu à DeepMind un engagement méthodologique authentique et un raisonnement transparent, mais a mis au jour ce qui est cité ci-dessous — un constat sur la distance entre la pratique d’ingénierie et les preuves réellement présentées, non une accusation de mauvaise foi.
xAI fournit le cas le plus net d’affirmations d’un cadre directement contredites par les événements, et cela s’est produit deux fois. D’abord sur le processus : l’ébauche de cadre de xAI de février 2025 promettait une version finalisée « sous trois mois » — une échéance d’environ le 10 mai 2025. L’échéance est passée sans reconnaissance de la part de xAI, ce qui a conduit le groupe de vigilance The Midas Project à relever le schéma cité ci-dessous. Le prédécesseur du FAIF qui a fini par paraître n’a été publié que le 20 août 2025 — avec plus de trois mois de retard. Ensuite sur le fond : ce même jour, xAI a accidentellement publié des centaines de milliers de conversations d’utilisateurs, et Elon Musk a reconnu séparément qu’un ingénieur avait téléchargé l’intégralité du dépôt de code de l’entreprise — contredisant directement les propres affirmations de sécurité écrites dans ce même document. AI Lab Watch a également documenté que le crédit accordé à l’UK AI Security Institute en tant qu’évaluateur tiers avait été discrètement retiré de la fiche du modèle Grok 4 un jour après sa publication, sans explication (AI Lab Watch, « xAI’s new safety framework is dreadful »).
Toutes les entrées de cette section ne relèvent pas d’un échec documenté. La désignation de capacité Élevée de GPT-5.6 d’OpenAI, décrite plus haut, se lit mieux comme un cadre appliqué en grande partie tel qu’écrit — mais il s’agit toujours de l’auto-déclaration d’OpenAI elle-même ; aucune vérification indépendante des affirmations sur le red-teaming ou l’efficacité des classificateurs qui la sous-tendent n’a été trouvée au moment de la rédaction.
Comment utiliser cette page
Chaque cadre nommé ici est révisé selon son propre calendrier, généralement sans beaucoup d’annonce publique au-delà d’une entrée de journal des modifications. Les numéros de version et les dates d’entrée en vigueur ci-dessus sont le moyen le plus rapide de vérifier si une ligne donnée est encore d’actualité : la RSP d’Anthropic en est à la v3.4 (8 juillet 2026), le Preparedness Framework d’OpenAI est resté en v2 depuis le 15 avril 2025 sans v2.1 au moment de la rédaction, le Frontier Safety Framework de DeepMind en est à la v3.1 (17 avril 2026), l’Advanced AI Scaling Framework de Meta en est à la v2 (3 février 2025, depuis remplacée), le FAIF de xAI est entré en vigueur le 30 juin 2026, et le Frontier Governance Framework de Microsoft a été mis à jour pour la dernière fois en février 2026. Si l’un de ces numéros a évolué au moment où vous lisez ceci, considérez le tableau comme obsolète sur cette ligne précise.
Pour savoir comment fonctionnent réellement les tests de capacité et les arguments des dossiers de sécurité derrière ces cadres — et leurs propres limites — voir évaluations de pointe, dossiers de sécurité et signalement d’incidents. Pour un registre chronologique des incidents, divulgations et incidents évités de justesse dans le monde réel que ces cadres sont censés prévenir ou détecter, voir la chronologie des incidents liés à l’IA.