La gouvernance internationale n’est plus vide — mais elle est fragmentée
En septembre 2026, il est inexact d’affirmer qu’aucun instrument international contraignant sur l’IA n’existe. La Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle est un traité juridiquement contraignant pour les parties une fois ses conditions d’entrée en vigueur réunies. Il est tout aussi inexact de laisser entendre qu’un traité mondial et vérifiable limite aujourd’hui le développement des modèles de pointe. Aucun régime universel de ce type n’existe.
Le paysage comprend des déclarations politiques, des engagements volontaires d’entreprises, un droit régional, des normes, et une seule convention-cadre centrée sur les droits humains, la démocratie et l’État de droit. Leur force juridique et leur objet diffèrent.
Bletchley a créé une enceinte
La déclaration de Bletchley de novembre 2023 a été approuvée par 28 pays et l’Union européenne lors du premier sommet sur la sécurité de l’IA. Elle a reconnu le préjudice potentiellement grave que représente l’IA de pointe et a soutenu la coopération sur la mesure, les tests de sécurité et la capacité du secteur public (gouvernement britannique, novembre 2023).
C’est une déclaration politique, pas un traité. Elle n’a créé aucune inspection, aucune évaluation obligatoire, aucune sanction. Sa portée fut diplomatique : les États-Unis, la Chine, les membres de l’UE et d’autres États ont accepté un langage commun sur le risque de pointe. La participation était géographiquement incomplète, et la présence n’établit pas d’accord sur l’application.
Séoul, en 2024, a poursuivi le processus de sommets et a produit des engagements volontaires de sécurité de pointe de la part des entreprises. Paris, en 2025, a élargi l’agenda vers l’action en matière d’IA, l’innovation, l’inclusion et l’intérêt public, révélant des désaccords sur les priorités et le texte. Les communiqués de sommet sont des preuves de positions déclarées ; leur mise en œuvre exige une vérification séparée.
Le Rapport international sur la sécurité de l’IA
Le processus des sommets a contribué à faire naître une synthèse scientifique indépendante. Le Rapport international sur la sécurité de l’IA de 2026 distingue les préjudices documentés des scénarios graves incertains, et consigne les points de désaccord entre experts (Rapport international sur la sécurité de l’IA 2026). Il ne crée pas d’obligations juridiques, et un consensus scientifique sur les preuves n’équivaut pas à un accord politique sur la politique à mener.
Cette séparation a de la valeur. Les négociateurs peuvent partager une base commune sur les capacités, les incidents et l’incertitude sans s’accorder sur la régulation. Les rapports futurs devraient conserver leur indépendance éditoriale, publier leurs méthodes et leurs conflits d’intérêts, et inclure une expertise au-delà des États et laboratoires d’IA les plus avancés.
La convention du Conseil de l’Europe
La Convention-cadre a été ouverte à la signature le 5 septembre 2024. Elle exige des parties qu’elles traitent l’IA tout au long de son cycle de vie de façon cohérente avec les droits humains, la démocratie et l’État de droit, en s’appuyant sur des principes tels que la transparence, la redevabilité, l’égalité, la vie privée, la fiabilité et les voies de recours. Elle est neutre sur le plan technologique et permet une mise en œuvre par des mesures internes (page du traité du Conseil de l’Europe).
Sa page d’état officielle doit être consultée pour les signatures, les ratifications et l’entrée en vigueur ; au 11 septembre 2026, cette page indiquait toujours l’exigence de cinq ratifications, dont au moins trois provenant de membres du Conseil de l’Europe, et ne mentionnait aucune date d’entrée en vigueur (Bureau des traités, CETS 225). La signature indique l’intention d’envisager d’être lié ; la ratification est l’acte juridique le plus fort. La convention permet des réserves et une mise en œuvre flexible, et son périmètre lié à la sécurité nationale a attiré des critiques. Ce n’est ni un traité de non-prolifération du calcul, ni un traité de non-prolifération de l’AGI.
L’UE est contraignante mais régionale
Le règlement européen sur l’IA a des conséquences directes pour les fournisseurs qui mettent des systèmes ou des modèles couverts sur le marché de l’UE. Les obligations pour les modèles à usage général ont commencé à s’appliquer en août 2025, et la Commission ainsi que les autorités nationales ont commencé à faire appliquer les principales dispositions en août 2026. Les fournisseurs de modèles à risque systémique font face à des obligations d’évaluation, d’atténuation, de signalement d’incidents et de cybersécurité (cadre d’application de la Commission européenne).
Le règlement a des effets extraterritoriaux sur le marché, mais c’est du droit de l’UE, pas un traité multilatéral. Son calendrier pour les systèmes à haut risque a lui aussi changé par une législation ultérieure de l’UE, si bien que les résumés doivent être datés. Le texte légal consolidé officiel et les pages de mise en œuvre de la Commission devraient remplacer les explications non officielles.
Les États-Unis ont changé de cap
Le décret présidentiel américain 14110 a été révoqué en janvier 2025. Le décret de remplacement 14179 et le plan d’action pour l’IA de juillet 2025 mettent l’accent sur l’innovation, l’infrastructure, la sécurité nationale et le leadership mondial (Maison-Blanche, janvier 2025). Certaines compétences d’agences, lois sectorielles, règles de marchés publics, contrôles à l’exportation et cadres volontaires de laboratoires demeurent, mais le dispositif de signalement de l’ancien décret ne devrait pas être présenté comme actuel.
Les États ont comblé une partie du vide. La SB 53 de Californie, signée le 29 septembre 2025 et en vigueur en 2026, exige des développeurs de pointe couverts qu’ils publient des cadres de sécurité, signalent des incidents critiques spécifiés, et protège les lanceurs d’alerte couverts (gouverneur de Californie). La loi RAISE de New York a été signée le 19 décembre 2025 et impose des exigences de cadre et de signalement selon ses propres définitions (gouverneure de New York). Ce sont des lois d’État, pas des engagements de traité des États-Unis, et les seuils de couverture comptent.
Ce qu’exigerait un accord sur le risque de pointe
Un accord significatif doit définir l’activité couverte sans figer la technologie. Les intrants pourraient inclure le calcul d’entraînement, les évaluations de capacité, l’échelle de déploiement et l’accès à des outils dangereux. Les obligations pourraient inclure la notification, des tests indépendants, la sécurité, le signalement d’incidents et des restrictions sur des usages militaires ou autonomes spécifiés.
La vérification est l’élément le plus difficile. Les options incluent la notification sécurisée de grands clusters, les registres d’approvisionnement en puces, l’inspection sur site, les attestations préservant la confidentialité, et des procédures de contestation. Chacune peut exposer des informations commerciales, personnelles ou relevant de la sécurité nationale. La vérification a besoin de règles d’accès, de minimisation des données, d’une protection contre l’espionnage et de conséquences pour les fausses déclarations.
La participation compte autant que la conception. Un régime qui exclut des développeurs clés crée des problèmes de fuite et d’équité. Une règle de consensus peut permettre le blocage ; des règles de majorité peuvent pousser à la non-participation. L’assistance à l’évaluation et à l’infrastructure peut rendre les obligations réalisables pour les États à moindre capacité.
Les leçons du contrôle des armements — avec leurs limites
L’expérience du contrôle des armements montre que des adversaires peuvent coopérer face à un risque catastrophique partagé tout en restant rivaux. Les lignes directes, les inspecteurs, les notifications, les interdictions d’essais et les accords sur les incidents offrent des modèles institutionnels. L’IA est différente parce que les usages civils dominent, le logiciel se diffuse rapidement, des entreprises privées détiennent les actifs clés, et la capacité ne peut pas se compter comme des armes déployées.
Les meilleures cibles à court terme peuvent être spécifiques et vérifiables : tenir les systèmes autonomes à l’écart des décisions de lancement nucléaire, signaler les incidents graves des modèles, protéger la recherche en sécurité, sécuriser les poids au-delà de niveaux de capacité définis, et s’accorder sur des méthodes d’évaluation. Des accords étroits peuvent bâtir la confiance sans attendre un traité complet sur l’AGI.
Comment juger des progrès
Comptez les ratifications, les obligations adoptées, les régulateurs dotés d’un budget, les audits achevés, les incidents divulgués et la conformité vérifiée — pas seulement les conférences. Demandez quelles juridictions et quels modèles sont couverts, qui peut enquêter, si les personnes concernées disposent de voies de recours, et ce qui se passe après une violation. Suivez les engagements des entreprises séparément du droit gouvernemental.
La gouvernance internationale a progressé au-delà des déclarations d’inquiétude, en particulier en Europe et dans plusieurs États américains. Elle reste inégale, faiblement harmonisée, et loin d’un régime mondial capable de vérifier une retenue mutuelle à la frontière technologique. Ce bilan mitigé est plus exact que d’affirmer soit que « rien n’existe », soit que « le monde a régulé l’IA ».