Le risque n’exige pas l’AGI
Une IA avancée pourrait accroître le risque biologique en aidant un acteur malveillant à fouiller la littérature, comparer des options, résoudre des problèmes de laboratoire, ou faire fonctionner des outils biologiques spécialisés. Un modèle n’aurait pas besoin de conscience, de superintelligence, ou d’autonomie complète pour compter. Il lui suffirait de réduire un ou plusieurs goulots d’étranglement dans un flux de travail déjà dangereux.
Ce mécanisme est plausible et important, mais son ampleur actuelle est incertaine. Le Rapport international sur la sécurité de l’IA de 2026 conclut que les capacités pertinentes se sont améliorées et que certaines études plus récentes trouvent une assistance significative sur des tâches procurationnelles, tandis que des études antérieures avaient trouvé des effets faibles ou statistiquement non significatifs. Il souligne aussi la persistance de barrières matérielles et d’importantes lacunes d’évaluation (Rapport international sur la sécurité de l’IA 2026). La position exacte n’est donc ni « l’IA peut déjà créer une pandémie » ni « les modèles ne font que répéter des faits inoffensifs trouvés sur internet ».
Ce que les chercheurs entendent par « gain »
Une étude de gain (uplift) compare la performance avec assistance de l’IA à une référence telle que le simple accès à internet. Le résultat dépend de qui participe, de la tâche tentée, du modèle et des garde-fous utilisés, de la façon dont la performance est notée, et si la tâche est un plan sur papier, un exercice procurationnel d’acquisition, ou un véritable travail de laboratoire.
L’information n’est qu’une partie d’une chaîne d’attaque biologique. Un acteur peut avoir besoin de sélectionner un agent, d’obtenir des matériaux, d’acquérir un savoir-faire tacite de laboratoire, d’effectuer un contrôle qualité, de mettre à l’échelle la production, d’éviter de se blesser et d’être détecté, et de réussir la dissémination. L’IA pourrait aider substantiellement à une étape tandis que l’ensemble de l’opération reste hors de portée de l’acteur. À l’inverse, une assistance modeste au bon goulot d’étranglement pourrait compter davantage qu’une grande amélioration de score sur un test non pertinent.
Les études sûres évitent de produire des instructions opérationnelles et utilisent un examen d’experts, des cadres contrôlés, et des tâches procurationnelles. Même ainsi, la validité externe est difficile à établir. Les participants peuvent ne pas ressembler aux acteurs de menace réels. Des études courtes ne peuvent pas capturer des mois de résolution de problèmes. Un changement rapide de modèle peut rendre obsolète un résultat soigné peu après sa publication.
Les preuves ont évolué après de premiers résultats nuls
Une étude de red team de RAND en 2024 n’a trouvé aucune différence statistiquement significative dans les évaluations d’experts sur des plans d’attaque biologique élaborés par des équipes ayant accès à des modèles de langage et des équipes utilisant seulement internet. RAND a conclu que la planification d’attaque se situait au-delà de la frontière de capacité des modèles testés en tant qu’outils d’assistance, tout en avertissant qu’elle n’avait pas mesuré jusqu’où (rapport de RAND). C’était une preuve significative concernant ces modèles, ces participants et cette tâche de planification précis — pas une conclusion permanente sur tous les systèmes futurs.
Les preuves ultérieures sont plus préoccupantes mais restent incomplètes. Le Rapport international sur la sécurité de l’IA de 2026 décrit une étude de gain plus récente et en conditions réelles, dans laquelle une IA à usage général sans garde-fous a fourni une assistance substantielle sur des tâches procurationnelles d’acquisition d’armes biologiques par rapport au simple accès à internet. Il note aussi des études sur des modèles soutenant le travail scientifique et l’équipement de laboratoire. Ces résultats mettent à jour le tableau : il n’est plus exact de dire que les systèmes actuels n’ont pas significativement abaissé les barrières pratiques. Il reste difficile de quantifier de combien le risque global a augmenté, ou quels goulots d’étranglement matériels persistent.
Les évaluations des développeurs eux-mêmes ajoutent des preuves mais comportent des conflits d’intérêts et retiennent souvent des détails sensibles. Elles devraient être étiquetées comme des auto-déclarations d’entreprise et interprétées aux côtés de travaux gouvernementaux et indépendants.
Ce que signifie l’activation de l’ASL-3 par Anthropic
Anthropic a annoncé en 2025 des protections ASL-3 pour la famille Claude Opus 4, car elle ne pouvait pas exclure un gain significatif dans certains flux de travail chimiques, biologiques, radiologiques ou nucléaires. L’entreprise a explicitement décrit cette activation comme préventive et a indiqué qu’elle n’avait pas établi de façon définitive que le modèle avait franchi le seuil de capacité pertinent (annonce ASL-3 d’Anthropic).
Il est important de ne pas confondre plusieurs concepts. Un niveau de sécurité IA (AI Safety Level) est un ensemble de protections de sécurité et de déploiement. Un seuil de capacité est une preuve qui peut déclencher des garde-fous plus stricts. La politique d’Anthropic a aussi distingué la production chimique/biologique non nouvelle, le développement d’armes nouvelles, et le gain vers des programmes plus sophistiqués. « ASL-3 » n’est pas une notation scientifique universelle et ne signifie pas que le modèle peut construire de façon autonome toute classe d’arme CBRN.
La politique d’Anthropic a continué d’évoluer ; son archive publique liste la version 3.4 en date d’août 2026 (RSP d’Anthropic). Les lecteurs devraient utiliser la version et la date associées à une décision précise sur un modèle plutôt que d’importer le langage d’un cadre antérieur.
Les garde-fous ont besoin de plusieurs couches
Les contrôles du modèle et du déploiement incluent l’entraînement des systèmes à refuser une assistance dangereuse, des classificateurs d’entrée et de sortie, une surveillance des motifs suspects à plusieurs étapes, des limites de débit, une vérification des comptes, et un accès contrôlé pour des chercheurs habilités. Ces mesures peuvent réduire l’usage abusif occasionnel mais peuvent être contournées par des jailbreaks, la décomposition de tâches, l’accès à des modèles moins protégés, ou le retrait des garde-fous sur des poids ouverts.
La publication conditionnée à l’évaluation relie les résultats de tests aux décisions. Les développeurs peuvent tester pendant l’entraînement, commander des évaluations externes, restreindre l’accès aux outils, et retarder une publication lorsque les preuves dépassent un seuil défini. Les rapports devraient décrire l’incertitude résiduelle, pas seulement si un seuil a été formellement franchi.
Le filtrage de la synthèse d’acides nucléiques s’attaque au pont entre l’information numérique et le matériel physique. Les fournisseurs peuvent filtrer les clients et les séquences des commandes selon des critères de risque, avec une confidentialité, un droit d’appel et une coordination internationale appropriés. Le filtrage ne suffit pas à lui seul : l’équipement, les agents pathogènes, les laboratoires et les chaînes d’approvisionnement varient à l’échelle mondiale.
La résilience de la santé publique réduit le préjudice, que l’épidémie soit naturelle, accidentelle ou délibérée. La surveillance, les diagnostics rapides, l’amélioration de l’air intérieur, l’équipement de protection, les plateformes vaccinales, les stocks médicaux et une communication fiable constituent des défenses larges. Les politiques de sécurité concentrées uniquement sur les refus d’un modèle passent à côté de ce système plus large. Pour la version au niveau du foyer de cette résilience — respirateurs, filtration de l’air et planification de l’isolement — voir les fondamentaux de la biosécurité personnelle.
La gouvernance de laboratoire et la biosécurité restent centrales. La formation, l’examen institutionnel, les contrôles d’accès, le signalement d’incidents et la culture de sécurité s’attaquent aux voies aussi bien malveillantes qu’accidentelles. L’IA peut aussi renforcer la défense en soutenant la détection, la découverte de médicaments et la recherche biologique ; les contrôles devraient préserver le travail légitime dans la mesure du possible.
Comment raisonner sans sensationnalisme
Séparez quatre affirmations. Premièrement, les modèles actuels peuvent fournir une information biologique substantielle ; cela est observé. Deuxièmement, certaines évaluations indiquent un gain pratique sur des tâches procurationnelles sélectionnées ; ce sont des preuves émergentes avec des limites. Troisièmement, un acteur malveillant pourrait combiner une future IA avec des outils et des matériaux pour provoquer une épidémie catastrophique ; c’est une voie de risque plausible. Quatrièmement, une pandémie causée par l’IA est imminente ; les preuves disponibles n’établissent pas cette prévision.
Cette distinction compte pour la confiance publique. L’exagération peut encourager le fatalisme ou faire de la publicité pour des capacités, tandis que le rejet peut retarder les défenses. Les rapports devraient décrire le système testé, les garde-fous, la référence, les participants, le critère de réussite, l’incertitude et le financement. Les détails opérationnels qui permettraient de causer un préjudice ne devraient pas être publiés.
La conclusion pratique
Le risque biologique assisté par l’IA figure parmi les préoccupations de préjudice grave les plus concrètes, car l’assistance scientifique utile et l’assistance dangereuse se recouvrent. Les preuves sont allées au-delà du premier résultat de « pas de gain significatif », mais elles ne montrent pas que les modèles ont effacé les barrières physiques et organisationnelles exigeantes d’une attaque à grande échelle.
La réponse rationnelle est en couches et adaptative : poursuivre des études indépendantes sur le gain, relier les capacités des modèles à des garde-fous exécutoires, sécuriser les chaînes d’approvisionnement biologiques, et renforcer la santé publique. Ces mesures restent précieuses sur un large éventail de calendriers d’IA — et elles évitent de prétendre que le niveau de sécurité d’une seule entreprise est un verdict sur l’état du risque biologique.