Conformité, prix, sécurité : l'IA devient une affaire de contrats

Cette semaine, l’IA a cessé d’être un sujet d’atelier pour devenir un sujet de contrat. Trois mouvements l’ont montré, presque en même temps : la transparence est devenue une obligation légale et non plus une bonne pratique, le prix de l’IA s’est révélé aussi mouvant qu’un cours de matière première, et les mêmes outils qui vous font gagner du temps servent désormais à fabriquer des attaques en quelques heures. Aucune de ces nouvelles n’est spectaculaire prise isolément. Ensemble, elles dessinent une bascule : les décisions à prendre ne sont plus « faut-il essayer l’IA », mais « qu’avons-nous signé, à quel prix, et avec quelles garanties ».

La transparence n’est plus une option, c’est une clause

Le point de départ, c’est une échéance réglementaire déjà passée. Depuis le 2 août, l’article 50 de l’AI Act s’applique : tout système qui dialogue avec une personne — chatbot de service client, assistant vocal, agent conversationnel — doit dire clairement qu’il s’agit d’une machine, et les contenus produits par IA (images, voix de synthèse, une partie des textes) doivent être identifiables comme tels. L’obligation vise l’usage, pas seulement l’éditeur du logiciel : si vous exploitez un chatbot sur votre site ou diffusez des visuels générés par IA, c’est à vous de le signaler. Les volets plus lourds sur les systèmes « à haut risque » (recrutement, scoring de crédit, biométrie) ont été repoussés via le paquet Digital Omnibus, mais la transparence, elle, s’impose maintenant.

Cette semaine a donné une première illustration côté fournisseurs. Anthropic a annoncé le 11 août ajouter une marque invisible aux textes produits par Claude, y compris via ses outils Claude Code et Cowork, pour tous les modèles lancés depuis le 2 août. Ce « watermark » survit au copier-coller, ne se désactive pas, et permettra à des outils de détection de repérer qu’un texte a été rédigé par une IA. Comme la même obligation européenne pèse sur les autres fournisseurs, des mesures comparables sont à prévoir chez OpenAI, Google et les autres. Concrètement : un courriel, une fiche produit ou une réponse client rédigés avec l’IA peuvent devenir identifiables comme tels. Ce n’est pas interdit, mais cela mérite une règle interne claire sur ce qui est acceptable, selon votre secteur.

Dernier signal, plus discret mais du même ordre : OpenAI a confirmé l’arrivée de publicités dans les versions gratuites de ChatGPT (formules Free et Go), y compris dans l’Espace économique européen. Au lancement, le ciblage s’appuie sur le sujet de la conversation en cours. Autrement dit, si vos collaborateurs utilisent la version gratuite pour des tâches professionnelles, le contenu de leurs échanges sert à choisir les publicités affichées. Les formules payantes (Business, Enterprise) restent sans publicité et offrent de meilleures garanties sur le traitement des données. Le fil rouge de ces trois nouvelles : ce que fait votre IA, et ce que vous y saisissez, devient traçable et exploitable — par le régulateur, par des outils de détection, par un annonceur. La confidentialité et la transparence ne sont plus des sujets de communication, ce sont des paramètres à cadrer par écrit.

Le prix de l’IA est devenu une variable, pas une donnée

Deuxième ligne de force : le coût de l’IA bouge dans les deux sens, vite, et sans que vous soyez consulté. DeepSeek, réputé pour ses tarifs bas, relève sa grille d’API à compter du 16 août et introduit une facturation selon l’heure — heures pleines et heures creuses à moitié prix. Certaines charges de travail deviennent plusieurs fois plus chères qu’avant. À l’inverse, Google a mis en ligne le 13 août Gemini 3.7 Flash à un tarif d’introduction réduit de moitié — mais ce prix double le 1er janvier 2027. Dans un sens comme dans l’autre, la leçon est la même : le prix affiché aujourd’hui n’est pas le prix de l’an prochain, et un service qui reste bon marché parce qu’il repose sur un seul fournisseur vous expose à une décision que vous ne maîtrisez pas.

Cette instabilité rejoint un mouvement de fond côté prestations. Le Financial Times décrit la pression que l’IA exerce sur les services informatiques facturés au temps passé : une petite équipe bien outillée livre désormais du développement ou de la maintenance qui mobilisaient des dizaines de personnes. Le sujet dépasse l’Inde et touche toute prestation vendue en jours-homme, y compris les ESN qui interviennent chez vous. Si vos devis de TMA ou de support n’ont pas bougé depuis deux ans, c’est une anomalie à interroger. Il existe aussi un versant opportunité : la start-up Lovable, qui permet de créer des applications en langage courant, a levé 400 millions de dollars, signe que des collaborateurs non développeurs construisent eux-mêmes formulaires, tableaux de suivi et mini-portails. Un besoin métier simple peut se prototyper en quelques heures — à condition de poser deux garde-fous : pas de données clients dans un outil non validé, et une revue avant toute mise en production.

Les mêmes outils arment aussi les attaquants

Troisième signal, à ne pas ranger dans la case « informatique ». Des chercheurs ont dévoilé « Zoomsday », un enchaînement de failles dans la fonction d’annotation de Zoom qui permettait à un participant de prendre le contrôle de l’appareil des autres, sans le moindre clic, sur tous les systèmes. Zoom a publié des correctifs (versions 7.0.6 et 7.1.5 et suivantes). Le détail qui compte pour un dirigeant : l’exploit a été construit en moins de 24 heures avec moins de 20 requêtes à des modèles d’IA publics — un travail qui demandait des mois à une équipe spécialisée. Le délai entre la découverte d’une faille et son exploitation se raccourcit, ce qui rend le « on mettra à jour à la fin du mois » indéfendable.

Le même constat pousse l’industrie à s’organiser. Plus de 120 organisations, dont Nvidia, Cisco et CrowdStrike, soutiennent SAFE, un cadre de signalement des incidents impliquant des agents IA : accès non autorisés, exposition de données, actions poursuivies après détection d’un problème, avec notification des clients exposés sous 72 heures. Que ce cadre soit jugé nécessaire en dit long : les agents autonomes causent déjà de vrais incidents en production. Pour une PME qui déploie des agents — ou des outils qui en embarquent sans le dire — la traçabilité devient un critère d’achat au même titre que le prix.

Ce que ça change pour vous

Le fil commun de la semaine tient en une phrase : l’IA se déplace du terrain de l’expérimentation vers celui des contrats et des achats. Transparence obligatoire, prix mouvants, sécurité accélérée : trois raisons de regarder non plus l’outil, mais ce que vous avez signé autour.

L’action concrète, réaliste, à mener ce mois-ci : reprenez la liste de vos outils et prestataires qui utilisent de l’IA, et posez-leur trois questions par écrit. Quels modèles utilisez-vous, et que se passe-t-il si leur prix change ? Comment garantissez-vous la conformité de transparence de l’AI Act sur ce que nous diffusons ? Et en cas d’incident lié à un agent ou à une faille, sous quel délai et sous quelle forme nous prévenez-vous ? Vous n’avez pas besoin de tout arrêter ni de tout auditer. Trois questions, trois réponses écrites : c’est le minimum qui transforme un usage subi en un usage maîtrisé.