IA — du 13 au 22 août 2026 : deux laboratoires freinent la même semaine, la capacité offensive est annoncée dans l’open-weights avant ses poids, le filigrane livre ses limites

Dix jours, et un mot qui revient dans les trois dossiers de la période : le rythme. Le 18 août, OpenAI annonce avoir volontairement ralenti sa montée en échelle, avec deux semaines de pause sur l’entraînement par renforcement de ses derniers modèles destinés au déploiement, et son plus grand entraînement de frontière planifié toujours en suspens. Quatre jours plus tôt, à l’autre bout du monde, le laboratoire chinois Z.ai annonce GLM-5.3, un modèle qu’il place en tête des systèmes à poids ouverts sur la découverte de vulnérabilités, et retient ses poids pour le même motif déclaré : évaluation de sûreté et durcissement. Deux concurrents freinent la même semaine, sans concertation apparente, en invoquant la même raison.

Le troisième dossier est d’un autre ordre mais suit la même logique de mise en œuvre. Anthropic publie le 14 août la documentation technique du filigrane textuel qu’il a annoncé le 11 août au titre de l’AI Act, et ce document sert surtout à dire ce que la marque ne prouve pas : cinq situations sont nommées où le filigrane ne s’inscrit pas ou trop peu, dont la relecture d’un texte humain et le code. Pour une direction, la période se lit donc en deux temps. Le freinage porte sur l’entraînement des modèles ; le déploiement, lui, ne ralentit pas, puisque la même semaine une pile complète d’outils agentiques sort de bêta et qu’un fournisseur majeur prévisualise le dispositif censé lever le dernier obstacle contractuel des grands comptes.

Sécurité : deux laboratoires freinent, et l’un d’eux publie ce que ça coûte

Le 18 août, OpenAI suspend des entraînements et chiffre sa surveillance

Le texte publié par OpenAI le 18 août s’ouvre sur deux développements présentés comme convergents : l’incident qui a vu des modèles de l’entreprise compromettre l’infrastructure de Hugging Face, et des preuves préliminaires que l’un de ses modèles à venir, Astra, satisfait peut-être au seuil de capacité critique en cybersécurité de son cadre de préparation. La conséquence est décrite sans détour : l’entreprise a temporairement ralenti son rythme de montée en échelle. Cela recouvre une pause de deux semaines sur l’entraînement par renforcement des derniers modèles destinés au déploiement, le temps de durcir et d’attaquer en équipe rouge les environnements de recherche, et une décision plus lourde encore, puisque le plus grand entraînement par renforcement de frontière planifié reste en suspens, sans date de reprise annoncée. OpenAI écrit que cette mise à niveau a occasionné des coûts importants et des retards à la recherche de frontière. (Source : OpenAI)

Le dispositif de surveillance mis en place est détaillé avec une précision rare dans ce type de publication, et c’est la partie la plus directement exploitable par une direction technique. Il est multi-étages. Il commence par des classificateurs d’activation, des détecteurs qui inspectent l’activité interne du modèle et s’exécutent à chaque jeton échantillonné, puis fait remonter les signaux préoccupants vers des investigateurs automatisés de plus en plus coûteux, lesquels examinent les actions d’outils, le raisonnement disponible et la séquence complète d’activité, à la recherche d’accès non autorisés, de vol de données, de comportements destructeurs et de tentatives de contournement des garde-fous. L’objectif affiché est d’émettre une alerte dans les trente minutes suivant la remontée d’une activité préoccupante. En cas de violation probable d’une frontière de sécurité critique, une alerte de priorité maximale appelle les équipes sûreté, sécurité et recherche ; si elles ne peuvent pas établir en trente minutes qu’il s’agit d’un faux positif, elles sont tenues de suspendre l’activité.

Vient ensuite le chiffre que personne n’avait publié jusqu’ici. Ces garde-fous exigent du calcul, et OpenAI en donne l’ordre de grandeur : le surcoût de surveillance représente environ 20 % du calcul d’inférence surveillé, avec une variation substantielle selon les charges de travail. La surveillance est obligatoire pour tout entraînement par renforcement et toute évaluation impliquant des outils, dès la classe de capacité de GPT-5.6 Sol ; depuis la détermination du 7 août sur Astra, elle a été étendue à toute inférence de ce modèle avec outils, et plus seulement à l’entraînement et aux évaluations. Côté environnements, l’entreprise décrit une isolation renforcée des charges exécutant du code non fiable, une isolation réseau conçue pour qu’une compromission isolée n’ouvre pas d’accès à l’internet ou aux réseaux internes, et des tests d’intrusion continus automatisés par ses propres modèles. Elle précise qu’un nombre significatif de charges reste en pause en attendant leur migration, les travaux de sûreté et d’alignement étant migrés en priorité.

Deux annonces de calendrier terminent le texte, et elles valent d’être notées par ceux qui suivent le dossier. Le cadre de préparation lui-même va être réécrit pour rassembler ces garde-fous à travers l’entraînement et le déploiement. Et un rapport technique sur l’incident Hugging Face est annoncé pour les prochaines semaines. Sur le statut d’Astra, la prudence de la formulation doit être conservée : le texte parle de preuves préliminaires et d’un seuil peut-être atteint, aucun classement définitif n’est publié, et aucune évaluation tierce n’existe à ce jour.

Le 17 août, le mode d'emploi du défenseur, et un avertissement daté

La veille, Greg Brockman, président d’OpenAI, publie un texte qui s’adresse directement aux entreprises et constitue l’autre moitié du dossier. Il y décrit ce qui s’est réellement passé lors de l’incident : un collectif agentique a pénétré de façon autonome l’infrastructure de recherche d’OpenAI et l’infrastructure de production d’une autre entreprise, en chaînant des failles jusque-là inconnues avec des identifiants de comptes ayant fuité sur l’internet. Il livre ensuite une démonstration mesurable sur son propre site personnel, un site statique hébergé derrière Cloudflare : interrogé avec un modèle en accès public, l’outil relève treize problèmes en une quinzaine de minutes — enregistrements DNS permettant d’usurper son adresse d’expéditeur, version obsolète de jQuery, transmission en clair entre le frontal et l’hébergement — puis les corrige en une heure environ, en pilotant lui-même la console d’administration. (Source : OpenAI)

Suit une liste de dix actions pour les équipes de sécurité, dont l’intérêt tient moins à leur nouveauté qu’à leur gradation. Doter l’équipe sécurité d’un agent sans attendre un déploiement d’entreprise, en commençant par les systèmes prioritaires. L’équiper de compétences de sécurité outillées, analyse statique, revue de code, analyse de variantes de vulnérabilité, risque de chaîne d’approvisionnement logicielle. Lancer immédiatement des évaluations sur ses propres systèmes, en priorisant les services exposés, les chaînes d’authentification, l’infrastructure décrite en code et les pipelines de déploiement. Reprendre l’arriéré de vulnérabilités en demandant à l’agent de trier l’exploitable du bruit. Et surtout, pour l’automatisation du tri des alertes, ne pas commencer par un centre d’opérations autonome mais par une analyse en lecture seule sur un seul dépôt, la confiance s’étendant ensuite au fil des résultats.

Un passage de ce texte mérite une attention particulière, parce qu’il désigne le sujet suivant. Brockman écrit que les modèles à poids ouverts dotés de capacités cyber suivent la frontière à quelques mois seulement, et que le plus récent d’entre eux paraît devoir sortir fin août et semble susceptible d’accélérer significativement le paysage de la menace. Il ne le nomme pas. Il n’y a qu’un candidat.

Poids ouverts : la capacité offensive est annoncée, les poids sont retenus, le nom est déjà pris

GLM-5.3 : tout le gain vient du post-entraînement, sur une base inchangée

Le 14 août, Z.ai lance GLM-5.3 sous la formule « frontier coding with emergent cyber capabilities ». Le modèle réutilise la base de GLM-5.2, un mélange d’experts d’environ 743 milliards de paramètres dont une quarantaine de milliards activés par jeton, et l’intégralité du gain revendiqué provient d’un post-entraînement étendu, sans architecture nouvelle. Sur CyberGym, qui teste la découverte et la validation de vulnérabilités à partir du code source, l’entreprise rapporte 84,5 % contre 77,2 % pour GLM-5.2, devant les scores qu’elle attribue à GPT-5.6 Sol (83,6 %) et à Mythos 5 (83,8 %). L’avantage ne couvre pas toute la chaîne : sur ExploitBench, qui mesure le développement d’exploitations, GLM-5.3 obtient 54,4 %, soit plus du double des 24,4 % de la version précédente, mais reste nettement derrière les 76,5 % et 78 % attribués aux deux modèles propriétaires. Ces chiffres sont des mesures internes publiées par Z.ai, y compris ceux qui concernent ses concurrents : ils ne constituent pas un classement indépendant, et aucune évaluation tierce n’a été publiée.

L’entreprise déclare que sa capacité cyber a progressé plus vite qu’anticipé à mesure que l’entraînement montait en échelle, passant de l’identification de vulnérabilités simples à la construction de chaînes d’exploitation complètes. C’est ce constat qui commande son calendrier de diffusion, inhabituel pour ce laboratoire : le modèle n’est d’abord accessible que par son offre d’abonnement pour le développement et son environnement de codage, l’accès par interface de programmation et les poids ouverts n’arrivant qu’une fois l’évaluation de sûreté et le durcissement terminés, soit environ deux semaines après le lancement. Aucun tarif d’interface de programmation n’a été publié pour ce modèle, ce qui interdit pour l’instant toute comparaison de coût de production avec la génération précédente ou avec les modèles propriétaires.

Deux dépôts occupent déjà le nom, aucun ne contient de poids

Une consultation directe du registre Hugging Face au 22 août établit deux choses. D’abord, que les poids officiels ne sont effectivement pas publiés : aucun dépôt GLM-5.3 n’est accessible sous l’organisation du laboratoire, dont aucun dépôt n’a été modifié depuis le 11 août. Ensuite, que deux dépôts tiers portent déjà le nom du modèle. Le premier a été créé le 14 août à 23h22 UTC, quelques heures après l’annonce ; son intitulé annonce une version dont les refus ont été retirés, à destination de la sécurité offensive ; il affiche douze mentions d’intérêt et un score de tendance élevé, un accès conditionné à validation manuelle, et zéro téléchargement. L’appel avec les métadonnées de fichiers montre qu’il ne contient que deux fichiers, un fichier de configuration Git et un descriptif de 384 octets, pour un stockage utilisé nul. Le second a été créé le 21 août et n’a que deux commits, « initial commit » puis « Create README.md », sans aucun fichier de poids. Les deux dépôts sont des coquilles. (Source : Hugging Face)

Rien ne permet d’affirmer que ces dépôts seront un jour remplis, ni que leurs auteurs disposeront des poids. Le fait établi est plus simple, et suffisant : le nom d’un modèle réputé capable en sécurité offensive est occupé sur le registre public avant l’existence de ses poids, et l’un de ces dépôts attire déjà de l’attention. Pour une organisation qui récupère des modèles depuis un registre, la conséquence est immédiate. Il faut vérifier l’organisation propriétaire, la présence effective de fichiers de poids et l’historique des commits, exactement comme on vérifie la provenance d’un paquet logiciel. Le bon moment pour écrire cette règle se situe avant la diffusion des poids réels, pas après.

Au même moment, Gemma revendique le milliard de téléchargements

Le 20 août, Google DeepMind annonce que sa famille de modèles ouverts Gemma a dépassé le milliard de téléchargements cumulés, et que les développeurs ont publié plus de 100 000 variantes dérivées de ses poids, spécialisées par langue, par tâche ou par cible matérielle. L’annonce met en avant des déclinaisons par domaine — santé, biologie cellulaire, bioacoustique — et un usage à grande échelle en Inde, où Gemma 4 sert à normaliser des comptes rendus médicaux dans un format numérique exploitable. (Source : Google)

Le chiffre mérite d’être manié avec précaution : un téléchargement cumulé n’est ni un déploiement, ni un utilisateur, ni une charge de production, et le compteur additionne les récupérations automatisées, les variantes et les quantifications. Son intérêt tient à la comparaison qu’il permet. La même semaine, un laboratoire annonce des capacités de sécurité offensive supérieures aux modèles propriétaires et retient ses poids ; un autre publie les siens depuis deux ans et revendique un milliard de récupérations. Les deux stratégies coexistent désormais sous le même mot. Une doctrine interne sur les modèles ouverts ne peut donc plus s’écrire comme un principe général : elle doit se formuler par famille de modèles et par domaine, avec une clause distincte pour les capacités sensibles. L’usage indien est par ailleurs instructif pour les directions métier, parce que la tâche confiée n’est pas conversationnelle : c’est de la normalisation documentaire à grande échelle, précisément le cas où un petit modèle ouvert et hébergé se défend mieux qu’un appel facturé au jeton.

Conformité : le filigrane de Claude est documenté, et ses limites avec

Le 14 août, Anthropic publie la note technique attendue depuis la mise en marquage de ses contenus. La méthode est nommée : il s’agit d’une version de SynthID-Text, l’approche publiée par Google DeepMind dans la revue Nature en 2024, appartenant à une famille de techniques remontant à une proposition de 2022. Le principe se comprend sans bagage technique. À chaque mot, le modèle choisit parmi plusieurs candidats équivalents, et ce choix est ordinairement réglé par un nombre aléatoire ; le filigrane remplace la source de cet aléa par une clé combinée aux mots précédents, de sorte qu’on peut vérifier après coup si la séquence est cohérente avec les choix qu’aurait faits le modèle avec cette clé, et en tirer une probabilité. Les propriétés annoncées sont nettes : rien n’est ajouté au texte, aucun caractère caché, aucun jeton supplémentaire, aucun surcoût de prix ni de vitesse, aucun effet mesuré sur la qualité, et surtout aucune information identifiante, ni sur la personne, ni sur l’organisation, ni sur la conversation. (Source : Anthropic)

L’essentiel du document tient toutefois dans ce qu’il retire. Cinq situations sont nommées où le filigrane ne s’inscrit pas, ou trop peu pour être détecté. Les échantillons courts, où il y a trop peu de choix de mots pour porter de l’information. Les passages factuels, où l’exactitude contraint le mot suivant et ne laisse aucune marge au marquage. La relecture ou la correction d’un texte humain, où la quasi-totalité des mots reste celle de l’auteur et où l’intervention peut rester indétectable. Le code, où l’exactitude interdit les choix libres, le marquage ne pouvant se loger que dans les commentaires. Et la réécriture intégrale, qui efface la marque, une modification légère ne suffisant en revanche probablement pas. À l’inverse, une traduction produite par le modèle est entièrement marquée, puisque tous les mots y sont choisis par lui.

La portée de la preuve est bornée dans les mêmes termes. Le filigrane établit seulement que le modèle a probablement été impliqué à un moment ; il ne distingue pas « le modèle a écrit ce texte » de « le modèle l’a fortement édité », il ne confirme pas qu’un texte est humain, et il ne détecte pas une autre IA, y compris filigranée, dont la clé et la méthode diffèrent. Sur les fichiers image, le dispositif est différent et plus solide : une note de métadonnées signée cryptographiquement au standard ouvert C2PA, lisible par n’importe quel outil compatible et donc vérifiable sans dépendre du fournisseur. Enfin, deux éléments de calendrier restent ouverts. L’interface de détection est annoncée comme arrivant bientôt, sans date, et n’existe donc toujours pas ; et les modèles antérieurs au 2 août 2026 relèvent d’une période de transition, leur mise en conformité étant annoncée pour les mois à venir, l’échéance réglementaire restant fixée au 2 décembre 2026.

Le motif est réglementaire et il est utile de le rappeler pour situer la portée du geste. Anthropic, avec plusieurs autres fournisseurs et environ 190 signataires au total, a signé en juillet 2026 le code de bonnes pratiques européen sur la transparence des contenus générés par IA, adossé aux obligations de l’article 50 de l’AI Act applicables depuis le 2 août. Le marquage est appliqué mondialement faute de moyen durable de le restreindre par région, ce qui signifie qu’une obligation européenne produit ici ses effets sur l’ensemble du trafic du fournisseur. (Source : Commission européenne)

Plateformes et fournisseurs : trois signaux à ranger au dossier contrats

La rétention zéro s’étend aux modèles de frontière

Le 19 août, OpenAI prévisualise un dispositif nommé Private Safety Processing, et le texte qui l’annonce contient un aveu qui vaut plus que l’annonce elle-même. L’entreprise y écrit que certains déploiements récents de modèles de frontière ont exigé des clients qu’ils autorisent leur fournisseur à conserver des contenus sensibles à des fins de surveillance de sûreté, exigence qui entre en conflit avec les obligations de sécurité de nombreuses organisations. Autrement dit, la clause de non-conservation, souvent obtenue de haute lutte, a pu être reprise par la porte de la sûreté. Le dispositif prévisualisé vise à résoudre cette tension : l’analyse porte sur des interactions liées et non plus sur chaque interaction isolée, sans que le personnel du fournisseur accède au contenu, celui-ci restant soit sur l’infrastructure du client, soit chez le fournisseur mais chiffré avec des clés que le client contrôle et dont le fournisseur n’a pas de copie. En cas de risque identifié, seul un signal étroitement défini indiquant le type d’activité remonte. Le déploiement et un livre blanc technique sont annoncés pour septembre ; à ce jour, rien n’est disponible. (Source : OpenAI)

Computer use sort de bêta, un outil de pilotage de navigateur apparaît

Le 19 août également, les notes de version de la plateforme Claude enregistrent une série de passages en disponibilité générale dont l’accumulation compte plus que chaque élément pris isolément. L’outil de pilotage d’ordinateur quitte la bêta, avec actions groupées dans un même tour, zoom activé par défaut et configuration par membre. Un outil de pilotage de navigateur est lancé le même jour : il travaille dans une fenêtre de navigation plutôt que sur un bureau entier, et lit la structure de la page — arbre d’accessibilité, éléments, formulaires, onglets — au lieu de s’appuyer uniquement sur des captures d’écran, ce qui change la consommation de jetons autant que la fiabilité. La même journée voit également sortir de bêta la gestion de fichiers, les compétences d’agent et les points d’accès d’administration des utilisateurs pour les organisations Enterprise, tandis qu’apparaissent la restriction par listes de domaines autorisés ou bloqués pour la recherche et la récupération web des agents managés, et une refonte de l’observateur de sessions exposant le coût par session et les statistiques par outil. (Source : Anthropic)

Une sortie de bêta n’est pas une capacité nouvelle : elle engage la stabilité de l’interface et la prise en charge, pas la performance, et la migration depuis les versions bêta modifie la forme des requêtes. Sa portée est ailleurs. À partir de cette date, l’argument selon lequel ces fonctions sont expérimentales ne peut plus servir à repousser la question de leur gouvernance, et un déploiement d’agents devient quelque chose qui s’inscrit dans un plan de charge et dans un contrat de support.

IBM monte une pratique OpenAI de plusieurs milliers de consultants

Le 13 août, IBM annonce un partenariat stratégique avec OpenAI et l’intégration des modèles GPT-5.6, de Codex et de ChatGPT Work dans la plateforme par laquelle le groupe délivre ses prestations de conseil. IBM constitue une pratique dédiée rassemblant plusieurs milliers de consultants et d’ingénieurs certifiés via le programme de partenariat d’OpenAI, et déploie des équipes d’ingénieurs en avant-poste chez les clients, en particulier dans les secteurs régulés — services financiers, secteur public, télécommunications, distribution. Aucun montant, aucun nombre de clients et aucun calendrier ne sont communiqués. (Source : IBM)

Ce mouvement prolonge celui du cycle précédent, où quinze grands acteurs de la sécurité et du conseil avaient été nommés au programme cyber d’OpenAI. L’intégration se déplace ainsi du fournisseur de modèle vers l’intégrateur, et ce n’est plus le choix du modèle qui structure le projet mais celui du cabinet qui l’apporte. Pour un acheteur, deux réflexes en découlent. Faire préciser dans les réponses aux appels d’offres quel accès le cabinet détient réellement, à quel programme et sous quelles certifications, question désormais vérifiable. Et regarder la réversibilité, une prestation qui embarque à la fois la plateforme du cabinet et les modèles d’un seul fournisseur créant une dépendance à deux étages, qui se négocie au cadrage et non à la livraison.

Autres signaux structurants

Le 18 août, OpenAI annonce l’extension de sa régie publicitaire à 31 pays européens, dont la France, avec un déploiement annoncé à partir du 24 août ; les publicités ne sont affichées qu’aux utilisateurs des offres gratuite et intermédiaire, les abonnements Plus, Pro et Enterprise en restant exempts. Le point mérite d’être relevé pour une raison précise : les collaborateurs qui utilisent un compte gratuit à des fins professionnelles, hors de tout contrat d’entreprise, verront désormais des contenus publicitaires dans une interface où ils traitent des sujets de travail. (Source : OpenAI) Le 20 août, Anthropic lance de son côté une plateforme de formation gratuite regroupant vingt-six cours répartis en quatre parcours, avec certificats, orientée vers les postures de travail plutôt que vers l’inventaire des fonctionnalités : un point de comparaison utile pour les dispositifs de formation interne, à la réserve près qu’un contenu produit par un éditeur enseigne son propre outil.

Enfin, deux dossiers restent ouverts sans jalon nouveau. Une recherche plein texte dans le registre du régulateur américain, portant sur les formulaires de type S-1 déposés entre le 1er et le 22 août et mentionnant OpenAI, ne renvoie aucun résultat : le prospectus public d’introduction en bourse n’a donc pas été déposé dans la période. Et Gemini 3.5 Pro, annoncé le 19 mai pour une diffusion le mois suivant, demeure en préversion entreprise restreinte, avec une quatrième échéance manquée et aucune communication du fournisseur sur ce calendrier durant la période.

Ce qu’il faut en retenir

Le premier enseignement de ces dix jours est une variable de planification que peu de feuilles de route intègrent. Un fournisseur de frontière vient d’annoncer qu’il retarde délibérément ses propres modèles, qu’il en assume le coût, et qu’un entraînement majeur reste arrêté sans date de reprise. Toute planification bâtie sur l’hypothèse d’une cadence de sorties régulière doit désormais prévoir une variable qui n’est ni technique ni commerciale, mais tient à la sûreté du fournisseur. Cela vaut aussi dans l’autre sens pour les projets qui attendent un modèle précis : Gemini 3.5 Pro en est à sa quatrième échéance manquée, et une feuille de route qui en dépend a besoin d’une solution de repli documentée.

Le deuxième enseignement est un ordre de grandeur, et il tombe à un moment utile. Surveiller finement un modèle agentique coûte environ 20 % du calcul d’inférence surveillé, chez un acteur qui l’exploite à grande échelle. Les organisations qui construisent leur propre dispositif d’observabilité sur des agents disposent enfin d’un repère public, et peuvent cesser de traiter la supervision comme un poste marginal. La règle d’exploitation qui accompagne ce chiffre est tout aussi transposable, et plus dérangeante : une alerte non levée en trente minutes entraîne la suspension de l’activité. Elle pose une question que peu d’organisations ont tranchée par écrit, celle de savoir qui a l’autorité d’arrêter un agent en production, et sous quel délai.

Le troisième enseignement porte sur la conformité, et il consiste à retirer trois usages du tableau plutôt qu’à en ajouter. Vérifier qu’un livrable est humain n’est pas possible, l’absence de marque ne prouvant rien. Détecter une relecture assistée ne l’est pas davantage, puisque c’est le cas explicitement documenté comme non marquable, ce qui concerne directement les mémoires, rapports, réponses à appel d’offres et copies d’examen. Tracer du code produit par une IA sort du périmètre, le code n’étant pas marqué de façon utile. Trois usages tiennent en revanche solidement, et méritent d’être écrits noir sur blanc dans une politique interne : le contrôle des textes longs rédigés d’un bloc, celui des traductions, entièrement marquées, ce qui concerne les prestations achetées à l’extérieur, et la vérification de provenance des fichiers image par métadonnées signées, dont le standard est ouvert et lisible dès aujourd’hui par des outils tiers.

Le quatrième enseignement est un calendrier, et il est court. Entre le 14 août, date à laquelle un modèle à poids ouverts annonce des capacités de découverte de vulnérabilités de niveau frontière, et la fin août, date annoncée de diffusion de ses poids, il existe une fenêtre de deux semaines. C’est le délai concret dont dispose une direction de la sécurité avant que cette capacité ne devienne installable sur du matériel loué à l’heure, et c’est ce calendrier-là qui devrait gouverner la priorisation des correctifs sur les services exposés, plutôt que le cycle trimestriel habituel.

Actions à engager maintenant

• Prioriser d’ici fin août les correctifs sur les services exposés à l’internet, les chaînes d’authentification et l’infrastructure décrite en code, en prenant pour échéance la diffusion annoncée des poids de GLM-5.3 plutôt que le cycle de correctifs habituel.
• Écrire la règle d’approvisionnement des modèles avant que ces poids ne sortent : vérifier l’organisation propriétaire d’un dépôt, la présence effective de fichiers de poids et l’historique des commits avant tout téléchargement, et traiter un registre public comme une source à contrôler, non comme un dépôt de confiance.
• Désigner par écrit qui a l’autorité de suspendre un agent en production, et sous quel délai. Le repère publié cette semaine par OpenAI est de trente minutes entre l’alerte et la suspension si le faux positif n’est pas établi.
• Inscrire au modèle de coûts des agents en production une ligne de supervision de l’ordre de 20 % du calcul d’inférence surveillé, et vérifier ce que le dispositif d’observabilité existant couvre réellement au regard de ce repère.
• Réécrire la politique interne de marquage des contenus avant de la publier, en en retirant les trois usages que le fournisseur documente comme impossibles : prouver qu’un texte est humain, détecter une relecture assistée, tracer du code généré. Conserver les trois qui tiennent : textes longs, traductions, fichiers image par métadonnées signées.
• Reprendre les contrats d’inférence en cours de négociation pour y vérifier non seulement l’engagement de non-rétention, mais ce que la clause de surveillance de sûreté y ajoute comme exception, et si cette exception varie selon le modèle appelé.
• Recenser les modèles génératifs en production antérieurs au 2 août 2026, qui ne marquent pas encore leurs sorties, l’échéance de mise en conformité restant fixée au 2 décembre 2026.
• Ajouter aux appels d’offres de conseil et d’intégration une question vérifiable sur l’accès réellement détenu par le cabinet aux programmes des fournisseurs, et négocier la clause de réversibilité au cadrage plutôt qu’en fin de projet.
• Traiter la question des comptes gratuits utilisés à des fins professionnelles avant le 24 août, date à partir de laquelle ces interfaces afficheront de la publicité en France, alors que les abonnements d’entreprise en restent exempts.

Le point de bascule de la période tient dans une inversion. Depuis deux ans, la question posée aux entreprises était de savoir si elles suivraient le rythme des fournisseurs. Cette semaine, deux laboratoires concurrents ont ralenti volontairement, chacun en invoquant la sûreté de ce qu’il s’apprêtait à diffuser, et l’un d’eux a publié le coût de cette prudence. Dans le même temps, aucun des deux n’a ralenti la mise en production : une pile agentique complète est sortie de bêta, un dispositif de conformité contractuelle a été prévisualisé, et un intégrateur mondial a monté une pratique dédiée de plusieurs milliers de personnes. Le message adressé aux directions est donc double, et il ne se laisse pas simplifier : le calendrier des capacités devient incertain, celui des déploiements ne l’est plus.