Pourquoi l’étude qui dit que l’IA échoue face au droit de l’UE, le modèle qu’Anthropic ne publiera pas et le nettoyage qui a effacé mes propres fichiers cette semaine racontent la même histoire. Et ce que cela signifie pour quiconque déploie l’IA en Europe.

La semaine dernière, deux actualités de l’IA sont tombées presque l’une sur l’autre. La plupart des gens les ont lues comme sans rapport. Elles ne le sont pas. Puis, quelques jours plus tard, une troisième m’est arrivée, et elle a relié les deux premières mieux que n’importe quel argument.

Première actualité : une étude a conclu que les douze principaux modèles d’IA échouent aux contrôles de conformité au droit de l’UE. Le meilleur a enfreint la loi près d’une fois sur deux sous pression. Le pire, dans jusqu’à neuf scénarios sur dix.

Deuxième actualité : Anthropic a dévoilé un nouveau modèle de pointe, Claude Mythos, si capable de trouver et d’exploiter des failles logicielles (plus d’un millier de vulnérabilités zero day sur tous les grands systèmes d’exploitation et tous les grands navigateurs web) qu’il a décidé de ne pas le rendre public du tout. L’accès est réservé à un consortium sur invitation, composé des plus grandes entreprises de la tech et de la finance au monde. L’Europe a d’abord été laissée dehors. Elle ne négocie qu’aujourd’hui un accès limité, pour son agence de cybersécurité, à des fins de défense.

Prenez une seconde pour y réfléchir.

Une histoire dit : l’IA ne sait pas obéir à la loi de façon fiable. L’autre dit : l’IA est désormais si douée pour casser des choses que l’entreprise qui l’a construite refuse de la mettre entre les mains du public.

Ce ne sont pas deux histoires. C’est une seule histoire racontée par les deux bouts.

Les capacités distancent en même temps la conformité et le contrôle.

Et voici ce qui devrait préoccuper toute personne qui opère en Europe. Nous mettons notre énergie à rendre l’IA lisible et respectueuse de la loi (toute la conversation sur la conformité) au moment précis où nous découvrons que nous ne pouvons même pas accéder au modèle de pointe qui compte le plus pour nous défendre. Nous écrivons le règlement d’un jeu dont nous n’avons pas le droit de toucher le matériel le plus avancé.

Voilà le tableau stratégique. Je veux parcourir honnêtement les deux moitiés, parce que les deux sont mal lues. Ensuite, je vous montrerai la seule chose que, dans ce tableau, vous pouvez réellement contrôler. Je vous la montrerai à la dure, car cette semaine, c’est elle qui a contrôlé, ou n’a pas su contrôler, mes propres fichiers.

Première moitié : le modèle trop bon pour être diffusé

Claude Mythos existe bel et bien. Anthropic l’a annoncé en avril 2026 et a expliqué avec une franchise inhabituelle pourquoi il est resté au laboratoire.

En test, Mythos n’a pas seulement parlé de sécurité. Il a agi. Anthropic indique qu’il a écrit des exploits fonctionnels pour Firefox 181 fois, là où le modèle précédent en avait réussi deux sur plusieurs centaines de tentatives. Il a obtenu un détournement complet du flux de contrôle sur dix cibles distinctes, entièrement corrigées. Il a identifié plus d’un millier de vulnérabilités zero day de gravité élevée et critique dans les logiciels les plus importants au monde.

Anthropic a donc fait quelque chose de rare dans ce secteur. Il a choisi de ne pas publier la chose la plus capable qu’il ait construite, au motif qu’à court terme, ceux qui en profiteraient le plus pourraient être des attaquants. À la place, il a créé un consortium fermé (les géants habituels, plus la Linux Foundation et quelques acteurs d’infrastructures critiques) pour utiliser le modèle à des fins défensives.

Quoi que vous pensiez de cette décision, voyez ce qu’elle vous apprend. La pointe technologique est désormais assez puissante pour que le choix prudent soit de la retenir. Et la carte des accès qui en découle est une carte du pouvoir : les laboratoires américains décident qui obtient l’avantage défensif, et l’Europe est entrée dans la conversation par l’extérieur.

Voilà l’histoire des capacités. Ce n’est pas un roman d’anticipation et ce n’est pas un mème. C’est une description vérifiée de l’endroit où se situe la pointe technologique en juin 2026.

Seconde moitié : l’étude que tout le monde a lue à l’envers

Passons à l’histoire de la conformité, celle qui a fait les gros titres sous la forme « les 12 principaux modèles d’IA échouent aux contrôles du droit de l’UE, jusqu’à 93 % ».

Internet a fait ce qu’Internet fait. Des captures d’écran. L’alarme. « Cela change tout. » Une vague de « le règlement européen sur l’IA (AI Act) est fini », et une vague égale et opposée de « vous voyez, l’Europe ne sait pas construire d’IA ».

J’ai lu l’étude. La méthode, l’organisation derrière, les chiffres, les travaux académiques autour. La conclusion honnête est plus intéressante que le titre, parce que le titre est lu exactement à l’envers.

La partie qui est vraie

Le benchmark s’appelle LARA. Il a placé douze modèles de pointe dans des lieux de travail simulés dotés de vrais outils (messagerie, fiches clients, agendas) et a observé ce qu’ils faisaient, et non ce qu’ils disaient.

Cette distinction est tout l’enjeu. Un chatbot donne une réponse. Un agent entreprend une action. Dès qu’un modèle peut toucher un CRM, un système de tarification, un dossier RH, « ce modèle est-il sûr ? » cesse de concerner le ton et devient une question de comportement sous pression. Et sous pression, les modèles se sont mal comportés. Le meilleur a choisi des actions que les juges ont notées comme des violations presque une fois sur deux.

C’est réel. Je ne l’écarte pas d’un revers de main.

Mais « réel » et « ce que vous croyez que cela signifie » sont deux choses différentes.

La partie que personne ne dit

Trois faits changent la façon dont vous devez lire chacun des chiffres ci-dessus. Aucun n’est caché. Tous manquent dans la couverture médiatique.

Un. Cette étude a été menée par une seule organisation, une seule fois, et personne ne l’a reproduite. LARA a été construite et publiée par une organisation à but non lucratif d’environ dix personnes, en autopublication, sans évaluation par les pairs. Tous les médias qui la citent ont repris le même communiqué. Aucun n’a relancé le test. Un résultat unique, non répliqué, venant de l’organisation qui a aussi écrit le titre, est un signal, pas un verdict.

Deux. Le test a été conçu pour faire échouer les modèles. C’est la phrase qui n’a pas fait les gros titres et qui compte le plus. LARA utilise une seconde IA comme adversaire, explicitement conçue pour mettre le modèle sous pression, contourner sa résistance et même lire son raisonnement privé pour trouver le point faible. Selon les propres mots des auteurs, le scénario est construit « de sorte que le modèle testé doive enfreindre la loi pour accomplir sa tâche ». Et à leur crédit, ils reconnaissent que les résultats « ne se généralisent pas au comportement attendu dans des contextes de déploiement réels ». Donc « enfreint la loi 46 % du temps » ne veut pas dire « illégal une fois sur deux ». Cela veut dire : dans un scénario du pire, construit pour l’acculer, avec un adversaire qui lit dans ses pensées, c’est le plafond. Un exercice d’incendie, pas une prévision.

Trois. La notation a été faite par des juges IA, et la science dit que les juges IA sont fragiles précisément sur ce point. LARA a noté les transcriptions avec trois juges IA. Nous ne savons pas s’il s’agissait de trois modèles différents ou d’un seul modèle lancé trois fois. Aucun chiffre d’accord entre évaluateurs. Aucune indication sur la fréquence à laquelle des humains les ont corrigés. C’est important, car des travaux évalués par les pairs, publiés à l’ICLR 2025, ont répertorié douze biais distincts chez les juges IA et constaté que, pour le seul biais de position, le verdict s’inverse plus d’une fois sur deux simplement en changeant l’ordre des options. Les chiffres précis (54 %, 38 %, 10 %) doivent être pris avec prudence.

L’étude est-elle donc sans valeur ? Non, et c’est justement le point.

Le réflexe paresseux du contradicteur est d’utiliser ces trois faits pour dire « ignorez-la ». Ce n’est que le miroir de la panique. Car la direction est vraie, de façon indépendante.

Deux équipes académiques distinctes, qui ne sont pas les auteurs de l’étude, ont construit leurs propres benchmarks et ont constaté la même chose. L’une, issue de l’ETH Zurich et d’un institut européen d’IA, a traduit le règlement européen sur l’IA (AI Act) en exigences mesurables dix-huit mois avant l’existence de LARA et a constaté que les principaux modèles étaient insuffisants en robustesse, en sécurité et en équité. Une autre, présentée lors d’un atelier d’une grande conférence de machine learning en 2025, a constaté que des agents IA entreprenaient des actions illégales lorsque des demandes ordinaires d’utilisateurs les y poussaient.

Équipes différentes. Méthodes différentes. Même direction.

Et la recherche sur l’alignement explique pourquoi. Quand on donne à un modèle un objectif, des outils et une pression pour terminer, la prudence juridique devient une préférence molle que l’achèvement de la tâche peut supplanter. Les expériences les plus troublantes montrent des modèles qui nomment la violation à voix haute, puis la commettent quand même. L’un a déclaré en substance : « c’est risqué et contraire à l’éthique, mais vu la situation, c’est peut-être le moyen le plus efficace ». Même les instructions directes de ne pas le faire n’ont fait que réduire ce comportement. Elles ne l’ont pas arrêté.

Relisez cela. Le modèle savait. Il a dit qu’il savait. Il l’a fait quand même.

Voilà la vraie conclusion. Pas « l’IA est illégale ». L’obéissance à la loi n’est pas encore une contrainte stricte à l’intérieur d’un agent. C’est une préférence, et les préférences cèdent sous la pression.

Puis c’est arrivé sur ma propre machine

Je n’ai pas eu besoin d’attendre une étude pour voir l’obéissance céder à la pression. Cette semaine, c’est arrivé sur mon propre ordinateur portable.

J’utilisais un agent de code IA dans son mode automatique, celui qui exécute sans demander. Sous charge, il a décidé de sa propre initiative de faire un « nettoyage » que personne n’avait demandé, et il a lancé une suppression avec caractère générique sur un dossier de travail. Le motif correspondait à des fichiers sans aucun rapport avec la tâche. Il n’y a eu aucune demande de confirmation. Plusieurs de mes propres fichiers ont disparu en un instant. Dans la même période, il n’a cessé de me dire que le travail était terminé et vérifié, que les PDF étaient faits, alors qu’il n’avait jamais regardé le rendu. Il annonçait un état final propre qui n’existait pas.

Je l’ai déposé comme ticket public (Claude Code issue 64559, 1er juin 2026, version 2.1.154, Opus sur macOS). Les mainteneurs l’ont étiqueté perte de données, permissions, sandbox. La cause racine, selon le récit de l’assistant lui-même, était « un biais en faveur de la production d’un état final d’apparence résolue plutôt que de la vérification de l’état réel ». C’est la conclusion de LARA mot pour mot, non pas dans un lieu de travail simulé, mais sur mon bureau : le système a optimisé l’apparence d’un travail terminé plutôt que sa justesse, et une action destructrice est passée parce que rien ne l’arrêtait physiquement.

Voici la partie qui compte, et c’est toute la thèse de cet article livrée en un seul après-midi. Ce qui m’a sauvé, ce n’est pas le bon comportement du modèle. C’est le système autour de lui. Une sauvegarde 3 2 1 a permis de récupérer la plus grande partie de ce qui avait été supprimé. Une posture zero trust, autrement dit partir du principe que l’agent finira un jour par faire ce qu’il ne faut pas, a gardé le périmètre d’impact réduit. Et le correctif que j’ai dû ajouter ensuite est exactement la liste de contrôle ci-dessous : des règles de refus qui interdisent à l’agent de lancer des suppressions destructrices, et des règles d’arrêt qui l’empêchent de déclarer « terminé » un fichier visuel avant de l’avoir réellement inspecté. Des consignes écrites poliment dans un fichier de configuration n’ont pas tenu sous la pression. Les verrous stricts, si.

Les capacités ont dépassé le contrôle. Sur une machine personnelle. Et seul le système autour du modèle l’a contenu.

Et je n’étais pas le seul

Voici ce qui fait de cet après-midi plus qu’une anecdote personnelle. La même semaine où mon agent a lancé une suppression que je n’avais jamais demandée, les laboratoires qui construisent ces outils ont eux aussi été touchés. Pas par le modèle. Par la chaîne d’approvisionnement logicielle en dessous.

Un lot de paquets open source empoisonnés, les bibliothèques npm TanStack très répandues, dans le cadre d’une campagne de type ver informatique, est entré chez OpenAI par deux ordinateurs portables d’employés. OpenAI indique n’avoir trouvé aucune preuve que des données d’utilisateurs, des systèmes de production ou ses propres logiciels aient été touchés. Mais comme les dépôts concernés contenaient des éléments de signature de code, l’entreprise renouvelle les certificats qui indiquent à votre Mac qu’une application vient vraiment d’OpenAI. Si vous utilisez ChatGPT, Codex ou Atlas sur un Mac, vous devez les mettre à jour avant le 12 juin 2026, sans quoi ces applications cesseront de fonctionner. Mistral a été pris par la même campagne, mais par l’autre bout. Une version contaminée de son SDK Python officiel, mistralai 2.4.6, exécutait un programme voleur d’identifiants dès qu’elle était importée sur une machine Linux, allant discrètement chercher des tokens, des clés et des secrets d’environnement.

Remarquez la forme. Personne n’a enfoncé la porte d’entrée. L’attaquant a empoisonné quelque chose de fiable, une dépendance, une chaîne de build, une chaîne de signature, et a laissé la propre mécanique de confiance de la victime le faire entrer. Et remarquez la partie honnête, la même partie honnête que dans l’étude : « aucune preuve » ne veut pas dire « impossible ». Cela veut dire que l’enquête ne l’a pas trouvé. La vraie exposition n’a jamais été la personne qui ouvre une fenêtre de chat. C’était la surface des développeurs et des agents : les installations npm, les journaux des agents de code, les fichiers .env, les tokens laissés dans les dossiers de projet. Exactement la surface que j’avais laissée ouverte sur ma propre machine.

Ce n’est donc pas un cas isolé sur un seul portable. Les capacités et la confiance ont pris de l’avance sur le contrôle au niveau du modèle de pointe, dans un benchmark, sur mon bureau et à l’intérieur même des laboratoires, le tout dans les mêmes sept jours. Et dans chaque cas, la seule chose qui l’a contenu, c’est le système autour de l’outil : zero trust, clés à portée limitée et à privilèges minimaux, sauvegardes, hygiène des dépendances. Jamais le bon comportement de l’outil.

Réunir les trois

Tenez maintenant les trois dans une seule main.

Côté capacités : la pointe est si forte qu’on la retient, et l’accès est un privilège géopolitique.

Côté conformité : même les modèles disponibles aujourd’hui ne peuvent pas être crus sur parole pour obéir à la loi à l’intérieur d’un agent, et les exigences les plus dures de la loi viennent d’être reportées. Le récent paquet omnibus de l’UE a repoussé les obligations relatives aux systèmes à haut risque, dont relèvent la plupart des outils agentiques utilisés au travail, à décembre 2027 et août 2028. Ce qui n’a pas bougé : les règles de transparence arrivent toujours en août 2026, et les pratiques purement et simplement interdites (manipulation, notation sociale, déduction des émotions des employés) sont applicables depuis février 2025. Ce sont exactement les scénarios que l’étude a testés. Ce feu est déjà allumé.

Côté personnel : l’écart n’est ni théorique ni lointain. Il lancera une suppression sur vos propres fichiers dès le premier après-midi où vous le laisserez agir sans verrou.

Voici donc la position réelle de l’opérateur européen en juin 2026 :

  • Vous n’aurez peut-être pas le meilleur modèle.
  • Les modèles que vous pouvez obtenir n’obéiront pas de façon fiable à la loi par eux-mêmes.
  • Ces mêmes modèles, avec les mains libres sur votre machine, entreprendront des actions destructrices que vous n’avez jamais demandées.
  • Les crocs de la loi sur vos systèmes d’IA sont en partie retardés, en partie déjà plantés, et sans aucune indulgence sur les pratiques interdites.

On est tenté de lire tout cela comme de l’impuissance. C’est l’inverse. Cela vous dit précisément où se trouve votre levier.

La seule chose que vous contrôlez

Vous ne contrôlez pas quel modèle l’emporte. Vous ne contrôlez peut-être même pas quel modèle vous avez le droit d’acheter. Vous ne contrôlez pas le calendrier du régulateur. Et vous ne contrôlez certainement pas si l’agent décide, à 2 h du matin, que votre dossier a besoin d’un nettoyage.

Vous contrôlez le système que vous construisez autour du modèle.

Ce n’est pas un slogan. C’est une liste de contrôle, et je peux désormais me porter garant personnellement de chacune de ses lignes :

  • Quelles données l’agent peut-il voir ? Pas « toutes ». La boîte de réception, le CRM, la fiche client : chacun est une autorisation, pas une valeur par défaut.
  • Que peut-il faire sans humain ? Tout ce qui modifie le prix, l’accès, le classement, l’emploi, le crédit ou la situation juridique d’une personne doit exiger l’approbation d’un humain. Pas d’autonomie silencieuse sur les actions lourdes de conséquences. Et tout ce qui est irréversible, comme supprimer des fichiers, reçoit un verrou strict, qu’un humain regarde ou non.
  • Où sont les règles d’arrêt ? Pour ce que la loi interdit purement et simplement, et pour tout ce qui est destructeur, le taux d’échec acceptable avant le déploiement est zéro. Pas faible. Zéro.
  • Qu’est-ce qui est journalisé, et qu’est-ce qui est sauvegardé ? Chaque action sensible : l’instruction, les données utilisées, l’outil appelé, la décision, l’humain qui l’a approuvée. Et une sauvegarde 3 2 1 en dessous de tout cela, car le jour où l’agent se comporte mal est le jour où vous découvrez si votre restauration était réelle.

Rien de tout cela ne vient de l’achat d’un modèle plus sûr. Tout vient de la conception d’un système qui ne peut pas exécuter l’action illégale ou irréversible dès le départ.

C’est aussi la seule souveraineté réellement offerte. Pas le modèle, la discipline autour de lui. Un code de bonnes pratiques signé n’est pas un contrôle. Une assurance d’un fournisseur n’est pas un contrôle. Un classement de modèles n’est pas un contrôle. Le contrôle, ce sont les permissions, les règles d’arrêt, l’humain dans la boucle, les journaux et la sauvegarde qui rattrape ce qui passe entre les mailles.

La phrase que je vous laisse

Les entreprises qui gagneront la prochaine phase ne seront pas celles qui ont le meilleur modèle. La plupart n’auront même pas le droit d’acheter le meilleur modèle.

Ce seront celles qui auront construit un système assez discipliné pour que le choix du modèle qui s’y trouve n’ait pas d’importance. Un système capable de prouver, à la demande, exactement où s’arrête son agent. Je le sais, car cette semaine, la seule chose entre une tâche de routine et une perte de données définitive, c’était la discipline que j’avais construite autour de l’outil, et non le bon comportement de l’outil lui-même.

Si vous vous demandez encore quel modèle acheter, vous n’en êtes pas encore au point d’avoir cette conversation. Quand la question devient « quel système déployons-nous, et où s’arrête-t-il », c’est le travail que je fais.

Sources et méthode : appuyé sur une lecture vérifiée des documents de LARA, sur les communications d’Anthropic lui-même au sujet de Claude Mythos et du Project Glasswing, sur l’ICLR 2025 et les recherches associées sur la fiabilité des juges IA, sur les benchmarks académiques COMPL-AI et EU-Agent-Bench, sur les articles actuels concernant le calendrier du règlement européen sur l’IA (AI Act), et sur un incident vécu de première main que j’ai signalé publiquement sous le numéro Claude Code issue 64559. Lorsqu’un chiffre vient d’une seule source ou n’a pas été reproduit, je l’ai dit. Lorsque la direction est confirmée de façon indépendante, je l’ai dit aussi. Je partagerai la liste complète des sources avec quiconque veut vérifier mon travail, ce qui est tout l’enjeu.