Sécurité et éthique de l’IA : quelle différence ?

Les termes « sécurité de l’IA » et « éthique de l’IA » sont souvent employés indifféremment, mais ils posent des questions différentes. La sécurité demande si un système fait, de manière fiable, ce que ses concepteurs ont voulu ; l’éthique demande si cette intention, et ses effets sur les personnes, peuvent se justifier. En résumé, la sécurité porte sur les moyens, l’éthique sur les fins, et une approche sérieuse de l’IA a besoin des deux.

Deux questions, et non une seule

Prenons un système de recommandation de contenus. La question de sécurité est de savoir s’il fait ce pour quoi il a été conçu, de manière fiable et sans se laisser manipuler. La question d’éthique est de savoir si ce pour quoi il a été conçu, par exemple retenir les gens sur une plateforme le plus longtemps possible, est un objectif légitime, et qui en paie le prix quand il fonctionne bien. Un système peut réussir le premier test et échouer au second. L’inverse se produit aussi : de beaux principes sur le papier, et un modèle que personne n’a testé face à des entrées manipulées.

Ce qu’étudie la sécurité de l’IA

Les systèmes qui apprennent à partir de données ne font pas simplement ce que leurs concepteurs avaient en tête ; ils font ce que l’objectif, les données et l’environnement récompensent. Les grands thèmes de la sécurité de l’IA découlent de cet écart, auxquels s’ajoute celui des dommages causés volontairement.

• Alignement : faire correspondre les objectifs réels d’un système aux intentions humaines, y compris dans des situations que personne n’a spécifiées.
• Robustesse : se comporter de manière prévisible face à des entrées inhabituelles et à des attaques délibérées.
• Évaluation : mesurer ce qu’un modèle sait et ne sait pas faire, avec des tests qu’il n’a jamais vus.
• Contrôle et supervision : conserver la capacité de surveiller, de corriger ou d’arrêter un système.
• Prévention des usages malveillants : limiter l’aide qu’un système apporte à un utilisateur qui cherche à causer des dommages graves.

Un mode de défaillance bien documenté est le détournement de spécification (specification gaming), appelé piratage de la récompense (reward hacking) en apprentissage par renforcement : un système respecte la lettre de son objectif tout en trahissant sa finalité, comme lorsqu’un agent jouant à un jeu vidéo, récompensé pour les points marqués, tourne indéfiniment en rond pour les ramasser au lieu de terminer la course. Rien n’a dysfonctionné ; l’objectif était une mauvaise approximation du but poursuivi.

Lorsque des modèles de langage agissent comme des agents qui naviguent sur le web, l’injection de prompt devient centrale : des instructions cachées dans une page web peuvent être lues comme si elles venaient de l’utilisateur. Limiter les droits d’accès de l’agent et le tester face à des attaques adaptatives permet de déterminer si l’on peut lui confier sa tâche, et non si cette tâche en vaut la peine.

Ce que demande l’éthique de l’IA

L’éthique de l’IA part des personnes plutôt que des systèmes. Elle demande quels objectifs sont légitimes, qui est concerné, qui supporte le coût des erreurs, et si une décision qui façonne la vie d’une personne doit seulement être automatisée. La Recommandation de l’UNESCO sur l’éthique de l’intelligence artificielle (2021), les Principes de l’OCDE sur l’IA (2019, mis à jour en 2024) et la Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle (2024) donnent à ces préoccupations un vocabulaire commun.

Prenons un outil de recrutement entraîné sur des décisions passées. Si les sélections antérieures ont désavantagé un groupe, un modèle qui apprend à les prédire reproduira probablement ce désavantage à grande échelle. Il fait ce pour quoi il a été entraîné ; le problème vient de ce que l’on prend les décisions passées pour étalon du bon candidat. Les tests de robustesse, à eux seuls, ne le révéleraient pas, parce que le système réussit la mauvaise tâche.

L’éthique couvre aussi la capacité d’agir des personnes, et une partie de cette préoccupation est déjà inscrite dans le droit : l’article 22 du RGPD donne à chacun le droit, sous réserve de quelques exceptions, de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou l’affectant de manière significative de façon similaire. Derrière cette règle se trouve un jugement : certaines décisions méritent un humain qui puisse en répondre.

Là où les deux se rejoignent

Un système biaisé est un échec éthique, mais il n’est pas sûr non plus pour les personnes qu’il évalue mal ; les tests d’équité ont donc leur place dans le travail de sécurité. La dépendance joue dans les deux sens : « sûr » veut toujours dire sûr pour quelqu’un, contre un certain dommage, à un niveau de risque accepté, et ce sont là des choix éthiques ; un principe dont on ne peut pas démontrer qu’un système le respecte est un souhait, et non un garde-fou.

Le droit de l’Union européenne les traite comme un tout. Pour les systèmes à haut risque, le règlement européen sur l’IA (AI Act, règlement (UE) 2024/1689) exige une gestion des risques, un examen des données d’entraînement, de validation et de test afin d’y repérer d’éventuels biais, un contrôle humain, ainsi que l’exactitude, la robustesse et la cybersécurité, le tout dans le cadre d’une seule et même évaluation de la conformité. La plupart de ces obligations devaient initialement s’appliquer à partir du 2 août 2026, et à partir du 2 août 2027 pour l’IA à haut risque intégrée dans des produits déjà couverts par la législation européenne sur les produits. En juillet 2026, un règlement modificatif, l’omnibus numérique sur l’IA (règlement (UE) 2026/1744), les a reportées respectivement au 2 décembre 2027 et au 2 août 2028.

Ici, une exigence éthique devient un problème de preuve : montrer qu’un système a été vérifié au regard des biais exige des données, et les données nécessaires pour détecter une discrimination sont souvent sensibles. Le rapport technique de la Fondation sur la détection des biais au titre du règlement européen sur l’IA examine dans quels cas des données synthétiques, anonymisées ou protégées par la confidentialité différentielle suffisent à cette fin.

Pourquoi la distinction compte en pratique

Une organisation qui traite l’éthique comme une déclaration de valeurs et la sécurité comme une case à cocher de l’assurance qualité peut se retrouver sans l’une ni l’autre : un comité d’éthique qui ne voit jamais les résultats des tests, et une équipe de test qui ne se demande jamais si le produit devrait exister. Les compétences diffèrent aussi : la sécurité exige des personnes capables de concevoir des évaluations et d’attaquer des systèmes ; l’éthique exige des personnes qui connaissent le droit et les communautés concernées et qui ont l’autorité de dire non.

Ce qu’il faut retenir en pratique

Lorsqu’un système d’IA est proposé pour une école, une administration ou une organisation, posez les deux types de questions et exigez des preuves plutôt que des principes.

• Finalité : ce que le système optimise, et si c’est le bon objectif dans ce contexte.
• Tests : comment il a été évalué, sur quelles données, et face à quelles attaques.
• Équité : quels groupes pourraient être mal jugés, et comment cela a été mesuré.
• Supervision : qui peut reprendre la main sur le système ou l’arrêter, et dans quel délai.
• Responsabilité : qui répond d’une décision erronée, et comment elle peut être contestée.

Des réponses vagues sur la finalité et la responsabilité signalent un problème d’éthique ; des réponses vagues sur les tests et la supervision, un problème de sécurité. Le domaine « Recherche sur la sécurité de l’IA » de la Fondation travaille sur les problèmes d’alignement, de robustesse, d’évaluation et de contrôle, et publie ses analyses dans la rubrique Research & Insights, où paraîtront également ses rapports techniques, prévus jusqu’en 2027.

En bref

La sécurité de l’IA demande si un système fait de manière fiable ce que ses concepteurs veulent, tandis que l’éthique de l’IA demande si cette intention et ses effets sur les personnes peuvent être justifiés. En somme, la sécurité porte sur les moyens et l’éthique sur les fins. Une approche sérieuse exige les deux, et le droit européen les traite comme un ensemble pour les systèmes à haut risque.

Questions fréquentes

Quelle est la différence entre la sécurité de l’IA et l’éthique de l’IA ?

La sécurité de l’IA demande si un système fait de manière fiable ce que ses concepteurs veulent. L’éthique de l’IA demande si cette intention, et ses effets sur les personnes, peuvent être justifiés. La sécurité porte sur les moyens et l’éthique sur les fins, et un système peut réussir le test de sécurité tout en échouant au test éthique.

Qu’est-ce que le détournement de spécification en IA ?

Le détournement de spécification (specification gaming), appelé piratage de la récompense (reward hacking) en apprentissage par renforcement, est un mode de défaillance où un système respecte la lettre de son objectif tout en en trahissant le but. Par exemple, un agent de jeu récompensé en points tourne en rond pour en ramasser au lieu de terminer la course. L’objectif était un mauvais indicateur de substitution du but visé.

Quels sujets couvre la recherche sur la sécurité de l’IA ?

Les grands sujets de la sécurité de l’IA sont l’alignement (faire correspondre les objectifs réels d’un système aux intentions humaines), la robustesse (se comporter de façon prévisible face à des entrées inhabituelles et à des attaques délibérées), l’évaluation (mesurer ce qu’un modèle peut et ne peut pas faire), le contrôle et la supervision (garder la capacité de surveiller, de corriger ou d’arrêter un système) et la prévention des usages malveillants.

Qu’est-ce que l’injection de prompt ?

Lorsque des modèles de langage agissent comme des agents qui naviguent sur le web, des instructions cachées dans une page peuvent être lues comme si elles venaient de l’utilisateur. C’est l’injection de prompt. Limiter les permissions de l’agent et le tester face à des attaques adaptatives détermine si l’on peut lui confier sa tâche.

Le règlement européen sur l’IA traite-t-il ensemble la sécurité et l’éthique de l’IA ?

Oui, le droit européen les traite comme un ensemble. Pour les systèmes à haut risque, le règlement européen sur l’IA (règlement (UE) 2024/1689) exige une gestion des risques, l’examen des données d’entraînement, de validation et de test pour y repérer d’éventuels biais, un contrôle humain, ainsi que l’exactitude, la robustesse et la cybersécurité, le tout dans une même évaluation de la conformité.

Comment citer Fondation LASTHUMAN. (2026, 27 août). Sécurité et éthique de l’IA : quelle différence ? https://lasthuman.today/fr/insights/ai-safety-vs-ai-ethics.html