Le constat brutal de 2026
Les régulations sur l'IA explosent. L'AI Act européen (le règlement européen sur l'intelligence artificielle, premier cadre juridique global au monde sur l'IA) est entré en application progressive depuis 2024. Le Take It Down Act américain entre pleinement en vigueur cette semaine pour les plateformes. La Chine a sa propre Cyberspace Administration (l'agence chinoise de régulation d'Internet). Le Royaume-Uni, le Brésil, l'Australie, l'Inde, la Corée du Sud ont tous légiféré. Sur le papier, jamais autant d'efforts politiques n'ont été consacrés à encadrer une technologie en si peu de temps.
Et pourtant, ces régulations partagent toutes une limite fondamentale : elles ne s'appliquent qu'aux modèles propriétaires (modèles dont le code et les paramètres restent fermés, contrôlés par l'entreprise qui les a créés). Sur les modèles open source (modèles dont les paramètres sont publiés et téléchargeables librement), qui pèsent désormais 17,1% du marché mondial selon MIT et Hugging Face, la régulation perd presque toute prise. Comme nous l'avons documenté dans notre article sur les modèles chinois, Qwen, DeepSeek, Llama, Mistral circulent librement sur des dizaines de serveurs, sont téléchargeables par n'importe qui, et peuvent être exécutés sur n'importe quel ordinateur suffisamment puissant.
La question qui se pose en 2026 n'est plus "comment réguler l'IA ?". C'est "que peut-on encore réguler quand la technologie elle-même s'est déjà échappée ?".
La nature irréversible de l'open source
Pour comprendre pourquoi l'open source change tout, il faut comprendre une particularité technique. Quand un modèle d'IA est publié en open weights (avec ses paramètres téléchargeables sous une licence permissive comme MIT ou Apache 2.0, deux licences logicielles très libérales qui autorisent quasiment tout usage), il devient indestructible. Voici pourquoi.
Premièrement, les modèles sont des fichiers. Une fois téléchargés, ils peuvent être copiés, distribués, mis sur des disques durs, des clouds privés, des miroirs publics (copies du même contenu sur des serveurs différents). Personne ne peut "supprimer" un fichier qui est déjà sur des centaines de milliers de machines à travers le monde.
Deuxièmement, l'exécution est locale. Une fois le modèle téléchargé, vous pouvez le faire tourner sur votre propre ordinateur, sans connexion internet, sans serveur central. Aucune autorité ne peut intercepter ou bloquer son utilisation.
Troisièmement, les dérivés se multiplient. Selon une étude suédoise, le seul modèle Qwen a généré environ 2 800 modèles dérivés fine-tunés (modifiés par des développeurs tiers pour des usages spécifiques, le fine-tuning étant la technique consistant à ajuster un modèle existant pour une tâche particulière) par des développeurs du monde entier. Chacun de ces dérivés est lui-même open source. Même si Pékin décidait demain de "désactiver" Qwen, les milliers de dérivés continueraient d'exister.
Plusieurs experts en sécurité tech utilisent une formule pour résumer le sujet : "On peut interdire une voiture, mais on ne peut pas interdire la mécanique automobile." De la même manière, on peut interdire un service IA spécifique sur un territoire (bloquer DeepSeek.com en France par exemple), mais on ne peut pas effacer les techniques mathématiques publiées dans les papiers de recherche, ni les modèles déjà téléchargés des disques durs.
Les tentatives de régulation et leurs limites
Examinons les principales approches réglementaires actuelles et ce qu'elles peuvent vraiment.
L'AI Act européen. Entré en application progressive depuis 2024, c'est probablement la régulation la plus ambitieuse au monde. Il classe les usages d'IA par niveau de risque, impose des obligations de transparence, interdit certains usages (notation sociale, manipulation cognitive, identification biométrique en temps réel dans l'espace public). Mais ses sanctions ne peuvent s'appliquer qu'à des fournisseurs identifiables ayant une représentation légale en Europe. Pour un modèle open source téléchargé par un développeur à Berlin et exécuté sur son ordinateur, l'AI Act n'a quasi aucune prise pratique.
Le Take It Down Act américain. Entré en vigueur le 19 mai 2026 pour les plateformes, il impose le retrait sous 48 heures de tout contenu intime non consenti, y compris deepfakes. Comme nous l'avons exploré dans notre article sur les deepfakes, c'est une avancée majeure, mais elle s'applique aux plateformes qui hébergent le contenu, pas à la création elle-même. Un deepfake généré localement et partagé en messages privés WhatsApp ne tombe pas dans le champ d'application.
Les restrictions à l'export américaines. Les États-Unis interdisent l'export de puces Nvidia avancées vers la Chine. Cette stratégie a échoué : Pékin a investi dans Huawei Ascend (la gamme de puces IA développées par le géant chinois Huawei pour remplacer les Nvidia interdites), et comme nous l'avons documenté dans notre article sur la guerre USA-Chine, Donald Trump a finalement autorisé en 2026 la vente de 400 000 puces H200 à la Chine. La leçon : même les politiques d'export controls (contrôles à l'exportation, restrictions imposées par un État sur les biens et technologies qu'il autorise à sortir de son territoire) les plus agressives sont contournables ou diluables par négociation politique.
Les interdictions de services nationaux. L'Italie a brièvement interdit ChatGPT en 2023. L'Inde a banni DeepSeek sur les appareils gouvernementaux. Plusieurs pays restreignent l'accès aux services IA chinois. Ces interdictions ralentissent l'adoption locale mais ne suppriment pas la disponibilité des modèles. VPN (Virtual Private Network, réseau privé virtuel qui permet de contourner les restrictions géographiques), miroirs, alternatives open source permettent toujours d'accéder à la technologie.
Les quatre niveaux de régulation qui restent possibles
Face à l'impossibilité d'interdire la technologie elle-même, les régulateurs déplacent leurs efforts vers d'autres niveaux. Quatre stratégies restent praticables.
| Niveau visé | Efficacité réelle |
|---|---|
| Réguler les usages (deepfakes, fraude, diffamation) | Élevée si appliquée |
| Réguler les plateformes (hébergement, diffusion) | Moyenne, jeu du chat et de la souris |
| Réguler les services API (entreprises identifiables) | Moyenne, contournements possibles |
| Réguler la technologie elle-même | Très faible, voire nulle |
Réguler les usages. C'est probablement le levier le plus efficace. Plutôt que d'interdire la technologie (impossible), on punit son utilisation pour des fins illégales. Si vous utilisez l'IA pour faire un deepfake non consenti, vous risquez la prison. Si vous l'utilisez pour rédiger un mail professionnel, vous ne risquez rien. C'est l'approche du Take It Down Act, de la loi française sur les montages sexuels non consentis, et de la plupart des législations 2025-2026.
Réguler les plateformes. En obligeant les plateformes à modérer le contenu généré par IA, on crée un goulot d'étranglement. Une vidéo deepfake peut être créée librement, mais elle aura du mal à se diffuser massivement si TikTok, YouTube, Instagram la suppriment rapidement. C'est l'approche de l'AI Act et du Digital Services Act (le règlement européen sur les services numériques, qui responsabilise les grandes plateformes pour les contenus illégaux qu'elles hébergent). Limite : le contenu peut toujours circuler dans des espaces non régulés (Telegram, forums non modérés, applications de messagerie privée).
Réguler les services API. Les grands fournisseurs (OpenAI, Anthropic, Google) sont identifiables, taxables, sanctionnables. Imposer des règles de transparence, de filtrage et de responsabilité sur ces acteurs est efficace pour 80% des usages grand public. Limite : ne capture pas les usages via modèles open source self-hostés (hébergés sur ses propres serveurs).
Réguler la technologie elle-même. C'est ce qui ne fonctionne pas. Tenter d'interdire la création de modèles, leur entraînement, ou leur diffusion en open source est techniquement et juridiquement quasi impossible. Plusieurs tentatives ont avorté (l'Executive Order Biden de 2023 sur les modèles à risque a été révoqué par Trump, le SB 1047 californien a été veto par Newsom). La capacité réglementaire à ce niveau est désormais marginale.
L'angle qu'on évite de regarder : et si la régulation devenait contre-productive ?
Un sujet qu'on aborde peu publiquement mérite d'être nommé : une régulation trop stricte sur les acteurs occidentaux risque de favoriser les modèles chinois et russes. Si OpenAI et Anthropic doivent respecter 50 règles européennes, mais que DeepSeek peut s'en passer (parce qu'il n'a pas de représentation légale en Europe), les utilisateurs européens migreront probablement vers le moins contraint.
Cet argument est régulièrement avancé par les Big Tech américaines (parfois cyniquement, pour échapper à toute régulation), mais il a une part de vérité. Comme nous l'avons exploré dans notre article sur le verrouillage OpenAI, les écosystèmes IA deviennent rapidement verrouillés. Si l'Europe se prive des meilleurs outils par excès de régulation, elle pourrait se condamner à une dépendance encore plus profonde sur les modèles non régulés.
Ce dilemme est probablement le plus difficile à trancher politiquement. Trop peu de régulation, on laisse des dérives graves se produire. Trop de régulation, on pousse les utilisateurs vers des alternatives moins encadrées. Le bon équilibre est introuvable parce qu'il n'existe pas dans l'abstrait : il dépend des choix concrets sur quels usages doivent être protégés et quels acteurs doivent être encouragés.
Comment d'autres technologies ont vécu ce moment
Pour relativiser, regardons comment d'autres technologies à diffusion massive ont géré le même problème.
Internet. Dans les années 1990, beaucoup pensaient qu'Internet serait incontrôlable et détruirait les structures sociales. La réalité : Internet n'a jamais été "régulé" au sens strict, mais des usages spécifiques l'ont été (cybercriminalité, contenus illégaux, droits d'auteur). Les sociétés se sont adaptées. Le résultat n'est ni parfait ni catastrophique : un équilibre imparfait mais vivable.
Cryptographie. Dans les années 1990, les États-Unis ont tenté d'interdire l'export de logiciels de cryptographie forte (l'affaire PGP, Pretty Good Privacy, est le logiciel de chiffrement open source créé par Phil Zimmermann en 1991, dont l'export a déclenché une bataille juridique majeure). La technologie s'est répandue malgré tout. Aujourd'hui, la cryptographie protège vos paiements, vos messages, vos données médicales. Personne ne propose sérieusement de la "désinventer".
Téléchargement de musique. L'industrie musicale a passé 15 ans à essayer d'interdire le téléchargement illégal. Échec total. La technologie a été acceptée, et de nouveaux modèles économiques (Spotify, Apple Music) ont émergé pour offrir des alternatives légales attractives. La régulation s'est transformée en compromis pragmatique entre artistes, plateformes et utilisateurs.
L'IA suit probablement la même trajectoire. Une période d'angoisse régulatrice, une réalisation que la technologie ne peut pas être "désinventée", puis l'émergence progressive de cadres pragmatiques.
L'AGI (Artificial General Intelligence, intelligence artificielle générale) et l'IA généraliste sont parfois comparées à la biotechnologie. Comme l'IA, la biotechnologie est une plateforme dual-use (à double usage) : elle peut sauver des vies (vaccins, traitements) ou causer des catastrophes (armes biologiques). La régulation s'est construite progressivement, en distinguant clairement la recherche bénéfique (subventionnée et encadrée) des usages dangereux (criminalisés et surveillés). Aucun pays ne tente d'"interdire la biotechnologie". Tous essayent de l'orienter. L'IA va probablement suivre une trajectoire similaire.
Ce qu'il faut accepter en 2026
Trois constats honnêtes pour conclure.
Constat 1 : la technologie ne disparaîtra pas. Les modèles d'IA puissants existent. Ils sont disponibles. Ils continueront d'évoluer. Aucune loi, aucun traité international, aucune fermeture d'entreprise ne fera disparaître ce qui est désormais une infrastructure mondiale distribuée.
Constat 2 : les abus seront massivement plus nombreux que les sanctions. Pour chaque deepfake supprimé d'une plateforme, dix autres seront créés ailleurs. Pour chaque escroquerie IA poursuivie, des centaines passeront sous le radar. Cette asymétrie n'est pas un signe d'échec : c'est la nature même des technologies à diffusion massive.
Constat 3 : la responsabilité individuelle redevient centrale. Dans un monde où la technologie ne peut pas être totalement régulée, c'est l'éducation, le sens critique, et l'adaptation comportementale qui deviennent les premières lignes de défense. Apprendre à reconnaître un deepfake, vérifier ses sources, protéger ses données : ces compétences ne sont plus optionnelles. Elles sont indispensables.
Cette analyse s'inscrit dans notre série sur les zones d'ombre de l'IA en 2026. Pour aller plus loin, vous pouvez consulter notre article sur la médecine du futur qui montre un domaine où la régulation reste essentielle, et notre analyse des scénarios à 30 ans qui replace ces enjeux réglementaires dans une perspective historique longue. Ceux qui attendent que les régulations résolvent les problèmes de l'IA seront probablement déçus. Ceux qui s'adaptent activement, en apprenant à vivre avec cette technologie tout en se protégeant de ses dérives, traverseront la décennie qui vient sans drame. C'est probablement le seul message vraiment actionable de cette histoire.