Le GAFI a été créé par le G7 en 1989 en tant que petit organe intergouvernemental chargé de lutter contre le blanchiment d'argent. Il n'a pas le pouvoir de créer du droit contraignant. Pourtant, ses recommandations sont devenues la norme mondiale, mise en œuvre par plus de 200 juridictions, grâce à un mécanisme qui rend le droit mou étonnamment contraignant : l'évaluation mutuelle et la liste grise. Comprendre comment un organe non contraignant a obtenu une conformité quasi universelle est directement pertinent pour gouverner l'IA sans attendre un traité.

Le Groupe d’action financière encadre la finance mondiale par des normes, des examens par les pairs et une pression réputationnelle, et constitue un modèle étonnamment puissant pour l’IA.

Comment le GAFI fonctionne vraiment

1

Elle fixe les normes

Le GAFI publie des recommandations définissant ce à quoi ressemblent des contrôles adéquats de lutte contre le blanchiment d'argent et le financement du terrorisme. Ce ne sont pas des lois, mais elles sont détaillées, précises et font autorité.

2

Il procède à un examen par les pairs

Les membres et les organismes partenaires évaluent la conformité les uns des autres par le biais de « évaluations mutuelles » rigoureuses, des équipes d'experts évaluant si les lois et l'application d'un pays répondent réellement à la norme, produisant un rapport public.

3

Il publie des listes

Les juridictions présentant de graves lacunes sont placées sur une « liste grise » (surveillance renforcée) ou une « liste noire » (risque élevé). Ces listes sont publiques et ont des conséquences.

4

Le marché assure l’application

Être placé sur la liste grise augmente le coût et les frictions d'accès d'un pays au système financier mondial, car les banques du monde entier appliquent un examen renforcé. La sanction n'est pas imposée par le GAFI, mais par les réactions des marchés et des institutions à ses conclusions.

Pourquoi le modèle est puissant

Le génie du GAFI est qu’il obtient une conformité de type traité sans traité. Il évite le processus lent et sujet au veto de négociation et de ratification d’un droit contraignant, tout en obtenant un changement de comportement car les conséquences d’une mauvaise évaluation sont réelles et économiques. Il est rapide à mettre à jour (les normes peuvent être révisées sans nouvelle ratification) et il tire parti du système mondial interconnecté pour rendre la non-conformité coûteuse. Pour un domaine en évolution rapide où un traité formel peut prendre des années, cette combinaison de normes adaptables et d’application par le marché est exactement le type d’outil capable d’agir dans l’intervalle.

Comment cela pourrait se traduire pour l'IA

Un organisme de type GAFI pour l'IA fixerait des normes détaillées pour le développement responsable des systèmes de pointe (évaluation de sécurité, signalement d'incidents, contrôles de sécurité) et évaluerait les juridictions par rapport à ces normes via un examen par les pairs, en publiant les résultats. La pression ne viendrait pas de sanctions formelles mais des réactions des autres : les États dotés d'une supervision faible de l'IA pourraient faire face à des restrictions d'accès aux puces avancées, à la recherche coopérative ou aux marchés, appliquées par les pays qui contrôlent ces points d'étranglement. La chaîne d'approvisionnement en calcul confère à un régime de l'IA le même type de levier que le système financier confère au GAFI.

Les limites de l'analogie

  • Les enjeux diffèrent. Le blanchiment d’argent est un dommage chronique géré dans la durée ; le risque catastrophique lié à l’IA peut être un événement unique et irréversible. Un modèle fondé sur une pression réputationnelle progressive risque d’être trop lent face à un seuil qu’on ne franchit qu’une fois.
  • La vérification est plus difficile. Les flux financiers laissent des traces que les évaluateurs peuvent auditer. Évaluer si le développement d'IA de pointe d'un État est réellement sûr est un problème technique bien plus difficile.
  • Les incitations sont plus fortes. L'avantage de règles laxistes sur l'IA (une avance décisive en capacités) peut éclipser le coût réputationnel d'une mise sur liste grise, contrairement au calcul plus équilibré en finance.

Le FATF montre qu'on peut faire bouger presque tous les pays de la Terre sans traité, si le non-respect a un coût réel. Pour l'IA, la chaîne d'approvisionnement en compute pourrait fournir ce coût. La question est de savoir si la pression réputationnelle est assez rapide pour un risque qu'on ne rate qu'une seule fois.

Un pont, pas une destination

Le modèle du FATF est mieux compris comme un pont pour la période précédant l’existence d’un traité contraignant. Il pourrait établir des normes détaillées de sécurité de l’IA, créer un mécanisme d’examen par les pairs qui installe l’habitude et l’infrastructure de l’évaluation, et exercer une réelle pression via le goulot d’étranglement du calcul, tout cela sans les années qu’exige un traité. Sa faiblesse est que la pression réputationnelle et de marché peut ne pas être ni assez rapide ni assez forte face à un risque catastrophique et irréversible contre des acteurs disposant d’incitations énormes à faire défection. Cela en fait un instrument intérimaire précieux et un complément à une gouvernance plus dure, pas un substitut. Le FATF prouve que le droit mou peut mordre. Pour l’IA, la tâche est de lui donner des dents assez acérées pour les enjeux, et de continuer à construire vers l’accord contraignant que la seule pression réputationnelle ne peut pas garantir.