Les analystes estiment que ces mesures ne visent peut-être qu’à positionner la société en vue de son introduction en bourse, mais que ces deux changements constituent néanmoins une bonne nouvelle.
OpenAI a annoncé cette semaine plusieurs mesures destinées à contrer les perceptions négatives de sa sécurité et de sa confidentialité, affirmant qu’elle avait ralenti son rythme de mise à l’échelle, mis en œuvre une pause de deux semaines dans l’apprentissage par renforcement et qu’elle n’offrirait aucune rétention de données aux « clients API éligibles ».
Dans sa première annonce, publiée mardi, OpenAI a déclaré avoir ralenti « temporairement » le rythme de sa mise à l’échelle, en plus de suspendre la formation par apprentissage par renforcement.
Ces efforts ont eu lieu alors qu’OpenAI renforçait et regroupait son environnement de recherche et élargissait la surveillance, a-t-il déclaré, ajoutant : « notre plus grande course de frontière RL prévue reste en suspens pendant que nous menons une formation et des évaluations à plus petite échelle pour évaluer le comportement du modèle, valider nos garanties et établir davantage de preuves d’alignement avant de continuer.
La déclaration d’OpenAI indique que l’entreprise « exigera désormais des preuves plus solides d’un comportement aligné tout au long de la formation, en s’appuyant sur les recherches et les évaluations déjà en cours. Maintenir l’alignement de systèmes de plus en plus performants est un défi que l’ensemble du domaine devra relever. »
Il a également souligné d’autres efforts récents visant à améliorer ses procédures, notamment l’isolation de la charge de travail, l’isolation du réseau et les « tests de sécurité continus ».
Cependant, la société a noté que la surveillance nouvellement proposée générerait des frais généraux d’« environ 20 % du calcul d’inférence surveillé, bien que le coût varie considérablement selon les charges de travail de formation et d’évaluation ». Il a promis de partager plus de détails sur ce système dans un prochain article de blog.
Les analystes et les consultants ont déclaré que ces mesures avaient probablement été annoncées pour mieux positionner OpenAI en vue d’une introduction en bourse imminente.
Carmi Levy, analyste technologique indépendant, a considéré ces déclarations comme « une démarche astucieusement conçue pour gagner des points de relations publiques alors que les problèmes de sécurité autour de l’IA agentique continuent de croître. Cela indique que l’entreprise fait quelque chose, même si cela est terriblement inadéquat. En l’absence de réglementations explicites obligeant des fournisseurs comme OpenAI à donner en permanence la priorité à la sécurité avant tous les autres facteurs, une pause de deux semaines n’est guère plus qu’une façade destinée à détourner les critiques. «
Jason Andersen, analyste principal chez Moor Insights & Strategy, est du même avis, affirmant qu’il pensait que « c’est un peu un théâtre pragmatique alors qu’ils se dirigent vers une introduction en bourse ». Mais il a suggéré qu’il se pourrait aussi qu’il se passe davantage de choses. Les entreprises continueront à investir de manière agressive dans l’IA, et « elles pédaleront à fond jusqu’à ce qu’elles soient poursuivies en justice ». Ensuite, ils reculeront.
Cependant, a-t-il déclaré, « la seule façon pour ces (grandes entreprises d’IA) de réussir après leur introduction en bourse, la seule façon de se développer, est de s’impliquer beaucoup plus profondément dans les entreprises. Et la seule façon d’y parvenir est d’atténuer la peur et le risque. »
Zéro conservation des données ?
Dans l’annonce de mercredi, OpenAI n’a pas précisé ce qui constitue l’éligibilité au programme zéro conservation des données, mais a seulement indiqué que celui-ci débuterait en septembre, lorsque l’entreprise partagerait les détails dans un « livre blanc technique ».
Mais Andersen a déclaré que cette décision doit être considérée dans le contexte des relations complexes avec les fournisseurs d’aujourd’hui.
Une grande partie des revenus d’OpenAI ne provient pas directement de l’entreprise, mais via des partenaires comme Microsoft et AWS, a-t-il souligné. « Disons que j’utilise un outil comme Amazon Kiro, qui peut utiliser OpenAPI via API pour créer mon application sans ma connaissance du modèle. Il semble qu’Amazon soit le client et vous êtes le client d’Amazon. Si vous êtes une entreprise et souhaitez cette protection (sans conservation des données), vous devez fournir votre propre clé API à Kiro. L’entreprise devient simplement le client direct et obtient désormais l’accès au lockbox. AWS n’y a plus accès et perd des revenus/marges. «
Le consultant Brian Levine, directeur exécutif de FormerGov, a ajouté que la promesse de conservation des données est également compliquée par la manière dont les processus ont tendance à fonctionner.
« OpenAI affirme qu’il peut désormais surveiller les abus lors des interactions sans qu’aucun membre du personnel ne lise le contenu sous-jacent », a-t-il déclaré. « C’est une promesse technique forte, car surveiller les abus et ne pas être en mesure de voir les données ont historiquement tiré dans des directions opposées. Et la preuve est un livre blanc qui sera encore dans quelques semaines. »
En outre, a-t-il noté : « Zéro n’est jamais tout à fait nul, car le contenu signalé par CSAM est toujours conservé à des fins de reporting légal. »
Flavio Villanustre, RSSI du groupe LexisNexis Risk Solutions, a vu cette décision un peu différemment, suggérant qu’elle visait à assouplir une éventuelle législation.
« Il est probable qu’ils voient apparaître sur les murs des réglementations à venir qui pourraient avoir un impact significatif sur eux, et cela pourrait être leur tentative de montrer leur désir de s’autoréguler pour éviter une législation plus draconienne à l’avenir », a déclaré Villanustre.
Pourtant, Mike Wilkes, RSSI d’entreprise chez Aikido Security, a observé : « la sincérité n’est pas la même chose que la permanence. Dans la vieille image nordique/scandinave d’un monstre marin géant attendant sous la surface, vous pourriez appeler cela ‘Pause le Kraken’. » La vraie question est de savoir quelles conditions doivent être remplies avant qu’OpenAI décide de le publier à nouveau.
» a ajouté Justin St-Maurice, conseiller technique chez Info-Tech Research Group, OpenAI semble vouloir être reconnu pour avoir fait le strict minimum de ce qu’une grande entreprise d’IA aurait toujours dû faire.
« Si un constructeur automobile annonçait qu’il prendrait plus au sérieux les tests de sécurité de base avant la production, ce ne serait pas en fanfare. Franchement, il serait embarrassant que quelque chose d’aussi fondamental doive être clarifié à un public sceptique », a-t-il déclaré. « La question pour moi est de savoir pourquoi cela doit être une annonce maintenant, et s’ils tiennent le coup une fois qu’un concurrent livre quelque chose qui rend une pause coûteuse. »
Ainsi, a-t-il conseillé, « arrêtez de traiter ces annonces comme de la diligence. Demandez la preuve de ce que vous obtenez réellement, pas de ce qui vous a été promis. Si un fournisseur peut suspendre le développement pour des raisons de sécurité, et que vous l’avez découvert par le biais d’un article de blog, alors vous devriez demander ce que votre contrat l’oblige à vous divulguer. »
