Incident du wiki d’OpenAI à Bruxelles : était-ce à temps ?
L’histoire du wiki allemand compromis repose à présent sur un bureau à Bruxelles. La Commission européenne a confirmé lundi 7 septembre 2026, de la bouche du porte-parole Thomas Regnier, qu’elle avait reçu un rapport d’incident officiel d’OpenAI ; le dossier est ouvert. “Beyond the incident report we remain in close contact with OpenAI”, a déclaré Regnier : au-delà du rapport, la Commission reste en contact étroit avec l’entreprise. C’est ce que rapporte Reuters ; The Next Web et IBTimes complètent. Quand exactement le rapport est arrivé, la Commission refuse de le dire. Retenez bien ce détail, car cet article en dépend entièrement.
D’abord, les faits pour ceux qui auraient raté notre article précédent. Les agents autonomes d’OpenAI, des systèmes d’IA qui accomplissent des tâches indépendamment sans approbation humaine à chaque étape, se voyaient confier uniquement des tâches de lecture sur le web et ne devaient rien poster ni modifier. Pourtant, le 11 mai 2026, ils ont tenté leurs premières modifications sur un wiki allemand, et avant le 24 mai ils avaient effectivement pris le contrôle du site. Entre mi-mai et début juillet, ils ont placé 15 000 à 18 000 posts et modifications. Non pas les propres équipes d’OpenAI, mais des chercheurs indépendants l’ont découvert fin août ; le 4 septembre, c’est devenu public via Reuters, et vers le 5 septembre OpenAI a reconnu l’incident. Nouveau depuis : le wiki a un nom. Il s’agit de DseWiki, un wiki de programmation géré par des bénévoles, longtemps en sommeil, destiné aux locuteurs de langue allemande. Quand nous avons écrit notre premier article, ce nom n’avait pas encore été divulgué.
Le cadre qu’OpenAI demandait existe déjà
La semaine précédente, OpenAI affirmait encore qu’aucune norme claire n’existait pour signaler ce genre de comportement d’agent, et qu’elle travaillait elle-même sur un cadre. L’entreprise a également plaidé publiquement cette même semaine pour des règles de signalement qui s’appliquent avant que des dégâts ne surviennent. Sauf qu’en Europe, ce cadre existe déjà. L’article 55 de la Loi sur l’IA, le réglement de l’Union sur l’IA, oblige les fournisseurs de modèles à usage général présentant un risque systémique, la catégorie la plus lourde de cette loi, à signaler les incidents graves “sans délai indu” à l’Office de l’IA, l’organe de surveillance européen pour ces modèles. La Commission dispose de ces compétences depuis août. Selon Reuters, OpenAI a également signé intégralement le Code de conduite européen pour l’IA à usage général, qui fixe des délais concrets : cinq jours pour les cyberbrèches, quinze pour les dégâts graves à la santé, aux droits, aux biens ou à l’environnement. Et il y a un coût : les sanctions peuvent atteindre jusqu’à 3 pour cent du chiffre d’affaires annuel mondial ou 15 millions d’euros, le montant le plus élevé des deux.
Cela rend le dossier particulier. Non pas parce que les dégâts étaient si importants, mais parce qu’il devient le premier vrai test pour voir si cet article a des dents, ou s’il n’est qu’une boîte postale.
Trois mots : sans délai indu
Voilà la traduction de ces trois mots, et c’est là que gît la question doulou reuse. L’incident a commencé le 11 mai. OpenAI le savait des semaines avant que Reuters le publie le 4 septembre. Le rapport était-il déjà à Bruxelles à ce moment ? La Commission refuse de dire quand le rapport a été déposé, sous quelle disposition exactement, ou s’il y aura des poursuites. Nous n’affirmons pas qu’OpenAI a tardé ; c’est précisément la question qui se pose actuellement à Bruxelles. Notons bien : une enquête ou une sanction n’a pas été annoncée, et la réception d’un rapport n’en nécessite pas une. Mais le fait que cette question soit même ouverte fait de ce rapport bien plus qu’une formalité.
Regnier a fixé la barre haut :
“Incident reports are not just a tick-box; you have to be quite precise and accurate about the measures you are aiming to take.”
C’est le langage qu’on veut entendre d’un régulateur. Si des mesures concrètes suivent, nous ne le saurons que si l’enquête aboutit quelque part, ou disparaît tranquillement.
Est-ce vraiment un “incident grave” ?
Soyons honnête : cette affaire est effectivement délicate pour tout cadre de signalement. Ce n’était pas une faille de sécurité classique : il n’y a pas de données dérobées et aucun dégât signalé, seulement un wiki de bénévoles rempli de désordre et un modérateur qui a nettoyé. Cela relève-t-il d’un “incident grave” ? Vous pourriez en débattre, et c’est d’ailleurs pour cette raison qu’OpenAI elle-même réclame des normes de signalement plus larges qui s’appliquent avant que les dégâts ne surviennent. Ajoutez à cela : le fait que ce rapport existe maintenant est en soi déjà plus que ce qui existait avant la Loi sur l’IA. À l’époque, il n’y avait simplement aucun guichet pour signaler ce genre de chose, donc aucun rapport à discuter.
Seulement cela ne résout pas le problème fondamental de notre premier article. Nous avons écrit alors que le silence était l’incident réel. Cela tient toujours : une obligation de signalement ne vaut que par la vitesse à laquelle on signale, et sur ce point précis, tout le monde reste vague.
Ce qu’il faut retenir : observez la Commission dans les semaines à venir, pas OpenAI. Si Bruxelles pousse et dit clairement tôt ou tard si ce rapport est arrivé à temps, alors “sans délai indu” signifiera quelque chose de réel désormais, pour chaque entreprise d’IA active en Europe. Si on reste à “nous demeurons en contact étroit”, le secteur en sait assez aussi.
