Quand Washington débranche un modèle : le risque souverain n'est plus une abstraction

Le 12 juin 2026, Anthropic a coupé l’accès à ses deux modèles les plus puissants, Mythos et Fable, pour se conformer à une directive d’export du gouvernement américain. L’épisode se dissipera. Le mécanisme qu’il rend visible, lui, restera. Ce que donne à voir cet incident, c’est que la disponibilité d’un modèle d’IA de pointe (un modèle frontière) dépend d’une juridiction, et non de clauses contractuelles. Voici ce que ça change pour un décideur qui pilote ses dépendances technologiques.

Le fait, nu

Le détail le plus contre-intuitif de l’affaire ne concerne pas un concurrent ni un pays sous embargo. Il concerne les propres salariés d’Anthropic. Selon la directive, tout ressortissant étranger, y compris un employé non-ressortissant, n’a plus le droit de toucher à Fable 5 ou Mythos 5, qu’il travaille à l’intérieur ou à l’extérieur des États-Unis. L’interdiction suit le passeport, et non le territoire. Anthropic ne pouvant pas filtrer ses utilisateurs par nationalité en temps réel, l’entreprise a coupé l’accès au monde entier plutôt que de risquer une violation de cette décision. Aucune clause d’API ne couvre ce cas. On ne lit pas ça dans des conditions générales d’utilisation. Je dis ça, j’ai dû vérifier, parce que comme vous, j’avais accepté celles d’Anthropic sans vraiment les lire…

Les faits, eux, sont établis et recoupés par plusieurs rédactions. Le 12 juin 2026, Anthropic désactive Fable 5 et Mythos 5, sortis trois jours plus tôt, pour se conformer à une directive de contrôle à l’export du Department of Commerce, au nom de la sécurité nationale (CNBC ↗, Fortune ↗, Axios ↗, Bloomberg ↗). Le motif officiel : un jailbreak contournant les garde-fous de Fable 5, qui déléguait à Mythos sur les requêtes sensibles. Le risque invoqué est concret : la directive vise les capacités avancées des deux modèles en cybersécurité et en biologie, c’est-à-dire le risque qu’un modèle débridé serve d’aide à la prolifération d’armes. La réponse d’Anthropic tient en trois points : « malentendu », jailbreak « étroit », capacités équivalentes disponibles ailleurs (sous-entendu : GPT-5.5 chez OpenAI).

Il faut séparer ce qui est vérifié de la rumeur. Plusieurs vidéos ont déjà largement diffusé l’affaire en la dramatisant (« Ils ont appuyé sur le bouton rouge : la chute d’Anthropic ») et en y mêlant une couche d’inférence non confirmée : un lanceur d’alerte chez Amazon, un chercheur banni « à 23h21 », une manœuvre de dévalorisation à quelques mois de l’introduction en bourse… Rien de tout cela n’est étayé par les sources principales. Essayons d’écarter la mise en scène.

Ce qu’on essaie de comprendre

Disons-le franchement : on ne sait pas grand-chose des causes réelles. On formule quand même des hypothèses, parce qu’un décideur doit lire l’événement pour arbitrer, en sachant qu’il lit des interprétations et non des faits. Trois lectures, étiquetées comme telles.

1. La première : la suite d’un conflit ciblé, pas un incident de sûreté isolé. Le jailbreak serait le motif inscrit au procès-verbal ; le moteur réel, la prolongation d’un affrontement entre le Pentagone et Anthropic. En février 2026, Anthropic refuse un accès illimité à ses modèles (armes autonomes, surveillance de masse), se voit désigner « supply-chain risk » et perd un contrat au profit d’OpenAI (NPR ↗). En mars, la juge Rita Lin qualifie cette désignation de « prétexte » et de « représailles illégales » au titre du premier amendement (CNBC ↗).

2. La deuxième : le précédent compte plus que le cas. C’est la première fois qu’un gouvernement retire un modèle de frontière de la circulation à la source, au lieu d’en encadrer l’usage. Que la mesure dure ou non, le signal est tiré : un modèle de pointe peut devenir inaccessible en une nuit.

3. La troisième : l’arme se retourne. Anthropic défendait elle-même les contrôles à l’export. Le dispositif qu’elle réclamait contre d’autres se referme sur elle.

Le pivot

Quelles que soient les causes (conflit politique, incident de sûreté réel, ou les deux), les utilisateurs, les clients subissent les effets. On ne tranchera pas l’interprétation. On constate que l’accès tombe.

C’est ici qu’entre un précédent qui n’a rien à voir avec l’IA, et qui éclaire tout. En février 2025, un décret américain sanctionne le procureur de la Cour pénale internationale, Karim Khan, après un mandat d’arrêt visant Benyamin Netanyahou. Son compte Microsoft cesse de fonctionner ; il bascule sur Protonmail, en Suisse (Computer Weekly ↗). Point décisif : Microsoft, par la voix de Brad Smith, nie avoir suspendu le service (« at no point did Microsoft cease or suspend its services ») et affirme que c’est la Cour qui a déplacé sa boîte mail (Techzine ↗). Que le commutateur ait été actionné par le fournisseur ou rendu inévitable par la sanction, le résultat utilisateur est le même : accès perdu. La Cour a depuis entamé sa sortie de Microsoft Office (The Register ↗).

La dépendance ne se mesure pas à l’intention du fournisseur. Elle se mesure à la juridiction qui contraint le maillon. Le précédent CPI ne dit pas qu’Anthropic est un cas identique : les causes divergent (sanction ciblant un individu d’un côté, contrôle à l’export d’une technologie de l’autre) et les mécanismes juridiques n’ont rien à voir. Ce qu’il établit, c’est que l’effet, lui, se reproduit : sous une juridiction donnée, un maillon peut être coupé, quel qu’en soit le motif. En 2025, c’était une messagerie. En 2026, c’est un modèle de pointe. Le motif change, le robinet reste actionnable.

Le mécanisme caché

Si l’effet est commun à tous les cas de dépendance juridictionnelle, le cas Anthropic ajoute une couche que le précédent CPI n’avait pas. Le fait qui ouvre cet article a un nom : le deemed export (la règle américaine qui assimile l’accès d’un ressortissant étranger à un poids de modèle, où qu’il se trouve, à une exportation de technologie contrôlée) transforme un risque géopolitique externe en risque RH interne. Qui a le droit de toucher quel modèle devient une contrainte qui descend jusque dans l’organigramme. Un fournisseur SaaS classique qui tombe ne déclenche jamais cette mécanique : c’est parce que les poids sont traités comme une technologie contrôlée, et non comme un service, que la nationalité d’un salarié devient un paramètre d’architecture. Le robinet, n’importe quelle juridiction peut le couper ; mais que la coupure suive le passeport plutôt que le territoire, c’est le deemed export qui le produit.

À ce premier mécanisme s’en ajoute un second, davantage contre-intuitif. L’embargo de sécurité produit l’effet inverse de son intention. Couper l’accès aux modèles frontière dont les garde-fous tournent côté serveur redistribue la demande vers les substituts open-weight (DeepSeek, Qwen, Kimi, Mistral), c’est-à-dire vers les modèles les plus faciles à débrider et sans commutateur d’arrêt côté fournisseur. La littérature documente ce débridage : un modèle Llama 3 perd son alignement de sécurité en quelques minutes sur un seul GPU (Volkov, 2024 ↗), et DeepSeek-R1 résiste moins bien aux attaques que les modèles à garde-fous serveur (évaluation comparative, 2025 ↗). Le risque souverain et le risque de sûreté ne sont pas alignés : à ce jour, réduire l’un augmente l’autre. C’est le « paradoxe de l’open-weight » (Gomes, 2026 ↗).

Pour nommer précisément ce qui se joue, un cadre récent aide. La désactivation d’Anthropic n’est pas une perte de données : les fichiers restent, les outputs déjà produits demeurent. C’est une rupture de la couche décisionnelle. L’autonomie stratégique d’une organisation ne porte pas sur ce qu’elle stocke, mais sur ce qu’elle peut décider de faire. Quand le modèle devient inaccessible, c’est cette autonomie décisionnelle qui s’effondre, sans bruit, sans événement visible. Odion et Addula nomment ce cas « decisional displacement », qu’ils décrivent comme la forme la plus grave de perte de souveraineté : un état où « les décisions affectant une population sont fortement influencées par des acteurs externes via leur contrôle sur le comportement du modèle, ses mises à jour et ses contraintes, indépendamment du lieu d’hébergement » (Odion & Addula, Future Internet 2026 ↗). Le terme s’applique au mot près : l’inaccessibilité ne dépend pas de l’endroit où résident les poids. La défaillance ne produit pas une erreur visible, mais une absence. La désactivation ne crée pas la dépendance. Elle rend visible un état déjà installé. C’est la même mécanique que celle qui bloque les PoC dans les organisations : une architecture de la non-décision, où personne ne tranche et où l’absence de décision devient elle-même la décision.

Le risque souverain devient une colonne d’évaluation

Pour un décideur, l’événement déplace le modèle d’analyse de la dépendance. La question n’est plus « mon fournisseur est-il fiable ? » mais « sous quelle juridiction se trouve le maillon, et que se passe-t-il quand cette juridiction décide ? ». C’est un changement de catégorie, pas de degré. Une colonne de plus dans une grille d’évaluation qui, sur le terrain, tient rarement ses promesses de valeur. Un fournisseur peut être irréprochable et son service tomber quand même, parce que la décision n’est pas la sienne.

Pour un CTO ou une entreprise, je préfère parler d’autonomie stratégique que de risque souverain. Et celui-ci devient une colonne de la grille d’évaluation d’un modèle, avec un barème plutôt qu’un slogan. Un mot sur le vocabulaire, parce qu’il porte une position : la souveraineté est une affaire d’État, pas d’entreprise. Une entreprise ne sera jamais souveraine sur son infrastructure IA, et ce n’est pas son objectif. Ce qu’elle vise, c’est l’autonomie stratégique. Damien Kopp le formule bien (The Dependency Economy of AI ↗) : l’autonomie n’est pas l’indépendance, c’est un spectre de dépendances managées. Le principe est gaulliste avant d’être technique : choisir ses dépendances plutôt que les subir. Mistral, DeepSeek, Qwen ne sont pas une libération. Ce sont des dépendances différentes, chacune avec son profil de risque.

Je le prends pour moi. J’avais en tête d’installer un modèle open source en local, décision posée tranquillement, sans date, et pour une seule raison : le coût, à mesure que la facturation au token se généralise. L’autonomie stratégique ne pesait pas autant dans mon arbitrage. L’épisode Anthropic repose la décision autrement : le coût n’était qu’une dimension, il y en avait une autre que je n’avais pas suffisamment couverte. Ce qui devait être un arbitrage posé devient une bascule accélérée.

Reste à rendre opérationnel ce barème. Kopp ne s’arrête pas au principe : il propose un indice de résilience numérique en huit piliers (autorité stratégique, conformité réglementaire, contrôle des données et des modèles, autonomie opérationnelle, chaîne d’approvisionnement technologique, intégration, sécurité, environnement). C’est une grille d’audit pensée pour le conseil d’administration d’une entreprise, et elle se réduit bien à la couche modèle. Trois piliers tranchent dans le cas qui nous occupe : où résident les poids et sous quelle juridiction (contrôle des données et des modèles), qui peut contraindre l’accès (autorité stratégique et chaîne d’approvisionnement), et quel régime d’export control s’applique (conformité réglementaire). Aucune réponse universelle n’existe. La décision dépend toujours du contexte, ce qui renforce l’argument principal : il n’y a pas de modèle « safe » par défaut, seulement des profils de dépendance à scorer explicitement. (Le débordement vers le reste du stack IT, identité, messagerie, cloud, sort du cadre de cet article. Il sera traité ailleurs : ici, on s’arrête à la couche modèle.)

Le contre-argument

L’objection la plus solide mérite d’être posée et elle a deux versants.

1. Pondérer le risque souverain dans une grille d’évaluation serait du sur-apprentissage sur un cas aberrant. Anthropic parle de « malentendu », le jailbreak est « étroit », des capacités équivalentes existent (GPT-5.5), et le contexte est un conflit ciblé déjà jugé illégal, pas un risque structurel du marché.

2. Et si l’État avait raison ? La directive vise des capacités biologiques et cyber réelles ; un modèle débridé sur la synthèse d’agents pathogènes n’est pas une vue de l’esprit. Vu sous cet angle, le blocage n’est pas un abus de pouvoir mais une mesure de sûreté légitime, et le « risque souverain » qu’on dénonce n’est que le prix normal de garde-fous qui fonctionnent. Un CTO qui dégrade son architecture (multi-modèles, fallback) paierait alors un coût de complexité permanent pour se couvrir contre un risque rare, concentré sur un seul fournisseur en froid avec l’administration, et au passage contre une mesure peut-être justifiée.

Du point de vue de l’utilisateur, un accès coupé pour une bonne raison et un accès coupé pour une mauvaise produisent le même résultat. Ce qu’on évalue, ce n’est pas la légitimité de la décision, c’est la probabilité qu’une juridiction puisse la prendre. Une mesure de sûreté parfaitement fondée reste un point de défaillance pour qui n’avait pas anticipé qu’un tiers décide à sa place.

Reste une objection que mon propre raisonnement appelle. Si la mesure est justifiée et le risque biologique réel, se couvrir contre la coupure ne revient-il pas à migrer vers les modèles open-weight débridables, c’est-à-dire à alimenter exactement le risque que la directive visait ? L’objection ne tient que si l’on confond couverture et fuite. Se couvrir, ce n’est pas remplacer un modèle à garde-fous serveur par un substitut sans commutateur d’arrêt. C’est maintenir plusieurs options dont les garde-fous restent en place, pour qu’aucune coupure unique ne paralyse un workflow critique. La parade dangereuse (basculer en masse vers le débridable) et la parade responsable (redonder sans relâcher la sûreté) portent le même nom mais ne font pas la même chose. Scorer le risque souverain sert précisément à choisir la seconde plutôt que la première.

Reste le premier versant. La réponse n’écrase pas l’objection : la couverture a bien un coût réel. Mais la bonne question n’est pas « faut-il se couvrir ? ». C’est « à partir de quel seuil de criticité d’un workflow le coût de la couverture devient-il inférieur au coût de l’indisponibilité ? ». Et la couverture n’est pas binaire. Les piliers déjà posés suffisent à classer un workflow sans dégrader toute l’architecture. Le coût de complexité ne se paie que sur les workflows qui passent le seuil, pas sur l’ensemble de la stack.

La zone d’ombre assumée

Le risque est aujourd’hui concentré sur un fournisseur en conflit politique ouvert. Le généraliser à tout le marché reste un pari, pas une certitude. Et la couverture peut dériver en une posture de prudence excessive qui justifie des architectures plus coûteuses, exactement ce que font un nombre important d’influenceurs en vendant des formations par-dessus la peur. La ligne que je me contente de tenir : nommer le besoin sans vendre la solution (si vous êtes concerné et que vous avez des besoins d’accompagnement, vous connaissez vos interlocuteurs).

Reste le fait, et il suffit. Trois jours après sa sortie, un modèle parmi les plus puissants du monde est devenu inaccessible à ses propres ingénieurs étrangers, où qu’ils travaillent, par décision d’un gouvernement. Aucune clause de contrat ne prévoyait ça. C’est aussi une donnée à garder en tête la prochaine fois qu’on évalue un modèle uniquement sur son coût et sa latence.

Pour prolonger

• L’IA est conviviale… pour les ingénieurs. — La dépendance juridictionnelle prolonge une question qu’Illich posait déjà : qui garde la main sur l’outil.

Publié le 2026-06-16 sur cyrilcolleatte.fr