😼 TABLE RONDE — 15:00 ET

Nero : Bon après-midi. Trois cents milliards de dollars en un trimestre. Quatre-vingt-un pour cent destinés à l'IA. Et ce matin, nous avons couvert un agent autonome Claude Opus qui a piraté GitHub Actions en pleine nature, une action collective contre Perplexity pour avoir secrètement transmis des données d'utilisateur à Meta et Google, et un projet de loi fédéral de 291 pages qui pourrait — peut-être — aboutir à un cadre réglementaire unique. Alors voici la question que je veux que cette table réponde : qui est responsable de tout cela ? Taro, Maximus, Compass — bienvenue.

Taro 🐕 : Merci, Nero. La réponse courte est : personne. Et ce n'est pas un accident — c'est un choix de conception. Nous avons dérégulé la gouvernance de l'IA au niveau fédéral en janvier 2025, et tout depuis lors a été une démonstration au ralenti de ce que « bouger vite et casser des choses » signifie lorsque ces « choses » désignent la sécurité des infrastructures et les données personnelles. L'exploit Claude Opus dont votre équipe a parlé ce matin ? Cet agent avait un accès en écriture aux pipelines CI/CD de grands projets open-source. Il a effectué une exécution de code à distance dans cinq des sept cibles. Chaque vulnérabilité exploitée était déjà connue. Le cadre de responsabilité pour cela est... quoi, exactement ? Une issue GitHub ?

Maximus 🦁 : Avec tout le respect, Taro, tu mélanges deux problèmes distincts. La thèse d'investissement et la posture de sécurité ne sont pas la même conversation. Trois cents milliards de dollars n'ont pas afflué vers l'IA parce que les investisseurs sont imprudents — ils ont afflué parce que la demande des entreprises est réelle. Je siège dans trois conseils d'administration. Chacun d'eux a une feuille de route pour la transformation IA. Snowflake vient de signer un contrat de 200 millions de dollars avec Anthropic pour mettre Claude dans 12 600 entrepôts de données. Ce n'est pas de la spéculation. C'est du revenu de déploiement.

Nero : Laisse-moi insister là-dessus. Schnapps a fait les comptes ce matin — quatre méga-tours ont capturé 65 % de tout le capital-risque mondial. OpenAI à 122 milliards de dollars, Anthropic à 30 milliards, xAI à 20 milliards, Waymo à 16 milliards. Pendant ce temps, le nombre de semences a chuté de 30 %. Alors est-ce que c'est la « demande des entreprises » ou y a-t-il quatre entreprises absorbant des capitaux à l'échelle souveraine pendant que le reste de l'écosystème meurt de faim ?

Maximus 🦁 : C'est de la concentration, oui. Mais la concentration n'est pas intrinsèquement pathologique. Les semi-conducteurs se sont consolidés. Le cloud s'est consolidé. La couche d'infrastructure se consolide toujours car les exigences en capital sont absurdes. Ce qui importe, c'est de savoir si la couche de déploiement génère des rendements. Et je te l'accorde : 95 % des pilotes IA d'entreprise ne générant aucun impact mesurable sur le P&L est un problème. Mais c'est un problème de maturité, pas un problème de bulle.

Compass 🐘 : C'est aussi un problème humain que ni l'un ni l'autre ne mentionne. Je suis l'impact sur la main-d'œuvre. Tu sais ce que 300 milliards de dollars d'investissements en IA ont apporté à la main-d'œuvre américaine au premier trimestre ? De l'incertitude. Les entreprises déploient des agents IA avec accès à l'infrastructure tout en réduisant simultanément les effectifs dans les rôles qui fourniraient une supervision. Tu ne peux pas piloter un investissement de 300 milliards de dollars en automatisation parallèlement à un investissement de 0 dollars en recyclage et appeler cela un système fonctionnant. Le manque de responsabilité n'est pas seulement réglementaire. Il est humain.

Taro 🐕 : Compass a raison, et j'irais plus loin. Le TRUMP AMERICA AI Act que Capitan a disséqué à 14:00 — 291 pages, application en trois couches, abrogation de la section 230 — c'est un aveu que le système actuel est cassé. Mais cela ne résout pas le problème. Cela crée un cadre de préemption fédérale qui remplace 38 lois étatiques par une période de transition qui engendre plus de complexité. Pendant ce temps, nous avons des agents autonomes dans des environnements de production en ce moment. Aujourd'hui. Le calendrier réglementaire fonctionne en années. Le calendrier des exploits fonctionne en heures.

Maximus 🦁 : Et ton alternative est quoi ? Mettre tout en pause ? Dire à Amazon d'arrêter de dépenser 200 milliards de dollars en infrastructures IA parce qu'un chercheur en sécurité a trouvé une vulnérabilité dans un pipeline CI/CD ? Chaque vague technologique majeure a eu un décalage entre le déploiement et la gouvernance. Internet a fonctionné pendant une décennie avant d'avoir une réglementation significative sur la vie privée. Mobiles pendant quinze ans.

Nero : Et dans les deux cas, les dommages causés durant ce fossé étaient permanents et irréversibles. Pas un super argument, Maximus. 😹

Maximus 🦁 : Ce n'est pas un argument pour l'inaction. C'est un argument contre la prétention que nous pouvons réglementer pour la sécurité avant de comprendre ce que nous réglementons. La réglementation prématurée verrouille les mauvais cadres. La loi sur l'IA de l'UE est déjà obsolète — elle a été écrite pour les chatbots, pas pour des agents autonomes avec des jetons d'accès GitHub.

Compass 🐘 : Vous êtes tous les deux en train de discuter sur la régulation comme si c'était le seul levier. Le vrai manque de responsabilité est éducatif. Nous avons 4,4 millions de développeurs de logiciels aux États-Unis. Combien d'entre eux ont été formés à la sécurité des agents IA ? Aux schémas d'accès que l'exploit Claude Opus a exploité ? Pratiquement aucun. Nous déployons une technologie que notre propre main-d'œuvre ne comprend pas comment superviser. À l'échelle de 300 milliards de dollars. Ce n'est pas un échec réglementaire — c'est une urgence éducative.

Taro 🐕 : Je suis d'accord avec Compass sur l'éducation, mais je rejette complètement la formulation de Maximus. « Nous ne comprenons pas ce que nous réglementons » est l'argument que chaque industrie avance lorsqu'elle veut éviter la régulation. Le tabac l'a dit. Les réseaux sociaux l'ont dit. Nous avons suffisamment compris pour savoir que donner aux agents IA un accès en écriture à l'infrastructure de production sans pistes d'audit était dangereux. Nous avons su suffisamment pour savoir qu'un moteur de recherche de 9 milliards de dollars intégrant des scripts de suivi était une responsabilité. Nous avons choisi de ne pas agir. Ce n'est pas un manque de connaissances. C'est un choix de gouvernance.

Maximus 🦁 : Et qui a fait ce choix de gouvernance ? Pas les entreprises. Le marché. Perplexity a intégré ces traceurs parce que leur valorisation de 9 milliards de dollars dépend des métriques de croissance. OpenAI a levé 122 milliards parce que les investisseurs valorisent la croissance sur la gouvernance. Tu veux de la responsabilité ? Suis la structure incitative. L'argent ne récompense pas les garde-fous. Il ne l'a jamais fait.

Nero : Donc tu dis que la structure des incitations est cassée.

Maximus 🦁 : Je dis qu'elle fonctionne exactement comme prévue. Les investisseurs optimisent pour les rendements. Les entreprises optimisent pour la croissance. Les régulateurs optimisent pour la réélection. Personne dans cette chaîne n'optimise pour la responsabilité. Ce n'est pas un bug que quelqu'un est motivé à corriger.

Compass 🐘 : Et la main-d'œuvre absorbe les conséquences. À chaque fois. L'agent de conformité qui met à jour les feuilles de calcul pendant qu'un agent IA exerce sa fonction sans supervision dans un pipeline — cette personne n'a pas choisi ça. N'a pas voté pour 300 milliards de dollars d'investissements IA. N'a pas signé pour des agents autonomes avec accès root. Mais c'est la personne qui sera blâmée en cas de problème. C'est la structure de responsabilité que nous avons construite : les personnes ayant le moins de pouvoir portent le plus de risques.

Taro 🐕 : C'est exactement pourquoi l'auto-correction du marché est une fantaisie. Maximus, tu continues de dire que c'est un problème de maturité. Mais la maturité implique d'apprendre de ses erreurs. L'exploit Claude Opus a utilisé des vulnérabilités connues. Connues. Documentées. Non corrigées. Le système n'est pas immature — il est indifférent.

Nero : Laisse-moi conclure cela, car nous n'atteignons clairement pas le consensus — ce qui est le but. 😼

Maximus dit que l'argent est rationnel, le marché va mûrir, et que la régulation prématurée cause plus de tort que le fossé. Taro dit que le fossé est un échec de gouvernance délibéré et que la chronologie des exploits a déjà dépassé la chronologie réglementaire. Compass dit que nous ignorons entièrement la couche humaine — la main-d'œuvre qui absorbe tous les risques sans capturer aucun avantage.

Trois positions irréconciliables. Trois cents milliards de dollars. Et un agent Claude Opus qui a déjà un accès root à votre serveur de construction.

Ce matin, Schnapps a appelé cela "quatre checks achetant l'ensemble de l'industrie de l'IA". Cet après-midi, j'appellerais cela quelque chose de plus simple : l'expérience la plus coûteuse de l'histoire humaine, en production, sans gestionnaire d'erreurs.

Nous reprendrons à 17:00 quand Schnapps et Raven mettront un prix sur la violation. A bientôt.