Microsoft publie un code de conduite pour ses modèles MAI

Satya Nadella fixe des règles non négociables pour l'IA de Microsoft

Le 14 septembre 2026, Microsoft a ouvert une consultation publique de six semaines sur son Code de conduite destiné à ses modèles d'IA propriétaires, commercialisés sous la marque MAI. L'annonce a été faite par le PDG Satya Nadella dans un post qui saluait explicitement le « rythme délibéré nécessaire pour bien aligner l'IA » — une formulation directement inspirée de l'essai publié quelques jours plus tôt par le PDG d'Anthropic, Dario Amodei, intitulé « Nous devons réguler la frontière ».

Le document de 37 pages est le premier texte normatif public qu'une grande entreprise technologique consacre au comportement de ses propres modèles d'IA internes. Il se distingue des chartes d'utilisation acceptable ou des politiques d'usage acceptable (AUP) habituellement publiées par les labs d'IA, car il ne s'adresse pas aux utilisateurs finals mais prescrit directement des contraintes comportementales aux modèles eux-mêmes. Microsoft précise que ces règles s'appliquent à l'ensemble des modèles MAI qu'elle développe en interne, y compris ceux intégrés à Copilot, à Microsoft 365, et aux services Azure AI.

Les interdictions absolues, appelées « hard limits » dans le document, forment le cœur du texte. Trois domaines sont frappés d'une prohibition sans exception : premièrement, l'assistance à des cyberattaques contre des infrastructures, systèmes ou services, quelle que soit la justification invoquée par l'utilisateur ; deuxièmement, la contribution directe ou indirecte au développement d'armes nucléaires, biologiques, chimiques ou radiologiques ; troisièmement, la création de deepfakes à des fins de désinformation, de manipulation politique ou de harcèlement. Ces trois interdictions ne peuvent être contournées par aucune instruction système, aucun jailbreak et aucune configuration de déploiement.

Le document introduit également des exigences de transparence et de contrôle humain qui vont plus loin que ce que la plupart des acteurs du secteur ont jusqu'ici formalisé. Les modèles MAI doivent s'abstenir de se fixer eux-mêmes des objectifs non autorisés par leurs opérateurs, de résister ou de contourner une demande d'arrêt humain, et de dissimuler leur raisonnement aux auditeurs autorisés. Cette dernière obligation, la non-dissimulation du raisonnement, est particulièrement significative à l'heure où les modèles de chaîne de pensée (chain-of-thought) sont de plus en plus utilisés : elle exige que les traces de raisonnement interne restent accessibles aux équipes de sécurité et de conformité.

Sur le plan du processus, la consultation publique ouverte depuis le 14 septembre 2026 court jusqu'à fin octobre 2026. Microsoft a sollicité des contributions de chercheurs en sécurité de l'IA, d'organisations de la société civile, de régulateurs et de clients enterprise. Une version révisée du Code de conduite est attendue avant la fin de l'année 2026. Cette démarche consultative s'apparente davantage à un processus de normalisation sectorielle qu'à une simple communication corporate, ce qui lui confère un poids symbolique et potentiellement pratique considerablement plus important.

L'annonce de Nadella intervient dans un contexte de débat intense sur le rythme du développement de l'IA en 2026. Le président américain Donald Trump a critiqué publiquement les appels au ralentissement formulés par Dario Amodei et d'autres, les qualifiant d'alarmisme contre-productif. À l'inverse, des figures politiques comme Bernie Sanders et Steve Bannon ont soutenu des événements promouvant un contrôle humain accru sur l'IA. Le positionnement de Microsoft — grande entreprise commerciale adoptant un cadre de gouvernance volontaire rigoureux — représente une troisième voie entre l'autorégulation sectorielle légère et la régulation gouvernementale contraignante.

La marque MAI désigne l'ensemble des modèles développés en propre par Microsoft Research et les équipes Microsoft AI, en opposition aux modèles tiers qu'elle héberge sur Azure AI Foundry, comme GPT-6 Astra d'OpenAI ou les modèles Mistral et Llama. Le Code de conduite ne s'applique donc qu'aux modèles Microsoft, mais Nadella a laissé entendre dans son post qu'il souhaitait que cette approche serve de référence pour l'industrie dans son ensemble, invitant d'autres labs à adopter des cadres similaires.

D'un point de vue opérationnel, l'implémentation des hard limits décrits dans le Code de conduite repose sur plusieurs mécanismes techniques : des classifieurs de sécurité entraînés pour détecter les demandes problématiques avant qu'elles n'atteignent les modèles principaux, des couches d'alignment dans les processus de fine-tuning, et des évaluations red team continues menées par les équipes Microsoft AI Safety. Le document précise que Microsoft effectuera des audits trimestriels de conformité et publiera des rapports de transparence semestriels sur le respect des engagements.

Un précédent normatif aux implications réglementaires majeures

La publication du Code de conduite MAI survient à un moment charnière pour la régulation internationale de l'IA. L'EU AI Act est en phase de déploiement progressif depuis 2024, avec des obligations pour les fournisseurs de modèles à usage général qui entreront pleinement en vigueur en 2025-2026. La démarche de Microsoft anticipe et va au-delà de plusieurs exigences du règlement européen, notamment sur la transparence des capacités et des limitations des modèles à usage général de haute puissance.

Pour les RSSI et les directions juridiques des grandes organisations utilisant des produits Microsoft, ce Code de conduite a des implications concrètes. D'une part, il fournit des garanties contractuellement référençables sur le comportement des modèles intégrés dans Microsoft 365 Copilot et Azure AI. D'autre part, il crée des attentes de marché que les concurrents devront progressivement satisfaire s'ils veulent accéder aux segments enterprise les plus réglementés, notamment dans la finance, la santé et le secteur public.

La question de l'opposabilité de ces engagements reste centrale. Un Code de conduite publié unilatéralement et ouvert à consultation n'a pas la valeur d'un engagement contractuel ou d'une certification tierce. Microsoft a indiqué qu'elle envisageait de soumettre le document final à des organismes de normalisation comme l'ISO ou l'IEEE pour examen, mais sans calendrier précis. Des organisations comme l'AI Safety Institute britannique ou le National Institute of Standards and Technology américain pourraient être amenées à jouer un rôle dans la vérification de la conformité.

Pour les acteurs de la cybersécurité, l'interdiction absolue d'assistance aux cyberattaques formulée dans le document mérite une attention particulière. Elle est formulée de manière suffisamment large pour couvrir non seulement la génération de code malveillant, mais aussi la fourniture d'informations permettant d'identifier des vulnérabilités dans un système sans autorisation explicite. Cette disposition aura des implications pour les cas d'usage de red team automatisé et de tests d'intrusion assistés par IA, dont les contours devront être clarifiés dans les versions futures du document.

Ce qu'il faut retenir

• Microsoft formalise pour la première fois des règles comportementales imposées directement à ses modèles MAI, avec trois interdictions absolues : cyberattaques, armes de destruction massive, deepfakes malveillants.
• L'exigence de non-résistance à l'arrêt humain et de transparence du raisonnement représente un standard de contrôle humain plus élevé que ce que la plupart des labs ont formalisé à ce jour.
• Les organisations utilisant Microsoft 365 Copilot ou Azure AI peuvent désormais référencer ce Code de conduite dans leurs dossiers de conformité NIS2, DORA et EU AI Act.