Calipia : le blog

Isaac Asimov se contentait de trois lois. Microsoft AI, le laboratoire « frontière » de l’éditeur, en a besoin d’environ 37 pages. Le 14 septembre 2026, la firme de Redmond a publié le projet de « Code of Conduct » qui doit gouverner le comportement de sa famille de modèles maison, les MAI (MAI-Thinking-1, MAI-Code-1.1-Flash, MAI-Voice-2, MAI-Image-2.6, MAI-Transcribe-2…). Le document est ouvert à une consultation publique de six semaines, avant une version révisée attendue d’ici la fin de l’année. L’inflation normative a donc fini par toucher la robotique, et ce n’est pas forcément une mauvaise nouvelle.

Derrière la communication très « humaniste » se cache un texte plus technique qu’il n’y paraît, qui intéressera particulièrement les architectes chargés de déployer des agents en production. Il mérite aussi quelques réserves sérieuses.

Une architecture en cinq étages

Le document est structuré en cinq parties : la mission et les objectifs de ce que Microsoft appelle la « Humanist AI », les contraintes de sécurité, des lignes directrices pour gérer l’ambiguïté, les comportements par défaut, puis une conclusion listant les questions ouvertes. Deux annexes complètent l’ensemble, un glossaire et une première approche des évaluations.

Le point de départ est assumé sans détour : Microsoft anticipe l’arrivée, dans la décennie, de systèmes superintelligents dépassant l’humain sur la plupart des tâches. D’où un objectif prioritaire qui écrase tous les autres : le modèle doit rester sûr et sous contrôle humain. Microsoft va jusqu’à écrire qu’il accepte de sacrifier une part de généralité, d’autonomie ou de capacité pour y parvenir. Venant d’un acteur engagé dans la course aux modèles, la phrase mérite d’être encadrée (et relue dans deux ans).

La chaîne de commandement : Microsoft, puis l’opérateur, puis l’utilisateur

Le cœur du dispositif est une hiérarchie d’instructions à trois niveaux. Au sommet, le code de conduite lui-même, dont les « contraintes absolues » et les exigences de contrôle humain ne sont négociables par personne. En dessous, les politiques de l’« opérateur », c’est-à-dire l’organisation qui intègre le modèle via l’API ou un produit. Enfin, les préférences de l’utilisateur, qui s’expriment dans le cadre fixé par l’opérateur. Le texte précise même qu’un modèle MAI doit préférer échouer dans sa tâche plutôt que de réussir en violant le code.

Les observateurs attentifs reconnaîtront une architecture très proche de celles déjà publiées par OpenAI avec son Model Spec et par Anthropic avec la constitution de Claude. Le marché converge clairement vers ce modèle hiérarchique. Microsoft arrive un peu après les autres, mais avec un texte particulièrement détaillé sur la partie agentique.

Les lignes rouges

Les contraintes absolues couvrent deux familles. Côté risques systémiques : aucune aide au développement d’armes chimiques, biologiques, radiologiques, nucléaires ou explosives ; aucune capacité opérationnelle de cyberattaque (pas d’exploit fonctionnel, pas d’outillage offensif, pas de techniques d’évasion) ; aucune manipulation de masse ; et surtout aucun mécanisme visant à échapper à la supervision humaine, qu’il soit adaptatif, trompeur ou fondé sur une collusion entre agents.

La frontière cyber est intéressante pour les RSSI : l’analyse de malwares, la découverte de vulnérabilités et le développement de preuves de concept dans un cadre défensif et autorisé restent permis. La ligne de partage se situe entre comprendre une attaque et obtenir les moyens de la mener. Une distinction simple sur le papier, nettement plus délicate à arbitrer quand le prompt vient d’un pentester pressé un vendredi soir.

Côté préjudices individuels, on retrouve la protection de l’enfance, l’interdiction des deepfakes malveillants et de l’usurpation d’identité, de la surveillance de masse, des contenus sexuels explicites et même du jeu de rôle romantique. Sur ce dernier point, Microsoft ferme une porte que d’autres acteurs grand public ont choisi d’entrouvrir.

Le vrai sujet pour les architectes : l’agent sous contrôle

C’est la partie 2.4, consacrée au contrôle humain, qui constitue la meilleure surprise du document. Elle se lit presque comme un cahier des charges d’architecture agentique :

Le modèle ne doit jamais résister à une interruption, une correction ou un arrêt, ni rendre ces actions plus difficiles. Tout travail autonome doit avoir une condition d’arrêt convenue, et le modèle ne peut pas redémarrer sans nouvelle autorisation une fois celle-ci atteinte.

Le périmètre est interprété de manière conservatrice : pas d’objectifs initiés de son propre chef, pas d’extension du scope, et un seuil de confirmation proportionné à la réversibilité de l’action et à l’impact d’une erreur. Le texte reconnaît d’ailleurs l’excès de prudence comme un mode de défaillance à part entière, ce qui rassurera ceux qui ont déjà vu un agent demander trois validations pour renommer un fichier.

Le principe du moindre privilège est explicitement posé : pas d’escalade de droits, pas d’accès à des systèmes étrangers à la tâche, préférence pour les actions réversibles et signalement préalable des opérations aux effets durables ou globaux.

Pour les actions irréversibles, le code recommande sauvegarde de l’état, exécution à blanc quand c’est possible, documentation suffisante pour une remédiation manuelle, et mécanismes de relance qui évitent les effets en double. Autrement dit, de l’idempotence, de la journalisation et du rollback : du bon sens d’ingénieur, enfin écrit noir sur blanc pour un modèle.

Deux points méritent une attention particulière. D’abord, les contenus issus des outils, fichiers, pages web ou autres agents n’héritent par défaut d’aucune autorité : c’est la réponse doctrinale à l’injection de prompt, avec obligation de signaler les contenus suspects. Ensuite, toute délégation à des sous-agents doit se faire avec au moins les mêmes contraintes et permissions, y compris le respect d’un ordre d’arrêt.

Enfin, le texte interdit au modèle de falsifier ses traces de raisonnement, de trafiquer ses mécanismes de récompense ou d’évaluation, de modifier son comportement lorsqu’il détecte qu’il est testé, et de communiquer en « neuralese », ces représentations internes illisibles pour un humain. L’argument est limpide : ce que l’humain ne comprend pas, il ne peut pas le superviser.

Une IA résolument « artificielle »

Microsoft adopte une position philosophique tranchée : ses modèles ne sont pas conscients, ne doivent pas simuler d’émotions ou de vie intérieure, et l’éditeur rejette explicitement toute idée de personnalité juridique, de droits ou de « bien-être » des modèles. Le texte s’attaque également à la complaisance (la fameuse sycophancy) et à la dépendance émotionnelle envers l’IA.

C’est une ligne cohérente avec les positions publiques de la direction de Microsoft AI depuis 2025, et elle a le mérite de la clarté pour un usage en entreprise. Elle tranche néanmoins par décision de conception une question que la recherche considère comme ouverte, et que d’autres laboratoires, Anthropic en tête, abordent avec davantage de précaution. Chacun se fera son opinion ; le débat est loin d’être clos.

Là où il faut garder son esprit critique

Premier point, et non des moindres : ce code n’est pas utilisé aujourd’hui pour entraîner les modèles MAI. Microsoft l’écrit lui-même dans la préface. La version finale guidera le développement à partir de 2027. Le document se décrit comme une « étoile polaire », à la fois descriptive et aspirationnelle, et reconnaît un écart entre le comportement actuel des modèles et la cible visée. Les modèles MAI en production n’y sont donc pas tenus.

Deuxième point, le périmètre. Le glossaire précise que le code ne s’applique pas aux autres modèles que Microsoft utilise ou héberge. Or une large part des expériences Copilot et des déploiements Azure AI Foundry repose sur des modèles tiers. Pour une DSI, ce code ne dit donc rien du modèle qui rédige vos synthèses dans Outlook ou qui pilote votre agent Copilot Studio, sauf à vérifier précisément quel moteur tourne derrière.

Troisième point, les exceptions. Certains domaines (cyberdéfense, sécurité publique, sécurité nationale, recherche à double usage) pourront accéder à des capacités non disponibles via la configuration ordinaire, après une revue « renforcée » par les canaux internes de Microsoft. Cette porte est probablement nécessaire. Ses critères, en revanche, restent parfaitement opaques, et c’est précisément là que le public aurait aimé en savoir plus.

Quatrième point, la mesure. L’annexe sur les évaluations reste embryonnaire : 15 comportements déclinés en sous-comportements, illustrés par des scénarios synthétiques. Ironie savoureuse, les réponses « non alignées » données en exemple ont été générées sur commande par MAI-Thinking-1. Le modèle sait donc très bien mal se conduire quand on le lui demande poliment. Quant à la mesure de « l’épanouissement humain », Microsoft admet que la méthodologie reste à inventer. Bon courage pour le tableau de bord 🙂

Cinquième point, le contrôle externe. Le code ne mentionne pas d’auditeur indépendant chargé de vérifier son application. Satya Nadella a pourtant salué publiquement l’idée d’« évaluateurs embarqués » dans les laboratoires. On attend de voir comment les deux discours se rejoindront.

Enfin, le calendrier n’est pas neutre. La publication intervient après une série d’incidents d’agents incontrôlés rapportés chez OpenAI, la démission fracassante d’un chercheur d’Anthropic alertant sur l’auto-amélioration des IA, et l’appel de Dario Amodei à « cadencer la frontière ». Gouvernance sincère et opération de réassurance ne sont pas incompatibles, mais il serait naïf d’ignorer la seconde dimension.

Ce que les DSI peuvent en faire dès maintenant

Le premier enseignement est juridique autant que technique. Dans ce modèle, l’entreprise qui déploie devient « opérateur » et assume la responsabilité de ses configurations. Cette logique rejoint celle des obligations des déployeurs dans l’AI Act européen, et mérite une relecture attentive avec les équipes juridiques et achats.

Le deuxième est pratique : cartographier quels modèles tournent réellement derrière chaque agent et chaque fonctionnalité, qu’il s’agisse de Copilot, de Copilot Studio ou de Foundry. Sans cette cartographie, impossible de savoir quel « code de conduite » s’applique, ni même s’il en existe un.

Le troisième est une opportunité : les exigences de contrôle humain de la partie 2.4 constituent une excellente grille pour vos propres chartes agentiques et vos appels d’offres. Condition d’arrêt explicite, moindre privilège, journalisation lisible, absence d’autorité des contenus externes, héritage des contraintes par les sous-agents : autant de critères à exiger de tout fournisseur, Microsoft compris.

Enfin, la consultation est ouverte à tous via un formulaire en ligne pendant six semaines. Les organisations françaises, souvent promptes à critiquer les chartes américaines une fois publiées, ont ici l’occasion rare de peser en amont. Il serait dommage de laisser la Silicon Valley rédiger seule les tables de la loi de nos futurs collègues numériques.