Le Comité technique national 260 de cybersécurité de Chine a publié le cadre de sécurité de l'IA 3.0 le 14 septembre 2026. Cette révision est importante parce qu'elle traite l'IA agentique comme un risque opérationnel distinct et non comme une simple capacité supplémentaire d'un modèle. Elle organise les contrôles autour de l'identité, des droits, de la planification, des outils, de la mémoire, de la surveillance et de l'intervention humaine.
Le document est un cadre de gouvernance non contraignant. Il ne modifie pas la loi chinoise, ne crée pas de certification et ne fixe pas de nouvelle échéance réglementaire. Sa valeur est ailleurs: il fournit aux développeurs, aux exploitants et aux équipes d'assurance une référence actuelle pour comprendre comment un agent passe de la génération de contenu à l'action dans un environnement.
Les nouveautés de la version 3.0
Selon la publication officielle, le cadre conserve la structure fondée sur la classification des risques, la réponse technique et la gouvernance globale. Il actualise toutefois la taxonomie pour tenir compte des évolutions récentes de l'IA. Le document bilingue joint ajoute un cadre dédié à la gestion des risques de l'IA agentique et des principes pour une IA digne de confiance.
L'analyse indépendante d'Obsidian Regulatory Intelligence relève quatre domaines propres aux agents: l'abus d'identité et de droits, les erreurs de raisonnement et de planification, les risques liés à l'exécution d'outils et ceux liés au stockage en mémoire. Elle mentionne aussi l'IA incarnée, les cyberattaques autonomes et l'empoisonnement de la mémoire ou des systèmes de recommandation.
Ce changement est important pour la conception des contrôles. Un assistant conversationnel peut souvent être évalué par ses entrées, ses sorties et son traitement des données. Un agent exige aussi une analyse de l'autorité reçue, des étapes qu'il crée, des outils qu'il choisit, de l'état qu'il conserve et des effets qu'il produit.
Une lecture sur tout le cycle de vie
L'élément le plus utile est la vision du cycle de vie. Une équipe peut vérifier si chaque agent possède une identité propre, si les droits délégués sont limités à la tâche et si l'utilisateur ou l'organisation voit ce que l'agent est autorisé à faire. Ces questions doivent être résolues avant le déploiement et non après un incident.
La planification et l'exécution d'outils nécessitent des contrôles séparés. Un objectif raisonnable ne garantit pas que chaque étape intermédiaire est autorisée. Un agent peut choisir une commande destructive, une requête excessive sur des données ou un message externe dépassant l'intention de l'utilisateur. Une politique d'exécution doit donc évaluer l'action, la ressource, le demandeur et l'effet attendu avant l'exécution.
La mémoire forme une autre frontière. Un état persistant peut transférer une instruction erronée ou des données sensibles vers une tâche ultérieure. Les équipes ont besoin de règles de propriété, de conservation, d'isolation et de suppression. Elles doivent aussi pouvoir identifier quel élément mémorisé a influencé une action.
La surveillance et l'intervention complètent la boucle. Les journaux doivent relier tâche, identité, droit, appel d'outil, résultat et changement produit dans le système externe. Un arrêt humain reste utile, mais il doit être accompagné d'un confinement automatique lorsqu'un agent agit plus vite qu'un examinateur ne peut réagir.
Ce que le cadre ne démontre pas
La publication ne prouve pas l'efficacité d'un contrôle dans un déploiement réel. Elle n'établit pas de norme internationale commune et ne certifie aucun produit. Elle ne transforme pas non plus chaque mesure proposée en obligation opposable.
Les organisations actives en Chine doivent toujours déterminer quelles lois, règles sectorielles, obligations contractuelles et normes techniques s'appliquent à leurs systèmes. Le cadre 3.0 peut éclairer cette analyse, mais il ne remplace ni une étude juridique ni les preuves issues de l'environnement déployé.
Il ne faut pas non plus lire ces catégories comme la preuve qu'une perte de contrôle, un empoisonnement de mémoire ou une cyberattaque autonome s'est produit dans un système désigné. Ce sont des scénarios de risque qui appellent des contrôles et des tests proportionnés.
Une liste de contrôle pour les exploitants
Les équipes peuvent traduire le cadre en une revue concise:
- Inventorier chaque agent, propriétaire, modèle, outil connecté, source de données et effet externe.
- Donner à chaque agent une identité propre et les droits minimaux nécessaires à la tâche active.
- Séparer les instructions fiables du contenu récupéré, de la mémoire et des autres entrées non fiables.
- Évaluer les appels d'outils à conséquence avant leur exécution et conserver la décision de politique.
- Isoler la mémoire par utilisateur, locataire et finalité, avec des règles explicites de conservation et de suppression.
- Surveiller les actions et les résultats, pas seulement les requêtes et les réponses du modèle.
- Prévoir une intervention humaine bornée et un mécanisme automatique de confinement.
- Réévaluer l'agent lorsque son modèle, ses outils, ses droits ou son contexte changent.
Le guide d'inventaire des agents IA de Maetra aide à établir la base des actifs et capacités. Le modèle d'évaluation des risques des agents IA transforme les grandes catégories en questions contrôlées et en preuves attribuées.
Analyse Maetra
Le cadre 3.0 est utile parce qu'il place la gouvernance à la frontière de l'action. Le risque d'un agent ne dépend pas seulement du modèle. Il naît de la combinaison entre identité, autorité déléguée, tâche, outils, mémoire et environnement.
Pour les équipes d'assurance, l'unité de preuve pratique est donc une chaîne d'action. Le dossier doit montrer la tâche reçue, l'autorité utilisée, l'action proposée, la politique appliquée, ce qui a été exécuté et si l'effet attendu s'est produit. Cette chaîne soutient la revue de sécurité, l'analyse d'incident et la preuve de conformité sans supposer qu'une évaluation générale du modèle couvre chaque déploiement.
Le cadre est une référence, pas un refuge juridique. Son meilleur usage consiste à repérer les contrôles manquants et les preuves périmées avant que l'autonomie ne s'étende.