Points clés
- Le 21 septembre 2026, la Colombie-Britannique a poursuivi OpenAI et Sam Altman devant un tribunal fédéral de San Francisco, alléguant que la fusillade de février 2026 à l’école secondaire de Tumbler Ridge aurait pu être évitée si l’entreprise avait averti les forces de l’ordre au sujet des conversations ChatGPT signalées de l’assaillante. La province réclame les coûts de rétablissement et une ordonnance du tribunal modifiant la façon dont OpenAI traite les conversations pouvant mener à de la violence.
- L’allégation centrale porte sur une escalade interne restée sans suite : la poursuite affirme que l’équipe de sécurité d’OpenAI a recommandé de contacter la police et que la direction a rejeté cette recommandation. La chaîne d’escalade de votre fournisseur d’IA devient une preuve au dossier, ce qui en fait une question de diligence raisonnable à poser dès aujourd’hui.
- Un gouvernement qui poursuit pour recouvrer les coûts d’intervention d’urgence et de rétablissement porte une théorie du dommage plus facile à prouver que le préjudice individuel. Si votre organisation déploie des outils d’IA dans des écoles, des hôpitaux ou d’autres milieux à haute vulnérabilité, ce modèle de poursuite augmente votre exposition, même si vous n’avez pas construit le modèle.
Lundi, la Colombie-Britannique a déposé une poursuite contre OpenAI et son PDG Sam Altman devant un tribunal fédéral de San Francisco. La province allègue qu’une fusillade de masse à l’école secondaire de Tumbler Ridge en février aurait pu être évitée si l’entreprise avait averti les forces de l’ordre que l’assaillante avait utilisé ChatGPT pour planifier l’attaque. Neuf personnes, pour la plupart des enfants, ont été tuées. L’assaillante, Jesse Van Rootselaar, ancienne élève de 18 ans, a tué sa mère et son demi-frère à la maison avant de tuer cinq enfants de 12 et 13 ans et une aide-éducatrice à l’école, puis s’est suicidée.
La province demande deux choses : des dommages-intérêts couvrant ce qu’elle a dépensé et dépensera pour le rétablissement, y compris une école démolie qu’il faut reconstruire, l’intervention d’urgence et les soins de santé mentale; et une ordonnance du tribunal obligeant OpenAI à modifier la façon dont elle détecte et traite les conversations ChatGPT pouvant mener à de la violence.
Il s’agit d’allégations, pas de conclusions. Mais ces allégations ont un poids opérationnel pour chaque équipe de protection de la vie privée et de gouvernance de l’IA, parce qu’elles visent des processus que vous pouvez auditer, contractualiser et documenter dès maintenant.
Ce que la province allègue
La colonne vertébrale factuelle de la poursuite mérite une lecture attentive, parce qu’elle repose sur une chaîne d’escalade, pas sur un défaut technique.
Le signalement est venu tôt. Selon la poursuite, l’équipe de sécurité d’OpenAI a signalé les conversations de Van Rootselaar sur la violence par armes à feu en juin 2025, huit mois avant la fusillade. L’entreprise n’a pas alerté la police; les reportages indiquent que les conversations ne répondaient pas au seuil interne de renvoi aux autorités.
La recommandation interne aurait été écartée. La poursuite affirme que des membres de l’équipe de sécurité ont pressé l’entreprise de contacter la police et qu’Altman et d’autres dirigeants ont rejeté cette recommandation. L’entreprise a désactivé le compte, mais l’assaillante en a ouvert un nouveau et a continué d’utiliser le produit pour planifier l’attaque.
La promesse est venue, puis s’est enlisée. Altman a publié en avril une lettre disant qu’il était « profondément désolé » qu’OpenAI n’ait pas contacté les forces de l’ordre, et a promis des réformes. La poursuite allègue que l’entreprise n’a jamais donné suite, malgré les démarches du procureur général de la Colombie-Britannique.
Le porte-parole d’OpenAI, Drew Pusateri, a qualifié la fusillade de « tragédie indicible » et a déclaré que l’entreprise « demeure déterminée à collaborer avec les gouvernements et les forces de l’ordre ».
Notez le schéma : plus de 30 proches des victimes avaient déjà déposé des poursuites devant les tribunaux fédéraux de Californie, et la Floride a poursuivi OpenAI en juin au sujet de la fusillade de 2025 à l’Université d’État de Floride. La Colombie-Britannique est la première demanderesse gouvernementale de cette vague, et c’est sa position qui compte pour les registres de risques.
La chaîne d’escalade est la nouvelle question de diligence raisonnable
Dépouillée de son cadre judiciaire, la poursuite porte sur un processus : l’équipe de sécurité d’un fournisseur a vu une menace, a recommandé une escalade, et la recommandation est morte à l’intérieur de l’entreprise. Chaque organisation qui déploie une IA de tiers devrait relire cette phrase, puis ouvrir son dossier de fournisseur.
L’escalade interne est une preuve au dossier. Les recommandations internes, les escalades rejetées et les motifs invoqués deviennent des pièces. Quand vous évaluez un fournisseur d’IA, vous n’achetez pas seulement les capacités d’un modèle; vous achetez ses opérations de sécurité, et ces opérations seront reconstituées en preuve si quelque chose tourne mal. Demandez si le fournisseur publie ses seuils d’escalade de sécurité, qui peut les contourner et ce qui est consigné quand on le fait.
« Nous avons suivi notre politique » est une défense, pas un bouclier. La position d’OpenAI, selon les reportages, est que les conversations ne répondaient pas à son seuil de renvoi aux autorités. C’est peut-être vrai, et ça peut quand même perdre. Un seuil ne vaut que le jugement qui le sous-tend, et la poursuite allègue que le jugement des réviseurs humains pointait dans l’autre sens. Si votre contrat de fournisseur laisse le seuil interne du fournisseur être toute l’histoire, vous avez aussi externalisé le jugement.
Les demandeurs gouvernementaux changent le calcul. Les demandeurs individuels se heurtent à des obstacles de qualité pour agir et de causalité que les gouvernements contournent. La Colombie-Britannique n’a pas à prouver qu’un appel à la GRC aurait certainement évité la fusillade; elle peut faire valoir qu’elle a payé l’intervention d’urgence, le bâtiment démoli et les soins pour les traumatismes. Les dommages-intérêts de recouvrement de coûts sont des factures, et les factures se totalisent facilement. Toute province, tout État ou toute municipalité qui répond à un incident assisté par l’IA peut reprendre ce modèle.
De l’allégation à la question d’audit
| Ce que la poursuite allègue | Ce que votre questionnaire de fournisseur devrait demander |
|---|---|
| L’équipe de sécurité a signalé des conversations de planification de violence; la police n’a jamais été appelée | Quel est votre seuil d’escalade pour le contenu d’utilisateurs indiquant un préjudice physique imminent, et qui peut le contourner ? |
| Les réviseurs humains ont recommandé d’aviser la GRC; la direction a décliné | Quand les réviseurs et la direction sont en désaccord sur une escalade, que consigne-t-on et qui est responsable ? |
| Compte désactivé; l’assaillante a ouvert un nouveau compte et a continué | Qu’est-ce qui empêche un utilisateur banni ou signalé de se réinscrire et de reprendre la même activité ? |
| Lettre promettant des réformes en avril; la province dit qu’aucune n’est venue | Les engagements de sécurité pris envers des gouvernements ou en public font-ils l’objet de rapports, et les clients peuvent-ils les voir ? |
| L’injonction vise à imposer un traitement obligatoire des conversations liées à la violence | Le produit met-il fin automatiquement aux conversations de planification de violence ou les escalade-t-il, et ce comportement est-il configurable ? |
Ce que les équipes de gouvernance devraient faire cette semaine
- Ajoutez la divulgation d’escalade aux revues de fournisseurs d’IA. Demandez aux fournisseurs d’IA à haut risque leur politique d’escalade pour le contenu indiquant des menaces de violence physique : le seuil, le décideur, la piste d’audit. S’ils refusent de la partager, notez le refus dans votre registre de risques. Ça comptera plus tard.
- Rédigez la clause d’avis qui manque à votre contrat. Exigez que les fournisseurs vous avisent quand leurs processus de sécurité signalent une activité liée à des menaces de violence ou à la planification d’un préjudice, avec un délai défini. Les contrats silencieux sur l’escalade sont maintenant une lacune connue.
- Cartographiez vos déploiements à haute vulnérabilité. Répertoriez où vos outils d’IA fonctionnent dans des écoles, des campus, des cliniques et des milieux du secteur public. Ce sont les environnements où la théorie des coûts de recouvrement d’un demandeur gouvernemental atterrirait sur vous en tant que déployeur.
- Répétez le scénario d’escalade du fournisseur dans votre plan d’intervention. Vos exercices couvrent les atteintes et les pannes. Ajoutez le scénario où un fournisseur signale un contenu dangereux dans votre déploiement et où le signalement stagne pendant des semaines. Qui mène la réponse, et quel est le délai d’escalade ?
- Surveillez l’injonction, pas seulement les dommages-intérêts. Si un tribunal ordonne à OpenAI de mettre fin automatiquement aux conversations de planification de violence ou de se soumettre à des audits indépendants, cela devient une norme de fait à laquelle chaque fournisseur sera mesuré. Inscrivez l’affaire à votre liste de suivi, aux côtés de l’expansion californienne du signalement d’incidents couverte la semaine dernière.
Mesure concrète : Prenez votre contrat de fournisseur d’IA le plus risqué et répondez à une question : si l’équipe de sécurité du fournisseur signalait un utilisateur planifiant de la violence physique dans votre déploiement, en entendriez-vous parler, par qui et dans quel délai ? Si la réponse est « on n’est pas sûr », corrigez le contrat avant que la prochaine escalade devienne la poursuite de quelqu’un d’autre.