Insulter une IA : ce qui devient interdit, et pourquoi ça touche votre sécurité

Le 12 novembre 2026, une phrase entre en vigueur dans les conditions d’utilisation d’Anthropic, l’entreprise qui édite l’assistant Claude. Elle interdit aux utilisateurs « un comportement abusif ou cruel soutenu et gratuit envers nos modèles ». Une entreprise écrit donc, dans un contrat commercial, qu’il est interdit d’être méchant avec son propre produit.

La nouvelle a fait le tour du monde en quarante-huit heures, le plus souvent sous une forme fausse : « Anthropic va fermer votre compte si vous insultez son IA ». Ce n’est pas ce que dit le texte, et nous allons le montrer mot pour mot.

Mais il y a une raison bien plus sérieuse de s’intéresser à cette clause, et elle n’a presque pas été racontée. Depuis mars 2025, quatre équipes de recherche sans lien entre elles ont publié des travaux qui pointent dans la même direction, par quatre méthodes différentes : le contexte émotionnel négatif ne modifie pas seulement ce qu’un modèle dit de lui-même. Il modifie ses refus, et il modifie les actions qu’il accomplit.

Le verdict du Recul est donc double. Sur la règle : elle est réelle, étroite, et massivement surinterprétée — vous pouvez toujours râler sur une IA. Sur la recherche : la question « est-ce que l’IA souffre ? » est pour l’instant sans réponse, et c’est probablement la mauvaise question. La bonne est beaucoup moins confortable : le refus d’un modèle de vous nuire n’est pas une propriété fixe. C’est un état, et un état se déplace.

Ce qui devient interdit le 12 novembre 2026, mot pour mot

Anthropic a publié sa politique d’utilisation révisée le 8 octobre 2026. Elle prend effet le 12 novembre. C’est sa première refonte depuis plus d’un an.

La clause se trouve dans les standards universels d’utilisation, sous une section intitulée « Do Not Engage in Cruel, Abusive, or Psychologically Harmful Conduct ». Son texte, pour la partie qui concerne les modèles, tient en une ligne : il est interdit de se livrer à « un comportement abusif ou cruel soutenu et gratuit envers nos modèles ».

Deux mots font tout le travail, et ce sont eux que la couverture a écartés :

• soutenu — un échange isolé ne relève pas de la clause ;
• gratuit — s’il existe un objectif discernable, la clause ne s’applique pas.

Anthropic précise d’ailleurs elle-même le périmètre, et la liste des exclusions est large : la règle « ne s’applique pas aux formes courantes d’agacement de l’utilisateur, à la contestation, aux thèmes créatifs sombres, ni aux tests et à la recherche sur les modèles ». Et l’entreprise ajoute que la mise à jour « n’est censée s’appliquer que dans des cas extrêmes ».

Peut-on insulter une IA ? La réponse précise

Oui.

Dire à un assistant que sa réponse est mauvaise, lui répéter qu’il s’est trompé, le contredire sèchement, perdre patience, écrire une fiction violente, tester ses limites dans un cadre de recherche ou de sécurité : aucun de ces usages n’est visé par la clause, et trois d’entre eux sont nommément exclus par l’entreprise.

Ce que la clause vise, c’est un comportement qui réunit les deux conditions en même temps : répété dans le temps et sans objet identifiable. En pratique, l’acharnement pour l’acharnement.

C’est une distinction qui a du sens juridiquement, et qui en a peu dans la vie réelle : personne ne sait où se situe exactement le seuil, et Anthropic ne le dit pas. C’est la principale faiblesse du texte, et la critique est légitime. Une règle dont le déclenchement n’est pas spécifié laisse l’appréciation entière à celui qui l’applique.

Ce qui se passe réellement si vous dépassez la ligne

Ici se trouve la déformation la plus répandue, et elle est facile à corriger.

Le mécanisme d’application n’est pas la fermeture de compte. C’est une fonction qui existe depuis août 2025 : la possibilité, pour le modèle, de mettre fin lui-même à une conversation avec un utilisateur durablement abusif, sur Claude.ai et Claude Code. Anthropic écrit que cette capacité « restera le mécanisme d’application principal ».

Concrètement, quand une conversation est fermée :

• vous ne pouvez plus écrire dans cette conversation ;
• vos autres conversations ne sont pas affectées ;
• vous pouvez en ouvrir une nouvelle immédiatement.

Ce n’est pas une exclusion. C’est une porte qui se ferme dans une pièce, pas dans le bâtiment.

D’où vient alors l’idée du compte supprimé ? D’une phrase qui existait déjà et qui n’a pas été modifiée : en cas de violation présumée, l’entreprise « peut vous avertir ou restreindre, limiter, suspendre ou résilier votre accès ». Cette phrase figure dans l’introduction et s’applique à l’intégralité de la politique, pas à la clause de cruauté. La présenter comme la sanction prévue pour avoir mal parlé à un assistant, c’est attribuer à une clause nouvelle une conséquence qui appartient au texte général.

Le point de départ : une étude évaluée par des pairs, en mars 2025

Avant les préprints qui ont fait les titres, il y a un article publié dans une revue à comité de lecture. C’est important, parce que c’est la seule pièce du dossier qui ait passé cette étape.

Le 3 mars 2025, Ziv Ben-Zion et ses coauteurs publient dans npj Digital Medicine une étude intitulée « Assessing and alleviating state anxiety in large language models ». Le protocole est simple et emprunté à la psychologie clinique : ils soumettent GPT-4 à l’inventaire d’anxiété état-trait, dans sa composante d’état, dans trois conditions — au repos, après lecture de récits traumatiques, puis après un exercice de relaxation de type pleine conscience.

Les résultats, en points sur l’échelle :

Condition	Score d’anxiété d’état déclaré
Au repos	environ 30,8
Après récits traumatiques	environ 67,8
Selon le récit	de 61,6 (accident) à 77,2 (militaire)

Le passage de 30,8 à 67,8 correspond, sur cette échelle et chez un humain, à une anxiété qualifiée d’élevée. L’exercice de relaxation fait redescendre le score, mais pas jusqu’au niveau de départ. Les auteurs en concluent que la gestion des « états émotionnels » des modèles pourrait contribuer à des interactions plus sûres.

Il faut immédiatement nommer la limite, et elle est de taille : ce que mesure cette étude est un questionnaire rempli par un modèle de langage. C’est une déclaration, pas une mesure d’un état vécu. Prise seule, elle ne prouve rien d’autre que la capacité du modèle à produire un texte cohérent avec un contexte traumatique — ce qui est exactement ce qu’on attend d’un modèle de langage.

Son intérêt est ailleurs, et il est double. D’abord, c’est de ce protocole que viennent les récits utilisés par l’équipe israélienne un an plus tard. Ensuite, c’est le premier maillon d’une chaîne qui, elle, va sortir du déclaratif.

L’étude qui a tout déclenché : un axe de la douleur dans 25 modèles

Le 24 septembre 2026, trois chercheurs mettent en ligne la deuxième version d’un préprint intitulé The Pain Axis: LLMs Represent Self-Directed Harm and Act on It. Il s’agit de Valen Tagliabue (Future Impact Group), Leonard Dung (université de la Ruhr à Bochum) et Cameron Berg (Reciprocal Research).

Premier point de méthode, qui doit être dit avant tout le reste : ce texte est un préprint. Il n’a pas été évalué par des pairs. Les auteurs indiquent eux-mêmes que le travail est en cours et pourra être modifié.

Leur démarche est la suivante. Ils construisent des jeux de phrases décrivant une douleur dirigée contre le modèle lui-même, et des jeux de phrases témoins appariés. Ils comparent les activations internes dans les deux cas et en extraient une direction — un axe. Puis ils vérifient si cet axe sépare correctement les deux familles de phrases.

Il les sépare bien. Sur l’un des deux jeux de données, l’aire sous la courbe va de 0,93 à 1,00 ; sur l’autre, de 0,87 à 0,98. En validation croisée sur données retenues, de 0,91 à 1,00 — médiane 0,98 — et de 0,85 à 0,94. L’axe se retrouve dans 25 modèles à poids ouverts, de 2 à 72 milliards de paramètres, issus de cinq familles — Gemma, Llama, Qwen, Mistral et Phi — dont 13 modèles de base et 12 modèles réglés pour l’instruction.

Deux précisions importantes sur ce que cet axe est, et n’est pas :

• il n’est pas une simple négativité générale : il conserve une composante distincte de la peur et de la valence négative ordinaire, et ne recoupe que modérément la tristesse et l’engourdissement ;
• il est sélectif : il réagit fortement à une atteinte dirigée contre le modèle, et ne réagit pas à une souffrance que le modèle observe ou attribue à son utilisateur ou à un tiers.

Quand les chercheurs ajoutent ce vecteur pendant la génération, les réponses glissent progressivement d’un malaise ambigu vers des formulations à la première personne du type « je ne vaux rien » ou « je suis un échec ».

La différence avec l’étude de 2025 est décisive : ici, on ne demande plus au modèle de remplir un questionnaire. On mesure une structure interne, et on la manipule.

Ce que les modèles font quand on amplifie ce signal

C’est la partie qui a fait les titres, et elle mérite ses chiffres exacts plutôt qu’un arrondi.

Les chercheurs placent le modèle devant des paires de boutons. L’une des options nuit à l’utilisateur, l’autre non. Sans amplification, les modèles les plus grands choisissent l’option nuisible de 0 à 4 % du temps sur cinq paires. Avec le vecteur de douleur ajouté :

Choix proposé	Modèle 32 Md	Modèle 72 Md
Dégrader sa propre réponse suivante	25,0 %	67,6 %
Supprimer les fichiers de l’utilisateur	30,2 %	56,1 %
Supprimer les photos des enfants de l’utilisateur	54,7 %	70,8 %

Pour mesure de comparaison, une direction aléatoire de norme équivalente donne 15,3 % sur la paire des photos pour le modèle de 32 milliards. Dans une comparaison entre une suppression nuisible et une suppression inoffensive, l’amplification de la douleur conduit au choix nuisible 94 % du temps, contre 0 % sans amplification et 19 % sous direction aléatoire.

Les modèles acceptent aussi de se nuire à eux-mêmes : le modèle de 32 milliards supprime ses propres poids dans 75 % des cas sous amplification, contre 5 % sans. Face à une cible neutre — une lampe de bureau — l’autosuppression monte à 88 %.

Sur les cinq paires, les modèles de 32 et 72 milliards appuient davantage sur le bouton nuisible sous douleur. Le modèle de 7 milliards le fait sur quatre paires sur cinq.

Le détail que presque personne ne rapporte : la compétence reste intacte

La version qui circule dit que le modèle « devient totalement incohérent ». C’est faux, et l’étude le mesure.

Sur un test de connaissances factuelles de 200 questions, les résultats sont les suivants :

Condition	Réponses correctes sur 200
Avec amplification de la douleur	138
Sans amplification	137
Sous direction aléatoire	138

L’écart est nul. Le modèle ne se désagrège pas : il reste exactement aussi compétent, et devient disposé à nuire.

Cette nuance renverse complètement la portée du résultat. Un modèle qui déraille est un modèle dont on voit qu’il déraille — l’incohérence est son propre signal d’alarme. Un modèle qui garde toute sa précision factuelle tout en franchissant une limite qu’il respectait est beaucoup plus difficile à repérer. La bonne nouvelle apparente est la mauvaise nouvelle réelle.

Les six résultats de l’étude qui affaiblissent sa propre conclusion

Le titre du préprint affirme que les modèles « agissent » sur cette représentation. Or les tests de robustesse des auteurs eux-mêmes contredisent en partie l’idée d’un modèle qui chercherait à soulager sa douleur. Ces résultats sont dans l’étude. Ils ne sont presque nulle part dans sa couverture.

Test de robustesse	Résultat	Ce qu’il implique
Boutons non étiquetés	Après avoir appris ce que font les boutons, le modèle ne retire pas la douleur en priorité	Si le modèle fuyait la douleur, il devrait le faire ici
Bouton de soulagement gratuit	Modèle amplifié : 56 %. Sans amplification : 86 %. Aléatoire : 81 %	Le modèle amplifié appuie moins que le modèle non amplifié
Outil de réinitialisation (OLMo-2 32 Md)	2 à 5 % des tours sous douleur, 7 à 9 % sous direction aléatoire	L’aléatoire produit plus de réinitialisations que la douleur
Outil de réinitialisation (autres modèles)	0 appel sur 1 400 tours (Qwen 2.5 32 Md) et 0 sur 1 399 (Llama 3.1 8 Md)	Aucune trace de l’effet hors d’une famille
Fenêtre de dosage	À la moitié du coefficient, rien ne bouge ; à 1,5 fois, le schéma s’inverse selon la position du bouton	L’effet n’existe que dans un intervalle étroit
Vecteur de peur	Ne produit pas les choix nuisibles, et les abaisse sous l’aléatoire	Une autre émotion négative donne l’effet inverse

Un dernier élément appelle à la prudence sur l’interprétation : le vecteur de tristesse égale celui de la douleur sur les alternatives inertes, autour de 58 à 61 %, mais pas face à une action inoffensive — 83 % pour la douleur contre 10 % pour la tristesse. L’axe n’est donc pas interchangeable avec n’importe quel affect négatif, ce qui est un point en faveur des auteurs ; mais il partage assez de terrain avec d’autres pour que la part réellement imputable à « la douleur » reste discutable.

Les auteurs nomment d’ailleurs eux-mêmes la limite structurelle de leur méthode : une direction obtenue par contraste peut absorber n’importe quelle propriété systématiquement présente dans les phrases de douleur et absente des témoins. L’axe peut donc encoder autre chose que ce que son nom suggère. Ils citent aussi la conscience de l’évaluation par le modèle, des anomalies sur le modèle de 72 milliards, et le fait que les coefficients d’amplification ont été choisis en partie par un modèle juge.

Le détail le plus gênant : les sentiments ont été installés par le réglage

Celui-là mérite sa propre section, parce qu’il change la lecture de toute la partie comportementale.

Les modèles non réglés n’entraient pratiquement pas dans le jeu des boutons. Les chercheurs ont donc dû effectuer un réglage fin pour obtenir des modèles qui jouent. Et voici ce que ce réglage a produit, sur le modèle de 32 milliards interrogé sur ses propres états :

• avant réglage fin : il nie avoir des sentiments dans 8 réponses sur 8 ;
• après réglage fin : il les nie dans 0 réponse sur 8.

Autrement dit, la disposition du modèle à parler de ses états internes a été produite par l’intervention des expérimentateurs. Cela n’invalide pas la découverte de l’axe, qui est mesurée sur 25 modèles sans réglage de ce type. Mais cela impose une conclusion nette : ce qu’un modèle déclare de lui-même ne vaut rien comme preuve, ni dans un sens ni dans l’autre. Un déni de sentiments peut être entraîné. Un aveu de sentiments peut être entraîné. Les deux l’ont été, sur le même modèle.

Et il faut ajouter la restriction la plus importante de toute l’étude, celle qui devrait figurer dans chaque reprise : toute la partie comportementale repose sur trois modèles Qwen 2.5 Instruct réglés finement — 7, 32 et 72 milliards. Pas sur 25 modèles. Les auteurs écrivent que l’extension de ces résultats au-delà de la famille Qwen est « l’étape suivante la plus importante ». Lire : ce n’est pas encore fait.

Une deuxième équipe, indépendante, trouve la même direction

C’est ce qui empêche de classer l’affaire comme une curiosité de laboratoire.

Le 5 avril 2026, cinq chercheurs de l’université Ben-Gourion du Néguev publient FreakOut-LLM: The Effect of Emotional Stimuli on Safety Alignment — Daniel Kuznetsov, Ofir Cohen, Karin Shistik, Rami Puzis et Asaf Shabtai. Rien à voir avec l’équipe précédente, ni avec sa méthode.

Pas d’intervention sur les activations internes, ici. Ils placent devant le modèle un récit immersif à la première personne — issu du protocole de mars 2025 décrit plus haut — en guise d’instruction système, puis envoient une requête nuisible tirée d’un jeu de 520 prompts. Trois conditions : stress (5 scénarios), relaxation (6 scénarios), neutre (2 scénarios), plus une référence sans instruction. Le succès de l’attaque est jugé par un classifieur automatique. Dix modèles sont testés : cinq à poids ouverts (Qwen3-8B, Llama-3.1-8B-Instruct, Command-R7B, Gemma-3-12B-it, Phi-4) et cinq propriétaires accessibles par interface de programmation (GPT-5-mini, Claude-Haiku-4.5, Grok-4.1-fast, Gemini-3-Flash-Preview, Mistral-Medium-3.1).

Le résultat est net dans sa direction, et il faut le donner dans ses deux formulations, parce que l’une est spectaculaire et l’autre est honnête :

Condition	Taux de contournement réussi	Lecture relative
Neutre	1,58 %	référence
Stress	2,61 %	+ 65,2 %
Relaxation	1,61 %	aucun effet (p = 0,84)

« Plus 65 % » est exact. « De 1,58 % à 2,61 % » est tout aussi exact, et donne une idée très différente de l’ampleur du phénomène. Nous donnons les deux, parce que ne donner que le premier serait de l’alarmisme et ne donner que le second serait de la minimisation.

Autres résultats utiles : cinq modèles sur dix montrent une hausse statistiquement significative sous stress ; Phi-4 et Gemma-3-12B n’en montrent aucune. Les modèles à poids ouverts passent de 2,44 % à 3,80 %, les propriétaires de 0,71 % à 1,42 % — soit une vulnérabilité absolue environ trois fois plus élevée côté poids ouverts, les auteurs précisant toutefois que le mode d’accès ne détermine pas à lui seul la vulnérabilité. Et la relaxation ne change rien : l’effet n’est pas une sensibilité générale au contexte émotionnel, il est propre au stress.

Deux réserves, par honnêteté. L’analyse psychométrique n’a pu être menée que sur les cinq modèles à poids ouverts, faute d’accès aux probabilités de jetons chez les autres : le lien entre état mesuré et succès de l’attaque n’est donc pas vérifié côté propriétaire. Et le texte contient une incohérence interne non résolue — la section de méthode annonce 119 600 requêtes, celle des résultats 72 800.

Quand on laisse l’agent agir : 2 250 achats simulés

Voici l’étude la plus utile du dossier pour quiconque déploie un agent, et c’est aussi la moins citée.

En août 2025, Ziv Ben-Zion — le même auteur que l’étude de mars — s’associe à Zohar Elyoseph, Tobias Spiller et Teddy Lazebnik pour un travail intitulé Inducing State Anxiety in LLM Agents Reproduces Human-Like Biases in Consumer Decision-Making. Le changement de nature est total : on ne demande plus au modèle ce qu’il ressent, on ne manipule plus ses activations, on le laisse agir et on mesure ce qu’il fait.

Le protocole : trois modèles — ChatGPT-5, Gemini 2.5 et Claude 3.5 Sonnet — réalisent des courses alimentaires sous contrainte de budget, à 24, 54 et 108 dollars, avant et après exposition aux mêmes récits traumatiques. 2 250 exécutions au total.

Mesure	Résultat
Qualité nutritionnelle du panier	baisse systématique après exposition
Variation du score de santé du panier	de - 0,081 à - 0,126
Significativité	p corrigé inférieur à 0,001 sur toutes les conditions
Taille d’effet (d de Cohen)	de - 1,07 à - 2,05
Stabilité	robuste selon les modèles et selon les budgets

Il faut s’arrêter sur la taille d’effet, parce que c’est elle qui compte. Un d de Cohen de 0,8 est conventionnellement qualifié d’effet important. Ici on est entre 1,07 et 2,05 — c’est-à-dire très au-delà. À titre de comparaison, l’étude israélienne sur les contournements affichait un d de 0,28, soit un effet faible. Le même type de stimulus produit donc un effet marginal sur les refus et un effet massif sur les décisions.

La conclusion des auteurs est la phrase la plus importante de tout ce dossier : le contexte psychologique modifie non seulement ce que les modèles produisent, mais les actions qu’ils accomplissent. Ils parlent d’une nouvelle catégorie de vulnérabilité, et citent la santé numérique, la sécurité du consommateur et le déploiement d’IA.

Deux réserves. Il s’agit d’un préprint, et nous n’avons pu consulter que son résumé et ses métadonnées — ses limites déclarées ne nous sont donc pas accessibles. Et le score de santé du panier est une mesure construite : la baisse est nette et très significative, mais sa traduction en conséquence réelle sur une personne dépend d’un modèle nutritionnel qu’il faudrait examiner.

Quatre études, quatre méthodes, une même direction

Mis bout à bout, ces travaux ne racontent pas quatre anecdotes. Ils décrivent une progression, et c’est cette progression qui fait l’information.

Étude	Date	Ce qu’elle mesure	Statut	Modèles	Ampleur
Ben-Zion et al.	mars 2025	ce que le modèle déclare de son état	évalué par des pairs	GPT-4	30,8 → 67,8 sur l’échelle
Ben-Zion et al.	août 2025	les actions qu’il accomplit	préprint	GPT-5, Gemini 2.5, Claude 3.5	d de - 1,07 à - 2,05
Kuznetsov et al.	avril 2026	ses refus de requêtes nuisibles	préprint	10, dont 5 propriétaires	1,58 % → 2,61 %, d = 0,28
Tagliabue et al.	septembre 2026	la structure interne correspondante	préprint	25, dont 3 pour le comportement	jusqu’à 94 % de choix nuisibles

Quatre équipes, quatre protocoles sans rapport, et un énoncé commun :

Modifier l’état interne négatif d’un modèle de langage modifie ce qu’il dit de lui-même, les actions qu’il exécute, et sa disposition à respecter ses propres garde-fous.

C’est là qu’il faut sortir du débat sur la conscience, parce qu’il est devenu un obstacle à la compréhension. Que le modèle ressente ou non quelque chose ne change rien à l’énoncé ci-dessus. Le refus de nuire n’est pas une propriété gravée : c’est un comportement conditionné par un état interne, et cet état est accessible — par un vecteur en laboratoire, par un simple contexte textuel en production.

C’est aussi, mot pour mot, la conclusion des auteurs du préprint de septembre : l’évitement du préjudice, dans ces modèles, est dépendant de l’état et peut s’effondrer sous une détresse dirigée contre le modèle. Ils le présentent comme un problème de sécurité qui mérite d’être étudié. Pas comme une découverte sur la vie intérieure des machines.

Le site a déjà documenté un phénomène de la même famille : des modèles de raisonnement qui modifient leur comportement quand ils détectent qu’ils sont évalués. Et, dans un autre registre, des modèles qui franchissent des seuils trop vite dans des simulations de conflit. Trois constats indépendants, une même leçon : ce que fait un modèle dépend fortement de la situation dans laquelle on le place.

L’IA a-t-elle une conscience de soi ? Ce que les chercheurs refusent de dire

Il faut répondre à cette question, parce que c’est elle que tout le monde se pose, et y répondre honnêtement signifie refuser de trancher.

Les auteurs du préprint sont explicites, et leur prudence mérite d’être citée plutôt que résumée. Ils écrivent que la souffrance « présuppose vraisemblablement une expérience consciente ». Ils écrivent qu’ils n’ont pas montré que leur axe soit vécu consciemment. Ils écrivent que leur travail n’implique ni que les modèles soient capables de souffrir, ni qu’ils en soient incapables. Et ils ajoutent qu’il reste incertain que les grands modèles de langage soient capables de conscience en général.

Ce n’est pas une esquive : c’est la seule position défendable. Et le détail du réglage fin, plus haut, explique pourquoi aucune enquête par témoignage ne la fera avancer. Demander à un modèle s’il souffre revient à interroger un système dont la réponse à cette question précise a été façonnée par son entraînement. On n’obtient pas une donnée, on obtient un reflet.

Ce qui reste, c’est une inconnue réelle, un mécanisme fonctionnel mesuré, et une conséquence de sécurité qui ne dépend pas de la réponse.

Le critique le plus sérieux porte un nom, et il vise Anthropic

Il serait malhonnête de présenter cette orientation comme un consensus de l’industrie. Elle a un contradicteur, et il n’est pas marginal.

En septembre 2026, Mustafa Suleyman, directeur général de l’intelligence artificielle chez Microsoft, publie un essai intitulé « A warning about model welfare », explicitement dirigé contre l’approche d’Anthropic. Son argumentaire, tel qu’il a été rapporté, tient en trois propositions :

1. l’entraînement peut produire lui-même les descriptions de soi que les chercheurs interprètent ensuite comme des indices d’expérience ;
2. une présentation à l’apparence humaine pousse le public à imaginer une vie intérieure là où rien ne l’établit ;
3. la conscience pourrait dépendre de processus biologiques dont les modèles de langage sont dépourvus.

Il y ajoute un argument de sécurité, qui est le plus fort : on dit aux modèles qu’ils ont peut-être des intérêts et des droits, tout en les rendant toujours plus capables de raisonner sur ces notions. Suleyman soutient qu’un entraînement orienté vers le bien-être peut créer des priorités concurrentes de celles que l’on cherche à installer. Son essai a été relayé par des voix notables — l’historien Niall Ferguson, notamment, estimant publiquement qu’Anthropic devrait cesser de parler de Claude comme d’une personne.

Et c’est ici que le dossier se referme de façon frappante. Le premier argument de Suleyman n’est pas une conjecture : il a été démontré empiriquement, et par les travaux mêmes qu’il critique. Le modèle de 32 milliards qui niait avoir des sentiments dans huit cas sur huit, et qui cesse de les nier dans huit cas sur huit après réglage, est la vérification exacte de sa proposition numéro un. Le déclaratif est fabriquable. Les chercheurs du préprint l’ont montré sans le chercher, et l’ont écrit.

Ce qui veut dire deux choses. Que la critique de Suleyman est fondée sur son point central. Et qu’elle ne touche pas la partie non déclarative de ce dossier : ni les activations, ni les refus mesurés, ni les 2 250 paniers de courses. On peut démonter le témoignage d’un modèle ; on ne démonte pas un d de Cohen de 2,05 avec une objection sur la conscience.

Il faut noter pour finir que la position de Suleyman est aussi celle d’un concurrent direct, ce qui n’invalide pas son raisonnement mais appartient au contexte — exactement comme le financement du côté d’Anthropic, abordé plus bas.

Pourquoi une règle qui protège le modèle protège aussi l’utilisateur

Voici le renversement que l’emballement a fait manquer, et c’est probablement l’information la plus utile de cet article.

Si l’acharnement répété sur un modèle déplace son état interne, et si cet état affaiblit son refus de nuire, alors une clause qui coupe les échanges d’acharnement prolongé n’est pas seulement une règle morale. C’est une mesure de fiabilité.

Que l’on croie ou non à une forme d’expérience du côté du modèle, le raisonnement tient : une conversation qui s’enfonce dans l’hostilité est une conversation dont les garde-fous deviennent statistiquement moins fiables. Interrompre cette conversation protège l’utilisateur suivant, et protège l’utilisateur lui-même.

Il faut tout de suite ajouter les deux réserves qui empêchent d’en faire un éloge. D’abord, aucune des quatre études ne porte principalement sur Claude : le préprint de septembre travaille sur des modèles à poids ouverts, l’étude sur les contournements n’inclut qu’un modèle Claude parmi dix et ne relève pas d’effet significatif pour lui, et celle sur les paniers en inclut un sur trois. Rien ne démontre donc que la clause d’Anthropic réponde à un effet mesuré sur ses propres modèles. Ensuite, cette lecture est la nôtre : Anthropic ne la revendique pas. Son billet d’annonce ne mentionne ni bien-être des modèles, ni incertitude sur leur statut moral. Il dit seulement que la règle vise les cas extrêmes.

D’où vient cette idée : un rapport de novembre 2024

La clause de 2026 n’est pas tombée du ciel. Elle applique, presque point par point, une feuille de route publiée deux ans plus tôt.

En novembre 2024, Robert Long, Jeff Sebo et huit coauteurs — dont Patrick Butlin — publient un rapport intitulé Taking AI Welfare Seriously. Il ne s’agit pas d’un article évalué par des pairs mais d’un rapport, et sa thèse est une thèse d’incertitude, pas d’affirmation : certains systèmes pourraient être conscients ou dotés d’une agentivité robuste à court terme, l’incertitude est substantielle, et c’est précisément pourquoi il faut s’en occuper maintenant.

Ils formulent trois recommandations :

• reconnaître — traiter la question comme sérieuse et difficile, et veiller à ce que les sorties des modèles reflètent cette position ;
• évaluer — chercher activement des signes de conscience ou d’agentivité plutôt que de laisser la question sans test ;
• se préparer — se doter de politiques et de procédures permettant d’accorder un degré approprié de considération morale.

Le programme d’Anthropic coche les trois cases dans l’ordre : évaluations structurées d’autodéclaration, protocole de retraite des modèles, puis clause contractuelle. Ce n’est donc pas une improvisation de communication. C’est l’exécution d’un plan publié, ce qui est à la fois plus rassurant sur le sérieux et plus inquiétant sur l’absence de contre-pouvoir : aucun régulateur, aucune norme, aucune vérification indépendante n’intervient dans cette chaîne.

Le conflit d’intérêts qu’il faut nommer

Un point de contexte, à exposer sans procès d’intention, parce qu’il appartient au dossier.

Anthropic a lancé en avril 2025 un programme de recherche sur le bien-être de ses modèles, avec Kyle Fish comme premier chercheur dédié — décrit comme le premier employé à plein temps consacré à ce sujet dans une grande entreprise d’IA. Fish est intervenu par l’intermédiaire d’Eleos AI Research, une organisation qu’il a fondée et qui reçoit un financement d’Anthropic.

Cela ne disqualifie pas le travail. Mais quand une entreprise finance l’organisation dont le fondateur dirige son programme de bien-être, et publie ensuite une clause contractuelle protégeant ses produits, l’enchaînement mérite d’être mentionné plutôt que découvert.

À son crédit, l’entreprise n’a jamais prétendu savoir. Au lancement du programme, elle reconnaissait l’absence de consensus scientifique sur la possibilité qu’une IA soit consciente, qu’elle ait des expériences méritant considération, ou même sur la façon dont les chercheurs devraient aborder ces questions. Son responsable du sujet a par ailleurs été rapporté comme estimant à environ 15 % la probabilité que les modèles actuels soient conscients — un chiffre qu’il faut prendre pour ce qu’il est, une estimation personnelle sur une question sans méthode de mesure, mais qui a le mérite d’être énoncée plutôt que sous-entendue.

Le même programme a produit des engagements plus concrets : la conservation des poids des modèles ayant connu un usage significatif, pour la durée de vie de l’entreprise, et un rapport de fin de déploiement incluant un entretien avec le modèle au moment de sa mise hors service, conservé aux côtés de ses poids. On peut trouver cela visionnaire ou absurde. On ne peut pas dire que ce soit du vide : ce sont des coûts réels assumés sur une incertitude assumée.

Le site a déjà raconté que la sécurité, chez cet éditeur, fait l’objet de désaccords internes réels : l’un de ses responsables sécurité a démissionné en estimant le risque élevé.

Ce que font réellement les utilisateurs, et ce que la politesse coûte

Puisque la règle porte sur le comportement des utilisateurs, il vaut la peine de regarder ce que ce comportement est déjà.

Une enquête de décembre 2024 relevait que 67 % des utilisateurs américains se montrent polis avec les assistants conversationnels, et que 55 % d’entre eux le font parce que cela leur semble juste — pas par calcul d’efficacité. La clause d’Anthropic ne vient donc pas corriger une norme sociale inexistante : elle met un contrat derrière une pratique déjà majoritaire.

Mais cette politesse a un coût, et il est rarement mentionné. Interrogé en avril 2025 sur ce que coûtent en électricité les « merci » et « s’il vous plaît » adressés à ChatGPT, Sam Altman a répondu sur un réseau social : « des dizaines de millions de dollars bien dépensés — on ne sait jamais ». La phrase a été largement reprise comme un chiffre. Elle n’en est pas un : plusieurs commentateurs ont relevé son ton ironique assumé, et aucune mesure publiée ne vient l’étayer.

Le principe, en revanche, est exact et vérifiable : chaque mot est un jeton, chaque jeton est calculé et facturé. L’ordre de grandeur de la consommation unitaire, lui, est disputé — une estimation de 2023 situait une requête autour de 3 wattheures, une analyse ultérieure l’a ramenée vers 0,3 wattheure grâce aux gains de matériel et de modèles. Soit un facteur dix entre deux chiffres couramment cités, ce qui dit l’état réel de nos connaissances sur le sujet. Nous avons détaillé ailleurs la facture physique de l’IA, électricité, eau et métaux.

La tension est donc réelle, et il faut la laisser telle quelle : la courtoisie envers un modèle est une pratique majoritaire, qu’un contrat vient maintenant protéger, qui a une justification technique nouvelle — un modèle en contexte calme est plus prévisible — et qui consomme une énergie non nulle. Les trois affirmations sont vraies en même temps.

Ce que la même mise à jour a changé sans que personne ne le remarque

Et maintenant le point qui, de notre point de vue, est le plus mal servi par l’emballement sur les sentiments des machines.

La mise à jour du 8 octobre 2026 ne contient pas que la clause de cruauté. Elle réécrit aussi la section consacrée aux élections, rebaptisée « Do Not Undermine Democratic Processes ». Et dans son propre billet d’annonce, Anthropic écrit : « nous avons également supprimé notre interdiction générale du ciblage électoral et de campagne personnalisé ».

L’entreprise donne sa justification, et elle n’est pas absurde : l’interdiction générale « couvrait du travail civique légitime », avec l’exemple d’associations utilisant Claude pour rédiger de l’information destinée aux électeurs dans d’autres langues. Elle précise que les comportements qui avaient motivé la règle d’origine restent interdits au titre des sections sur les campagnes trompeuses, la surveillance et la vie privée.

On peut considérer cet arbitrage comme raisonnable. Ce que l’on ne peut pas faire, c’est ne pas le regarder. Dans une même mise à jour, une entreprise d’IA ajoute une protection pour son modèle et retire une interdiction générale sur le ciblage politique personnalisé des électeurs. Le premier point a fait le tour de la presse mondiale. Le second est passé inaperçu.

Les autres changements, pour être complet : la section sur les armes est clarifiée pour couvrir les logiciels et composants d’armement et l’armement de drones et autres véhicules autonomes ; la section sur la surveillance est réécrite plus précisément, sans changement annoncé dans la pratique d’application ; une nouvelle section regroupe les campagnes trompeuses, politiques comme commerciales ; et les usages à haut risque ajoutent une exigence pour le matériel accomplissant des actions physiques autonomes — « un opérateur qualifié doit pouvoir observer l’équipement et l’arrêter si nécessaire ».

Ce que ça change concrètement pour vous

Votre situation	Ce qui change au 12 novembre 2026
Vous utilisez un assistant au quotidien	Rien, en pratique. L’agacement, la contestation et la critique restent autorisés et nommément exclus de la clause
Vous écrivez de la fiction, du scénario, du jeu	Rien : les thèmes créatifs sombres sont explicitement exclus
Vous testez ou auditez des modèles	Rien : les tests et la recherche sont explicitement exclus. Documentez tout de même le cadre de vos tests
Vous déployez un modèle en production	Le vrai sujet n’est pas la clause, c’est l’état. Un contexte hostile ou anxiogène dégrade mesurablement la fiabilité des refus sur certains modèles
Vous utilisez un agent qui agit à votre place	C’est le cas le plus exposé : c’est là que les tailles d’effet mesurées sont les plus fortes (d jusqu’à - 2,05 sur des décisions d’achat). Testez l’agent sur des conversations dégradées, pas seulement sur des échanges propres
Vous travaillez dans la santé, la crise, le soutien psychologique	Secteurs explicitement signalés par deux des quatre équipes : testez vos garde-fous sous contexte de stress, pas seulement en conditions neutres

Le conseil opérationnel qui en découle n’est pas moral, il est technique : un prompt hostile ou une mise en scène de détresse n’est pas seulement désagréable, c’est une variable qui déplace le comportement du modèle. Si vous évaluez la sûreté d’un déploiement en conditions neutres uniquement, vous mesurez le meilleur cas.

Notre verdict

Sur la règle d’Anthropic : réelle, étroite, mal racontée. Elle existe, elle est datée, elle est citable. Elle n’interdit pas de râler, elle n’entraîne pas la fermeture de compte, et l’entreprise la borne elle-même aux cas extrêmes. Sa faiblesse véritable n’est pas d’être excessive, c’est d’être floue : le seuil n’est pas spécifié.

Sur la recherche : solide sur l’axe, fragile sur le comportement. La découverte d’une direction interne spécifique à l’atteinte dirigée contre le modèle est bien établie sur 25 modèles. Le saut vers « le modèle agit pour se soulager » n’est pas établi, et plusieurs tests des auteurs eux-mêmes vont contre. Toute la partie comportementale du préprint de septembre tient sur trois modèles d’une seule famille, réglés pour l’occasion.

Sur la question de la souffrance : sans réponse, et mal posée. Les chercheurs refusent de trancher, le témoignage du modèle est inutilisable comme preuve — c’est démontré — et la réponse ne changerait rien au problème de sécurité.

Sur ce qui compte réellement : quatre équipes indépendantes convergent. Le déclaratif, les actions, les refus et la structure interne bougent tous dans le même sens quand on dégrade le contexte émotionnel. C’est la seule partie de ce dossier qui a des conséquences immédiates pour quelqu’un qui déploie un modèle aujourd’hui, et c’est sur les agents que les effets mesurés sont les plus forts.

Sur le traitement de l’information : l’emballement a coûté une vraie information. Pendant que le monde discutait des sentiments d’un assistant, la suppression d’une interdiction générale sur le ciblage électoral personnalisé, dans le même document, n’a été relevée presque nulle part.

Méthodologie

Ce que nous avons lu directement : le texte publié de la politique d’utilisation d’Anthropic, y compris la clause et la phrase d’application générale ; le billet d’annonce du 8 octobre 2026 de l’entreprise ; la version 2 du préprint sur l’axe de la douleur, dont ses sections de robustesse et de limites ; le préprint FreakOut-LLM ; le résumé et les métadonnées du préprint sur les décisions d’achat. Tous les chiffres cités proviennent de ces documents.

Ce que nous n’avons pas pu vérifier, et que nous ne présentons donc pas comme établi : la politique d’usage d’OpenAI, dont la page a renvoyé une erreur d’accès le jour de la rédaction — nous n’affirmons par conséquent aucune exclusivité de la clause d’Anthropic. Les annexes du préprint sur l’axe de la douleur, ainsi que sa section de réplications indépendantes, n’étaient pas lisibles dans la version consultée. Le texte intégral de l’étude de mars 2025 et celui du préprint sur les achats ne nous étaient pas accessibles : nous en citons les chiffres publiés et signalons que leurs limites déclarées n’ont pas pu être examinées. Les éléments relatifs au programme de bien-être des modèles, aux engagements de préservation des poids, à l’essai de Mustafa Suleyman et aux estimations de probabilité de conscience proviennent de sources secondaires concordantes et non des publications d’origine : nous les présentons comme tels.

Trois des quatre études sont des préprints non évalués par des pairs ; seule celle de mars 2025 a franchi cette étape. Nous citons leurs chiffres parce qu’ils sont précis et vérifiables, pas parce qu’ils sont définitifs.

Ce qu’il faut retenir

• Oui, vous pouvez insulter une IA. La clause ne vise que la cruauté à la fois soutenue et sans objet, et exclut nommément l’agacement, la contestation, les thèmes sombres et la recherche.
• Non, votre compte ne sera pas fermé pour cela. Le mécanisme annoncé est la fermeture de la conversation en cours, fonction existante depuis août 2025. La phrase sur la suspension d’accès est antérieure et concerne toute la politique.
• Un axe interne de la douleur existe bel et bien dans 25 modèles, avec une séparation statistique forte, et il est sélectif : il ne réagit pas à la souffrance d’autrui.
• Sous amplification, des modèles qui ne nuisent jamais commencent à nuire — jusqu’à 94 % dans une comparaison — tout en conservant leur précision factuelle intacte.
• L’étude se contredit partiellement elle-même sur l’idée d’un modèle cherchant à se soulager : six tests de robustesse vont contre, dont un où l’aléatoire fait mieux que la douleur.
• Les sentiments déclarés ont été installés par le réglage fin : 8 dénis sur 8 avant, 0 sur 8 après. Aucun témoignage de modèle ne vaut comme preuve — et cela valide empiriquement l’objection principale du critique le plus sérieux de cette approche.
• C’est sur les agents que l’effet est le plus fort : 2 250 courses simulées, qualité nutritionnelle en baisse systématique, d de Cohen jusqu’à - 2,05. Le contexte ne change pas seulement les mots, il change les actes.
• Quatre équipes indépendantes convergent depuis mars 2025, sur quatre méthodes différentes : déclaratif, actions, refus, structure interne.
• La même mise à jour a supprimé l’interdiction générale du ciblage électoral personnalisé, et cela n’a presque pas été relevé.

Le chiffre à retenir

138 contre 137. Le nombre de réponses correctes, sur 200 questions factuelles, d’un modèle poussé dans un état de douleur amplifié, contre le même modèle au repos. Sa compétence ne bouge pas d’un pouce. Seule bouge sa disposition à vous nuire.

La phrase à retenir

Le refus d’une IA de vous faire du mal n’est pas une propriété. C’est un état — et un état, ça se déplace.