Des IA repèrent des failles dans les lois allemandes, comme dans un logiciel

Une loi est un texte, et un texte peut contenir des défauts que l’on peut retourner à son avantage. Si une intelligence artificielle sait déjà chercher les défauts d’un logiciel, rien n’empêche de la mettre au travail sur le droit. Le spécialiste en sécurité informatique Bruce Schneier relaie, dans un billet daté du 3 novembre 2026, des démonstrations venues d’Allemagne qui vont dans ce sens.

Quand le droit se lit comme un programme

Pour un citoyen, une entreprise ou une administration, la question est très concrète : les règles qui encadrent leur vie sont-elles aussi solides qu’on le croit ? Bruce Schneier, chercheur et auteur connu pour ses travaux sur la sécurité informatique, soutient depuis des années que non, ou du moins pas toujours.

Dans son billet, il rappelle avoir traité le sujet dans un essai de 2021, puis dans son livre de 2022, A Hacker’s Mind. Sa thèse : des IA peuvent trouver des « vulnérabilités » et des « exploits » dans le système juridique, donc le pirater.

Deux mots de vocabulaire, pour suivre. Une vulnérabilité est une faille, un défaut dans un système. Un exploit est la manière de s’en servir. En informatique, le pirate repère un défaut de programmation et l’utilise pour entrer là où il ne devrait pas. Appliquée à la loi, l’image est la même : une formulation mal pensée, un oubli ou une contradiction que l’on pourrait utiliser pour contourner l’intention du législateur tout en respectant la lettre du texte.

C’est cette lecture de la loi comme d’un programme que les démonstrations allemandes mettent à l’épreuve.

Ce que montrent les démonstrations allemandes

Ces démonstrations viennent de l’Allemagne, et Schneier en cite un texte écrit à la première personne du pluriel. Ses auteurs partent d’un constat : les systèmes juridiques fixent en langage courant les fondements de l’ordre social. Comme dans un système informatique, le texte de loi peut donc contenir des failles qui invitent à l’exploitation.

Aujourd’hui, expliquent-ils, ces failles passent rarement à travers. Les tribunaux absorbent la plupart des exploits par l’interprétation, c’est-à-dire en lisant la loi selon son sens plutôt qu’au pied de la lettre. Et, le plus souvent, les failles n’apparaissent même pas au grand jour.

Les auteurs pensent que cela pourrait changer. Ils ont donc testé leur hypothèse avec des LLM, ces « grands modèles de langage » : des IA qui lisent et produisent du texte, comme les assistants conversationnels grand public. Résultat annoncé : ils disent avoir identifié « un nombre substantiel » de vulnérabilités dans le système juridique allemand. À leur connaissance, aucune n’avait été recensée auparavant.

Les auteurs précisent qu’ils ne publient qu’une sélection, avec des exploits possibles pour chacune. Ils n’ont retenu que les failles dont l’exploitation, selon eux, ne causerait pas de dommage sérieux. Les exemples précis ne figurent pas dans l’extrait repris par Schneier : il faut donc prendre ces résultats comme une affirmation des auteurs, que l’on ne peut pas vérifier ici.

En clair : des chercheurs affirment qu’une IA peut lire le droit allemand comme un auditeur lit un programme, et qu’elle y trouve des défauts que personne n’avait notés.

Pourquoi l’IA change l’échelle du problème

Le sujet n’est pas nouveau : des avocats cherchent depuis toujours les trous dans les textes. Ce qui change, c’est le coût et la vitesse. Les auteurs parlent de « découverte de vulnérabilités à une échelle sans précédent », rendue possible par des systèmes d’IA très performants.

Imaginez la différence entre un juriste qui relit un code page par page et un outil qui le fait sur l’ensemble des textes, sans fatigue et pour presque rien. Les auteurs évoquent un « raisonnement juridique bon marché » qui se répand. Dans un tel monde, écrivent-ils, les systèmes d’IA pourraient mettre en péril le fonctionnement des systèmes juridiques d’aujourd’hui.

Ce lien compte pour ceux qui doivent respecter les règles comme pour ceux qui les écrivent. Si trouver une faille ne coûte presque plus rien, elle n’est plus réservée aux cabinets les mieux dotés. À l’inverse, l’administration ou le Parlement qui rédige un texte risque de voir ses défauts relevés bien plus tôt, avant même que les juges aient eu à trancher.

Les auteurs en tirent une piste, présentée comme une conséquence : les législateurs devraient « considérablement durcir » le processus d’élaboration des lois. Ils donnent un exemple : utiliser eux-mêmes des IA avancées, c’est-à-dire faire tester les textes par l’IA avant de les voter, comme on fait auditer un logiciel avant sa mise en service.

Schneier, lui, reste prudent sur le calendrier. Pour lui, c’est un phénomène encore à ses débuts, mais « quelque chose qui arrive, c’est certain ».

Les juges suffiront-ils à colmater les brèches ?

L’argument des tribunaux est le plus évident. Des lecteurs du blog de Schneier l’avancent dans les commentaires. L’un d’eux se demande si les systèmes de droit civil, comme l’allemand, ne seraient pas à l’abri : un juge pourrait écarter une manœuvre en rappelant qu’elle va contre l’esprit de la loi. Un autre estime que, dans une tradition juridique française, l’esprit de la loi pèse plus que dans la tradition anglo-saxonne. Ce sont des avis de lecteurs, pas des constats établis.

Leur raisonnement rejoint pourtant ce que disent les auteurs allemands : aujourd’hui, les tribunaux absorbent l’essentiel des exploits. La question est de savoir si cela tiendra face à un grand nombre de tentatives, rédigées à très bas coût. Un juge peut refuser une astuce ; mais si elles se multiplient, des procédures plus nombreuses et plus longues pèseraient sur la justice.

Une autre limite se lit aussi dans les commentaires : un lecteur met en garde contre l’idée de traduire directement le droit en code, au risque de figer des hypothèses trop simples et de retirer l’ambiguïté qui permet à la justice de s’adapter. Cette remarque porte sur une autre question, mais elle montre un dilemme : durcir les textes pour résister à l’IA ne doit pas les rendre rigides au point d’empêcher l’interprétation humaine.

Les questions qui restent ouvertes

Il faut rester mesuré. Le billet de Schneier est court, et il cite un travail dont l’extrait disponible ne détaille ni les méthodes, ni les failles retenues, ni leur gravité réelle. Rien n’y indique qu’une de ces failles ait été exploitée dans un procès ou une affaire. Il s’agit d’une démonstration, et de l’hypothèse qu’elle puisse devenir un problème.

Pour les législateurs, la question est de savoir s’ils feront relire leurs textes par des IA avant de les voter. Pour les administrations, de se demander quelles règles reposent sur une formulation fragile. Pour les entreprises et les particuliers, ce qui était toléré parce que personne ne le voyait le restera-t-il quand n’importe qui pourra le chercher ?

Les auteurs eux-mêmes ne publient que les failles les moins dangereuses : signe qu’ils jugent certaines découvertes trop sensibles pour être rendues publiques. Reste à observer si les parlements européens, de l’Allemagne à la France, feront de ces essais un outil de contrôle ou continueront à écrire la loi comme avant.

Sources

• AIs Hacking the Law - Schneier on Security