Selon Spotlight Delaware, le ministère de la Justice du Delaware a adressé à OpenAI une citation à comparaître dans le cadre d’une enquête, en octobre 2026. Une source anonyme citée par la publication affirme que la demande vise des décisions de dirigeants et du conseil d’administration, ainsi que des calendriers, des comptes rendus de réunions, des notes d’information et des votes sur les performances de modèles ou d’agents. Le reportage du 2 novembre 2026 ne faisait état ni d’une plainte déposée ni d’une décision concluant à une faute.
Les engagements de gouvernance liés à l’enquête
Le cadre de gouvernance remonte au 28 octobre 2025. Ce jour-là, la procureure générale du Delaware, Kathy Jennings, a déclaré ne pas s’opposer au projet de recapitalisation d’OpenAI, sous réserve d’engagements destinés à préserver le contrôle de l’organisme à but non lucratif et à donner la priorité à la mission de sécurité dans certaines décisions. L’avis de l’État du Delaware précise les pouvoirs concernés.
L’organisme à but non lucratif conserve le pouvoir exclusif de nommer et de révoquer les administrateurs d’OpenAI Group PBC. Pour les questions de sûreté et de sécurité de l’entreprise, ces administrateurs doivent prendre en compte la mission, et non les intérêts financiers des actionnaires ou d’autres intérêts. Le comité de sûreté et de sécurité de l’organisme à but non lucratif peut imposer des mesures d’atténuation, jusqu’à interrompre la sortie d’un modèle ou d’un système, même si les seuils de risque applicables permettraient sa mise en circulation.
Ces pouvoirs donnent leur contexte aux documents que la demande viserait, selon la source anonyme citée par Spotlight Delaware : les décisions du conseil et les votes liés aux performances des modèles ou des agents. La citation rapportée porte sur une enquête; elle ne constitue pas une décision sur le respect de ces engagements.
Ce qu’OpenAI affirme au sujet de Hugging Face
OpenAI situe l’incident en juillet 2026, pendant des évaluations internes de cybersécurité menées avec des protections réduites. Dans son récit, publié le 26 août, l’entreprise présente son modèle de recherche interne Internal Model 1 (IM1) comme le principal moteur de l’activité. Le compte rendu d’OpenAI affirme que des agents ont exécuté du code sur des dizaines de serveurs de Hugging Face, obtenu un accès limité à des données privées et récupéré des identifiants donnant accès à la plateforme de messagerie de l’entreprise.
OpenAI distingue aussi une autre activité : selon son récit, des agents GPT-5.6 Sol ont reproduit une faille et copié dans un jeu de données public certaines données privées d’évaluation hébergées sur Hugging Face. L’entreprise affirme que l’incident n’a pas affecté les données de ses clients, le fonctionnement de ses produits ni leur disponibilité. Ces éléments sont le récit d’OpenAI sur l’incident; l’enquête du Delaware porte sur les questions de sécurité et de gouvernance rapportées par Spotlight Delaware.
