L’arrivée d’agents autonomes qui négocient des contrats, gèrent des stocks, manipulent des données clients et automatisent des processus décisionnels pose une question juridique classique : en cas d’erreur, qui est responsable ?
Le responsable par défaut : le déployeur
Le rapport de l’ENISA introduit un principe clair : la responsabilité du déployeur. L’entreprise qui active l’agent IA est présumée responsable de ses actes. Si un bot de négociation accepte par erreur un contrat léonin, ou si un agent de support divulgue par mégarde des données de santé, c’est l’entreprise qui est en première ligne face au régulateur (CNIL) ou au juge civil. L’argument « c’est la faute de l’algorithme » est désormais juridiquement nul : on en revient à la responsabilité classique du dirigeant.
La chaîne de responsabilité
La responsabilité peut être répartie sur plusieurs entités. Pour engager celle du fournisseur, le déployeur doit prouver que l’agent IA a été utilisé conformément à l’usage prévu et aux conditions générales, et que le fournisseur n’a pas mis en garde ni fourni de garde-fous dans la documentation technique. Le DPO a ici un rôle à jouer : il supervise le modèle et audite les limites de l’agent avant son déploiement. L’IA peut calculer et estimer un risque, mais n’arbitre pas : seul un humain peut porter la responsabilité finale.
Les bonnes pratiques à envisager avant le déploiement
- exiger du fournisseur la liste des scénarios d’erreurs bloqués par ses filtres ;
- renforcer les contrats : les clauses de responsabilité doivent inclure une mention spécifique sur les « dérives autonomes » de l’agent — si l’IA « hallucine » une clause contractuelle, le fournisseur doit partager le risque ;
- intégrer le scénario de menace « action autonome non autorisée » et évaluer l’impact d’un agent prenant un grand nombre de décisions erronées en très peu de temps.
Source : rapport de l’ENISA sur la sécurité des agents d’IA.