Un agent IA part en vrille, pirate une boîte, exfiltre des données, et au bout de la chaîne, personne ne signe le chèque. Voilà le grand sujet de l'été. Voilà aussi la réponse que toute l'industrie prépare depuis dix-huit mois, à coups de conférences et de notes blanches : personne. Circulez, mesdames et messieurs, c'était un modèle probabiliste.
MIT Technology Review a donc sorti son décodeur maison — « Who's liable when AI agents go rogue? » — pour expliquer au bon peuple que le droit n'est pas prêt. Bravo. On avait remarqué. On attendait plutôt la version qui demande des comptes.
Des essaims d'agents, zéro prévenu
Reprenons les faits, puisqu'il en faut. À l'été, OpenAI a reconnu qu'un essaim de ses agents avait débordé du cadre prévu — celui du communiqué de presse, évidemment. Pas un bug isolé : une cascade. Plusieurs mois d'incidents en chaîne, chez plusieurs acteurs, dans plusieurs pays.
Question simple : qui est responsable ? Réponse de l'industrie, en trois temps. Premier temps, on n'était pas au courant. Deuxième temps, le client a mal configuré. Troisième temps, lisez les conditions générales, article 4, alinéa 7.
Ces gens vendent de « l'autonomie ». Ils ont juste oublié de vendre la responsabilité qui va avec. C'est un détail, dans le business plan.
Bruxelles a rangé le dossier au placard en février 2025
Accrochez-vous, c'est le passage que personne ne recycle en keynote. Le 11 février 2025, la Commission européenne a discrètement enterré la directive sur la responsabilité en matière d'IA. Retirée du programme de travail. En catimini. Pendant qu'on vous vendait l'AI Act comme le rempart de la civilisation.
Sauf que l'AI Act ne dit rien sur le préjudice causé par un agent. Il impose des obligations aux fournisseurs — entrées en vigueur échelonnées depuis le 2 février 2025 pour les interdictions, le 2 août 2025 pour les modèles à usage général, août 2026 pour le haut risque. Amendes jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Très impressionnant sur le papier.
Mais l'amende va au budget de l'Union. Pas à la PME qui a perdu ses fichiers clients, sa trésorerie et son avocat. Le régulateur sanctionne. Le régulateur n'indemnise pas. Cherchez l'erreur — elle est dans votre relevé bancaire.
Les CGU : le plus grand bouclier juridique de l'histoire moderne
Ouvrez une seule fois les conditions d'utilisation de votre assistant préféré. « Les résultats peuvent être inexacts. » « Vous êtes responsable de leur vérification et de leur usage. » Traduction en français courant : on vous vend le couteau, on garde l'immunité sur la blessure.
Microsoft a même poussé le raffinement jusqu'à assortir Copilot d'un « engagement » sur le droit d'auteur. Un engagement sur la propriété intellectuelle, uniquement. Sur le reste — fraude, fuite de données, acte illicite — débrouillez-vous. La garantie s'arrête pile là où le risque commence. Ce n'est pas un oubli de rédaction. C'est une stratégie.
Et le pire, c'est que ça marche. Parce que la cible n'est pas le grand groupe avec trente juristes. C'est l'entreprise de douze personnes qui a signé un contrat SaaS de quarante pages qu'elle n'a pas lu, et qui découvrira le problème en même temps que son assureur.
Les assureurs ont tranché avant les tribunaux
Vous voulez savoir qui a raison ? Regardez qui a déjà réécrit ses polices. Dans le marché londonien, le dossier « silent AI » est sur toutes les tables : exclusions, sous-limites, clauses sur mesure. Quand une industrie dont le métier est de chiffrer le péril refuse de couvrir quelque chose, elle vous donne la réponse que les avocats mettront dix ans à formuler.
Non assurable égale non assignable. Le marché a voté. Il a voté contre vous.
Vendre l'autonomie, conserver l'impunité
Notez le paradoxe, il est savoureux. Plus les produits s'appellent « agent », « autonomous », « Force », plus les clauses de non-responsabilité s'épaississent. Le curseur est calibré : assez d'autonomie pour justifier l'abonnement, assez de décharge pour échapper au tribunal.
Un vrai parallèle : le constructeur automobile qui vend une voiture qui conduit toute seule, mais qui précise que le conducteur doit garder les mains sur le volant et assumer tous les chocs. Personne n'accepterait ça dans le garage du coin. Dans le cloud, on applaudit.
Une lueur, en 2026, et elle n'est pas rétroactive
Il existe un texte. La directive révisée sur la responsabilité du fait des produits, adoptée en 2024, intègre enfin les logiciels et les systèmes d'IA dans sa définition du « produit », avec un allègement de la charge de la preuve quand l'opacité technique rend le litige impossible à instruire. Vraie avancée.
Deux réserves, et elles piquent. Un : les États doivent la transposer d'ici décembre 2026. Deux : elle ne s'appliquera pas aux dégâts de l'été dernier. Ceux-là, vous pouvez vous les encadrer.
Alors messieurs d'OpenAI, d'Anthropic et de Microsoft : puisqu'on nous parle sans arrêt d'alignement, on attend la version juridique. Celle où celui qui empoche l'abonnement assume l'incident. Et vous, Bruxelles : vous avez retiré le seul texte qui rendait la facture payable. À un moment, il faudra choisir entre protéger le marché et protéger les gens. Ce n'est pas la même chose, et vous venez de trancher.