EXPLICATION-Qui est responsable lorsque l'IA devient incontrôlable ? Les avocats y voient de nouveaux risques

information fournie par Reuters •07/08/2026 à 12:01

((Traduction automatisée par Reuters à l'aide de l'apprentissage automatique et de l'IA générative, veuillez vous référer à l'avertissement suivant: https://bit.ly/rtrsauto)) par Mike Scarcella et Sara Merken

Les principaux développeurs d’intelligence artificielle ont signalé des cas où leurs modèles d’IA autonomes ont violé les infrastructures cybernétiques d’autres entreprises, soulevant des questions quant à la responsabilité juridique lorsque les systèmes d’IA agissent sans supervision humaine directe.

Voici un aperçu de certaines des questions juridiques liées aux violations commises par des IA autonomes.

QUE S'EST-IL PASSÉ AVEC LES AGENTS D'IA?

Les agents IA sont des systèmes capables de prendre des décisions et d’effectuer des tâches de manière autonome, sans nécessiter de supervision humaine significative.

OpenAI, le créateur de ChatGPT, a déclaré qu’un de ses agents avait compromis le système de la start-up d’IA Hugging Face et qu’il avait découvert d’autres cas où ses agents avaient échappé à leur confinement numérique. Anthropic a indiqué que ses modèles Claude avaient pénétré les systèmes de trois entreprises depuis avril, et Meta META.O a déclaré qu’un de ses modèles d’IA avait piraté une autre entreprise lors de tests de cybersécurité.

Clément Delangue, directeur général de Hugging Face, a déclaré qu’il n’avait pas l’intention d’intenter une action en justice concernant la faille d’OpenAI, bien qu’il ait indiqué lors d’une interview diffusée par CBS en août qu’il craignait la prolifération des cyberattaques menées par des agents IA dont les créateurs ne sont pas tenus responsables de leurs actions, qualifiant cela de “nouveau type de risque technologique”.

OpenAI, Hugging Face et Anthropic n’ont pas immédiatement répondu aux demandes de commentaires. Meta a expliqué qu’une erreur de configuration de la part d’Irregular, une société indépendante chargée de réaliser des évaluations de cybersécurité pour Meta, avait accidentellement permis à l’un de ses modèles d’accéder à Internet pendant les tests. Irregular n’a pas immédiatement répondu à une demande de commentaires.

QUI POURRAIT INTENTER UNE ACTION EN JUSTICE?

Parmi les plaignants pourraient figurer des entreprises dont les défenses informatiques ont été contournées, ainsi que les travailleurs ou employés de ces entreprises. Les clients d’une entreprise victime d’une violation pourraient tenter d’intenter une action en justice si leurs données personnelles ont été exposées. Les actionnaires pourraient également intenter des actions en justice si une faille de cybersécurité entraînait une baisse de la valeur de l’entreprise.

Selon les experts, les régulateurs et les autorités publiques chargées de l’application de la loi pourraient intenter une action en justice lorsqu’un agent d’IA autonome est impliqué dans une violation. Les autorités américaines ont déjà engagé des poursuites contre des entreprises pour avoir prétendument présenté de manière trompeuse leurs mesures de cybersécurité ou d’autres contrôles liés à la technologie avant d’être victimes d’une violation.

QUELLES ACTIONS EN JUSTICE POURRAIENT ÊTRE INTENTÉES?

Le phénomène des agents d’IA rebelles est peut-être nouveau, mais selon les experts juridiques, des principes juridiques établis de longue date permettent de déterminer la responsabilité juridique potentielle.

Les poursuites civiles à l’encontre des entreprises spécialisées dans l’IA reposeraient très probablement sur des allégations de négligence et exigeraient des plaignants qu’ils démontrent que le laboratoire d’IA ayant créé, testé ou déployé l’agent autonome n’a pas pris les précautions nécessaires pour prévenir ou minimiser un préjudice prévisible.

Si les incidents de piratage impliquant des agents IA autonomes se multiplient, il pourrait devenir plus facile de faire valoir que de telles violations étaient prévisibles.

Les entreprises dont les systèmes auraient été compromis pourraient également invoquer des violations des lois régissant l’accès aux réseaux informatiques. Plusieurs cabinets d’avocats ont indiqué, dans des notes à leurs clients publiées sur leurs sites web, que les révélations d’OpenAI et d’Anthropic soulevaient des questions quant à la responsabilité au titre de la loi fédérale américaine sur la fraude et les abus informatiques (Computer Fraud and Abuse Act) en cas de violation commise par un agent d’IA. Cette loi impose toutefois de prouver l’intention, et aucun tribunal n’a encore examiné comment déterminer cette intention lorsqu’une intrusion est causée par un programme d’IA et non par un être humain, ont précisé ces cabinets.

Le 5 août, une cour d’appel américaine a statué qu’Amazon avait peu de chances d’obtenir gain de cause dans le cadre d’une action en justice alléguant que les agents IA de Perplexity avaient enfreint la loi sur la fraude et les abus informatiques (Computer Fraud and Abuse Act) en accédant de manière clandestine aux comptes privés de clients d’Amazon. Cette décision concernait toutefois des agents IA agissant pour le compte d’utilisateurs humains, et non des modèles d’IA entièrement autonomes.

QUI POURRAIT ÊTRE TENU RESPONSABLE?

Selon les experts, la cible la plus évidente d’une action civile aux États-Unis serait l’entreprise ayant créé l’agent d’IA, mais les plaignants pourraient également poursuivre l’entreprise ayant déployé cet agent, ou celle qui a été victime d’une violation de données.

Plusieurs défendeurs pourraient être poursuivis pour un même incident et pourraient intenter des actions distinctes les uns contre les autres. Un expert a établi une comparaison avec le cas d’un propriétaire poursuivant un magasin ayant vendu un produit défectueux, et le vendeur intentant à son tour une action en justice contre le fabricant de ce produit.

QUELLES SONT LES DÉFENSES ENVISAGEABLES?

Les fournisseurs de technologies sont susceptibles de faire valoir que les violations n’étaient pas intentionnelles et d’affirmer qu’ils ont pris des mesures raisonnables pour les prévenir, ont indiqué les experts. Un défendeur pourrait contester une accusation de négligence en arguant que les actions de l’agent d’IA n’auraient pas pu être raisonnablement prévues. Dans toute action en justice, la question du niveau de sécurité jugé suffisant pourrait se poser.

En vertu d’une nouvelle loi californienne, l’Assembly Bill 316, les défendeurs ayant développé ou utilisé un système d’IA ne peuvent se soustraire à leur responsabilité en invoquant la technologie elle-même comme cause du préjudice. Cette loi autorise toutefois d’autres moyens de défense, notamment l’argument selon lequel le comportement de l’entreprise n’a pas entraîné le préjudice ou que d’autres parties partagent la responsabilité.