Qui est juridiquement responsable quand un agent IA se trompe ?

Version synthétique — lecture ~6 min · Source : https://iagent.agency/blog/responsabilite-juridique-agent-ia

Devis erroné, information fausse transmise à un client, donnée personnelle mal utilisée : que se passe-t-il quand un agent IA commet une erreur ? La réponse est plus nuancée qu'« c'est la faute de l'IA ». L'usage de l'IA ne fait pas disparaître les responsabilités existantes ; il oblige à mieux définir rôles, autorisations et contrôles.

Autonomie technique n'est pas responsabilité juridique

Un agent peut enchaîner des tâches sans intervention humaine permanente, mais il n'est ni un salarié ni une personne juridique à qui transférer des obligations. Quand une action cause un préjudice, on examine ceux qui ont conçu, fourni, configuré et utilisé le système. Entrent en jeu le type d'action, le rôle de chacun, les instructions données, les autorisations accordées, les contrôles prévus, les défaillances techniques éventuelles, les obligations contractuelles et les conséquences subies.

Exemple : un agent récupère une mauvaise référence produit et émet un devis au mauvais prix. Il faut se demander si les données étaient à jour, si les instructions étaient suffisantes, si une vérification était prévue avant envoi, si le fournisseur a livré un système défaillant, et si le devis est parti automatiquement ou après validation.

Les acteurs concernés

• Le fournisseur de la technologie : fonctionnement, sécurité, documentation, limites connues, obligations des systèmes à haut risque. Sa responsabilité peut être recherchée si un défaut ou un manquement est établi.
• L'entreprise utilisatrice, qualifiée de « déployeur » par le règlement européen sur l'IA. Elle doit définir objectifs, missions, autorisations, procédures de contrôle, superviseurs et gestion des incidents. Elle ne peut pas tout renvoyer au fournisseur.
• Les collaborateurs chargés de superviser : on évite de tenir quelqu'un pour responsable d'une décision qu'il n'a ni les informations, ni les compétences, ni l'autorité de contrôler.
• Les intégrateurs et prestataires, dont les prestations, niveaux de service, sécurité, procédures de correction et responsabilités doivent être fixés par contrat. Les rôles du règlement IA et ceux du RGPD ne se confondent pas automatiquement.

Ce que dit le droit

Le cadre existait avant les agents. Les articles 1240 et 1241 du Code civil obligent à réparer le dommage causé par sa faute, sa négligence ou son imprudence. La responsabilité contractuelle dépend du contrat avec le fournisseur (fonctionnalités, engagements de service, sécurité, limites de responsabilité, maintenance, traitement des données) : un abonnement ne transfère pas automatiquement les risques. Côté produits défectueux, la directive européenne 2024/2853 modernise le traitement des logiciels et vise les produits mis sur le marché ou en service après le 9 décembre 2026, sous réserve de transposition.

RGPD : qui répond des données ?

Dès qu'un agent accède à des données de clients, salariés, fournisseurs ou prospects, le RGPD s'applique. L'entreprise, qui décide des finalités et des moyens, est en général responsable de traitement : base légale, information des personnes, minimisation, durées de conservation, sécurité, exercice des droits. Le fournisseur technique agit souvent comme sous-traitant, sous un contrat adapté. Utiliser un service d'IA ne dispense donc pas l'entreprise de ses obligations : elle doit savoir quelles données sont nécessaires, qui y accède, quels services techniques interviennent, comment elles sont conservées et éventuellement transférées.

Les ressources humaines, zone sensible

L'annexe III du règlement européen classe parmi les systèmes à haut risque certains outils de recrutement, de tri et d'évaluation de candidats, de décisions de promotion ou de licenciement, d'attribution de tâches selon des traits personnels et de surveillance des performances. Cela ne signifie pas que tout agent RH est à haut risque : la classification dépend de la finalité. Au 31 octobre 2026, le calendrier européen prévoit une application différée au 2 décembre 2027 des principales obligations pour ces systèmes. Anticiper dès maintenant est prudent.

Faut-il toujours valider ?

Non. Tout dépend de la nature de la décision. En autonomie encadrée, un agent peut classer un document, préparer un compte rendu, organiser un dossier, extraire des informations, rédiger un brouillon ou mettre à jour des données non sensibles. En revanche, valider un devis important, engager une dépense, modifier des données sensibles, décider d'un sujet concernant un salarié, refuser un candidat, envoyer une communication engageante ou valider un contrat appelle un contrôle. Le RGPD prévoit en outre des garanties pour les décisions individuelles fondées exclusivement sur un traitement automatisé et produisant des effets significatifs. Et la supervision ne doit pas être une formalité : le contrôleur doit comprendre, contester, et pouvoir ne pas suivre le résultat.

Sept réflexes pour réduire le risque

1. Définir une mission claire par agent.
2. Limiter les accès au strict nécessaire.
3. Prévoir des niveaux d'autonomie : préparation, exécution encadrée, validation.
4. Conserver la traçabilité des missions, actions et validations.
5. Faire contrôler les opérations sensibles par des personnes compétentes.
6. Encadrer les prestataires par contrat.
7. Former ceux qui utilisent ou supervisent les agents.

Le rôle d'iAgent

iAgent prépare des collaborateurs numériques spécialisés : un agent commercial n'a pas les mêmes missions qu'un agent administratif ou RH. Les connexions aux logiciels se configurent selon les besoins réels pour éviter les accès généralisés. Un suivi des tâches met en attente les opérations qui exigent une validation humaine sans bloquer les missions indépendantes, et regroupe les points de décision dans un rapport quotidien. Desktop Commander et son navigateur intégré permettent de travailler dans les logiciels compatibles selon les autorisations. L'architecture locale et cloud aide à répartir les traitements selon les contraintes de confidentialité, sans dispenser d'identifier les services externes et les transferts de données. La valeur n'est pas de supprimer la responsabilité humaine ou juridique, mais d'organiser missions, accès et validations.

Exemple : trois agents dans une PME

Un agent administratif classe et prépare des documents en exécution encadrée. Un agent commercial prépare devis et relances, avec validation avant tout engagement. Un agent RH aide à préparer les dossiers de recrutement : assistance et analyse, décision humaine. Le dirigeant fixe les limites : l'agent commercial ne peut pas engager l'entreprise sur une offre sans accord, et le recrutement reste décidé par des personnes compétentes.

Les questions fréquentes en bref

Un agent IA ne peut pas être poursuivi : on recherche les acteurs humains et organisations impliqués. L'entreprise n'est pas forcément responsable de toutes les défaillances, mais elle garde ses obligations d'utilisateur professionnel. Le fournisseur répond de ses défauts ou manquements sans effacer la responsabilité de l'utilisateur. Toutes les actions n'ont pas à être validées ; les sensibles, oui. Le RGPD s'applique dès que des données personnelles sont traitées, et le recrutement par IA doit aussi respecter le droit du travail et la non-discrimination.

À retenir

L'autonomie technique de l'IA doit toujours s'accompagner d'une organisation responsable : rôles clairs, accès limités, validations et traçabilité.