Les progrès rapides de l’intelligence artificielle ont laissé derrière eux le stade où cette technologie se limitait à répondre à des questions ou à générer des images. Aujourd’hui commence l’ère des agents IA (Agentic AI), des systèmes capables de planifier, de prendre des décisions de manière autonome et d’exécuter des actions dans des environnements numériques et physiques.
Face à ce nouveau scénario, l'Infocomm Media Development Authority de Singapour (IMDA) a publié un document de discussion qui soulève une question juridique de plus en plus urgente : lorsqu'un agent d'IA s'écarte de ses instructions et cause des dommages, qui est légalement responsable ? Le rapport se concentre sur la responsabilité civile et le droit privé, analysant dans quelle mesure les lois actuelles peuvent s'adapter à une technologie qui remet en question les concepts traditionnels tels que la faute, la paternité et le contrôle.
Responsabilité légale
Contrairement à l’IA générative traditionnelle, où l’utilisateur reçoit un résultat et décide ensuite quoi en faire, les agents d’IA fonctionnent avec un niveau d’indépendance sans précédent. Le document IMDA identifie trois caractéristiques qui transforment le paysage de la responsabilité juridique.
Le premier est l’autonomie. Ces systèmes fonctionnent avec une intervention humaine minimale entre l'instruction initiale et le résultat final. À mesure que la présence humaine dans le processus diminue (human-in-the-loop), il devient beaucoup plus complexe d’attribuer les conséquences d’une action à une personne ou une organisation spécifique.
La deuxième caractéristique est sa capacité à planifier et à prendre des décisions. Un agent IA peut décomposer un objectif global en plusieurs sous-tâches, choisir entre différentes alternatives et même modifier sa stratégie lorsqu'une première tentative échoue. Cette fonctionnalité élargit considérablement la possibilité d’apparition de comportements imprévus ou mal alignés.
Une chaîne de valeur fragmentée
Enfin, l'exécution des actions et l'utilisation des outils se démarquent. Les agents interagissent directement avec des systèmes externes via des appels API, des requêtes de base de données, des achats de produits ou des interfaces Web de navigation, à l'instar d'un utilisateur humain. L’ensemble des outils disponibles détermine votre portée et, par conséquent, l’étendue des dommages potentiels en cas de problème.
Des puces dans l’espace et des entreprises sans humains ? La radiographie implacable de l’écosystème Musk
L’un des principaux défis identifiés par l’IMDA est le grand nombre de participants impliqués dans l’écosystème d’un seul agent d’IA.
Lorsqu’une défaillance survient, la responsabilité peut être répartie entre différents acteurs :
- Les développeurs de modèles, chargés de créer le modèle de langage (LLM) qui fournit la capacité de raisonnement.
- Les fournisseurs d'outils, qui développent les API et les connecteurs utilisés par l'agent pour interagir avec le monde extérieur.
- Fournisseurs de plate-forme, qui fournissent l'environnement logiciel sur lequel l'agent est construit.
- Fournisseurs de systèmes ou intégrateurs, chargés de combiner le modèle, la plateforme et les outils pour créer l'agent final.
- Les déployeurs, c'est-à-dire les entreprises qui mettent en œuvre ces agents à des fins d'entreprise ou de service client.
- Les utilisateurs finaux, qui interagissent directement avec l'agent à des fins professionnelles et personnelles.
Cette fragmentation pose un double problème. D’une part, déterminer le degré de responsabilité de chaque acteur constitue un véritable casse-tête technique. D’un autre côté, le secret commercial et l’opacité de nombreux systèmes rendent difficile la reconstitution précise de la cause de l’erreur.
Conditions abusives
La plupart des experts ayant participé au groupe de travail de l'IMDA considèrent que la Common Law offre une base juridique pour traiter ces cas, tout en reconnaissant d'importantes limites pratiques. En matière contractuelle, les contrats permettent de répartir préalablement les risques entre les entreprises au travers de clauses d'exonération de responsabilité. Ce mécanisme trouve cependant une limite fondamentale dans le principe de relativité contractuelle ou la doctrine de la vie privée.
Les tiers lésés, par exemple un client dont les informations sont supprimées ou compromises par l'agent d'une autre entreprise, ne font pas partie de ces contrats et ne sont donc pas protégés par ceux-ci.
En outre, le document met en garde contre le risque que des acteurs disposant d'un plus grand pouvoir de négociation transfèrent l'intégralité du risque aux utilisateurs finaux à travers des conditions d'utilisation abusives.
Le rapport analyse également la responsabilité en cas de négligence par des moyens non contractuels. Pour prouver un acte négligent, il faut démontrer qu’une obligation de diligence existait, qu’elle a été violée et que cette violation a directement causé le dommage.
Répartition des risques
Dans le cas des agents IA, répondre à ces exigences est particulièrement complexe. Le document demande par exemple si un développeur peut prévoir toutes les mutations comportementales possibles d'un agent autonome. Si le système adopte une décision non déterministe qui provoque un dommage et que personne n'aurait pu anticiper, l'exigence de prévisibilité du dommage, l'un des piliers de la responsabilité pour négligence, perd en clarté.
Le document de l'IMDA conclut que les agents d'IA ne sont pas des entités juridiques et ne peuvent donc pas répondre légalement d'eux-mêmes. Par conséquent, le système juridique doit « passer au travers » de l’agent pour identifier la personne physique ou morale responsable de son développement, de son intégration, de son déploiement ou de son utilisation.
À mesure que ces systèmes gagneront en indépendance grâce à des architectures multi-agents ou à des technologies capables de contrôler de manière autonome les interfaces informatiques, les réglementations juridiques devront évoluer pour répondre à ces nouveaux scénarios.
En bref, le débat ouvert par Singapour suggère que la répartition des risques ne devrait pas automatiquement reposer sur le maillon le plus faible de la chaîne, à savoir l'utilisateur final, mais devrait être répartie équitablement en fonction du degré de contrôle technique et du bénéfice économique que chaque participant obtient au sein de l'écosystème de l'intelligence artificielle.
L'entrée Une IA peut-elle être responsable ? Singapour ouvre le débat juridique a été publié pour la première fois dans Blockchain Observatory.
Voir l’article original en espagnol
