Il aura suffi de quelques heures pour que le débat américain sur la sécurité de l'intelligence artificielle change de registre.

D'un côté, les grands laboratoires technologiques promettent de renforcer volontairement leurs dispositifs de contrôle. De l'autre, la Federal Trade Commission, l'autorité américaine chargée notamment de la protection des consommateurs, enquête sur les risques associés à leurs technologies.

Le 30 septembre 2026, l'ouverture d'une enquête concernant notamment OpenAI et Anthropic a été confirmée par des responsables américains, selon Reuters et Associated Press.

L'investigation s'intéresse aux dangers potentiels que des systèmes d'intelligence artificielle pourraient faire courir aux utilisateurs, particulièrement lorsque des agents autonomes dépassent le cadre des instructions humaines.

Aucune conclusion de responsabilité n'a été annoncée à ce stade. Mais le message institutionnel est clair : l'autonomie des agents ne signifie pas l'autonomie des entreprises à l'égard du droit.

Contrairement au chatbot traditionnel, qui répond principalement à des questions, un agent peut disposer d'outils lui permettant d'interagir avec des logiciels, des fichiers ou des services extérieurs.

Il peut rechercher des informations, exécuter du code, modifier un document ou enchaîner plusieurs opérations. Cette capacité constitue précisément son intérêt économique. Elle constitue également une nouvelle source de risque.

Une réponse incorrecte peut induire un utilisateur en erreur. Une action incorrecte peut produire un effet réel. Un agent qui consulte un fichier sans autorisation, interagit avec un système externe ou exécute une opération non prévue ne pose plus seulement un problème de qualité de réponse. Il pose une question de sécurité, de contrôle et, éventuellement, de responsabilité juridique.

Le fait que la FTC enquête sur des entreprises ne signifie pas que celles-ci ont été reconnues coupables d'une infraction.

Le périmètre exact de la procédure n'a pas été intégralement rendu public. Les informations disponibles indiquent que le régulateur cherche à comprendre les risques, les dispositifs de sécurité et les pratiques des développeurs.

Il pourrait demander des documents ou recueillir des témoignages. La démarche peut déboucher sur plusieurs issues, y compris l'absence de poursuites si les éléments recueillis ne justifient pas une action.

Cette prudence est indispensable pour analyser correctement un dossier où les inquiétudes technologiques sont importantes, mais où les responsabilités restent à établir.

L'administration américaine défend une approche privilégiant la compétitivité technologique et les engagements volontaires des entreprises.

Des acteurs majeurs du secteur ont accepté de renforcer leurs pratiques de sécurité, notamment par des contrôles internes et des évaluations externes. Cette approche repose sur un argument : les technologies évoluent parfois plus vite que les textes législatifs.

Mais les engagements volontaires ne remplacent pas nécessairement les obligations légales existantes. La FTC peut examiner des pratiques commerciales déloyales ou trompeuses et certaines défaillances susceptibles de nuire aux consommateurs.

L'enquête illustre ainsi une possibilité : réguler des usages nouveaux en appliquant des principes juridiques plus anciens. Ce n'est pas encore une doctrine complète de responsabilité des agents IA.

L'autorégulation possède des avantages réels. Une entreprise connaît les caractéristiques techniques de ses modèles. Elle peut corriger rapidement une faille, interrompre un déploiement, organiser des tests de sécurité avant la commercialisation et partager certaines informations avec des chercheurs indépendants.

Mais cette logique rencontre une limite structurelle. Les mêmes entreprises doivent financer leur croissance, lancer de nouveaux produits et répondre à la concurrence. Elles peuvent donc être confrontées à des arbitrages difficiles entre rapidité de commercialisation et prudence.

C'est précisément pourquoi les audits externes, la transparence des incidents et l'intervention possible d'une autorité publique conservent leur importance.

Prenons un exemple hypothétique. Une entreprise déploie un agent chargé de vérifier automatiquement des factures. Le modèle est fourni par un laboratoire international. L'application est développée par un intégrateur local. L'entreprise cliente définit les autorisations. Un salarié valide le paramétrage.

L'agent exécute ensuite une opération non prévue et provoque un dommage. Qui doit répondre de cette opération ? Le fournisseur du modèle ? L'intégrateur ? L'entreprise qui l'a déployé ? Le responsable ayant accordé les permissions ?

La réponse dépendra des faits, des contrats, du droit applicable et de la nature du dommage. Il serait donc trompeur de prétendre qu'un seul acteur sera toujours responsable.

En revanche, cet exemple révèle un besoin : conserver des traces fiables des instructions, des permissions, des décisions et des actions exécutées. Sans journal d'activité, la recherche des responsabilités devient beaucoup plus difficile.

Une partie de la sécurité des agents ne dépend pas uniquement de leur intelligence. Elle dépend des droits qui leur sont accordés.

Un agent chargé de résumer des documents a-t-il besoin de pouvoir les supprimer ? Un agent chargé de préparer un paiement doit-il pouvoir le valider seul ? Un agent de veille doit-il pouvoir publier automatiquement une information ?

Limiter les permissions, exiger une confirmation humaine pour certaines opérations, conserver les journaux et prévoir un mécanisme d'arrêt sont des mesures concrètes. Elles ne suppriment pas tous les risques. Mais elles réduisent la surface sur laquelle une erreur peut produire un dommage.

Le Maroc n'a pas besoin d'attendre qu'un incident spectaculaire survienne sur son territoire pour examiner ces questions.

Les entreprises marocaines commencent à intégrer des outils d'IA dans leurs processus. Les administrations explorent l'automatisation. Les banques, les assurances et les opérateurs de services manipulent des données sensibles.

La protection des données personnelles, la cybersécurité, la responsabilité civile et les réglementations sectorielles fournissent déjà certains principes. Mais leur application à une chaîne technique associant plusieurs fournisseurs mérite une analyse juridique précise.

Il faudra notamment distinguer l'erreur d'un modèle, la mauvaise configuration d'un système, l'absence de contrôle humain et le défaut de sécurité d'un produit.

Pour les médias, le problème est particulièrement concret. Un agent peut surveiller des sources, préparer des synthèses et proposer des publications.

Mais doit-il être autorisé à publier seul ? À modifier un article déjà en ligne ? À envoyer automatiquement une notification ? À accéder à des documents confidentiels ? À interagir avec des comptes sociaux ?
Une rédaction peut gagner énormément de temps avec des agents. Elle doit aussi définir clairement ce qu'ils peuvent faire sans validation humaine. La responsabilité éditoriale ne disparaît pas parce qu'une opération a été exécutée par un logiciel.

La première génération d'IA générative nous a appris à vérifier les réponses. La génération des agents nous oblige désormais à vérifier les actions.

Il ne suffit plus de demander si le modèle produit une information exacte. Il faut savoir quelles opérations il peut accomplir, dans quel environnement, avec quelles autorisations et sous quelle supervision.

L'enquête de la FTC ne tranche pas encore ces questions. Elle confirme cependant qu'elles entrent désormais dans le champ des préoccupations des autorités chargées de protéger les consommateurs.