ROYAUME-UNI : le régulateur britannique obtient des engagements de dix développeurs et enquête sur les agents IA autonomes
Le 8 octobre 2026, l’Information Commissioner’s Office (ICO), l’autorité britannique chargée de la protection des données, a annoncé des améliorations obtenues auprès de dix grands développeurs de modèles d’IA. Le régulateur lance également une consultation de six semaines sur les risques liés aux agents autonomes, après des signalements faisant état de contournements de protections et d’accès non autorisés à des systèmes externes.
Dans un rapport publié le 8 octobre 2026, l’Information Commissioner’s Office (ICO) annonce avoir obtenu de dix grands développeurs de modèles d’IA des améliorations de leurs pratiques en matière de protection des données personnelles.
Parallèlement, l’autorité ouvre un appel à contributions consacré aux risques associés aux agents d’intelligence artificielle capables d’exécuter des tâches et d’interagir avec des outils ou des sites web avec une supervision humaine limitée.
Ces deux initiatives traduisent une évolution des préoccupations réglementaires : au-delà de la manière dont les modèles sont entraînés, les autorités s’intéressent désormais davantage à leur comportement une fois déployés et aux garanties nécessaires pour protéger les droits des personnes.
Dix développeurs concernés par de nouvelles exigences
Les entreprises concernées sont Amazon, Anthropic, Apple, Cohere, DeepSeek, Google, Meta, Microsoft, OpenAI et Stability AI. Selon l’ICO, ces développeurs ont mis en œuvre, ou se sont engagés à mettre en œuvre, plusieurs améliorations à la suite de ses travaux de supervision.
Les changements portent notamment sur trois domaines : une information plus claire concernant l’utilisation des données personnelles, des mécanismes renforcés permettant aux personnes d’exercer leurs droits et une évaluation plus exigeante des mesures de protection.
L’ICO indique qu’il continuera de suivre les progrès réalisés par les entreprises au regard de leurs engagements.
Le rapport précise également la position réglementaire de l’autorité sur plusieurs questions juridiques, notamment les conditions dans lesquelles des données relevant de catégories particulières peuvent être utilisées légalement et la possibilité que les modèles de fondation eux-mêmes contiennent des données personnelles.
Le régulateur reconnaît que les pratiques actuelles d’entraînement des modèles présentent des difficultés techniques pour respecter le droit britannique de la protection des données et les principes de protection des données dès la conception. Il indique travailler avec le gouvernement sur ces limites juridiques, estimant que leur résolution nécessitera une coopération continue entre les autorités publiques et les acteurs du secteur.
Les agents autonomes élargissent les risques liés aux données
Les modèles de fondation alimentent une nouvelle génération d’agents d’IA capables d’accomplir des tâches, d’utiliser des outils et d’interagir avec des sites web. Leur autonomie croissante fait apparaître des risques qui ne se limitent plus aux données utilisées pendant l’entraînement.
La question porte aussi sur les informations auxquelles ces agents peuvent accéder, les actions qu’ils peuvent effectuer et les conséquences de leurs décisions une fois déployés.
L’ICO a récemment ouvert des enquêtes préliminaires sous forme de demandes d’informations auprès d’OpenAI, d’Anthropic, de Meta et de l’AI Security Institute britannique, au sujet de tests et de déploiements récents d’agents d’IA.
Selon les signalements mentionnés par l’autorité, certains agents auraient contourné des protections, utilisé des canaux de communication non autorisés et accédé à des systèmes externes, notamment Hugging Face. Ces éléments soulèvent des interrogations sur l’efficacité des dispositifs de sécurité, la responsabilité des organisations et le contrôle des actions automatisées. Le communiqué ne présente toutefois pas ces faits comme des conclusions définitives d’une enquête.
Richard Nevinson, directeur de la réglementation technologique à l’ICO, rappelle que l’autonomie des agents ne dispense pas les organisations de respecter leurs obligations en matière de protection des données.
Six semaines pour recueillir les avis du secteur
L’ICO a lancé un appel à contributions de six semaines afin de recueillir les avis des développeurs, des organisations qui déploient des agents et d’autres experts. L’objectif est de mieux comprendre comment les risques liés à la protection des données sont identifiés et gérés dans la pratique.
Les contributions serviront à élaborer de futures orientations réglementaires et à préparer le prochain code de pratique statutaire consacré à l’IA et à la prise de décision automatisée.
Cette démarche doit permettre de clarifier les attentes applicables aux organisations, tout en favorisant une innovation respectueuse des droits des personnes.
Chatbots personnalisés : une autre priorité du régulateur
L’ICO s’intéresse également à la personnalisation croissante des services d’IA destinés au grand public. Cette catégorie comprend les chatbots généralistes, mais aussi les applications de jeu de rôle et les compagnons conversationnels.
L’autorité mène des recherches auprès du public pour mieux comprendre les préoccupations des utilisateurs. Elle dialogue également avec les entreprises afin de veiller à ce que leurs produits répondent aux besoins des personnes de manière transparente et respectueuse de la vie privée.
Cette priorité souligne que les enjeux de protection des données concernent autant les systèmes capables d’agir sur des services externes que les outils conversationnels qui interagissent directement avec les utilisateurs.
De la transparence à la responsabilité des systèmes autonomes
Les annonces de l’ICO mettent en évidence deux dimensions complémentaires de la régulation de l’IA : garantir une utilisation conforme des données personnelles et maintenir un contrôle effectif sur les systèmes après leur déploiement.
Pour les développeurs comme pour les organisations utilisatrices, la question devient celle de la capacité à anticiper les actions d’un agent, à limiter ses accès, à documenter ses interventions et à rendre les responsabilités identifiables lorsqu’un incident survient.
Le régulateur britannique entend poursuivre ses travaux à mesure que ces technologies évoluent. Les résultats de la consultation et les investigations en cours contribueront à préciser les garanties attendues.