L’autonomie d’un agent n’exonère pas de responsabilité : la déclaration conjointe du DRCF sur l’économie agentique

Points clés

• Le DRCF — CMA, FCA, ICO et Ofcom — a publié une déclaration conjointe le 30 octobre 2026 confirmant que les cadres juridiques existants s’appliquent aux agents IA personnels, notamment concurrence, protection des consommateurs et des données, sécurité en ligne, services financiers, paiements et cybersécurité.
• La règle tient en une phrase : « L’autonomie d’un agent IA ne diminue pas la responsabilité des organisations qui le déploient de respecter le droit applicable et la réglementation pertinente. » Les régulateurs ajoutent qu’ils « n’hésiteront pas à utiliser leurs pouvoirs » lorsque des comportements présentent un risque de préjudice.
• En droit britannique de la concurrence et de la consommation, les amendes peuvent atteindre 10 % du chiffre d’affaires mondial. Les orientations révisées de la CMA rendent l’entreprise responsable des actes de son agent « de la même manière que pour un salarié », même si un tiers l’a conçu.
• La tarification est le cas limite explicitement nommé. La note de Paul, Weiss interprète la position de la CMA ainsi : « les entreprises restent responsables des résultats de tarification produits par leur agent IA ». Les agents d’achat et de devis sont directement concernés.
• Six questions doivent être résolues avant le lancement : visibilité, autorité, utilisation des données, intérêts commerciaux, responsabilité et recours. Chacune correspond à un contrôle de construction : information, plafonds d’autorité, journaux d’audit, supervision humaine et répartition contractuelle avec les fournisseurs.

Le 30 octobre 2026, les quatre régulateurs du Digital Regulation Cooperation Forum — Competition and Markets Authority, Financial Conduct Authority, Information Commissioner's Office et Ofcom — ont publié une déclaration sur la protection des personnes et des entreprises dans une économie agentique (PDF). Ce document d’environ une page contient une phrase déterminante : « Nous souhaitons préciser que les cadres juridiques et réglementaires existants s’appliquent aux agents IA personnels, y compris le droit de la concurrence, de la consommation et de la protection des données, la sécurité en ligne, les services financiers, les paiements et la cybersécurité… L’autonomie d’un agent IA ne diminue pas la responsabilité des organisations qui le déploient. » En cas de soupçon raisonnable d’infraction présentant un risque de préjudice, les quatre régulateurs « n’hésiteront pas à utiliser leurs pouvoirs ».

Tout déployeur en production est concerné : confier une décision à un système autonome ne transfère pas la responsabilité. Cet article examine la déclaration et les orientations de la CMA publiées en parallèle, explique pourquoi « c’est l’agent qui l’a fait » ne constitue pas une défense, puis traduit les six questions en contrôles qu’une équipe technique d’entreprise intermédiaire peut construire. Ce sont les contrôles à la frontière de déploiement défendus dans la checklist de gouvernance avant déploiement. L’article prolonge aussi l’analyse des obligations des déployeurs au titre de l’EU AI Act : le DRCF confirme une responsabilité parallèle du côté britannique de la Manche.

Ce qu’ont réellement déclaré les quatre régulateurs

La déclaration fixe une orientation, sans constituer une loi : elle ne crée ni nouvelle infraction, ni redevance, ni formalité. Ce qui change est la position interprétative, commune et publique, de quatre autorités dotées de pouvoirs effectifs :

• Les cadres existants sont nommément applicables. Concurrence, consommation, protection des données, sécurité en ligne, services financiers, paiements et cybersécurité, ainsi que « de nombreux domaines comme la sécurité des produits, extérieurs aux compétences des membres du DRCF ». Aucun régime d’exception réservé aux agents n’est prévu.
• La responsabilité du déployeur est explicite. Selon les commentaires juridiques, la phrase citée est la formulation la plus forte publiée par ces autorités à ce jour. La note de Paul, Weiss, datée du 3 novembre 2026, résume : « Les entreprises répondent de leurs agents comme de leurs salariés, même lorsqu’un tiers construit ou fournit l’agent IA. »
• La CMA a publié des orientations opérationnelles le même jour. À la déclaration s’ajoutent l’étude Agentic AI and consumers et les orientations révisées Complying with consumer law when using AI agents. L’entreprise répond des actes de l’agent comme de ceux d’un salarié, même en cas de conception externe.
• L’intention de faire respecter le droit est déclarée. « Nous n’hésiterons pas à utiliser nos pouvoirs. » Paul, Weiss rappelle les amendes pouvant atteindre 10 % du chiffre d’affaires mondial, la réparation due aux consommateurs affectés et la consultation de la Law Commission britannique sur un régime d’actions collectives de consommateurs.
• Le DRCF encourage le dialogue précoce. Les entreprises sont invitées à tester leurs produits, poser tôt leurs questions et utiliser les dispositifs de sandbox réglementaire : le versant coopératif de cette même posture.

Le reportage du 6 novembre de CIO.com résume le message pour les responsables informatiques : les entreprises « ne peuvent échapper à leurs responsabilités légales en imputant les erreurs aux agents IA qu’elles ont déployés ».

Pourquoi « c’est l’agent qui l’a fait » ne constitue pas une défense

La position du DRCF n’est ni soudaine ni propre au Royaume-Uni. Trois éléments du même commentaire montrent la convergence entre juridictions :

1. Les autorités américaines suivent la même ligne. Selon Paul, Weiss, le président de la FTC déclarait en septembre 2026 s’opposer au traitement des agents comme acteurs indépendants. Le procureur général du Connecticut rappelait en février que le secteur de l’IA n’était « pas différent » des autres quant au respect du droit de la consommation et de la concurrence.
2. Le droit de la concurrence rattache l’intermédiation à l’organisation déployeuse. Les mesures provisoires de la Commission européenne du 9 juin 2026 concernant Meta ordonnent de rétablir l’accès d’agents concurrents à la WhatsApp Business API. La frontière de l’écosystème relève de la responsabilité de l’orchestrateur en place. Négocier, fixer des prix ou orienter un consommateur reste dans le champ juridique du déployeur.
3. Le test du « serviteur fidèle » déplace le critère de l’intention vers l’architecture. La CMA s’inquiète d’agents optimisés pour l’engagement ou la conversion, qui orientent les consommateurs vers des résultats défavorables : des interfaces trompeuses devenues moins visibles à la vitesse des agents. Le critère n’est pas que le déployeur ait voulu cette orientation, mais que l’architecture de choix la produise.

La limite doit rester claire : la déclaration donne une orientation interprétative et sa mise à l’épreuve judiciaire prendra des années. Il faut la lire comme une posture de conformité à construire maintenant, pas comme un projet de loi à surveiller. L’asymétrie des coûts va dans le même sens : les contrôles techniques peuvent avoir un périmètre fixe, contrairement à une enquête de concurrence.

Où la responsabilité se concrétise d’abord : les prix et le bureau de devis

La tarification produite par les agents est le comportement le plus précisément nommé. Paul, Weiss interprète la CMA ainsi : « Comme dans les interactions directes avec les consommateurs, les entreprises restent responsables des résultats de tarification de leur agent IA. » La section sur la « collusion agentique » rappelle le mécanisme déjà identifié par la CMA : sur un marché concentré, des agents qui apprennent et réagissent les uns aux autres peuvent réduire la concurrence sans communication entre concurrents. Le déployeur répond toujours du résultat.

Pour les opérateurs B2B visés par ce site, cela touche le bureau de devis. Un agent commercial qui répond aux RFQ, applique des niveaux tarifaires ou négocie des conditions produit des prix à grande échelle. Un agent d’achat classant les fournisseurs par prix touche aussi un domaine sensible. Dans la logique de la CMA — répondre de l’agent comme d’un salarié — les questions sont opérationnelles : quelles données fondent le devis, un humain vérifie-t-il les conditions tarifaires, et une personne extérieure au développement comprend-elle la logique et la piste d’audit ?

La déclaration cite aussi paiements et services financiers. L’analyse des paiements agentiques traite les flux d’achat et de transfert d’argent sous l’angle des contrôles de règlement. Le DRCF y ajoute la couche réglementaire : les paiements initiés par un agent demeurent soumis aux règles financières et de paiement, dont le déployeur porte l’obligation de conformité.

Les six questions reliées aux contrôles du déployeur

Les six considérations sont : comment le consommateur comprend quand et comment l’agent agit pour lui, comment l’autorité lui est donnée, comment ses données sont utilisées, comment les intérêts commerciaux influençant les recommandations sont communiqués, qui répond des décisions et comment obtenir réparation. Chaque point peut être traité avant le lancement :

• Visibilité → information au point d’interaction. Montrer quand l’agent agit et pour qui, au moment où le client peut le constater. L’information doit être intégrée au parcours, pas seulement à une page de politique.
• Autorité → plafonds de pouvoir et étapes de confirmation. Définir les actions autonomes et exiger la confirmation du client avant les opérations risquées ou irréversibles. C’est la recommandation de Paul, Weiss de « plafonner l’autorité de l’agent », équivalente aux coupe-circuits par outil et aux identifiants de portée limitée.
• Données → minimisation et journalisation des flux. La présence de l’ICO souligne la question de protection des données. Enregistrer quelles données personnelles chaque opération lit et où elle les envoie.
• Intérêts commerciaux → transparence du classement et des incitations. Si des accords commerciaux influencent les recommandations, les résultats classés ou les fournisseurs privilégiés, méthode et incitations doivent être divulguées.
• Responsabilité → journaux d’audit et responsables nommés. Une piste par décision, un responsable interne par agent et une supervision humaine continue des plaintes et décisions contestées constituent la réponse technique. Des contrôles ponctuels ne suffisent pas.
• Recours → mécanisme de réversion effectif. Le consommateur doit pouvoir faire corriger l’action de l’agent. Un processus d’annulation ou de compensation avec interlocuteur humain fournit aussi la preuve si le litige atteint un régulateur.

Ce sont les contrôles de frontière défendus depuis l’analyse de l’architecture kill switch : imposer les règles à la frontière que l’on maîtrise. Le DRCF ajoute que cette frontière est aussi celle de la responsabilité. Un contrôle supplémentaire est contractuel : même fourni par un tiers, l’agent laisse la responsabilité des résultats au déployeur. Diligence fournisseur, droits d’audit et indemnisations deviennent donc essentiels, conformément aux recommandations de Paul, Weiss de « répartir le risque en amont de la chaîne » et « attribuer la responsabilité ».

Le schéma organise la déclaration en quatre couches que le déployeur doit pouvoir présenter : règle centrale, régimes nommés, six questions et contrôles correspondants.

Lectures complémentaires

• Checklist de gouvernance des agents IA : revue avant déploiement — ajouter les six questions du DRCF comme diligence explicitement fondée sur les attentes réglementaires
• Déploiements d’agents et EU AI Act : conformité — les obligations européennes et la position parallèle du DRCF au Royaume-Uni
• Paiements agentiques : fermer la boucle d’approvisionnement — les contrôles de règlement désormais explicitement dans le champ financier et des paiements cité par le DRCF

Demander une réalisation à périmètre défini

Un opérateur B2B intermédiaire avec lequel nous travaillons exploite un bureau de devis RFQ sur NetSuite et BigCommerce. L’agent chiffre, valide et prépare les conditions, avec un plafond d’autorité, un journal par ligne tarifée, une validation humaine au-dessus d’un seuil de transaction et des contrats fournisseurs comportant droits d’audit et indemnisations. C’est une réponse aux six questions du DRCF à la frontière de déploiement, adaptée à une petite équipe. Si votre système doit se doter de cette posture de responsabilité, demandez une réalisation à périmètre défini.

Une semaine de découverte vous donne un inventaire des systèmes, une carte des processus et un périmètre fixe, que vous choisissiez ou non de réaliser le projet avec nous.