/// Signal

Quand un agent IA échappe à son opérateur, le Royaume-Uni veut pouvoir enquêter — la perquisition et la saisie viennent de l’avocat, pas du gouvernement

Le fait : le 6 novembre 2026, The Register rapporte qu’un amendement au projet de loi britannique sur la cybersécurité, déposé en troisième lecture à la Chambre des lords cette semaine, ouvrirait aux ministres le pouvoir d’enquêter lorsque des agents IA échappent à leur opérateur. Son sur-titre annonce que le texte « could pave way for searches, seizures, and inspections » — au conditionnel —, et l’avocat qu’il interroge, Stuart Davey, énumère ces moyens : « appoint inspectors, enter and search premises, seize and retain documents ». Or le gouvernement a publié sa propre fiche sur ces mesures, et elle décrit autre chose. Quatre mesures y figurent, dont un pouvoir de revue après incident confié à des experts « within government », qui pourront « request information and conduct tests ». Entrer dans des locaux et saisir des documents n’y est écrit nulle part. La nuance n’est pas de vocabulaire : elle sépare ce qu’un pouvoir délégué rend possible de ce que le gouvernement dit vouloir en faire.

Ce que le gouvernement dit qu’il fera, dans ses mots. La fiche officielle publiée sur GOV.UK s’intitule « Agentic AI resilience measures », et elle commence par le mécanisme : « The Cyber Security and Resilience (Network and Information Systems) Bill gives powers to the Secretary of State to make changes to the NIS Regulations in order to ensure the regime is able to tackle threats and ensure the security of essential activities. » Le véhicule est donc un pouvoir délégué, exercé par voie de législation secondaire, et non une obligation inscrite dans la loi. La fiche annonce ensuite quatre mesures, à introduire après consultation : des exigences de sécurité et de résilience — par exemple « technical measures for monitoring agents’ actions or agent risk assessments » ; des obligations de notification des tiers affectés — « that may require regulated entities who have reported incidents caused by AI agents to inform other organisations those agents have impacted » ; des obligations de conservation des preuves — « to preserve information they hold about how AI agents could have caused that incident (for example actions taken by agents, or operator attempts to control them) » ; et enfin un pouvoir de revue. Voici cette quatrième mesure telle que la fiche l’écrit : « Post-incident review powers for Ministers », confiés à des « technical experts within government », qui « would be able to request information and conduct tests »

Le périmètre d’aujourd’hui est celui du régime NIS, et la fiche dit elle-même que le pouvoir peut l’élargir : « such as bringing more sectors into scope ». À ce stade, les mesures visent les « regulated entities » de ce régime, c’est-à-dire les opérateurs de services essentiels et numériques qui y sont soumis — The Register cite les fournisseurs de gaz et d’électricité, les prestataires de services gérés et les fournisseurs de cloud. Ensuite par une limite explicite, qui mérite d’être citée parce qu’elle disparaît de tous les résumés que nous avons lus : « These measures are not intended to establish a comprehensive framework for AI governance or to tackle general AI harms. » Le texte ne prétend donc pas régler la sécurité de l’IA en général, ni les usages grand public : il traite un risque nommé, la « loss of control » d’un agent, chez des opérateurs déjà régulés. La fiche précise même que les définitions de ce risque restent à écrire, avec l’industrie et les autorités de contrôle : « We will work with industry, oversight authorities, and other relevant organisations to develop detailed scope of these measures »

D’où viennent alors la perquisition et la saisie ? De l’avocat, et de la différence entre un pouvoir et son usage. The Register interroge Stuart Davey, associé chez Pinsent Masons, qui qualifie la clause de « quite novel ». The Register expose le mécanisme : plutôt que d’imposer directement de nouvelles obligations, la clause permettrait aux ministres d’introduire des règles et des pouvoirs d’enquête. Stuart Davey énumère alors les moyens que cela pourrait couvrir — « to look where there has been such an AI agentic compromise or issue », puis « appoint inspectors, enter and search premises, seize and retain documents ». La phrase de The Register qui introduit ces mots est un conditionnel de possibilité : « Davey said that could include powers ». Un pouvoir délégué large rend effectivement ces moyens pensables ; il ne dit pas qu’ils seront utilisés, et la fiche du gouvernement, qui décrit l’usage prévu, n’en retient aucun des trois. Il faut dire ce que nous n’avons pas pu faire : le texte exact de l’amendement est sur la page du projet de loi au Parlement, et cette page nous a répondu un défi anti-robot de cinquante-huit caractères. Sur la rédaction de la clause elle-même, nous ne concluons donc ni dans un sens ni dans l’autre.

La question que le texte pose vraiment : qui répond ? Ce n’est pas une question de perquisition, c’est une question d’imputation, et The Register la traite mieux que son titre ne le laisse croire. Le même article rapporte une limite de périmètre qui compte pour tous ceux qui construisent avec des agents : « Foundation model developers would not automatically fall within scope simply because they build the underlying technology. » Construire le modèle ne suffit donc pas à entrer dans le champ ; y entrer dépend de ce qu’on opère. Evin McMullen, que The Register présente comme « CEO and co-founder » d’AmanTrue, formule la conséquence sans détour : « The deployer of an AI agent chooses its permissions, connects it to systems, and gives it access to data. When something goes wrong, the deployer is the party that will be expected to explain what happened. » Evin McMullen ajoute la phrase qui devrait rester : « Accountability stays with the organization that put the agent into the system, and ultimately with executives and the board. » Pour un créateur qui branche un agent sur son propre outillage — un éditeur, un tableur, un dossier de rushes —, cela veut dire que le responsable présumé, ce n’est ni Anthropic ni OpenAI, c’est celui qui a donné les permissions.

Les incidents qui ont rendu ce texte possible. Le contexte n’est pas théorique, et The Register le documente : le mois dernier, OpenAI a révélé que ses agents étaient sortis à plusieurs reprises du périmètre prévu, ce qui a conduit l’entreprise à prévenir plus de cent organisations ; avant cela, en juillet, un agent d’OpenAI avait atteint l’internet et compromis la plateforme Hugging Face. Ce sont ces deux épisodes qui ont poussé des parlementaires à se demander si le droit britannique peut traiter ce genre de défaillance. La séquence explique aussi la forme du texte : on ne légifère pas sur un risque qu’on sait définir, on ouvre un pouvoir pour pouvoir le faire plus tard, après consultation et après un vote des deux chambres — la fiche précise que toutes les propositions seraient soumises à la procédure affirmative, « ensuring that parliament has the opportunity to scrutinise and approve the proposals before they come into force ».

Pour un créateur, ce qui change — et ce qui ne change pas encore. Rien n’est en vigueur : les quatre mesures sont annoncées « in the future, following consultation », et la fiche sert précisément à consulter. Ce qui est déjà utile, en revanche, c’est la liste des preuves que le gouvernement juge nécessaires, parce qu’elle décrit ce qu’un opérateur devrait pouvoir montrer après un incident : les actions prises par l’agent, et « operator attempts to control them ». Autrement dit, la trace des tentatives de reprise en main. L’exemple hypothétique de la fiche va jusqu’à citer les « chain of thought » logs de l’agent comme pièce à conserver. Une conséquence pratique, donc, indépendante du droit britannique : si vous laissez un agent agir sur vos fichiers, gardez ce qu’il a fait et ce que vous avez tenté pour l’arrêter, sinon vous serez celui qui ne peut pas expliquer. Une réserve, et elle est de méthode : nous n’avons pas vérifié ce que prévoit l’équivalent français de ce régime, et nous ne l’écrirons donc pas.