L’IA agentique entre autonomie, responsabilité et gouvernance
L’IA agentique – des systèmes capables d’agir, de prendre des décisions, de coordonner des processus et d’interagir de manière autonome avec des outils numériques – transforme le travail bien plus profondément que la simple automatisation ou l’IA générative basée sur du texte.
Il n’est plus « un assistant qui répond », mais un opérateur numérique qui réalise des tâches, contrôle les flux, initie des procédures, communique avec les logiciels de l’entreprise et prend des décisions dans des limites définies.
Le volume « Agentic AI — Autonomie technique, responsabilité humaine et gouvernance juridique »créé par Nicola Fabiano, analyse et approfondit les différents domaines d’évolution technologique en cours dans les entreprises et le monde professionnel.
Nous publions des extraits, gracieuseté de l’auteur : quelques passages tirés des chapitres 1 et 5 du volume (avec quelques omissions et résumés par rapport au texte intégral).
La thèse : l’autonomie technique ne crée pas l’autonomie juridique
La thèse qui traverse tout l’ouvrage peut être soulignée en une seule ligne : l’autonomie technique ne crée pas l’autonomie juridique.
Un système qui fonctionne avec des marges d’initiative – qui choisit les étapes, sélectionne les outils, adapte le plan au contexte – ne devient pas, pour cette seule raison, un sujet du système.
Elle n’acquiert pas la capacité juridique, elle n’assume pas seule des obligations, elle ne répond pas. Son autonomie est une propriété technique du comportement, pas un statut.
L’affirmation peut paraître évidente ; ses conséquences ne le sont pas. Si l’agent n’est pas un sujet, chaque action qu’il accomplit doit être accusé à quelqu’un : et l’attribution, dans une architecture dans laquelle les choix humains sont répartis entre ceux qui définissent l’objectif, ceux qui configurent, ceux qui fournissent les composants, ceux qui permettent les informations d’identification, ceux qui approuvent et ceux qui n’approuvent pas, cesse d’être une opération triviale.
Ce qui augmente l’autonomie opérationnelle, ce n’est donc pas la subjectivité de la machine, mais le besoin – pour ceux qui l’utilisent – d’attribution, de limites au pouvoir conféré, de contrôle, de preuve et de responsabilité humaine. Cette formule (…) est le précipité pratique de la thèse.
La thèse a également un corollaire méthodologique qui mérite d’être explicité. L’autonomie étant une propriété de comportement et non un statut, elle est graduelle : plus ou moins peut être conférée, selon différentes dimensions.
Il s’ensuit que la gouvernance ne doit pas « se déclencher » lorsqu’un système dépasse un seuil nominal – lorsqu’il « devient un agent » – mais doit être calibrée au degré d’autonomie effectivement conféré.
(…) Une précision, enfin, sur ce qu’est la thèse Pas implique. Prétendre que la responsabilité reste humaine ne signifie pas soutenir que le droit actuel résout déjà toutes les questions : le chapitre 9 montre que l’attribution de l’action agentique pose de réels problèmes de reconstruction, et que certains d’entre eux attendent des réponses qui n’existent pas aujourd’hui.
Il s’agit, plus sobrement, de fixer la direction dans laquelle les réponses doivent être recherchées : non pas vers de nouveaux sujets, mais vers une articulation plus fine de l’attribution entre les sujets déjà existants.
La question directrice : limites avant, preuves pendant, responsabilité après
Toute œuvre qui se veut quelque chose de plus qu’une critique doit pouvoir indiquer la question à laquelle elle répond.
La question de cet ouvrage est la suivante : si une organisation délègue la capacité d’agir à un système d’intelligence artificielle, quelles limites doit-elle fixer avant l’action, quelles preuves doit-elle conserver pendant l’action, et qui doit pouvoir répondre après l’action ?
La question a une structure temporelle délibérée, qui anticipe le modèle de gouvernance du chapitre 13 : trois moments : ex ante, en cours, ex post — dont chacun correspond à une fonction distincte.
Avant l’action, se joue le jeu le plus important : la définition des objectifs, des pouvoirs conférés, des données et identifiants accessibles, des outils utilisables, des limites.
Des contrôles dynamiques opèrent pendant l’action : approbation des actes sensibles, escalade, surveillance des anomalies, possibilité d’intervention et de blocage.
Après l’action, la qualité de ce qui était prévu auparavant est mesurée : la reconstructibilité de ce qui s’est passé, la vérification de la conformité, la gestion de l’incident, le remède.
La question a également une structure subjective : « qui devrait pouvoir répondre » n’est pas une manière rhétorique de dire que quelqu’un répondra, mais une indication d’une exigence de conception.
Un système agentique bien gouverné est un système dans lequel, pour chaque capacité opérationnelle déléguée, elle est identifiable Avant – ne peut pas être minutieusement reconstruit Alors — la personne ou la fonction qui en est responsable.
Le chapitre 13 décompose cette figure en ses composantes (qui est propriétaire du processus, qui l’autorise, qui conserve les preuves, qui détient la décision, qui est autorisé à agir) ; Le chapitre 9 examine leurs régimes de responsabilité.
Il convient de noter que la question directrice est formulée du point de vue de l’organisation délégante. Il s’agit d’un choix de domaine, et cela vaut la peine de le préciser : une grande partie de la littérature juridique émergente sur les agents se penche sur le fournisseur — à ceux qui développent et mettent sur le marché — et à leurs obligations de conformité.
Ce livre s’intéresse à ceux qui emploient : dans l’organisation, dans l’entreprise, dans l’administration, dans le cabinet professionnel qui décide de donner à un système la capacité de réaliser des actions pertinentes.
Les deux perspectives se chevauchent sur de nombreux points, mais ne coïncident pas : la première a son centre de gravité dans la mise sur le marché, la seconde dans la délégation et son attribution.
Le risque d’agir et le risque de générer : une différence de nature
La deuxième partie de l’ouvrage s’ouvre là où le paragraphe 1.2 a laissé le lecteur : si l’action diffère du résultat en termes de réversibilité, de placement des commandes, de concaténation et de surface d’exposition, alors également le risque La différence des systèmes qui agissent diffère de celle des systèmes qui génèrent, et la différence, il faut le répéter, n’est pas de degré mais de nature.
Le risque des modèles génératifs est, par essence, un risque du contenu: la sortie peut être incorrecte, déformée, nuisible, illicite.
Sa gestion s’articule autour de la qualité du contenu et de l’interposition humaine entre contenu et effet.
Le risque des systèmes agents est un risque de conduite: cela concerne ce que fait le système, avec quels pouvoirs, le long de quelles chaînes, sous quelles influences, et sa gestion s’articule autour de la gouvernance des pouvoirs conférés.
Un système agent peut produire un contenu impeccable tout en agissant de manière malveillante : envoyer le bon message au mauvais destinataire, effectuer correctement une opération qui n’aurait pas dû être effectuée, accomplir avec précision une tâche que quelqu’un d’autre lui a subrepticement assignée.
L’architecture du chapitre découle de ce constat, qui intègre une distinction analytique précieuse : les risques spécifiques de l’action sont disposés sur deux niveaux qui doivent rester distincts, car leurs sources et leurs garanties sont différentes.
Le premier étage — Section A — rassemble les risques d’autonomie et de puissance opérationnelle : ceux qui découlent du système qui fonctionne comme prévumais à qui on a donné trop de choses, ou trop rapidement, ou sans limites adéquates. Privilèges excessifs, enchaînement d’erreurs, subdélégation incontrôlée : ici le système n’est la victime de personne ; le risque dépend entièrement de la configuration.
Le deuxième étage — Section B — rassemble les risques de compromission ou de manipulation : ceux qui découlent du système plié pour le compte d’autrui, instructions injectées à travers le contenu, outils abusés, données exfiltrées, privilèges mis à l’échelle. Ici, il y a un adversaire, et le système agentique est à la fois la cible et le véhicule.
Les deux plans se touchent en un point que toute la section B confirme : tout excès du premier plan est un multiplicateur du second.
Les privilèges inutiles sont exactement ce que l’adversaire exploitera ; une chaîne trop longue est justement ce qui rendra la manipulation invisible.
C’est la raison pour laquelle l’ordre explicatif n’est pas neutre : d’abord les risques du pouvoir, puis les risques du compromis, car ces derniers vivent sur l’espace que les premiers ont laissé ouvert.
L’injection indirecte d’instructions et de contenus hostiles
Le premier risque de la deuxième famille est le plus caractéristique des systèmes agentiques, au point qu’il peut être considéré comme la vulnérabilité de l’espèce : l’injection indirecte d’instructions (injection indirecte rapide).
Sa racine technique a été identifiée au paragraphe 4.1 : l’agent ne fait pas de distinction, par nature, entre les instructions reçues de l’organisation et les contenus rencontrés en opérant ; tout ce qui entre dans le contexte contribue à déterminer l’action.
Il s’ensuit que quiconque peut placer du contenu sur le chemin de lecture de l’agent peut essaie de le commander: une instruction cachée dans un document que l’agent recevra, dans une page qu’il consultera, dans un message qu’il traitera, dans un champ d’un enregistrement qu’il lira.
L’attaquant ne touche pas au système : il touche ce que le système va lire, et laisse le système le faire, avec i son autorisations, le c’est identité, je son outils, pour performer.
La forme indirecte doit être distinguée de la forme directe, l’utilisateur tentant de manipuler le système avec lequel il interagit, car elle diffère par ce qui compte le plus : la surface.
En injection directe, la surface constitue l’interface de contrôle qui peut être surveillée ; dans l’indirect, la surface est tout le périmètre d’information de l’agentchaque source qu’il lit, chaque boîte qu’il traite, chaque archive qu’il consulte.
Un agent chargé de traiter la correspondance a, comme surface de commandement potentielle, toute personne pouvant lui écrire. Les deux formes sont désormais inscrites de manière permanente dans la taxonomie institutionnelle des menaces pesant sur les systèmes d’IA générative (NIST, Apprentissage automatique contradictoire : une taxonomie et une terminologieAI 100-2 e2025). (…)
Que la menace soit sortie des laboratoires est désormais attesté par les archives judiciaires. En juillet 2026, la presse a fait état d’un tribunal du travail brésilien qui a identifié, dans un appel, une instruction cachée en caractères blancs sur fond blanc et adressée à des systèmes d’intelligence artificielle éventuellement appelés pour analyser les documents, sanctionnant les signataires sur le constat, remarquable pour l’approche de ce travail, que l’illégalité est déjà consommée au moment de l’entrée en fonction, sans qu’il soit nécessaire de prouver qu’un système a été effectivement influencé.
Le jugement, de première instance et d’un système juridique non européen, rapporté ici dans sa valeur de signal, confirme l’approche du terrain procédural ex ante qui régit cette section : la dévalorisation réside dans l’ordre donné, pas dans l’ordre réussi. (…)
