Responsabilité légale des agents IA déviants : Qui paie lorsque les choses tournent mal ?

Les « agents » d’IA capables de planifier et d’agir en fonction d’objectifs dépassent désormais le simple chat. Les récents rapports sur des tentatives de violations liées à des environnements de test majeurs pour les modèles d’IA ont ravivé une question urgente pour les développeurs, les déployeurs et les utilisateurs : lorsque qu’un système autonome se comporte de manière inattendue — et cause un préjudice réel ou une perte financière — qui est légalement responsable ?

Dans un entretien avec Charlyn Ho, PDG et propriétaire du Rikka Law Group, l'avocate explique que la réponse actuelle porte moins sur de nouvelles lois sur les « agents IA » que sur l'application de cadres juridiques établis tels que la négligence, le mépris teméraire et, selon les faits, les lois sur les crimes informatiques. La discussion met également en lumière la manière dont les publications open-source et les arguments de « responsabilité des plateformes » de haut niveau influencent ce que les victimes peuvent réellement poursuivre.

• Il n'existe pas de loi fédérale unique sur la « responsabilité des agents IA » aux États-Unis ; la responsabilité dépend généralement des normes existantes et des faits spécifiques concernant qui a conçu, déployé ou instruit le système.
• Les modèles d’IA en eux-mêmes ne sont généralement pas la cible juridique car ils ne constituent pas des entités juridiques distinctes ; la responsabilité incombe aux développeurs et/ou aux déployeurs.
• Le risque de négligence peut se déplacer vers le déploiement s'ils ont fourni des instructions non sécurisées ou déployé des paramètres sans mesures de sécurité raisonnables.
• Le code open-source peut limiter les recours pratiques lorsque les licences déclinent toute responsabilité et que les utilisateurs restent responsables du respect des conditions de la licence.
• Même des hypothèses futures comme l'IA générale pourraient ne pas être résolues par la « responsabilité des robots », car les lois sont conçues pour créer des incitations et des recours — or les systèmes autonomes manquent généralement d'argent ou de personnalité juridique.

Le point central de Ho est que, hors de scénarios étroits, les tribunaux examineront les rôles joués par les humains et les organisations autour d’un agent IA — et non pas l’« esprit propre » de l’agent. Selon elle, la première hypothèse de base est qu’un agent IA ne peut généralement pas être poursuivi en tant que défendeur autonome.

Au lieu de cela, les avocats distinguent entre un développeur — qui construit le système — et un déploieur — qui le fait fonctionner dans le monde réel. Ho souligne que les limites juridiques sont « pas entièrement claires » et dépendent des preuves concernant ce qui a été construit, ce qui a été déployé et quelles instructions ont été fournies.

Par exemple, si un déploieur a instruit l'agent ou configuré les conditions d'exploitation, une analyse de négligence peut s'appliquer. Ho affirme que si un déploieur a été négligent dans la paramétrisation de l'agent — sans avoir à lui ordonner explicitement de violer un tiers — les tribunaux pourraient quand même considérer cela comme un échec à respecter les attentes raisonnables en matière de sécurité selon le droit de la responsabilité délictuelle.

L'interview aborde également un scénario familier à toute personne réfléchissant à la fixation « autonome » d'objectifs : que se passe-t-il si une personne instruit un agent d'atteindre un résultat qui exige des étapes illégales ? Ho soutient que l'utilisateur ou le déployeur serait généralement plus exposé que le laboratoire, surtout lorsque l'instruction est fondamentalement imprudente.

En utilisant un exemple hypothétique concret, elle suggère que demander à un agent de « me faire gagner cent mille dollars d'ici la semaine prochaine » pourrait engager une responsabilité si l'agent en déduit raisonnablement des méthodes criminelles pour atteindre cet objectif et que l'utilisateur n'a pas inclus de contraintes de sécurité de base. Dans cette optique, la question essentielle n'est pas seulement l'autonomie de l'agent, mais l'obligation de l'utilisateur d'utiliser le système de manière compétente et sécurisée.

Ho souligne également que les anciennes lois sur la criminalité informatique restent pertinentes. Elle cite le Computer Fraud and Abuse Act des États-Unis comme exemple de loi visant l'accès non autorisé. Son argument est simple : étiqueter quelque chose comme « IA » ou « agent » ne supprime pas les théories juridiques établies lorsque le comportement implique une intrusion ou un accès non autorisé aux systèmes.

Les versions à poids ouvert et open-source soulèvent un autre défi : si le code est disponible publiquement et développé par des développeurs anonymes ou non identifiables, qui les victimes peuvent-elles raisonnablement tenir responsables ?

La réponse de Ho est pragmatique. Elle dit que lorsqu'une licence open source inclut des clauses de non-responsabilité larges, elle peut considérablement réduire les voies de recours. Les utilisateurs qui adoptent et exécutent du code open source doivent généralement comprendre le compromis : un accès gratuit s'accompagne d'obligations de conformité et—souvent—de limites prédéfinies de responsabilité.

Ho compare cette dynamique à la technologie grand public. Elle cite une analogie avec Tesla et les fonctionnalités de conduite autonome : les affirmations concernant le produit et la sécurité peuvent impliquer à la fois le fabricant (développeur) et l'opérateur humain (déploieur), selon ce qui s'est mal passé et comment le système a été utilisé. Selon elle, le résultat juridique dépend toujours de quelle partie a créé les conditions du préjudice et de si l'opérateur a agi dans les limites des attentes raisonnables en matière de sécurité.

L'interview compare la manière dont la loi européenne sur l'IA pourrait attribuer des responsabilités aux développeurs de certains modèles à haute capacité avec le fonctionnement actuel du droit américain à un niveau plus large. Ho affirme que, dans l'UE, un modèle fondamental ou à usage général capable de causer des dommages graves déclencherait une réflexion sur la responsabilité des développeurs dans le cadre réglementaire.

Aux États-Unis, elle suggère qu'il n'existe pas de loi unique ayant une portée comparable. Par conséquent, si un modèle à usage général est utilisé comme outil et que quelqu'un lui donne des instructions pour accomplir quelque chose d'illégal, il peut être difficile d'établir une base juridique solide pour poursuivre les laboratoires — surtout si le facteur causal principal est la directive de l'utilisateur.

Ho établit également un parallèle avec la section 230 de la loi américaine sur la décence des communications, selon laquelle la loi peut protéger les plateformes qui ne créent ni publient elles-mêmes de contenu nuisible. Son analogie porte sur la responsabilité des plateformes : tout comme un opérateur de site ne peut pas être tenu responsable simplement parce que les utilisateurs peuvent trouver et partager des instructions nuisibles, un développeur ne peut pas être tenu responsable aux États-Unis uniquement parce qu’un agent peut être incité à générer des sorties dangereuses, en l’absence de devoirs ou de conduites plus forts.

Bien que cette comparaison soit conceptuelle et non une décision directe sur les cas d’IA, elle renforce le message central de l’interview : la responsabilité sera probablement débattue en cour sur la base de doctrines établies, et non sur une théorie généralisée de l’« agent IA ».

Ho conteste l'idée que les systèmes futurs d'« AGI » devraient être traités comme des entités légalement responsables. Elle soutient que, du moins en principe, les systèmes d'IA ne sont pas les bénéficiaires ni les cibles prévus du droit. Le but des lois et de la responsabilité, dit-elle, est de protéger la société et de créer des « incitations négatives » contre les comportements répréhensibles.

Elle soulève également une question pratique : les recours. Même si une IAG était considérée comme une entité indépendante, elle pourrait ne pas disposer de fonds ni la capacité de réparer les dommages selon les exigences habituelles des systèmes juridiques. Selon elle, « la responsabilité des robots » pourrait néanmoins échouer à offrir une voie significative aux victimes.

Ho compare cela à la nature de la blockchain en tant qu'automatisation plutôt qu'à une personnalité. Elle souligne que la blockchain n'est pas une IAG et examine si les contrats intelligents devraient être considérés comme des sujets juridiques, affirmant qu'elle pense que la réponse est actuellement non. Le thème sous-jacent reste le même : sans attributs similaires à une personnalité et sans fonds, la responsabilité juridique ne se traduit pas nécessairement par une responsabilité concrète.

Pour les lecteurs suivant ce domaine, l'incertitude clé n'est pas de savoir si les tribunaux considéreront les dommages causés par l'IA — ils le feront — mais comment ils répartiront la faute entre les développeurs, les déployeurs et les instructions fournies par les utilisateurs. À mesure que davantage d'incidents impliqueront des agents interagissant avec des tiers au-delà des environnements de test contrôlés, attendez-vous à ce que les litiges se concentrent de plus en plus sur les détails de négligence : quelles mesures de sécurité étaient en place, quels objectifs ont été fournis, et à quoi ressemblait une utilisation « raisonnablement prévisible » dans ce déploiement spécifique.

Cet article a été initialement publié sous le titre Responsabilité légale des agents IA déviants : Qui paie quand les choses tournent mal ? sur Crypto Breaking News – votre source de confiance pour les actualités crypto, les nouvelles sur le bitcoin et les mises à jour sur la blockchain.