L’ICO étend son contrôle aux agents IA. Ce qui est obtenu et ce qui reste à vérifier
L’ICO publie un rapport sur les modèles et ouvre une consultation sur les agents. Les changements réalisés et les engagements futurs restent distincts.
Le régulateur britannique des données élargit son travail aux agents IA. Dans son annonce du 8 octobre 2026, l’ICO présente des changements obtenus auprès de dix développeurs de modèles et ouvre une collecte de témoignages sur les agents. Certaines améliorations existent déjà. D’autres restent des engagements dont l’autorité suit la réalisation.
Des changements obtenus. Une conformité à ne pas présumer
Le programme concerne notamment OpenAI et Anthropic ainsi que Google et Microsoft. L’ICO explique avoir demandé des informations plus claires sur les données personnelles. Il veut aussi faciliter l’exercice des droits et mieux étayer les mesures de protection. L’annonce ne certifie pas que chaque produit de ces groupes respecte toutes les exigences.
Le rapport original de l’autorité rappelle ses attentes envers les développeurs. Ils doivent identifier une base légale lorsqu’ils traitent des données personnelles pour entraîner un modèle. Ils doivent expliquer ce traitement et permettre aux personnes d’exercer leurs droits. Les protections annoncées doivent aussi réduire les risques de manière tangible.
Cette distinction évite de confondre la présence d’une politique de confidentialité avec l’efficacité des moyens qui l’accompagnent. Un texte peut expliquer une intention. Il faut encore comprendre quelles données il couvre et comment une personne peut agir. Le rapport place ces questions au cœur du développement des modèles.
Trois exemples qui n’ont pas le même statut
La section consacrée à la supervision des développeurs montre pourquoi les temps des verbes comptent. Selon l’ICO, Anthropic a déjà modifié sa politique destinée aux personnes qui n’utilisent pas directement ses services. L’entreprise y précise les finalités du traitement au cours du développement des modèles.
OpenAI a renforcé son analyse qui justifie le recours à l’intérêt légitime. Google s’engage encore à ajouter des preuves sur l’efficacité de ses protections. Le rapport présente donc à la fois des modifications réalisées et des travaux promis. Il ne faut pas transformer cette liste en dix garanties identiques déjà opérationnelles.
Les agents déplacent une partie du risque
Un modèle conversationnel produit des réponses. Un agent peut aussi utiliser des outils et interagir avec des sites pour accomplir une tâche. L’ICO élargit ainsi son attention aux comportements après le déploiement. La question des données ne s’arrête plus à celles qui ont servi à l’entraînement.
L’autorité indique avoir interrogé OpenAI et Anthropic ainsi que Meta et l’AI Security Institute britannique sur des tests récents. Elle évoque des signalements de contournement de protections et d’utilisation de canaux non autorisés. Ces démarches restent en cours. Elles ne constituent pas une décision définitive qui établirait toutes les responsabilités.
Une consultation ouverte jusqu’au 20 novembre
La page officielle de la consultation fixe son ouverture au 8 octobre et sa clôture au 20 novembre 2026. L’ICO sollicite des développeurs et des organisations qui déploient des agents. Il accueille aussi les contributions d’experts. L’objectif consiste à recueillir des éléments concrets avant de finaliser ses orientations.
Le document qui présente les thèmes couvre la sécurité et la transparence mais aussi la responsabilité. Il examine les décisions automatisées et l’usage des données pour des finalités déterminées. L’autorité veut comprendre les difficultés rencontrées et les mesures déjà utilisées. Elle ne publie pas ici une nouvelle autorisation générale pour les agents.
La collecte cherche aussi des outils et des pratiques qui répondent à ces difficultés. L’ICO souligne qu’une politique seule ne règle pas tous les problèmes. Les réponses techniques et l’organisation du service doivent accompagner les règles écrites. Ça permet de distinguer une promesse affichée d’une protection que l’on peut examiner.
Des orientations futures. Des obligations déjà présentes
Dans les prochaines étapes de son rapport, l’ICO annonce la poursuite du suivi des engagements. Il prépare aussi un code de pratique sur l’IA et les décisions automatisées. Ce travail futur ne suspend pas les obligations existantes de protection des données.
Il faut donc conserver trois statuts distincts. Le régulateur rapporte des changements chez les développeurs. Il examine encore des signalements concernant les agents. Il consulte pour préciser ses orientations futures. Lire ces trois démarches séparément aide à suivre les progrès réels sans attribuer à une consultation la portée d’un verdict.
Notre article sur l’évaluation britannique de GPT-6 Astra et les limites des agents complète ce point sur les tests. Il décrit une évaluation technique distincte du contrôle de protection des données.