Statut juridique des agents conversationnels et de l’IA générative

De plus en plus présents sur les sites web et applications, les chatbots permettent de fournir rapidement des réponses aux utilisateurs. Les agents conversationnels (ou chatbots) sont des logiciels permettant le dialogue d’un utilisateur avec un programme destiné à lui fournir des informations. Ils servent à apporter des réponses aux questions les plus fréquentes, tout en dispensant cette information d’une manière ciblée, pertinente et interactive.

Définitions et typologies

Les agents conversationnels se définissent selon France Num comme « des outils basés sur l’intelligence artificielle capables d’interagir avec les utilisateurs en langage naturel. Ils peuvent répondre à des questions fréquentes, guider un client dans un parcours d’achat, prendre des rendez‑vous ou encore assister un collaborateur dans ses tâches quotidiennes ». D’autres acteurs proposent de différencier les chatbots, qui gèrent les interactions avec des clients à l’aide d’un arbre de décision ne faisant pas nécessairement appel à l’intelligence artificielle, des assistants virtuels fondés sur l’IA générative, comme Siri d’Apple, Alexa d’Amazon, ou des agents conversationnels de type ChatGPT. C’est sur cette dernière catégorie d’agents conversationnels que l’Autorité prévoit de consacrer son avis.

Fonctionnement, prompts et usages

ChatGPT, Gemini, Copilot, pour n'en citer que quelques‑uns, sont des agents conversationnels basés sur un modèle d’intelligence artificielle et conçus pour interagir avec leurs utilisateurs de manière fluide et naturelle. Grâce à leur interface, ils permettent tout d’abord à l’utilisateur de poser des questions, auxquelles ils répondent à partir des données trouvées sur Internet. Mais ce n’est pas tout : ils permettent également à l’utilisateur de leur donner des consignes pour rédiger du contenu textuel.

Un prompt est un texte écrit par l’utilisateur et soumis à l’agent conversationnel. Il peut prendre la forme d’une ou plusieurs instructions ou de questions. C’est la base de l’interaction avec l’outil : plus le prompt est clair et précis, plus la réponse sera pertinente. Soyez clair et précis : Evitez toute ambiguïté dans votre demande et privilégiez des mots spécifiques à des mots génériques. Donnez des exemples : N’hésitez pas à donner des exemples dans votre prompt afin que l’outil puisse s’en inspirer et ainsi être plus proche de ce que vous recherchez.

Usages concrets et commerce agentique

Les agents, capables d’effectuer des tâches à la place de l’humain de manière autonome ne visent plus simplement à apporter des réponses aux requêtes de l’utilisateur, mais également à l’assister de manière autonome dans différentes tâches, voire les effectuer à sa place. Ainsi, l’agent conversationnel peut explorer les différentes boutiques en ligne à la place de l’utilisateur, lui faire des recommandations, lui proposer des liens externes vers les sites de commerce en ligne et lui permettre de payer ses achats, éventuellement sans jamais devoir quitter l’environnement de l’agent conversationnel. Le commerce en ligne est l’un des secteurs d’application dans lequel les éditeurs déploient des efforts importants pour développer des agents accompagnant les utilisateurs dans leur parcours d’achat, afin notamment de rendre monétisable une partie des services qu’ils leur proposent.

Lire aussi: Micro-entreprise : Tout ce qu'il faut savoir

Impact concurrentiel et régulation sectorielle

Avec plus de 60 % d’augmentation du nombre d’utilisateurs en 2024, l’usage des outils conversationnels connaît un grand essor en France. Articulé autour des services de quelques grands acteurs tels que ChatGPT d’OpenAI, Google Gemini, Le « Chat » de Mistral AI, Perplexity ou encore Microsoft Copilot, les développements de ce secteur soulèvent de nombreuses questions notamment sur sa structuration concurrentielle, sur les modèles économiques adoptés par les acteurs ou encore sur les opportunités offertes à d’autres secteurs économiques. L’Autorité de la concurrence annonce s’autosaisir afin d’analyser le fonctionnement concurrentiel du secteur des agents conversationnels, situé à l’aval de la chaîne de valeur. L’Autorité prévoit ainsi de s’intéresser aux problématiques nouvelles qui apparaissent notamment liées à l’utilisation des agents conversationnels dans le secteur du commerce en ligne, aussi appelée « commerce agentique ».

Pour l’Autorité, cette intégration crée un risque d’effets de levier entre marchés connexes, permettant à des opérateurs déjà puissants de favoriser leurs propres solutions, notamment par des mécanismes de couplage, de pré‑installation ou de priorisation algorithmique. À ces risques structurels s’ajoutent des effets de réseau particulièrement marqués. Ce mécanisme peut conférer aux acteurs en place un avantage cumulatif durable, difficile à reproduire pour les nouveaux entrants ne disposant ni de volumes d’utilisateurs comparables ni d’un accès équivalent aux données.

Protection des données et conformité RGPD

Déployer un agent IA qui dialogue avec vos clients, c’est traiter des données personnelles : identité, coordonnées, historique, parfois données sensibles. La conformité RGPD n’est donc pas une formalité, mais un prérequis. À cela s’ajoute désormais le règlement européen sur l’IA (AI Act), dont l’application est progressive depuis le 2 février 2025 et sera complète le 2 août 2026. Deux textes se superposent. Le RGPD encadre le traitement des données personnelles depuis 2018. L’AI Act, lui, encadre spécifiquement les systèmes d’IA selon leur niveau de risque. Un agent IA conforme à l’AI Act mais pas au RGPD reste illégal, et inversement.

Afin d’assurer la continuité technique du chatbot ou de garder un historique de la conversation entre les différentes pages du site où il est présent, un cookie est fréquemment déposé et lu sur le terminal de l’utilisateur. Soit l’opérateur souhaite pouvoir déposer un cookie préalablement à l’activation du chatbot. Soit le cookie n’est déposé qu’à l’activation du chatbot par l’utilisateur (par exemple, en cliquant sur la fenêtre de conversation préalablement affichée, ou en cliquant sur un bouton déclenchant explicitement l’ouverture du chatbot). Il est alors « strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur » et ne requiert pas donc pas de recueillir le consentement de celui‑ci.

Un agent conversationnel peut, sans le vouloir, collecter des données sensibles au sens de l’article 9 du RGPD : santé, opinions, orientation. La CNIL alerte précisément sur ce risque, car ces données bénéficient d’une protection renforcée et exigent une base légale spécifique. Concrètement : votre agent doit être conçu pour ne pas solliciter ni stocker ce type d’information hors d’un cadre maîtrisé. Un callbot ou un standard téléphonique IA traite des enregistrements vocaux, qui sont des données personnelles à part entière, et parfois biométriques. Cela renforce les obligations : information en début d’appel (« vous échangez avec un assistant »), gestion fine des enregistrements et durée de conservation justifiée.

Lire aussi: Fiscalité auto-entrepreneur : le guide indispensable

Beaucoup de modèles d’IA sont opérés par des fournisseurs établis hors de l’Union européenne. Tout transfert de données vers ces pays doit être encadré (clauses contractuelles types, garanties appropriées). Vous restez responsable de traitement : c’est à vous de vérifier que votre prestataire et les modèles qu’il utilise offrent les garanties nécessaires. Un client peut, à tout moment, demander l’accès à ses données, leur rectification ou leur effacement. Votre agent IA doit donc s’inscrire dans un dispositif capable de répondre à ces demandes dans le délai légal d’un mois. Concrètement, cela suppose de savoir où sont stockées les conversations, de pouvoir les retrouver par personne, et de disposer d’une procédure d’effacement effective - y compris dans les sauvegardes.

AI Act et obligations techniques

L’AI Act classe les systèmes selon leur risque. L’AI Act impose par ailleurs aux déployeurs de maintenir une documentation technique permettant de retracer les décisions prises par le système - une exigence qui doit se refléter dans les contrats de service. L’AI Act, en imposant des obligations de traçabilité et de supervision humaine pour les systèmes à haut risque, fournit indirectement un référentiel pour qualifier le niveau de diligence assurantielle attendu.

La CNIL a publié en juillet 2025 un corpus de recommandations sur l’application du RGPD aux systèmes d’IA (base légale, sécurité, annotation des données). L’AI Act impose également que les systèmes susceptibles d’influencer des décisions contractuelles à fort impact soient soumis à une supervision humaine effective (art. 14.4). Cette exigence de contrôle humain n’est pas qu’une contrainte réglementaire : elle est la condition de la validité contractuelle dans le cadre juridique actuel.

Responsabilité et droit des contrats face à l’IA agentique

L’IA agentique - c’est‑à‑dire l’IA capable de percevoir son environnement, de planifier et d’agir de façon autonome - bouscule les fondements du droit contractuel classique. Validité des engagements, responsabilité en cas de litige, encadrement des protocoles machine‑to‑machine, couverture assurantielle : autant de sujets qui appellent une réponse juridique immédiate, avant que les premiers contentieux ne dessinent eux‑mêmes les contours du droit applicable.

En droit français, la validité d’un contrat suppose le consentement des parties, leur capacité à contracter, un contenu licite et certain (art. 1128 C. civ.). Or, un agent IA n’est pas une personne juridique. Il ne peut ni consentir ni se voir reconnaître une capacité contractuelle propre. La conséquence pratique est directe : un contrat conclu par un agent IA ne vaut que si l’on peut rattacher juridiquement l’engagement à une personne - physique ou morale - qui a habilité cet agent à agir en son nom. Sans cette habilitation préalable et documentée, la validité du contrat conclu par intelligence artificielle est exposée à contestation.

Lire aussi: Avantages SARL pour ex-Auto-entrepreneur

La doctrine s’oriente vers la théorie du mandat pour encadrer les actes de l’agent IA : le système agit comme un mandataire, dans les limites d’une habilitation conférée par l’entité qui le déploie. Ce cadre présente l’avantage d’exister en droit positif et de rattacher les effets de l’acte au mandant. Mais il souffre d’une faiblesse structurelle : le mandat suppose un mandataire capable de recevoir le pouvoir d’agir. L’IA, dépourvue de personnalité juridique, ne peut techniquement être mandataire. Certains auteurs proposent de raisonner par analogie avec le falsus procurator : l’acte conclu par un agent sans pouvoir suffisant est inopposable au prétendu mandant, sauf ratification ultérieure. Dans un contexte où l’agent IA agit en temps réel et génère des engagements à volume industriel, la ratification systématique est évidemment irréaliste.

La sécurisation passe donc par le contrat lui‑même, en amont : les clauses d’habilitation de l’agent IA doivent définir précisément les catégories d’actes autorisés, les seuils financiers, les contreparties admissibles et les conditions de révocabilité. Un contrat conclu par un agent IA ne crée d’obligations que si l’entreprise déployante a expressément et formellement habilité ce système à engager sa responsabilité contractuelle dans un périmètre défini.

Smart contracts et irréversibilité

Un smart contract est un programme déployé sur une blockchain qui s’exécute automatiquement dès que des conditions prédéfinies sont réunies. Son intégration avec des agents IA crée un mécanisme redoutable : l’agent perçoit une donnée du monde réel - un cours boursier, une livraison confirmée, un délai expiré - et déclenche l’exécution du contrat sans aucune intervention humaine. La difficulté juridique centrale est celle de l’irréversibilité : le code s’exécute, les fonds se transfèrent, les obligations naissent.

Les questions juridiques que les directions ne peuvent pas ignorer sont nombreuses : quelle est la nature juridique de l’obligation née d’un smart contract déclenché par un agent IA : acte juridique, acte matériel, opération technique ? En cas d’erreur algorithmique ayant conduit au déclenchement, sur quel fondement - vice du consentement, erreur sur la substance, force majeure - peut‑on contester l’exécution ? Et surtout : qui supporte le risque d’un comportement imprévu de l’agent ? Ces questions appellent une réponse contractuelle préventive : clauses d’audit algorithmique, mécanismes de suspension d’urgence (kill switches contractuels) et stipulations claires sur la répartition des risques en cas de dysfonctionnement de l’agent déclencheur.

Protocoles MCP, APIs et interactions machine‑to‑machine

Le Model Context Protocol (MCP), développé par Anthropic et désormais porté par la Linux Foundation dans le cadre de l’Agentic AI Foundation (AAIF), est devenu en quelques mois un standard de facto pour connecter les agents IA à des outils externes, des bases de données et des APIs. Il permet à un agent de « découvrir » les capacités d’un serveur distant et d’interagir avec lui de façon structurée - interroger un CRM, déclencher un paiement, accéder à un espace documentaire.

Du point de vue juridique, chaque interaction MCP entre un agent et un service tiers constitue potentiellement une relation contractuelle machine‑to‑machine qui ne repose sur aucun contrat formalisé entre les parties humaines concernées. L’entreprise dont l’agent IA consomme un service via MCP assume-t‑elle une obligation de paiement ? Le prestataire exposant ses capacités via un serveur MCP peut‑il opposer ses conditions générales à une entreprise tierce dont l’agent interagit avec lui de façon autonome ? À ce jour, le droit positif ne fournit pas de réponse satisfaisante.

Les contrats d’accès aux APIs existants ont été conçus pour des intégrations humainement paramétrées, avec des quotas, des conditions d’usage et des responsabilités clairement imputées à un utilisateur identifié. L’IA agentique opère différemment : elle peut générer un volume d’appels imprévisible, accéder à des fonctions non anticipées par les rédacteurs du contrat et agir dans des délais incompatibles avec toute supervision. Les directions juridiques doivent engager une revue systématique de leurs contrats d’API pour y intégrer : des clauses de responsabilité adaptées aux actes de l’agent, des mécanismes de journalisation et d’audit des interactions machine‑to‑machine, des stipulations sur la licéité des données transmises via l’agent, et des obligations de sécurité spécifiques au périmètre des actions autorisées.

Assurance et gestion des risques

La question de l’assurance IA agentique est l’une des moins bien traitées par l’industrie assurantielle, et l’une des plus urgentes pour les entreprises qui déploient ces systèmes. Les polices de responsabilité civile professionnelle classiques couvrent les dommages causés par des fautes humaines dans l’exercice d’une activité. Elles n’ont généralement pas été conçues pour couvrir les dommages causés par une décision autonome d’un système algorithmique agissant sans supervision directe.

Plusieurs approches complémentaires s’esquissent. D’abord, la révision des polices RC professionnelle et exploitation pour y inclure explicitement les actes des agents IA déployés par l’entreprise, avec une définition précise du périmètre d’autonomie couvert. Ensuite, la souscription de garanties spécifiques aux risques algorithmiques - certains acteurs de l’assurtech développent des offres intégrant nativement des garde‑fous pour les agents autonomes, avec des paramétrages de souscription qui encadrent contractuellement le champ d’action de l’agent. La documentation de la gouvernance algorithmique joue ici un rôle clé : un assureur qui peut s’appuyer sur des logs d’audit, des seuils d’approbation humaine documentés et des politiques d’usage formalisées acceptera plus aisément de couvrir les risques résiduels qu’une entreprise incapable de démontrer qu’elle exerçait un contrôle effectif sur son agent.

Propriété intellectuelle et IA générative

En matière d’IA génératives, les systèmes basés sur les techniques d'apprentissage sont capables de générer entre autres des textes, des images (animées ou non), des sons, des vidéos. Les systèmes d'IA génératives permettent de nombreux usages, au premier rang desquels la création artistique. Malgré le travail humain fourni, la question qui se pose est celle de savoir si l’œuvre produite par ou à l’aide d’un système d’IA peut être considérée comme une production artistique originale. Se pose également la question des éléments utilisés par l’IA afin de générer cette œuvre, ceux‑ci étant susceptibles d’être protégés par des mécanismes de propriété intellectuelle.

Le TDM (Text and Data Mining) est le processus d'extraction d'informations à partir de matériel lu par une machine. Afin de pouvoir exploiter ces œuvres sous forme de données, l’IA générative réalise des copies provisoires. La directive (UE) 2019/790 (directive DAMUN) définit la fouille de textes et de données et encadre des exceptions, mais l’application de l’exception de TDM aux IA génératives reste sujette à débat, notamment sur la licéité de l’accès, le niveau de sécurité des copies et le mécanisme d’opt‑out des titulaires de droits.

La question de la paternité des œuvres créées avec l’aide d’une IA reste centrale : pour qualifier une création d'œuvre protégée par le droit d’auteur, il convient d’évaluer la présence de l’humain dans le processus de création. La conception et l’exécution par un humain demeurent des éléments déterminants pour reconnaître la qualité d’auteur. Toutefois, la frontière est parfois ténue et soulève des questions pratiques et économiques sur la gestion des droits des créateurs.

Obligations pratiques pour les entreprises

Ce que les directions juridiques doivent faire maintenant : cartographier les agents déployés (identifier tous les systèmes agissant de façon autonome au nom de l’entreprise), formaliser les habilitations (rédiger des politiques internes d’habilitation des agents IA), réviser les contrats existants (auditer accords‑cadres, CGV, contrats d’API), mettre à jour les polices d’assurance (engager le dialogue avec les assureurs), anticiper l’AI Act (évaluer si leurs agents relèvent des systèmes à haut risque et préparer la conformité - documentation technique, supervision humaine effective, analyse d’impact).

Chacune de ces erreurs est évitable et bien moins coûteuse à prévenir qu’à corriger. La bonne nouvelle : ces risques sont cartographiables, et les outils juridiques - mandat, responsabilité du fait des choses, régime produits défectueux, droit des contrats informatiques - fournissent des points d’appui solides pour construire un cadre opérationnel. Ce qui manque, c’est la traduction de ces outils dans la réalité technique de l’IA agentique. C’est précisément là qu’une expertise juridique spécialisée en droit du numérique prend toute sa valeur.

Foire aux questions pratiques

• Faut‑il prévenir l’utilisateur qu’il parle à une IA ? Oui. C’est une exigence de transparence à la fois du RGPD et de l’AI Act.
• Combien de temps peut‑on conserver les conversations ? Le RGPD n’impose pas de durée chiffrée unique : vous devez fixer une durée justifiée par la finalité, puis purger les données.
• Mon prestataire d’IA est aux États‑Unis : est‑ce un problème ? Pas en soi, mais tout transfert hors UE doit être encadré par des garanties appropriées (clauses contractuelles types).
• Quand l’AI Act s’applique‑t‑il pleinement ? Son application est progressive depuis février 2025 ; l’application complète est prévue le 2 août 2026.
• Une AIPD est‑elle obligatoire ? Elle l’est lorsque le traitement est susceptible d’engendrer un risque élevé pour les personnes - par exemple un traitement à grande échelle de données sensibles.
• Dois‑je tenir un registre des traitements pour mon agent IA ? Oui, dès lors que votre agent traite des données personnelles de façon régulière.
• Le consentement est‑il toujours nécessaire ? Non, pas systématiquement. Selon le contexte, la base légale peut être l’exécution d’un contrat ou l’intérêt légitime, dûment documenté.

Actions prioritaires recommandées

1. Cartographier les agents et qualifier les risques juridiques.
2. Formaliser par écrit les habilitations et les règles d’escalade vers l’humain.
3. Réviser contrats d’API, CGV et accords de partenariat pour inclure clauses agentiques.
4. Mettre en place des logs d’audit, des mécanismes de traçabilité et des « kill switches » opérationnels.
5. Engager les assureurs pour adapter les polices et documenter la gouvernance algorithmique.
6. Préparer analyses d’impact et documentation exigées par l’AI Act et le RGPD.

Tableau récapitulatif : obligations clés selon le périmètre

La croissance soutenue du nombre d’utilisateurs, combinée à une adoption particulièrement marquée chez les jeunes générations, confirme que ces agents tendent à devenir des points d’entrée privilégiés vers l’information, les services et, demain, les transactions. La question n’est donc plus tant de savoir si l’IA conversationnelle va s’imposer, mais plutôt comment celle‑ci va transformer durablement les pratiques de recherche, d’apprentissage et bientôt de consommation.

balises:

Articles populaires:

• De la SASU à la micro-entreprise : le guide complet
• missions et coordonnées de l'association Les Amis de l'École
• Importance des PME françaises
• Traitement comptable des rétrocessions de produits de recherche
• Changement de propriétaire d'entreprise : quelles indemnités ?