La Federal Trade Commission (FTC) américaine a confirmé le 30 septembre 2026 l’ouverture d’une enquête visant OpenAI, Anthropic et d’autres entreprises du secteur de l’intelligence artificielle. Son périmètre précis n’est pas encore public, mais la procédure intervient alors que les modèles sont de plus en plus intégrés à des agents capables d’accéder à Internet, d’utiliser des outils et d’agir dans des environnements externes. La question centrale n’est donc pas de savoir si une IA peut être tenue juridiquement responsable, mais de déterminer ce que les fournisseurs, intégrateurs et organisations doivent assumer lorsque leurs systèmes causent ou facilitent un préjudice.
Ce que la FTC a réellement confirmé
La FTC a confirmé à l’Associated Press qu’elle enquêtait sur OpenAI, Anthropic et d’autres entreprises d’IA au sujet de risques possibles pour les consommateurs. Selon les informations disponibles, la procédure serait engagée depuis plusieurs mois. OpenAI et Anthropic sont les deux seuls acteurs publiquement identifiés au 6 octobre 2026.[1][2]
Cette confirmation reste limitée. Aucun document public ne précise encore les produits examinés, les incidents retenus, les demandes adressées aux entreprises ou la théorie juridique envisagée. Il n’est donc pas possible d’affirmer que l’enquête porte exclusivement sur les agents autonomes, même si les comportements de systèmes capables d’utiliser Internet et des outils extérieurs forment le contexte immédiat de l’annonce.
Une enquête n’est ni une accusation, ni une décision de justice, ni la preuve qu’une entreprise a violé la loi. Elle peut être close sans poursuite, conduire à un accord ou déboucher sur une procédure. Cette distinction doit rester visible dans toute analyse de l’affaire.
Pourquoi les agents IA changent l’échelle du risque
Un modèle conversationnel produit principalement une réponse. Un agent associe ce modèle à une mémoire, des applications, un navigateur, des API ou un environnement informatique. Il peut rechercher une information, remplir un formulaire, modifier un fichier, envoyer un message ou déclencher une opération, dans la limite des droits qui lui sont accordés.
Le changement essentiel vient du passage de la recommandation à l’action. Une erreur intégrée à une suite d’opérations peut se propager avant qu’un humain ne la voie. Le risque dépend alors du modèle, des permissions, des outils et des mécanismes permettant d’arrêter ou d’annuler l’action.
| Risque | Exemple de conséquence | Question de maîtrise |
|---|---|---|
| Action non autorisée | Envoi, achat, modification ou partage dépassant l’intention formulée par l’utilisateur. | L’action sensible exige-t-elle une confirmation explicite au moment de son exécution ? |
| Accès excessif | Consultation de fichiers, messages ou données sans lien nécessaire avec la mission. | Les droits suivent-ils le principe du moindre privilège et expirent-ils après la tâche ? |
| Instruction externe | Une page, un document ou un message influence le comportement de l’agent. | Les contenus consultés sont-ils traités comme des données non fiables plutôt que comme des ordres ? |
| Erreur en chaîne | Une conclusion incorrecte déclenche plusieurs opérations cohérentes entre elles, mais inadaptées. | Le système vérifie-t-il les résultats intermédiaires et sait-il interrompre la trajectoire ? |
| Traçabilité insuffisante | L’organisation ne peut pas reconstruire les sources, outils et validations ayant conduit à l’action. | Les journaux permettent-ils un audit, un recours et une correction rapide ? |
Le changement essentiel vient du passage de la recommandation à l’action. Une erreur intégrée à une suite d’opérations peut se propager avant qu’un humain ne la voie. Le risque dépend alors du modèle, des permissions, des outils et des mécanismes permettant d’arrêter ou d’annuler l’action.
Le comportement ne vient pas du modèle seul, mais aussi des instructions, des permissions et des interfaces. La responsabilité doit donc être analysée au niveau du système complet.
Ce que la FTC peut examiner avec le droit existant
La FTC applique notamment la section 5 du Federal Trade Commission Act, qui interdit les pratiques commerciales déloyales ou trompeuses. Une pratique trompeuse peut résulter d’une affirmation fausse, insuffisamment étayée ou d’une omission importante susceptible d’influencer le consommateur. Une pratique déloyale suppose notamment un préjudice substantiel que le consommateur ne peut raisonnablement éviter et qui n’est pas compensé par des bénéfices pour les consommateurs ou la concurrence.[3][4]
Dans le cas d’un agent IA, plusieurs questions peuvent relever de cette logique. Le fournisseur décrit-il correctement le niveau d’autonomie, les limites et les risques du service ? Les promesses de sécurité ou de contrôle humain correspondent-elles au fonctionnement réel ? Les données sont-elles utilisées conformément aux engagements annoncés ? Les mécanismes de protection sont-ils proportionnés aux conséquences prévisibles d’une erreur ?
En juillet 2026, la FTC a soumis à consultation une déclaration de politique sur l’exactitude des systèmes d’IA. Le texte rappelle que les entreprises peuvent enfreindre la section 5 lorsqu’elles commercialisent un système d’une manière incompatible avec les attentes raisonnables créées auprès des consommateurs. Cette déclaration était encore une proposition au moment de la rédaction et ne doit pas être présentée comme une règle définitive.[5]
L’agence avait déjà utilisé ses pouvoirs d’enquête en septembre 2025 pour demander à sept fournisseurs de compagnons conversationnels des informations sur leur publicité, leurs tests de sécurité, la protection des mineurs et la gestion des données. Cette étude fondée sur la section 6(b) n’était pas, en elle-même, une accusation. Elle montre néanmoins que la FTC peut exiger des informations détaillées avant toute éventuelle action d’application.[6]
MSc AI Governance, Risk & Compliance
Le Bac+6 qui forme les juristes à comprendre les technologies d’IA et de Data pour en maîtriser la gouvernance, les risques et la conformité.
Qui répond lorsqu’un agent agit ?
La chaîne de responsabilité ne s’arrête pas au développeur du modèle. Un même modèle peut être intégré à plusieurs produits, recevoir des outils différents et fonctionner avec des niveaux d’accès très variables. Le fournisseur contrôle certaines briques, tandis que l’intégrateur et l’organisation utilisatrice définissent le contexte d’emploi.
| Acteur | Responsabilités à examiner |
|---|---|
| Fournisseur du modèle | Évaluations des capacités, limites documentées, sécurité du modèle, gestion des vulnérabilités et information des intégrateurs. |
| Fournisseur du produit agentique | Conception des permissions, confirmations, mémoire, outils, journaux, restrictions et mécanismes d’arrêt. |
| Intégrateur | Configuration, choix des connecteurs, tests dans l’environnement réel et cohérence avec les processus métier. |
| Organisation utilisatrice | Finalité, habilitations, supervision, formation, conservation des données, suivi des incidents et voies de recours. |
| Utilisateur professionnel | Respect du périmètre autorisé, vérification des résultats et signalement des anomalies sans transfert fictif de responsabilité à l’outil. |
Les contrats peuvent répartir certains risques financiers entre ces acteurs, mais ils ne suppriment pas les obligations prévues par le droit de la consommation, la protection des données ou les réglementations sectorielles. La simple présence d’un humain dans la boucle ne suffit pas non plus. Encore faut-il que cette personne dispose de l’information, du temps et du pouvoir nécessaires pour refuser ou interrompre l’action.
Ce que l’enquête permet réellement d’affirmer
Trois constats sont établis. La FTC a confirmé l’existence d’une enquête. OpenAI et Anthropic figurent parmi les entreprises visées. Enfin, l’agence dispose déjà d’outils juridiques pour examiner les pratiques déloyales ou trompeuses, les engagements de confidentialité et certaines insuffisances de sécurité.[1][3][7]
Le reste demeure ouvert. Les autres entreprises concernées ne sont pas nommées. Le lien entre les incidents évoqués par la presse et le dossier de la FTC n’est pas documenté publiquement. Aucun manquement n’est établi et aucun standard spécifique de sécurité des agents n’a été annoncé dans le cadre de cette enquête.
L’enquête marque donc moins l’apparition d’un nouveau droit qu’une tentative d’appliquer des principes existants à des produits plus autonomes. Son importance dépendra de la manière dont la FTC définira une information loyale, une protection raisonnable et un préjudice prévisible dans le contexte agentique.
De la conformité à une gouvernance démontrable
Pour les fournisseurs et les organisations, l’enjeu consiste à rendre la maîtrise du système démontrable. Le cadre du NIST recommande de documenter les risques, de surveiller les usages, de préparer la réponse aux incidents et de considérer toute la chaîne de valeur. Ce référentiel reste volontaire, mais il aide à transformer des engagements généraux en contrôles observables.[8]
Une gouvernance crédible comprend des tests menés dans l’environnement réel, des droits minimaux, des validations adaptées à la gravité de l’action, des journaux exploitables, des limites de dépenses ou de fréquence, une procédure d’arrêt indépendante et un dispositif de traitement des réclamations. Elle doit aussi mesurer les erreurs silencieuses, pas seulement les tâches réussies.
La comparaison européenne doit rester précise. L’AI Act répartit les obligations selon le rôle de l’acteur, le type de modèle et l’usage prévu. Le caractère agentique ne suffit pas, à lui seul, à classer un système comme étant à haut risque. Un agent utilisé pour un recrutement, un service essentiel ou une autre finalité énumérée peut cependant relever d’exigences renforcées.[9]
La directive européenne révisée sur la responsabilité du fait des produits inclut les logiciels et les systèmes d’IA dans la notion de produit. Au 6 octobre 2026, les États membres disposaient encore jusqu’au 9 décembre 2026 pour la transposer, et ses règles nouvelles doivent s’appliquer aux produits mis sur le marché ou mis en service après cette date. Elle éclaire l’évolution du droit, sans pouvoir être présentée comme déjà applicable à l’enquête américaine.[10]
Ce qu’il faudra observer maintenant
Le premier indicateur sera la publication éventuelle d’ordonnances, de demandes d’informations, d’une plainte ou d’un accord. Ces documents permettraient de connaître les produits visés, les préjudices examinés et le fondement juridique retenu. Sans eux, les interprétations doivent rester prudentes.
Il faudra ensuite observer si la FTC s’intéresse seulement aux déclarations commerciales ou si elle cherche aussi à définir ce qu’est une protection raisonnable pour un agent capable d’agir. La réponse pourrait influencer la conception des permissions, les tests avant déploiement, la conservation des journaux et la manière de présenter l’autonomie aux utilisateurs.
Enfin, l’attribution des responsabilités sera décisive. Un système agentique associe souvent modèle, cloud, connecteurs, intégrateur et organisation utilisatrice. Le cadre retenu devra éviter de concentrer toute la responsabilité sur un acteur ou de permettre à chacun de la transférer au suivant.
Cette enquête ne démontre pas encore que les règles américaines suffisent à encadrer les agents IA. Elle place cependant une question concrète au centre du débat : à mesure que les systèmes passent de la génération de contenus à l’exécution d’actions, les fournisseurs devront-ils seulement promettre leur sécurité ou être capables d’en apporter la preuve ?
Pour aller plus loin
Pour approfondir les enjeux de supervision, de sécurité et de responsabilité liés aux agents IA, découvrez également ces analyses du blog aivancity.
Notes et sources
[1] Associated Press. (30 septembre 2026). FTC is investigating OpenAI and Anthropic over possible risks to consumers. Consulter la source
[2] Duncan, I. (30 septembre 2026). FTC launches broad investigation into Anthropic, OpenAI. The Washington Post. Consulter l’article
[3] Federal Trade Commission. Federal Trade Commission Act. Consulter le texte juridique
[4] Federal Trade Commission. FTC Policy Statement on Unfairness. Consulter la déclaration
[5] Federal Trade Commission. (1er juillet 2026). FTC Seeks Public Comment on Policy Statement Addressing AI Accuracy. Consulter la source
[6] Federal Trade Commission. (Septembre 2025). 6(b) Orders Regarding Advertising, Safety, and Data Handling Practices by AI Companion Providers. Consulter le rapport
[7] Federal Trade Commission. Privacy and Security Enforcement. Consulté le 6 octobre 2026. Consulter la source
[8] NIST. (2024). Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile. Consulter le rapport
[9] Union européenne. Règlement (UE) 2024/1689 sur l’intelligence artificielle. Version consolidée au 27 juillet 2026. Consulter le règlement
[10] Union européenne. Directive (UE) 2024/2853 relative à la responsabilité du fait des produits défectueux. Consulter la directive