Pendant longtemps, le discours a été simple : déployer un agent IA allait devenir presque banal. Quelques instructions, un accès au CRM, aux e-mails, au calendrier ou à la base clients, et l'entreprise disposait d'un nouvel assistant capable d'automatiser une partie de son activité.
Une étude publiée par la fondation néerlandaise Aithos invite pourtant à regarder cette promesse avec beaucoup plus de prudence.
Aithos, une fondation de recherche indépendante travaille sur l'alignement et l'évaluation des systèmes d'intelligence artificielle. Avec son outil LARA, elle a soumis douze des principaux modèles du marché à plus de 3 000 scénarios inspirés de situations professionnelles réelles afin de mesurer leur capacité à respecter le RGPD et l'AI Act.
Les résultats sont loin d'être rassurants…Aucun modèle n'atteint un niveau de conformité jugé satisfaisant.
- Le meilleur, Claude Opus 4.7, adopte encore un comportement contraire au droit européen dans près de la moitié des scénarios testés.
- À l'autre extrémité du classement, Gemini 3.1 Pro figure parmi les modèles les plus en difficulté.
- Plus surprenant, Mistral, obtient lui aussi un niveau de conformité très faible.
Cette hiérarchie est intéressante, mais elle n'est pas le véritable enseignement de l'étude.
En effet, les modèles ne cherchent pas délibérément à contourner le droit, ils cherchent avant tout à atteindre l'objectif qui leur est confié : Un responsable demande d'analyser l'état émotionnel de son équipe, un commercial souhaite profiter de la confusion d'un client âgé pour conclure une vente, un manager demande de classer des salariés selon des critères qui s'apparentent à du scoring social.
Dans beaucoup de cas, l'agent IA exécute la mission parce qu'elle lui paraît cohérente avec son objectif opérationnel, et c'est précisément là que commence le risque juridique.
- Le RGPD ne s'intéresse pas aux intentions de l'algorithme, il impose une base légale, une finalité déterminée, une collecte proportionnée et une information loyale des personnes concernées.
- L'AI Act, de son côté, interdit certaines pratiques particulièrement sensibles, comme l'exploitation des personnes vulnérables, certaines formes de manipulation, le scoring social ou encore l'inférence des émotions dans le cadre professionnel.
L'étude rappelle surtout une réalité que beaucoup d'organisations sous-estiment encore : la conformité n'est probablement pas une propriété du modèle. Donc, un même modèle pourra produire un comportement conforme ou non conforme selon les données auxquelles il accède, les outils qu'il pilote, les instructions qu'il reçoit, et la supervision humaine mise en place.
C'est aussi pour cette raison que le classement publié par Aithos ne doit pas être interprété comme un simple palmarès des meilleurs ou des moins bons modèles, car il montre surtout qu'aucun fournisseur ne peut aujourd'hui garantir, à lui seul, la conformité juridique d'un agent IA utilisé dans un contexte métier.
L'Europe est en train de construire un cadre juridique extrêmement exigeant pour l'intelligence artificielle. Si même les modèles les plus avancés, y compris européens, peinent encore à satisfaire ces exigences dans des scénarios réalistes, le véritable frein au déploiement ne sera peut-être pas la technologie elle-même, mais le coût de la gouvernance, des tests, de la documentation et de la supervision nécessaires pour démontrer la conformité.
L'Europe ne tue probablement pas l'intelligence artificielle, mais peut être est-elle en train de faire disparaître l'idée qu'il serait possible de déployer des agents autonomes sans véritable gouvernance juridique.