Le 8 octobre 2026, l’Information Commissioner’s Office (ICO), autorité britannique de protection des données, a annoncé avoir obtenu des changements de la part de dix développeurs de modèles d’IA : Amazon, Anthropic, Apple, Cohere, DeepSeek, Google, Meta, Microsoft, OpenAI et Stability AI. Le même jour, il a ouvert un appel à contributions sur l’IA agentique, clos le 20 novembre 2026. Le Royaume-Uni n’applique plus le RGPD européen mais une version nationale très proche. Ses constats éclairent un sujet que les organismes français rencontrent aussi, l’articulation entre IA et droits des personnes, qu’ils développent un modèle ou qu’ils se contentent de l’utiliser.
Ce que les dix développeurs ont changé
L’ICO avait lancé en 2025 un programme de supervision visant onze entreprises, sélectionnées selon le risque d’infraction, leur part de marché au Royaume-Uni et l’usage de données d’entraînement jugées plus sensibles. La onzième, xAI, en a été retirée après l’ouverture d’une enquête formelle sur son assistant Grok, toujours en cours.
Les changements obtenus portent sur la transparence, la facilité d’exercice des droits et la rigueur des garanties. D’après les comptes rendus publiés, certains développeurs ont ajouté des notices d’information propres à l’entraînement des modèles ainsi que des résumés des jeux de données tiers utilisés ; d’autres ont mis à jour leurs analyses d’intérêt légitime ; un autre devra produire davantage de preuves de ses tests. L’ICO reconnaît que les méthodes actuelles d’entraînement, fondées sur la collecte massive de données en ligne, rendent la conformité difficile, et indique avoir saisi le gouvernement de cette question. Il annonce vérifier le respect des engagements.
Ces engagements concernent l’entraînement des modèles de fondation à partir de données collectées sur le web et de données de consommateurs. Ils ne couvrent ni les offres destinées aux entreprises, ni l’accès par API, ni le réentraînement par les clients.
Les agents d’IA sous examen
L’ICO s’est aussi renseigné auprès de développeurs et de l’institut britannique de sécurité de l’IA sur des tests et déploiements récents d’agents, c’est-à-dire de systèmes capables d’enchaîner des actions de façon autonome : envoyer un message, consulter un fichier, passer une commande. Son responsable de la régulation technologique, Richard Nevinson, a résumé la position de l’autorité : l’autonomie d’un agent n’excuse pas une conformité défaillante.
L’appel à contributions s’adresse aux développeurs comme aux organismes qui déploient des agents. Ses questions couvrent la sécurité des données, la transparence, la responsabilité, les décisions automatisées, l’équité, la limitation des finalités et la licéité du traitement. Les réponses alimenteront les futures lignes directrices de l’ICO et un code de pratique sur l’IA et la prise de décision automatisée.
IA et droits des personnes : le point de vue de l’utilisateur
La plupart des organismes que j’accompagne ne développent pas de modèle. Ils utilisent un assistant intégré à leur suite bureautique, un outil de transcription ou un agent conversationnel sur leur site. Les droits des personnes s’exercent pourtant d’abord auprès d’eux, puisqu’ils sont responsables des traitements qu’ils mettent en œuvre avec ces outils.
Plusieurs situations reviennent. Une personne demande à accéder aux données que l’organisme a saisies dans l’outil à son sujet, ou aux résumés et comptes rendus produits automatiquement. Une autre conteste une information inexacte générée par l’outil et demande sa rectification. Une troisième s’oppose à ce que ses échanges servent à améliorer le modèle du fournisseur. Avec un agent, s’ajoute la question de la traçabilité : qu’a fait l’outil, avec quelles données, et sur instruction de qui ? Sans journal des actions, l’organisme ne peut ni répondre complètement à une demande d’accès ni démontrer qu’un agent n’a pas consulté des données hors de son périmètre. Le délai d’un mois prévu par l’article 12 du RGPD ne laisse pas le temps de reconstituer ces informations après coup.
L’ICO pose une attente qui s’applique aussi côté utilisateur : réutiliser des requêtes, des conversations ou des fichiers déposés pour entraîner un modèle suppose de vérifier la compatibilité de cette réutilisation avec la finalité d’origine. Un organisme qui réentraîne un modèle sur les données de ses usagers agit en responsable de traitement et doit mener ce contrôle lui-même.
Ce que l’organisme doit organiser
- Recenser les outils d’IA utilisés et inscrire au registre les traitements correspondants, avec leurs finalités et leurs destinataires.
- Vérifier dans les contrats si le fournisseur réutilise les données saisies pour entraîner ses modèles, et désactiver cette option lorsque c’est possible.
- Adapter la procédure de réponse aux demandes de droits : savoir retrouver les données saisies et produites, les corriger, les effacer, et obtenir l’appui du fournisseur dans les délais.
- Compléter l’information des personnes lorsqu’un outil d’IA intervient dans un échange ou une décision qui les concerne.
- Pour les agents, limiter les droits d’accès, conserver un journal des actions et prévoir une validation humaine pour les actions sensibles.
DPO FRANCE, réseau national de DPO indépendants, accompagne les organismes dans l’encadrement de leurs usages d’IA et la gestion des demandes d’exercice des droits. DPO SUITE centralise le registre, les demandes de droits avec leurs échéances, les contrats fournisseurs et les AIPD.
