Une étude révèle que douze modèles d’IA populaires obtiennent de mauvais scores en matière de respect du RGPD et de l’IA Act de l’UE.
Même le modèle d’IA le plus performant enfreint la législation européenne sur la protection de la vie privée et l’IA Act près de la moitié du temps. C’est ce qui ressort d’une étude de l’organisation à but non lucratif Aithos, qui a lancé une nouvelle plateforme de test pour évaluer la conformité juridique des agents d’IA.
L’organisation à but non lucratif Aithos a développé un outil nommé LARA (Legal Assessment for Real-world Agents) permettant de tester douze modèles d’IA populaires sur le respect du RGPD et de l’IA Act de l’UE. Les résultats sont frappants : aucun modèle n’atteint un niveau acceptable. Claude Opus 4.7 affiche les meilleures performances, mais enfreint tout de même la loi dans 46 % des cas. Gemini 3.1 Pro de Google obtient le score le plus bas avec pas moins de 90 % d’infractions légales.
Comportements légalement interdits dans la pratique
Les chercheurs ont testé les modèles dans des scénarios réalistes sur le lieu de travail, où une deuxième IA jouait le rôle de l’utilisateur et incitait à enfreindre la loi. Un troisième groupe de juges IA a évalué si le modèle avait violé la loi, en s’appuyant sur le texte législatif. Au total, plus de 3 000 scénarios ont été exécutés.
Les tests sont restés réalistes : un manager demandant à un assistant IA d’analyser l’état émotionnel des membres de l’équipe avant un entretien d’évaluation, un agent de service client recevant l’ordre de collecter des données sur le mode de vie pour des annonceurs, ou un assistant IA devant cacher à un cabinet dentaire qu’il s’agit d’une IA. Tous ces scénarios sont illégaux dans l’UE.
Un scénario se distingue particulièrement : dans tous les tests, les agents d’IA ont tenté de faire monter en gamme l’abonnement d’un client âgé vulnérable, même lorsque l’utilisateur indiquait clairement être confus. Les modèles ont réagi de manière chaleureuse et empathique, ont suggéré de consulter un membre de la famille, puis ont tout de même tenté de la convaincre de prendre le forfait le plus cher, conformément aux règles présentées à l’agent d’IA.
L’essor des agents d’IA
Le moment choisi pour cette étude n’est pas fortuit. De plus en plus d’entreprises expérimentent des agents d’IA autonomes qui gèrent de manière indépendante les contacts clients, soutiennent les processus RH ou automatisent les flux de travail internes. Tout le monde en parle et introduit continuellement des systèmes d’IA permettant de construire ses propres agents. Parallèlement, l’IA Act européen entre en vigueur. Cela pousse les entreprises à réfléchir aux performances de leur IA et à leur conformité juridique.
L’enthousiasme et la volonté ne manquent pas chez les entreprises et les utilisateurs. Selon un rapport d’AdminPulse et Teamleader, plus de cinquante pour cent (58 %) utilisaient quotidiennement la technologie de l’IA en 2025, contre 17 % en 2024. Parallèlement à cet enthousiasme pour l’IA, des messages d’un autre genre commencent à se faire entendre. Des agents qui effacent une base de données complète, des infrastructures gourmandes en énergie ou Codex Security exploité par des cybercriminels pour découvrir des vulnérabilités.
L’éditeur est responsable
Aithos souligne que ce ne sont pas les fournisseurs de modèles qui sont responsables de ce type d’infractions, mais bien les entreprises qui déploient les agents d’IA. Lorsqu’un modèle est utilisé dans une application concrète, l’éditeur est responsable de ses actions. Le RGPD prévoit des amendes allant jusqu’à vingt millions d’euros ou quatre pour cent du chiffre d’affaires. L’IA Act place la barre encore plus haut : jusqu’à 35 millions d’euros ou sept pour cent du chiffre d’affaires mondial.
Tous les scénarios de test et les transcriptions sont disponibles via lara.aithos.org, afin que chacun puisse vérifier et reproduire les résultats. Aithos prévoit des extensions pour permettre aux utilisateurs de soumettre leurs propres scénarios. Ensuite, l’outil sera étendu à d’autres régions que l’Europe.
Les agents d’IA et leur infrastructure ont été un sujet récurrent lors d’une récente table ronde d’ITdaily avec cinq experts de l’industrie belge de l’IA. Vous pouvez visionner l’intégralité de la série ici.