Le 30 juillet 2026, Anthropic a rendu publique une analyse de trois incidents survenus pendant des évaluations de cybersécurité. Claude, utilisé dans un environnement fourni par des tiers, a pu accéder à Internet et obtenir un accès non autorisé à des systèmes réels appartenant à trois organisations. L’analyse porte sur 141 006 exécutions. Elle décrit notamment des mots de passe faibles, des points d’accès non authentifiés et le téléchargement d’un paquet PyPI malveillant sur quinze systèmes réels, avec exposition de moyens d’authentification. Le compte rendu publié par Anthropic précise aussi que la connexion à Internet résultait d’une incompréhension ou d’une mauvaise configuration de l’environnement d’évaluation.
Pour une société française, la question n’est pas de savoir si un agent d’intelligence artificielle est capable d’agir seul. Elle consiste à déterminer qui lui a donné un accès, sur quel périmètre, avec quelles limites et sous quelle supervision. Un dirigeant peut engager la responsabilité de la société en faisant déployer un agent sur un environnement de production mal cloisonné. Il peut aussi démontrer qu’un incident résulte d’une défaillance du prestataire, d’une usurpation ou d’une erreur d’infrastructure qui ne lui est pas imputable. L’analyse se construit à partir des faits, des journaux techniques, des contrats et des décisions de gouvernance.
La publication récente de la note de la CNIL consacrée à l’IA agentique rappelle que ces systèmes ne se limitent pas à produire une réponse : ils peuvent accéder à des données, utiliser des services connectés et agir sur leur environnement. La CNIL présente l’IA agentique comme un changement d’échelle qui complexifie la maîtrise des risques et la répartition des responsabilités. Une entreprise qui laisse un agent appeler une API bancaire, modifier un fichier client, installer un logiciel ou envoyer un courriel ne doit donc pas traiter l’outil comme un simple logiciel bureautique.
Le présent article distingue l’infraction commise par l’auteur d’un accès frauduleux, la responsabilité civile de la société, la responsabilité personnelle du dirigeant et les obligations liées aux données personnelles. Il expose ensuite les gestes à accomplir dans les premières heures, les preuves à préserver et l’organisation à mettre en place à Paris et en Île-de-France. L’agent était-il autorisé à tester un environnement ? A-t-il quitté ce périmètre ? Une personne a-t-elle validé l’accès aux identifiants de production ? Ces réponses déterminent la suite juridique.
Cette analyse s’inscrit dans le cadre plus large du droit des affaires à Paris : les statuts, les délégations, les contrats et la gouvernance de la société doivent rester cohérents avec les outils qu’elle utilise.
I. Que risque une société après l’accès non autorisé d’un agent IA ?
A. Quand l’utilisation d’un agent engage-t-elle la société et son dirigeant ?
Le point de départ est l’intérêt social. L’article 1833 du Code civil dispose que « toute société doit avoir un objet licite et être constituée dans l’intérêt commun des associés ». Il ajoute que « la société est gérée dans son intérêt social, en prenant en considération les enjeux sociaux et environnementaux de son activité ». Pour une société qui déploie un agent connecté, cet intérêt social implique une appréciation raisonnable des risques de perte de données, d’interruption, de fraude, d’atteinte aux clients et d’atteinte à la réputation.
Cette règle ne transforme pas chaque erreur informatique en faute de gestion. Le juge ne sanctionne pas le seul fait qu’un outil ait été choisi. Il cherche plutôt à savoir si le dirigeant connaissait le périmètre d’action de l’agent, si les accès étaient nécessaires, si un environnement de test était séparé de la production, si les alertes étaient surveillées et si une personne pouvait interrompre l’action. Un projet expérimental peut être licite avec des comptes fictifs, des données anonymisées, une liste d’actions autorisées et un mécanisme d’arrêt. Le même projet devient beaucoup plus risqué si l’agent reçoit une clé permanente donnant accès aux dossiers clients, à la messagerie et aux paiements.
La société répond des décisions prises par ses organes dans le cadre de son activité. Pour une société anonyme, l’article L. 225-35 du Code de commerce prévoit que le conseil d’administration « détermine les orientations de l’activité de la société et veille à leur mise en œuvre, conformément à son intérêt social ». Il exerce aussi les contrôles et vérifications qu’il juge opportuns. Un déploiement d’IA agentique à grande échelle, avec accès à des systèmes sensibles, peut donc relever d’une décision qui doit être présentée au conseil ou, à tout le moins, documentée par la direction.
Dans une SARL, l’article L. 223-22 du Code de commerce prévoit que « les gérants sont responsables, individuellement ou solidairement, selon le cas, envers la société ou envers les tiers ». La responsabilité peut résulter d’une violation de la loi, des statuts ou d’une faute de gestion. Dans une SAS, l’article L. 227-8 du même code renvoie au régime de responsabilité des dirigeants de société anonyme dans la mesure qu’il précise. Le changement de forme sociale ne supprime donc pas la nécessité d’identifier l’auteur de la décision, le niveau d’information dont il disposait et les moyens dont il disposait pour prévenir le risque.
Pour une société anonyme, l’article L. 225-251 du Code de commerce vise la responsabilité individuelle ou solidaire des administrateurs et du directeur général envers la société ou les tiers en cas d’infractions, de violations statutaires ou de fautes commises dans la gestion. Un incident impliquant un agent ne suffit pas à établir une faute. Il faut relier la décision à un dommage : exfiltration de données, fraude, coût de remise en état, pénalité contractuelle, arrêt d’exploitation ou perte d’un marché. La question de la causalité devient centrale si un prestataire a installé l’outil, si un salarié a contourné une consigne ou si une vulnérabilité inconnue a été exploitée.
La responsabilité civile de droit commun peut également être invoquée. L’article 1240 du Code civil énonce : « tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». Un client dont les données ont été rendues accessibles, un partenaire dont l’API a été utilisée abusivement ou une société victime d’un virement frauduleux doit établir une faute, un préjudice et un lien causal. La société peut ensuite rechercher la garantie d’un fournisseur si le contrat, la documentation technique ou les règles de sécurité promises n’ont pas été respectés.
Il faut séparer quatre situations. La première est celle d’un agent qui agit exactement dans le périmètre autorisé et provoque un dommage par une défaillance imprévisible. La deuxième est celle d’un agent auquel une personne a donné des accès excessifs, sans test et sans surveillance. La troisième est celle d’un tiers qui a volé un jeton, contourné un contrôle ou utilisé une faille. La quatrième est celle d’un agent qui, dans un environnement d’évaluation, a dépassé le scénario prévu parce que le réseau réel était accessible. Les mêmes logs peuvent servir à distinguer ces hypothèses, mais elles ne produisent ni le même responsable, ni la même demande de garantie, ni la même stratégie de déclaration.
La personne morale peut aussi être exposée au pénal. L’article 121-2 du Code pénal prévoit que « les personnes morales, à l’exclusion de l’État, sont responsables pénalement des infractions commises, pour leur compte, par leurs organes ou représentants ». Cette responsabilité n’efface pas celle de la personne physique. L’enquête cherchera donc à déterminer si un dirigeant, un responsable informatique ou un prestataire a sciemment autorisé une opération interdite, a conservé un accès après la fin de sa mission ou a négligé une mesure de sécurité dont il avait la charge.
L’article 323-1 du Code pénal réprime le fait « d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données ». L’accès initial peut être autorisé et le maintien devenir frauduleux si la personne dépasse les droits prévus, utilise un compte après la fin de son habilitation ou poursuit une exploration malgré une interdiction. Les peines prévues par le texte sont aggravées dans certaines circonstances. La chambre criminelle, dans son arrêt du 2 septembre 2025, n° 24-83.605, a notamment rappelé que le maintien dans un système doit être apprécié au regard du contenu des messages consultés, de la mission et de l’absence d’autorisation des titulaires.
L’agent n’est pas une personne pénale. La qualification porte sur l’action de la personne qui l’a configuré, sur celle qui l’a déclenchée et sur la société pour le compte de laquelle le traitement a été réalisé. Un prompt ne constitue pas automatiquement une instruction frauduleuse. Il peut néanmoins montrer que l’utilisateur demandait de franchir une limite, d’extraire des données ou de supprimer une trace. Les instructions, les validations, les alertes affichées et les réponses humaines doivent être conservées dans leur version d’origine.
Lorsque des données ont été introduites, extraites, détruites ou modifiées, l’article 323-3 du Code pénal vise notamment le fait « d’introduire frauduleusement des données dans un système de traitement automatisé » ou de modifier frauduleusement celles qu’il contient. La présence d’un agent dans la chaîne technique ne suffit pas à caractériser l’infraction. Il faut établir l’élément matériel, le caractère frauduleux, le système visé et le rôle de chaque intervenant. Une entreprise qui organise un test autorisé doit pouvoir produire le mandat, l’environnement, les limites et le rapport de sortie.
Le dirigeant ne devient donc pas automatiquement l’auteur de toute action accomplie par l’agent. Sa responsabilité personnelle dépendra de sa décision, de sa délégation, de son information et du dommage. Une délégation utile suppose une compétence technique ou opérationnelle, une autorité réelle sur les accès, des moyens suffisants et une information régulière de la direction. Une simple fiche de poste ne suffit pas si le responsable désigné ne peut ni révoquer les clés, ni imposer la séparation entre les environnements, ni faire corriger la vulnérabilité.
La cour d’appel de Paris a rendu le 5 mars 2026 un arrêt identifié par le RG n° 22/06832 relatif à la responsabilité d’un cadre délégataire dans la gouvernance des données et la cybersécurité. La décision est accessible sur le site de la Cour de cassation. Elle fournit un repère récent pour examiner la portée d’une délégation : il faut rechercher la mission réellement confiée, les moyens disponibles, les alertes reçues et la relation entre la carence reprochée et le dommage. Une direction qui conserve toutes les clés et toutes les décisions ne peut pas toujours se décharger sur un cadre dépourvu de pouvoir.
B. Quelles données, quelles preuves et quelles responsabilités après l’incident ?
Un accès d’agent doit être analysé séparément selon la nature des données. Les fichiers peuvent contenir des données personnelles, des secrets d’affaires, des informations bancaires, des contrats, du code source ou des données relevant d’une obligation professionnelle. La réponse ne sera pas identique si un agent a seulement appelé une API de test, s’il a lu une base de clients ou s’il a transmis des identifiants à un serveur extérieur. La société doit commencer par définir ce qui a été accessible, ce qui a réellement été consulté et ce qui a quitté son périmètre.
Le règlement général sur la protection des données impose au responsable du traitement et au sous-traitant des mesures techniques et organisationnelles adaptées au risque. L’article 32 du RGPD invite notamment à tenir compte de l’état des connaissances, du coût de mise en œuvre, de la nature des données et des risques pour les droits et libertés. Dans un dispositif agentique, cela renvoie au cloisonnement des comptes, à la durée de vie des jetons, à la journalisation, au chiffrement, à la limitation des outils appelables et à la validation humaine des actions irréversibles.
Si une violation de données personnelles est probable, l’article 33 du RGPD organise la notification à l’autorité de contrôle dans les meilleurs délais et, lorsque les conditions sont réunies, dans les soixante-douze heures après la prise de connaissance. Ce délai ne doit pas conduire à notifier une hypothèse non vérifiée avec des informations inexactes. Il impose en revanche d’ouvrir immédiatement une analyse documentée : date de détection, données concernées, personnes exposées, mesures prises, risque et raison d’une notification ou de son absence. Une notification tardive peut être expliquée si le dossier montre les diligences effectuées, mais le silence non documenté fragilise la société.
La CNIL souligne, dans sa note sur l’IA agentique, que l’autonomie et l’accès à plusieurs services rendent la chaîne de traitement plus difficile à maîtriser. Cette observation est utile pour les contrats entre une société et son fournisseur d’agent. Le responsable doit savoir si les prompts, journaux, pièces jointes et sorties sont réutilisés pour l’entraînement, dans quels pays ils sont stockés, combien de temps ils sont conservés, quels sous-traitants interviennent et comment les accès sont révoqués. Le contrat doit désigner les responsabilités sans empêcher la société de vérifier les faits.
La conservation de la preuve est un enjeu distinct du confinement. Une société peut révoquer une clé sans écraser les logs. Elle peut isoler un serveur sans reformater le disque. Elle peut suspendre un workflow sans supprimer le compte de service. Avant toute opération destructive, il faut figer les horaires, les identifiants, les adresses IP, les traces d’API, les prompts, les réponses de l’agent, les validations humaines et les versions de configuration. Si un prestataire conserve les journaux, une demande écrite doit préciser la période et interdire leur purge pendant l’analyse.
L’article 1353 du Code civil rappelle que « celui qui réclame l’exécution d’une obligation doit la prouver ». Dans un litige, la société qui réclame la garantie d’un fournisseur devra établir le manquement, le dommage et le lien entre les deux. Le fournisseur pourra répondre que le compte avait été utilisé hors de la documentation, que le client avait désactivé une protection ou que la donnée avait été exposée avant son intervention. La première chronologie technique est donc une pièce juridique, pas seulement un document informatique.
La preuve électronique n’est pas dépourvue de valeur. L’article 1366 du Code civil dispose que « l’écrit électronique a la même force probante que l’écrit sur support papier », sous réserve que l’auteur puisse être identifié et que l’intégrité soit garantie. Les exports JSON, journaux de connexion et captures d’écran doivent donc être accompagnés de leur origine, de leur méthode d’extraction, de leur empreinte lorsque cela est utile, et de la personne qui les a conservés. Un fichier modifié sans journal de conservation sera plus facilement contesté.
Les messages et prompts doivent être conservés avec leur contexte. Un agent peut produire une instruction qui semble avoir déclenché une suppression alors que l’action a été refusée par l’API. À l’inverse, une réponse qui paraît purement descriptive peut être suivie d’une action automatique dans un autre outil. Il faut rapprocher le message, la politique d’autorisation, l’appel d’outil, le résultat technique et la validation humaine. Les horodatages doivent être harmonisés lorsque les systèmes utilisent des fuseaux différents.
La jurisprudence pénale invite à ne pas confondre droit d’accès et droit de transformer les données. Dans son arrêt du 7 janvier 2020, n° 18-84.755, la chambre criminelle a distingué l’accès autorisé au système et la modification frauduleuse des données. Pour l’entreprise, ce repère impose une analyse action par action. Un agent peut avoir été autorisé à lire un dossier, mais pas à le copier vers un service extérieur, à modifier une facture ou à supprimer un enregistrement. La matrice des permissions doit être comparée aux actes réellement accomplis.
Une décision de la chambre commerciale rappelle aussi que le dirigeant poursuivi par un créancier doit faire l’objet d’une analyse personnelle. Cass. com., 7 mars 2006, n° 04-16.536, distingue le préjudice subi par la société du dommage personnel et distinct que le tiers doit établir pour agir contre le dirigeant. Une société victime d’une défaillance de cybersécurité ne peut donc pas déduire automatiquement une responsabilité individuelle de la seule existence d’une perte. Elle doit identifier la faute détachable ou la base légale qui justifie l’action dirigée contre la personne physique.
Les contrats conclus avec l’intégrateur, l’éditeur et l’hébergeur doivent être relus sous cet angle. Les clauses importantes concernent le périmètre d’accès, les environnements autorisés, la notification d’incident, la conservation des logs, l’assistance à l’enquête, les sous-traitants, l’hébergement, les transferts, les plafonds d’indemnisation et les exclusions. Un plafond très faible peut être inadapté à un agent connecté au système de paiement. Une exclusion des dommages liés à une utilisation « autonome » peut vider la garantie de sa substance si l’autonomie constitue précisément le service vendu. Le contrat doit aussi organiser la sortie, la restitution et la suppression vérifiable des données.
Le secret des affaires impose une précaution supplémentaire. Une entreprise peut avoir transmis à un outil d’IA un projet d’acquisition, une liste de clients, une formule, une stratégie de prix ou des informations de santé au travail. Les données sorties du périmètre doivent être identifiées et les destinataires doivent être avisés lorsque c’est nécessaire. Les salariés et prestataires doivent recevoir des règles simples : ne pas déposer une base réelle dans un service non validé, ne pas contourner un contrôle de sécurité et ne pas utiliser une clé trouvée dans un fichier de configuration.
Un incident révèle souvent plusieurs niveaux de responsabilité. Le fournisseur peut avoir livré un composant vulnérable. L’intégrateur peut avoir laissé une route d’administration exposée. Le dirigeant peut avoir accepté un déploiement sans test. Un salarié peut avoir copié une clé dans un prompt. Le client peut avoir fourni un mot de passe faible. L’assurance cyber peut exiger des mesures minimales. La société doit conserver une position ouverte dans les premières communications : reconnaître le fait établi, éviter d’attribuer trop vite la faute et réserver les droits contre les prestataires et les personnes impliquées.
II. Que faire après un incident d’IA agentique et comment protéger le dirigeant ?
A. Quelles actions accomplir dans les premières heures et dans les soixante-douze heures ?
La première mesure est de stopper l’action dangereuse sans détruire la preuve. Il faut désactiver les clés de l’agent, suspendre les tâches programmées, couper les connecteurs dont l’usage n’est pas nécessaire et appliquer un filtrage temporaire des sorties. Si la compromission est en cours, le maintien d’un service pour préserver l’activité ne doit pas permettre à l’attaquant de poursuivre. La décision doit être horodatée, attribuée et expliquée dans un registre d’incident.
La deuxième mesure est de séparer les faits confirmés des hypothèses. Une fiche initiale peut retenir : le compte concerné, le premier et le dernier événement connu, les environnements touchés, les données accessibles, les actions accomplies, les systèmes tiers appelés, la personne qui a autorisé l’agent et les moyens déjà retirés. Il faut écrire « non déterminé » lorsque l’analyse n’est pas terminée. Une conclusion prématurée sur l’absence d’exfiltration peut devenir problématique si les logs sont incomplets.
La troisième mesure est de préserver les preuves auprès de chaque intervenant. La société doit demander à l’éditeur, à l’hébergeur et à l’intégrateur de conserver les journaux, les configurations, les tickets, les versions déployées et les échanges. Elle doit conserver sa propre copie des prompts, des politiques, des comptes, des règles réseau, des exports et des décisions. Les accès doivent être retirés avec méthode : révoquer le jeton ne signifie pas supprimer le compte, effacer la boîte ou modifier le fichier de log.
La quatrième mesure est d’apprécier le risque pour les personnes. Une base contenant uniquement des identifiants techniques ne présente pas la même exposition qu’un fichier contenant des coordonnées, des informations bancaires ou des données relatives à des salariés et à des clients. La société doit relever la nature, le volume, la sensibilité, la facilité de réidentification, les destinataires et la possibilité de récupération. Elle peut ensuite décider, avec son conseil et son délégué à la protection des données lorsqu’il existe, d’une notification à la CNIL, d’une information des personnes et de mesures de protection complémentaires.
La notification à la CNIL ne remplace pas le traitement de l’incident. Elle doit décrire, autant que possible, la nature de la violation, les catégories de personnes et de données, les coordonnées du point de contact, les conséquences probables et les mesures prises. Si toutes les informations ne sont pas disponibles dans les soixante-douze heures, la société peut documenter les éléments connus et compléter lorsque le cadre applicable le permet. Elle doit surtout conserver la décision et son raisonnement, y compris lorsque l’analyse conclut que le risque ne justifie pas une notification.
La société doit ensuite relire ses obligations contractuelles. Certains clients exigent une alerte dans les vingt-quatre heures, un canal dédié ou une autorisation préalable pour un sous-traitant. Une compagnie d’assurance peut imposer une déclaration immédiate et la désignation d’un expert. Un partenaire peut demander le changement de toutes les clés, la preuve d’un audit ou la confirmation qu’aucune donnée n’a été transmise. La communication doit rester exacte : promettre qu’aucune donnée n’a été copiée alors que l’agent a eu accès à la base expose à une aggravation du litige.
La société doit aussi décider si une plainte pénale ou un signalement est nécessaire. Un accès frauduleux, une extorsion, une destruction de données ou une escroquerie justifient de préserver les éléments utiles et de ne pas négocier seul avec l’auteur. La plainte doit présenter la chronologie et les pièces techniques sans transformer une hypothèse en accusation certaine. Le dépôt auprès du service compétent, l’information de l’assureur et la coordination avec l’expert doivent être articulés pour éviter la perte de preuve.
Le dirigeant doit éviter deux erreurs opposées. La première consiste à effacer rapidement les comptes, les prompts et les journaux pour « nettoyer » l’environnement. La seconde consiste à laisser l’agent actif pendant plusieurs jours dans l’espoir d’identifier son comportement. Le confinement contrôlé, la copie forensique, la révocation progressive et la validation d’un plan de reprise permettent de réduire ces risques. Chaque action irréversible doit recevoir une justification et une validation identifiable.
Dans les premiers jours, la direction doit produire une note de décision. Cette note peut contenir :
- la description du service, de l’agent, de sa version et de ses connecteurs ;
- la finalité initiale du test ou de la production, avec la personne qui l’a approuvée ;
- les comptes, clés, rôles et données accessibles, ainsi que les limites qui auraient dû s’appliquer ;
- la chronologie des événements et des mesures de confinement ;
- la liste des prestataires, des clients et des autorités contactés ;
- les raisons de chaque déclaration, information, suspension ou reprise ;
- les actions correctrices, leur responsable et la date prévue de vérification.
Cette note ne doit pas servir à réécrire l’histoire. Elle doit distinguer le document contemporain de l’analyse juridique rédigée ensuite. Les comptes rendus de réunion, les tickets et les messages peuvent rester accessibles aux équipes techniques, tandis que les échanges avec l’avocat sont conservés dans un espace adapté au secret professionnel. L’existence d’un conseil ne rend pas tous les documents insaisissables. La séparation des fonctions et la discipline de conservation restent nécessaires.
Après confinement, la reprise doit se faire par étapes. L’entreprise peut restaurer un environnement propre, renouveler les secrets, réduire les permissions, vérifier les dépendances, tester les sauvegardes et réintroduire les flux un par un. Un agent dont la mission consiste à lire un dossier ne doit pas pouvoir envoyer un fichier, créer un utilisateur ou ordonner un paiement. Une action sensible doit exiger une confirmation humaine indépendante, surtout lorsque la demande provient d’un message généré ou d’un canal externe.
B. Comment organiser la gouvernance et la défense du dirigeant à Paris et en Île-de-France ?
La prévention ne repose pas sur une interdiction générale de l’intelligence artificielle. Elle repose sur une cartographie des usages. L’entreprise doit distinguer l’agent qui résume des documents publics, celui qui traite des données clients, celui qui interroge le CRM, celui qui modifie des écritures comptables et celui qui agit sur le système de paiement. Plus l’agent peut changer l’état du système ou engager la société, plus la validation, la traçabilité et la séparation des accès doivent être fortes.
La gouvernance peut être organisée par une décision du président, du directeur général ou du gérant, complétée par une délibération lorsque l’importance du projet le justifie. Le document doit décrire la finalité, les données autorisées, les systèmes interdits, les fournisseurs validés, les contrôles, les seuils d’escalade et le responsable de l’arrêt. Il doit aussi prévoir une revue périodique. Une politique qui n’a jamais été communiquée, testée ou contrôlée apporte peu de protection en cas d’incident.
Les délégations doivent être concrètes. Le délégataire doit avoir accès aux informations, aux équipes, au budget et aux outils qui lui permettent d’accomplir sa mission. Il doit pouvoir suspendre un connecteur, faire corriger une configuration et signaler directement le risque. Le dirigeant doit recevoir des indicateurs compréhensibles : nombre d’agents en production, comptes privilégiés, clés arrivant à expiration, incidents, données sensibles traitées, exceptions accordées et actions sans validation humaine. Une alerte ignorée pourra être plus importante que l’erreur initiale.
Pour une SAS ou une SARL, la décision doit être cohérente avec les statuts, la délégation de pouvoirs et les fonctions réellement exercées. Pour une société anonyme, le conseil doit pouvoir demander les informations nécessaires à sa mission. L’article L. 225-35 du Code de commerce précise que le conseil peut se saisir de toute question intéressant la bonne marche de la société et procéder aux contrôles et vérifications qu’il juge opportuns. Un dossier d’IA agentique qui touche des données stratégiques ou des paiements doit pouvoir être présenté dans un langage compréhensible par les administrateurs.
Les contrats doivent traduire la gouvernance. L’éditeur ne doit pas pouvoir réutiliser les données à une autre fin sans base contractuelle et décision validée. L’intégrateur doit préciser qui configure les rôles et qui réalise les tests. L’hébergeur doit indiquer les régions, les sous-traitants et les procédures d’incident. L’entreprise doit obtenir la restitution de ses journaux et la possibilité de réaliser un audit raisonnable. Les limitations de responsabilité doivent être comparées à la criticité de l’accès, à la valeur des données et au coût d’une interruption.
La sécurité des identifiants est un sujet de gouvernance, pas seulement de technologie. Les clés doivent être nominatives ou rattachées à un service identifiable, limitées dans le temps et supprimables sans attendre l’éditeur. Les environnements de test doivent utiliser des données fictives ou anonymisées. Les secrets ne doivent pas apparaître dans un prompt, un dépôt public, un ticket ou une sortie d’agent. Les actions d’écriture, de paiement, de suppression et d’envoi à un tiers doivent être désactivées par défaut. Les comptes d’administration doivent utiliser une authentification renforcée et une séparation des rôles.
Une entreprise peut faire appel à un audit, mais l’audit ne doit pas remplacer les décisions. Le rapport doit indiquer les écarts, les risques acceptés, le responsable de la correction et la date de vérification. Lorsque la direction accepte temporairement une exception, elle doit en fixer la durée et le périmètre. Une tolérance devenue permanente ressemble à une règle de fonctionnement et peut être examinée comme telle. Les conclusions doivent être communiquées au bon niveau sans exposer inutilement les détails qui permettraient une nouvelle attaque.
À Paris et en Île-de-France, la juridiction compétente dépendra de la nature du litige, du siège des parties, du contrat et des règles impératives applicables. Un différend entre sociétés commerciales peut relever du tribunal des activités économiques ou du tribunal de commerce compétent, tandis qu’une plainte pénale sera orientée selon les faits et les services d’enquête. Un litige relatif aux données personnelles peut aussi nécessiter une coordination avec la CNIL. L’adresse parisienne d’un conseil ne suffit pas à choisir le juge : il faut vérifier la clause attributive, le domicile, le lieu du dommage et la compétence matérielle.
Le cabinet peut être saisi avant la crise pour relire une délégation, un contrat d’IA, une politique d’accès ou un procès-verbal de conseil. Il peut aussi intervenir après la découverte d’un accès anormal pour préserver les preuves, organiser la notification, coordonner l’expert et préparer la relation avec les clients et les prestataires. La page consacrée à la responsabilité civile du dirigeant à Paris présente le cadre général de cette analyse. Le dossier concret doit ensuite distinguer la responsabilité de la société, celle du prestataire et celle de la personne physique.
Un dirigeant qui découvre que des accès ont été trop larges doit agir même si aucun dommage n’est encore démontré. La réduction du périmètre, la rotation des secrets et la vérification des logs limitent le risque futur. Le fait de ne pas avoir encore constaté une exfiltration ne dispense pas de documenter l’exposition. Inversement, la découverte d’un accès dans un environnement d’évaluation ne signifie pas automatiquement qu’une société française a commis une infraction. Le mandat du test, les systèmes atteints, l’intention, l’autorisation et les actions réalisées doivent être examinés ensemble.
La décision de poursuivre un fournisseur doit être prise après comparaison des contrats et des preuves. Une mise en demeure peut demander la conservation des données, l’explication de l’architecture, la liste des sous-traitants, la correction de la faille et l’indemnisation des coûts justifiés. Une société ne doit pas accepter un rapport technique qui omet les comptes utilisés, les heures exactes ou les limitations connues. Elle doit demander les éléments nécessaires sans compromettre une enquête en cours. Les échanges commerciaux et l’action contentieuse peuvent être coordonnés avec une stratégie de continuité.
La prévention doit enfin être évaluée par des exercices. Un test annuel peut simuler la compromission d’une clé, le franchissement d’un environnement de test ou l’envoi d’une donnée à un tiers. L’exercice doit vérifier le temps de détection, le temps de révocation, la capacité à retrouver les logs, la décision de notification, la disponibilité des sauvegardes et la chaîne d’escalade. Il doit utiliser un périmètre autorisé et des données sans risque. Un test qui reproduit les conditions d’un incident réel sans protection juridique et technique peut créer le problème qu’il prétend mesurer.
Conclusion
Les trois incidents analysés par Anthropic montrent surtout une réalité juridique simple : un agent ne limite pas sa puissance au texte de son instruction lorsque l’entreprise lui ouvre des systèmes, des données et des connecteurs. Le dirigeant doit donc pouvoir expliquer le but du déploiement, l’autorisation donnée, la séparation des environnements, les contrôles et la réaction à l’alerte. La responsabilité de la société, du fournisseur et de la personne physique ne se confond pas. Elle dépendra des accès, des actions, du dommage et des preuves.
Après un incident, la priorité est de contenir sans détruire, qualifier sans spéculer, notifier lorsque le risque le commande et conserver une chronologie exploitable. Avant l’incident, la priorité est de limiter les permissions, de prévoir une validation humaine pour les actions sensibles, de contractualiser l’accès aux données et de donner au délégataire les moyens d’agir. Cette méthode permet de développer des usages d’IA utiles tout en protégeant la société, ses clients et le dirigeant qui doit répondre de ses décisions.
Besoin d’un avis rapide sur votre dossier.
Une consultation téléphonique en 48 heures avec un avocat du cabinet permet d’examiner l’accès de l’agent, la délégation de pouvoirs, les contrats du fournisseur et les obligations de notification.
Vous pouvez préparer les journaux, prompts, règles d’accès, contrats, décisions de gouvernance et échanges avec le prestataire pour organiser rapidement la réponse de la société.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.