Le 30 octobre 2026, le Digital Regulation Cooperation Forum (DRCF) britannique a publié une déclaration commune. Ses membres sont la Competition and Markets Authority (CMA), la Financial Conduct Authority (FCA), l'Information Commissioner's Office (ICO) et l'Ofcom. Elle concerne les agents IA personnels qui passent des commandes, communiquent avec des entreprises et traitent courriels et dépenses pour le compte d'un utilisateur : le droit existant s'applique aussi à eux, et aussi autonome soit un agent, l'organisation qui le déploie ne peut pas s'exonérer en disant que c'est l'IA qui l'a fait. La déclaration ne crée pas de loi nouvelle, mais elle expose la position des autorités en une fois ; les organisations qui fournissent ou déploient de tels agents au Royaume-Uni entrent dans son champ d'application.
Ce que couvre la déclaration : le droit existant s'applique directement
Le champ nommé est large : les exigences existantes en matière de concurrence, de protection des consommateurs, de protection des données, de sécurité en ligne, de services financiers, de paiements et de cybersécurité ; des lois comme la sécurité des produits, qui relèvent d'autres compétences que celles des membres du Forum, peuvent aussi s'appliquer. Les risques cités sont eux aussi précis : fraudes et escroqueries, partage de données personnelles au-delà de ce que les utilisateurs attendent, et recommandations, décisions ou informations trompeuses. Les quatre régulateurs indiquent qu'ils suivent déjà le marché, échangent directement avec les entreprises, publient des orientations, partagent des renseignements et soutiennent les tests dans des bacs à sable réglementaires, et qu'ils travailleront avec le gouvernement britannique pour repérer les lacunes de conformité. Quatre regards d'application de la loi peuvent se porter en même temps sur un même produit.
Cinq questions à trancher avant le déploiement
La déclaration demande aux entreprises de réfléchir attentivement, avant le développement ou le déploiement, à cinq points : les utilisateurs peuvent-ils comprendre quand et comment un agent agit en leur nom ; comment l'autorisation d'agir est donnée et si elle peut être retirée ; comment les données personnelles sont utilisées ; comment les intérêts commerciaux susceptibles d'influencer les recommandations sont expliqués aux utilisateurs ; et qui est responsable quand quelque chose tourne mal et comment les utilisateurs obtiennent réparation. Au regard de ces cinq points, les entreprises peuvent commencer par quatre chantiers : graduer les autorisations, avec une confirmation humaine d'abord pour les actions à haut risque comme les paiements et les signatures ; inscrire la portée de l'autorisation, les usages des données et les relations commerciales là où les utilisateurs peuvent les voir ; conserver des traces retraçables de l'action de l'agent, pour pouvoir vérifier et corriger ensuite ; et échanger tôt avec les régulateurs, avant le lancement, en testant les questions dans un bac à sable. L'idée de faire franchir un seuil d'autorisation aux agents personnels avant leur entrée dans l'entreprise peut servir de repère pour clarifier les limites des autorisations.
Où se situe le risque : pas de loi nouvelle, mais la contrainte opère déjà
Le plus grand risque est de lire la déclaration comme un sujet à traiter plus tard. Elle précise que, lorsque les régulateurs relèvent un comportement qu'ils soupçonnent raisonnablement d'enfreindre la loi et de risquer de nuire aux consommateurs ou aux entreprises, ils « n'hésiteront pas à user de leurs pouvoirs ». Un seul agent peut déclencher en même temps les règles de protection des données, de protection des consommateurs, de concurrence et de finance, et faire l'objet d'examens parallèles. Les limites comptent aussi : la déclaration confirme seulement l'application du droit britannique existant ; ce n'est pas une règle mondiale, et les autres juridictions doivent être appréciées séparément. Elle ne fixe ni sanction nouvelle ni liste de contrôle technique, et les lacunes éventuelles dépendront du suivi des quatre régulateurs et du gouvernement. Le 31 mars 2026, le Forum avait publié un document de prospective à visée de discussion sur l'IA agentique ; le document du 30 octobre est une déclaration commune, et son signal est plus direct : vérifiez-vous dès maintenant au regard du droit existant, plutôt que d'attendre une nouvelle législation.
