En bref. Confier un travail à un agent IA, c’est déléguer la tâche, jamais la responsabilité. En février 2024, un tribunal de Colombie-Britannique a rejeté l’argument d’une compagnie aérienne selon lequel son chatbot était une entité distincte, responsable de ses propres actes : il a qualifié cet argument de « remarquable » et jugé l’entreprise responsable de l’ensemble des informations figurant sur son site web. Le principe est simple. La pratique au sein des organisations ne l’est pas. L’étude mondiale 2025 de KPMG et de l’Université de Melbourne, menée auprès de 48 340 personnes, a constaté que 66 % des salariés s’étaient fiés à des résultats d’IA sans en évaluer l’exactitude, que 56 % avaient commis des erreurs dans leur travail à cause de l’IA et que 57 % avaient dissimulé leur usage de l’IA ou présenté un contenu généré par l’IA comme le leur. Seuls deux sur cinq ont indiqué qu’une politique encadrait l’usage des outils d’IA générative au travail. Dans une enquête distincte citée par l’AI Index de Stanford, 14 % des répondants ont déclaré que leur organisation disposait de rôles dédiés à la gouvernance de l’IA. Les règles décrivent déjà à quoi ressemble une carte des responsabilités qui fonctionne : le règlement (UE) 2024/1689 (règlement sur l’intelligence artificielle) impose aux déployeurs de systèmes à haut risque de confier le contrôle humain à des personnes disposant des compétences, de la formation et de l’autorité nécessaires pour l’exercer, et le cadre de gestion des risques liés à l’IA du NIST demande aux organisations de documenter qui est responsable de quoi dans les configurations humain-IA. Cet article relie les comportements observés à ces exigences et transforme l’écart en une nouvelle carte que les managers peuvent appliquer à toute équipe qui utilise des agents.
L’argument qui ne devrait plus jamais être avancé
L’affaire est modeste par les montants, mais importante par le principe. Un client a interrogé le chatbot du site web d’une compagnie aérienne au sujet des tarifs pour cause de deuil, a reçu des informations erronées sur la possibilité de demander un remboursement après le voyage, et s’y est fié. Lorsqu’il a réclamé la différence, la compagnie a soutenu, en substance, que le chatbot était une entité juridique distincte, responsable de ses propres actes.
Le Civil Resolution Tribunal de la Colombie-Britannique, dans l’affaire Moffatt v. Air Canada, 2024 BCCRT 149, a qualifié cette position d’« argument remarquable ». Le membre du tribunal a écrit que, si un chatbot comporte une dimension interactive, il fait néanmoins partie du site web de l’entreprise, et que celle-ci est responsable de toutes les informations figurant sur son site, qu’elles proviennent d’une page statique ou d’un chatbot. Le tribunal a estimé que la compagnie n’avait pas pris de précautions raisonnables pour garantir l’exactitude de son chatbot et l’a condamnée à verser au total 812,02 $, soit 650,88 $ de dommages-intérêts, auxquels s’ajoutent les intérêts antérieurs au jugement et les frais de procédure.
Il s’agit d’une seule décision, rendue par un tribunal des petites créances d’une seule province canadienne, et elle ne lie personne ailleurs. Sa valeur tient à ce qu’elle énonce, en termes simples, le principe que tout manager qui utilise des agents doit intérioriser : l’outil qui a produit le résultat n’est pas la partie qui en répond.
Le problème, c’est que la plupart des équipes n’ont pas réorganisé leur fonctionnement autour de ce principe. La carte des responsabilités qu’elles utilisent a été dessinée pour un monde où chaque tâche était accomplie par une personne à qui l’on pouvait demander pourquoi.
Pourquoi l’ancienne carte des responsabilités ne tient plus
La plupart des équipes fonctionnent avec une forme de matrice des responsabilités, formelle ou non : quelqu’un réalise le travail, quelqu’un répond du résultat, quelqu’un est consulté, quelqu’un est informé. Ce modèle suppose que la personne qui réalise le travail peut aussi l’expliquer, remarquer quand les choses tournent mal et s’arrêter.
Un agent IA fait tomber cette hypothèse à trois endroits à la fois.
- Celui qui exécute ne peut pas rendre de comptes. Un agent peut accomplir une tâche, mais il ne peut pas être tenu pour responsable, sanctionné ni sommé d’assumer une conséquence. La case « R » (celui qui réalise) est occupée par quelque chose qui ne peut pas porter de responsabilité.
- La relecture se transforme en validation. Quand le résultat paraît fluide, le contrôle tend à se réduire à une simple approbation. Les recherches sur le biais d’automatisation, que nous avons abordées dans Supervision humaine par conception, décrivent précisément cette tendance à se reposer excessivement sur les résultats automatisés.
- Le travail devient invisible. Si les gens utilisent des agents sans le dire, la carte du manager montre une personne effectuant une tâche qu’un système a en réalité accomplie. Personne ne peut gérer un risque qu’il ne voit pas.
Les données sur chacun de ces points sont désormais disponibles.
Le déficit de responsabilité au sein des organisations : données vérifiées
Données vérifiées : comment les salariés utilisent réellement l’IA au travail, et comment les organisations l’encadrent
| Indicateur | Valeur | Source |
|---|---|---|
| Échantillon | 48 340 personnes dans 47 pays ; 32 352 salariés ont répondu aux questions sur l’usage de l’IA au travail | KPMG et Université de Melbourne, 2025 |
| Salariés qui utilisent intentionnellement et régulièrement l’IA au travail | 58 % | KPMG et Université de Melbourne, 2025 |
| Salariés qui se sont fiés à des résultats d’IA sans évaluer les informations fournies | 66 % | KPMG et Université de Melbourne, 2025 |
| Salariés qui ont commis des erreurs dans leur travail à cause de l’IA | 56 % | KPMG et Université de Melbourne, 2025 |
| Salariés qui ont dissimulé leur usage de l’IA ou présenté un contenu généré par l’IA comme le leur | 57 % | KPMG et Université de Melbourne, 2025 |
| Salariés qui déclarent qu’une politique encadre l’usage des outils d’IA générative | Deux sur cinq | KPMG et Université de Melbourne, 2025 |
| Organisations disposant de rôles dédiés à la gouvernance de l’IA | 14 % des répondants | Enquête McKinsey citée dans l’AI Index 2025 de Stanford HAI |
| Incidents liés à l’IA signalés à l’AI Incident Database, 2024 | 233, en hausse de 56,4 % par rapport à 2023 | AI Index 2025 de Stanford HAI |
Notes de lecture. Dans l’étude de KPMG, l’usage « régulier » inclut les personnes qui utilisent l’IA tous les quelques mois, et pas seulement les utilisateurs quotidiens. Les chiffres de 66 % et de 56 % comptent toute personne ayant déclaré ce comportement au moins rarement ; la part de ceux qui l’adoptent habituellement est plus faible. Le chiffre de 57 % est une mesure combinée issue de deux questions distinctes. Le décompte des incidents repose sur des articles de presse et sous-estime probablement le nombre réel. Ces nuances rendent les chiffres plus précis, pas moins inquiétants : ces comportements sont répandus, même s’ils ne sont pas universels.
Mettez les lignes bout à bout et l’écart saute aux yeux. La plupart des salariés utilisent déjà l’IA, une majorité a utilisé ses résultats sans vérification, une majorité a commis des erreurs à cause d’elle, une majorité a, à un moment ou à un autre, caché cet usage, et la plupart travaillent dans des organisations qui ne leur ont ni expliqué les règles ni désigné qui porte le risque.
Ce que les cadres de référence exigent déjà
Les managers n’ont pas besoin d’inventer une structure de responsabilités à partir de rien. Deux cadres largement cités en décrivent une.
Le règlement européen sur l’IA. Le règlement (UE) 2024/1689 impose, à son article 26, des obligations précises aux déployeurs de systèmes d’IA à haut risque. Les déployeurs doivent confier le contrôle humain à des personnes physiques disposant des compétences, de la formation et de l’autorité nécessaires, ainsi que du soutien nécessaire (article 26, paragraphe 2). Ils doivent surveiller le fonctionnement du système sur la base de sa notice d’utilisation, et suspendre son utilisation et en informer le fournisseur et les autorités s’ils ont des raisons de considérer qu’il présente un risque (article 26, paragraphe 5). Ils doivent conserver les journaux générés par le système, dans la mesure où ces journaux sont sous leur contrôle, pendant au moins six mois, sauf disposition contraire d’une autre législation (article 26, paragraphe 6). Les employeurs doivent informer les représentants des travailleurs et les travailleurs concernés avant de mettre en service un système à haut risque sur le lieu de travail (article 26, paragraphe 7).
Deux dates comptent. Le règlement modificatif (UE) 2026/1744, qui fait partie de l’omnibus numérique de la Commission, est entré en vigueur le 27 juillet 2026 et a modifié la date d’application de ces obligations relatives au haut risque : elles s’appliquent désormais à partir du 2 décembre 2027 pour les systèmes classés à haut risque au titre de l’annexe III, qui couvre notamment les usages liés à l’emploi, et à partir du 2 août 2028 pour les systèmes relevant de la législation sur les produits visée à l’annexe I. Le même texte a réécrit l’obligation de maîtrise de l’IA prévue à l’article 4 : les fournisseurs et les déployeurs doivent prendre des mesures pour favoriser la maîtrise de l’IA de leur personnel, sans être tenus de garantir un niveau déterminé pour chaque individu.
La plupart des agents de bureau qui résument, rédigent et effectuent des recherches ne sont pas des systèmes à haut risque au sens du règlement, si bien que l’article 26 ne s’imposera pas juridiquement à la plupart des lecteurs. Il reste la description la plus soigneusement rédigée dont on dispose d’un rôle de contrôle opérationnel, et une référence de conception judicieuse pour n’importe quelle équipe.
Le cadre de gestion des risques liés à l’IA du NIST (AI RMF 1.0). Sa fonction GOVERN est explicite sur les rôles. GOVERN 2.1 demande que les rôles, les responsabilités et les circuits de communication liés à la gestion des risques de l’IA soient documentés et clairs pour les personnes et les équipes. GOVERN 2.3 demande que la direction générale assume la responsabilité des décisions relatives aux risques de l’IA. GOVERN 3.2 demande des politiques et des procédures qui définissent et distinguent les rôles et responsabilités pour les configurations humain-IA et la supervision des systèmes d’IA.
Aucun des deux cadres ne dit que « l’IA est responsable ». Tous deux disent la même chose que le tribunal : une structure humaine nommément désignée doit répondre du résultat.
Relier les comportements aux exigences
Synthèse CEOtudent : là où les comportements observés font céder la structure de responsabilités
| Comportement observé | Part des salariés | Élément de responsabilité compromis | Exigence de référence | Correctif de la nouvelle carte |
|---|---|---|---|---|
| Se fier aux résultats d’IA sans les évaluer | 66 % | Aucun vérificateur désigné ayant le pouvoir de rejeter | Règlement sur l’IA, art. 26(2) ; NIST GOVERN 2.1 | Désigner un Vérificateur pour chaque catégorie de résultats d’agent, distinct de la personne qui a briefé l’agent |
| Commettre des erreurs dans son travail à cause de l’IA | 56 % | Aucune boucle de surveillance, personne en charge de l’escalade | Règlement sur l’IA, art. 26(5) | Tenir un journal des erreurs et désigner qui décide de suspendre un flux de travail d’agent |
| Dissimuler l’usage de l’IA ou présenter ses résultats comme son propre travail | 57 % | La délégation est invisible, donc le risque n’est pas géré | Règlement sur l’IA, art. 26(7) (transparence sur le lieu de travail) | Faire de la déclaration de l’usage d’agents une norme d’équipe, pas un aveu |
| Travailler sans politique encadrant l’usage de l’IA générative | Environ trois sur cinq n’en signalent aucune | Rôles et limites non documentés | NIST GOVERN 2.1 et 3.2 | Publier une carte des responsabilités d’une page par flux de travail d’agent |
| Rôles dédiés à la gouvernance en place | 14 % des répondants | Aucun propriétaire du risque IA au niveau de la direction | NIST GOVERN 2.3 | Désigner un seul propriétaire qui en répond par flux de travail, à un niveau disposant de l’autorité pour l’arrêter |
| Actions des agents non enregistrées | Non mesuré dans ces études | Aucune piste de preuve en cas de problème | Règlement sur l’IA, art. 26(6), journaux conservés au moins six mois | Conserver les journaux d’exécution des flux de travail d’agents qui touchent aux clients, à l’argent ou aux décisions concernant des personnes |
Parts des comportements issues de KPMG et de l’Université de Melbourne, 2025, à l’exception de la ligne sur les rôles de gouvernance, qui rend compte des répondants de l’enquête McKinsey citée par Stanford HAI. « Environ trois sur cinq » est une valeur déduite par CEOtudent du constat du rapport selon lequel seuls deux sur cinq déclarent qu’une politique encadre l’usage. La mise en correspondance de chaque comportement avec une exigence et un correctif relève de la synthèse éditoriale de CEOtudent ; les cadres de référence ne mentionnent pas ces résultats d’enquête.
La nouvelle carte des responsabilités
La nouvelle carte remplace la case unique « R » (celui qui réalise), désormais occupée par un agent, par un ensemble de rôles humains qui, ensemble, garantissent que le résultat a toujours un propriétaire. Dans une petite équipe, une même personne peut cumuler plusieurs rôles. La règle : chaque rôle porte un nom.
Cadre éditorial CEOtudent : la nouvelle carte des responsabilités pour le travail des agents
| Étape | Ancienne carte (une personne réalise la tâche) | Rôle redéfini | Ce que le titulaire du rôle doit pouvoir faire | Ne peut pas être délégué à l’agent parce que |
|---|---|---|---|---|
| Brief | Celui qui réalise interprète la demande | Délégant | Préciser l’objectif, les contraintes, les sources et ce que « terminé » signifie | L’agent exécute le brief qu’il reçoit ; un brief flou est une défaillance humaine |
| Exécution | Celui qui réalise effectue le travail | Agent (outil) | Accomplir la tâche dans le cadre du brief | L’exécution est la seule étape que l’agent peut prendre en charge |
| Vérification | Celui qui réalise s’autocontrôle | Vérificateur | Confronter le résultat à la source, et non à sa fluidité ; le rejeter | Le jugement indépendant est le contrôle ; l’agent ne peut pas se vérifier lui-même |
| Diffusion | Le manager approuve | Responsable (propriétaire) | Assumer les conséquences de la diffusion du résultat | La responsabilité incombe à une personne ou à une organisation, jamais à l’outil |
| Surveillance | Les problèmes remontent par celui qui réalise | Veilleur | Suivre les schémas d’erreur d’une exécution à l’autre, tenir le journal | Les schémas n’apparaissent que sur un grand nombre de résultats |
| Arrêt | Celui qui réalise s’arrête en cas de doute | Autorité d’arrêt | Suspendre ou désactiver le flux de travail sans demander la permission | Un agent ne reconnaît pas de manière fiable le moment où il doit s’arrêter |
| Explication | Celui qui réalise explique ce qui s’est passé | Responsable (propriétaire), à l’aide du journal | Reconstituer ce que l’agent a fait et pourquoi le résultat a été diffusé | « C’est l’agent qui l’a fait » est précisément la réponse que le tribunal a rejetée |
Ce cadre est une synthèse éditoriale de CEOtudent, qui s’appuie sur les rôles de contrôle prévus aux articles 14 et 26 du règlement sur l’IA et sur les catégories GOVERN 2 et 3 de l’AI RMF du NIST. Il s’agit d’un modèle de conception, pas d’une liste de contrôle de conformité juridique.
Trois règles de conception font fonctionner la nouvelle carte :
- Pour les résultats à fort enjeu, le Vérificateur et le Délégant ne devraient pas être la même personne. Celui qui a rédigé le brief voit ce qu’il s’attendait à voir. Pour un travail à faible enjeu, une seule personne peut tenir les deux rôles ; pour tout ce qui atteint un client, un contrat ou une décision concernant une personne, séparez-les.
- Le Responsable (propriétaire) doit avoir l’autorité d’arrêter le flux de travail. La formulation du règlement sur l’IA est précise : compétences, formation et autorité. Un propriétaire qui ne peut pas suspendre un agent n’est pas un propriétaire.
- La transparence se conçoit en amont, elle ne se contrôle pas après coup. Si le chiffre de 57 % enseigne quelque chose aux managers, c’est que les gens cachent leur usage de l’IA lorsqu’ils ne sont pas sûrs qu’il soit autorisé. Les équipes qui rendent l’usage des agents visible par défaut voient leur risque réel ; les autres voient la carte d’un travail qui n’existe plus.
Pour les compétences en amont dont dépend cette nouvelle carte, consultez Comment déléguer à un agent IA pour rédiger le brief, Le guide du management de l’IA pour évaluer les résultats, et Faut-il laisser l’IA décider ? pour savoir quelles décisions ne devraient jamais être déléguées.
Trois schémas de défaillance à surveiller
« C’est l’agent qui l’a fait. » Une erreur est retracée et l’explication s’arrête à l’outil. C’est l’affaire du tribunal en miniature. Si votre analyse post-incident se termine par le nom d’un système plutôt que par le nom d’un rôle, il manque un Responsable (propriétaire) dans votre carte.
Le tampon automatique. Un Vérificateur existe sur le papier mais approuve presque tout, parce que le résultat se lit bien et que la file d’attente est longue. Le taux de rejet est un signal utile : une étape de vérification qui ne rejette presque jamais rien soit porte sur un travail d’une fiabilité inhabituelle, soit ne vérifie pas vraiment.
La chaîne orpheline. Le résultat d’un agent devient l’entrée d’un autre agent, et aucun humain n’est propriétaire du résultat de bout en bout. Chaque étape semble supervisée ; l’ensemble ne l’est pas. Attribuez la propriété au résultat final, pas aux étapes prises isolément.
Redessiner la carte d’une équipe en 30 jours
- Semaine 1 : inventaire. Recensez chaque tâche récurrente pour laquelle un agent ou un outil d’IA produit désormais un résultat qui sort de l’équipe. Interrogez directement les personnes concernées et indiquez clairement que le fait de le déclarer n’entraîne aucune sanction.
- Semaine 2 : nommer les rôles. Pour chaque flux de travail, notez le Délégant, le Vérificateur, le Responsable (propriétaire) et l’Autorité d’arrêt. Lorsqu’une même personne cumule les quatre rôles sur un travail à fort enjeu, séparez au moins le rôle de Vérificateur.
- Semaine 3 : fixer la norme de vérification. Pour chaque catégorie de résultats, définissez la référence à laquelle le Vérificateur confronte le résultat, et commencez à consigner les rejets et les erreurs.
- Semaine 4 : faire un exercice. Choisissez un flux de travail et déroulez de bout en bout une erreur hypothétique : qui la remarque, qui suspend le flux, qui l’explique, quel journal montre ce qui s’est passé. Corrigez toute étape qui n’avait pas de nom.
Le résultat tient sur une page par flux de travail. Cette page est aussi le document que décrit GOVERN 2.1 du cadre du NIST, et le type d’attribution du contrôle que l’article 26, paragraphe 2, du règlement sur l’IA exige des déployeurs de systèmes à haut risque.
Le CEO et l’étudiant
Le regard du CEO. Un dirigeant ne peut pas déléguer sa responsabilité à un subordonné, et encore moins à un logiciel. Ce qu’un CEO peut faire, c’est concevoir une structure dans laquelle chaque résultat à fort enjeu a un propriétaire nommément désigné, compétent, formé et habilité à l’arrêter. Les agents rendent ce travail de conception plus important, et non moins, parce qu’ils multiplient le nombre de résultats produits par une équipe sans multiplier le nombre de personnes capables d’en répondre.
Le regard de l’étudiant. Le rôle de vérification est une compétence et, comme toute compétence, elle s’étiole quand on ne l’exerce pas. Les équipes qui continuent de confronter les résultats des agents aux sources conservent le jugement qui rend la vérification possible. Celles qui cessent de vérifier le perdent, et ne s’en aperçoivent qu’une fois qu’une erreur est déjà sortie. Rester étudiant, c’est traiter chaque résultat rejeté comme une information sur l’endroit où l’agent, le brief ou le relecteur a failli.
Questions fréquentes
Si un agent IA commet une erreur, qui est responsable ?
L’organisation et les personnes qui ont déployé l’outil et diffusé le résultat, pas l’outil lui-même. La décision Moffatt v. Air Canada a rejeté l’idée qu’un chatbot soit responsable de ses propres déclarations. Il s’agit d’une décision isolée d’un tribunal et non d’un précédent contraignant dans d’autres juridictions, et ceci ne constitue pas un conseil juridique, mais son raisonnement rejoint la logique du règlement sur l’IA et du cadre du NIST.
Le règlement européen sur l’IA s’applique-t-il aux agents qu’utilise mon équipe ?
L’article 26 s’applique aux déployeurs de systèmes d’IA à haut risque, comme les systèmes énumérés à l’annexe III, qui comprend certains usages liés à l’emploi. La plupart des agents utilisés pour rédiger, résumer ou effectuer des recherches ne sont pas à haut risque. Depuis l’entrée en vigueur, le 27 juillet 2026, de la modification apportée par l’omnibus numérique, les obligations relatives aux systèmes à haut risque de l’annexe III s’appliquent à partir du 2 décembre 2027. L’obligation de maîtrise de l’IA prévue à l’article 4 s’applique depuis le 2 février 2025 et a été modifiée pour exiger des mesures qui favorisent la maîtrise de l’IA.
Les salariés doivent-ils déclarer quand ils utilisent l’IA pour leur travail ?
Du point de vue de la responsabilité, oui. Une délégation invisible signifie que la vision du manager sur qui a fait quoi est fausse, et un risque qu’on ne voit pas ne peut pas être géré. L’étude de KPMG a constaté que 57 % des salariés avaient dissimulé leur usage de l’IA ou présenté des résultats d’IA comme les leurs, ce qui traduit généralement des règles floues plutôt que de la mauvaise foi.
Chaque résultat d’IA a-t-il besoin d’un second relecteur ?
Non. Adaptez la relecture à l’enjeu. Les brouillons internes peuvent être vérifiés par la personne qui a briefé l’agent. Les résultats qui atteignent des clients, qui ont une incidence financière ou qui éclairent des décisions concernant des personnes devraient avoir un Vérificateur distinct du Délégant.
Quelle est la version minimale viable de cette démarche ?
Une page par flux de travail d’agent, qui nomme le Responsable (propriétaire), le Vérificateur et la personne qui peut l’arrêter, accompagnée d’un simple journal des erreurs. Cela couvre l’essentiel de ce que demandent les deux cadres.
Combien de temps faut-il conserver les journaux des agents ?
Pour les systèmes à haut risque relevant du règlement sur l’IA, les déployeurs doivent conserver les journaux générés automatiquement qui sont sous leur contrôle pendant au moins six mois, sauf disposition contraire d’une autre législation. Pour les flux de travail ordinaires, conservez les journaux assez longtemps pour pouvoir reconstituer tout résultat susceptible d’être encore contesté.
Sources
Règlement (UE) 2024/1689 du Parlement européen et du Conseil (règlement sur l’intelligence artificielle), articles 4, 14, 26 et 113, Journal officiel de l’Union européenne, 12 juillet 2024, et version consolidée du 27 juillet 2026.
Règlement (UE) 2026/1744 modifiant le règlement (UE) 2024/1689 (omnibus numérique sur l’IA), Journal officiel de l’Union européenne, 24 juillet 2026.
National Institute of Standards and Technology, Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST AI 100-1, janvier 2023, catégories GOVERN 2 et 3.
Nicole Gillespie, Steven Lockey, Tabi Ward, Alexandria Macdade et Gerard Hassed, Trust, attitudes and use of artificial intelligence: A global study 2025, The University of Melbourne et KPMG, 2025.
Moffatt v. Air Canada, 2024 BCCRT 149, Civil Resolution Tribunal de la Colombie-Britannique, décision du 14 février 2024.
Stanford Institute for Human-Centered Artificial Intelligence, Artificial Intelligence Index Report 2025, chapitre 3, Responsible AI.
Ce contenu a été compilé avec le soutien de l’IA à la suite d’une recherche approfondie, puis rédigé et préparé pour publication par l’équipe éditoriale de CEOtudent.
This post is also available in:
