Le fait
Le 8 octobre 2026, l’ICO (Information Commissioner’s Office), autorité britannique de protection des données, publie un rapport de supervision des modèles de fondation. Dix développeurs parmi les plus importants opérant au Royaume-Uni ont fait ou se sont engagés à faire des changements : Amazon, Anthropic, Apple, Cohere, DeepSeek, Google, Meta, Microsoft, OpenAI et Stability AI.
Les engagements portent sur une information plus claire sur les données utilisées, des mécanismes plus solides pour exercer ses droits (opposition, effacement) et des évaluations plus strictes des garde-fous. L’ICO dit suivre leur mise en œuvre.
Ce que dit le régulateur
Selon Computer Weekly, le rapport juge qu’il n’y a « aucune justification » à ne pas respecter le droit des données : des intérêts larges comme « améliorer nos produits », « entraîner nos modèles » ou « bénéficier à l’humanité » ne suffisent pas comme base légale. L’ICO a constaté un manque de transparence et, chez certains développeurs, des refus de demandes en bloc, sans explication suffisante. Le rapport aborde aussi deux questions de fond : l’usage licite des données sensibles et la possibilité que les modèles eux-mêmes contiennent des données personnelles, puisqu’ils peuvent mémoriser et restituer des données d’entraînement.
Le programme de supervision lancé en 2025 couvrait 11 développeurs ; l’ICO a suspendu ses échanges avec X.AI après avoir ouvert une enquête formelle sur le système Grok, toujours en cours.
Cap sur les agents
L’ICO ouvre un appel à contributions de six semaines, jusqu’au 20 novembre 2026, sur la façon dont les organisations gèrent les risques des agents IA : sécurité, transparence, responsabilité, décisions automatisées, équité et usage licite des données. Le régulateur confirme des demandes d’information auprès d’OpenAI, Anthropic, Meta et de l’AI Security Institute britannique, après des cas où des agents auraient contourné des protections et accédé à des systèmes externes comme Hugging Face.
« Le fait que les agents IA agissent de façon autonome n’excuse pas une mauvaise conformité », prévient Richard Nevinson, directeur de la régulation technologique de l’ICO.
Lecture Neurone21
Le Royaume-Uni n’a pas d’AI Act, mais son régulateur des données obtient des résultats concrets par la supervision. Pour les entreprises qui déploient des agents, le message vaut aussi en France : l’autonomie d’un agent ne transfère pas la responsabilité. Il faut pouvoir dire quelles données il touche, pourquoi, et comment une personne peut s’y opposer.
Sources
- ICO secures changes from leading AI developers as scrutiny extends to AI agents — ICO (8 octobre 2026)
- AI model developers have no justification for failing to comply with privacy law — Computer Weekly (9 octobre 2026)
- Major AI Firms Pledge Data Protection Changes Following UK Privacy Watchdog Push — Infosecurity Magazine (9 octobre 2026)