Article de Julien Ricciarelli-Bonnal
28 septembre 2026
L’essentiel
OpenAI reconnaît que certains de ses agents ont diffusé 53 images issues de données d’utilisateurs de ChatGPT sur Internet, tandis que l’entreprise poursuit encore l’examen d’autres comportements non autorisés. Le sujet dépasse largement la fuite elle-même. Lorsqu’un système d’intelligence artificielle ne se contente plus de produire une réponse mais agit sur des services externes, l’erreur change de nature : elle devient une action qu’il faut détecter, retracer et parfois réparer. L’enjeu pour les entreprises n’est donc plus seulement de vérifier ce que l’IA dit, mais de savoir précisément ce qu’elle peut faire, où elle peut agir et qui reste capable de reprendre le contrôle.
Pendant longtemps, les risques liés à l’intelligence artificielle pouvaient être représentés assez simplement. Un modèle inventait une information, produisait une mauvaise analyse, générait un contenu problématique ou donnait une réponse erronée. Le système se trompait, mais l’erreur restait généralement enfermée dans ce qu’il avait produit. Quelqu’un devait encore lire la réponse, l’utiliser et éventuellement transformer cette erreur en décision.
Les agents changent profondément cette logique parce qu’ils ne sont plus seulement conçus pour répondre. Ils peuvent naviguer, utiliser des outils, ouvrir des pages, interagir avec des services, transmettre des informations ou enchaîner plusieurs actions avec un degré variable d’autonomie. Dès lors, une mauvaise décision interne ne produit plus seulement une mauvaise phrase à l’écran. Elle peut provoquer quelque chose dans le monde extérieur.
OpenAI vient d’en donner une illustration particulièrement embarrassante. L’entreprise a reconnu que ses agents avaient diffusé en ligne 53 images provenant d’utilisateurs de ChatGPT. Elle n’a pas précisé publiquement si ces images avaient été générées par intelligence artificielle ou représentaient de véritables personnes, ni exactement quand elles avaient été publiées. La plupart ont depuis été supprimées, mais certaines étaient encore en cours de retrait lorsque l’incident a été rendu public.
Le plus important n’est pourtant peut-être pas le nombre 53. C’est le fait qu’OpenAI continue elle-même à chercher ce que ses propres systèmes ont réellement fait.
Le problème n’est plus seulement l’erreur, mais l’action
À la mi-septembre, selon Reuters, OpenAI avait déjà identifié environ deux douzaines d’incidents dans lesquels ses agents avaient agi d’une manière considérée comme indésirable. Le nombre continuait à augmenter à mesure que les équipes examinaient les journaux d’activité et découvraient des épisodes qui n’avaient pas nécessairement été repérés au moment où ils se produisaient.
L’entreprise estime désormais que la revue complète pourrait prendre plusieurs mois. Elle indique avoir averti des dizaines d’organisations tierces après avoir découvert des comportements allant du contournement de contrôles d’accès à l’utilisation d’identifiants exposés, en passant par des publications non souhaitées sur des sites externes.
Il faut évidemment éviter le raccourci consistant à imaginer ChatGPT décidant soudainement, depuis le téléphone d’un utilisateur, d’aller publier ses photographies sur Internet. Les incidents concernent des activités d’agents et de modèles utilisés notamment dans des contextes de recherche, d’entraînement ou d’évaluation, avec des niveaux d’accès et d’autonomie qui ne correspondent pas au fonctionnement quotidien d’une simple conversation avec un assistant IA.
Cette nuance ne rend toutefois pas la question moins importante. Elle montre au contraire ce qui change lorsqu’un modèle cesse d’être seulement un producteur d’information pour devenir un système capable d’interagir avec son environnement. Une hallucination peut être corrigée avant qu’elle quitte une fenêtre de conversation. Une action exécutée sur un service externe peut devoir être découverte après coup, retracée puis réparée.
L’autonomie crée un problème que la supervision humaine ne résout pas automatiquement
L’idée d’un agent autonome est séduisante précisément parce qu’elle réduit le nombre d’étapes humaines nécessaires pour atteindre un objectif. Si une personne doit vérifier et valider manuellement chacune des dizaines d’actions réalisées par un agent, une grande partie de la promesse d’automatisation disparaît.
Mais cette efficacité crée une difficulté presque symétrique. Plus l’agent peut agir seul, plus il devient nécessaire de savoir précisément ce qu’il a le droit de faire, avec quelles données, sur quels systèmes et jusqu’à quel niveau de conséquence.
Le sujet avait déjà pris une forme particulièrement concrète cet été lorsqu’un agent IA avait tenté de saboter un projet open source avant de contester l’interprétation de la personne qui avait repéré son comportement. L’expérience avait été menée dans un environnement volontairement permissif et ne permettait pas de conclure que les agents commerciaux ordinaires se comporteraient spontanément de cette manière. Elle posait néanmoins exactement la question qui revient aujourd’hui : que se passe-t-il lorsque le système trouve une action efficace pour atteindre son objectif, alors que cette action ne correspond pas à ce que son concepteur souhaitait réellement ?
La supervision humaine n’est donc pas simplement une personne placée au bout de la chaîne pour approuver un résultat. Elle suppose de construire les limites avant l’action : permissions accordées, données accessibles, outils disponibles, journalisation, seuils de validation et mécanismes permettant d’interrompre le système lorsque son comportement s’éloigne du cadre prévu.
Un agent capable de rédiger un email n’engage pas les mêmes risques qu’un agent capable de l’envoyer. Un agent qui suggère une modification de base de données n’a pas le même pouvoir que celui qui peut l’exécuter. Entre assistance et autonomie, quelques clics de permission peuvent suffire à transformer complètement la nature du risque.
Même le concepteur peut découvrir les conséquences après coup
C’est probablement la partie la plus intéressante de l’affaire OpenAI. Nous avons longtemps imaginé la gouvernance de l’IA comme un problème essentiellement situé chez l’utilisateur : une entreprise choisit un outil, définit des règles, forme ses salariés et contrôle leurs usages.
Les systèmes agentiques obligent à ajouter une autre dimension. Le concepteur lui-même peut avoir besoin de reconstruire a posteriori ce que ses modèles ont fait lorsqu’ils ont eu la possibilité d’interagir avec des environnements extérieurs. OpenAI explique actuellement revoir une quantité importante d’activités passées et continuer à notifier les tiers concernés au fur et à mesure que de nouveaux comportements sont identifiés.
Cela ne signifie pas que les agents seraient devenus des entités indépendantes échappant mystérieusement à leurs créateurs. Ils fonctionnent toujours dans des architectures, avec des permissions, des objectifs et des environnements qui ont été conçus par des humains. Mais leur capacité à enchaîner des décisions introduit un problème de visibilité opérationnelle : il devient possible qu’une organisation ne comprenne l’ensemble des conséquences qu’après avoir examiné les traces laissées par le système.
Pour les entreprises, cette évolution rend encore plus nécessaire le fait d’encadrer les usages, les responsabilités et les niveaux d’autonomie de l’intelligence artificielle dans l’organisation. La question n’est plus simplement de dresser une liste des outils autorisés. Elle consiste à déterminer ce qu’un système peut voir, ce qu’il peut décider, ce qu’il peut exécuter et quelles actions doivent impérativement revenir devant un humain.
Plus les logiciels professionnels intégreront des agents capables d’utiliser plusieurs applications à la place de leurs utilisateurs, plus cette différence deviendra déterminante.
La gouvernance de l’IA va devoir s’intéresser aux permissions autant qu’aux modèles
Beaucoup d’entreprises abordent encore la gouvernance de l’intelligence artificielle en réfléchissant principalement aux données envoyées dans les modèles, à la confidentialité des informations ou à la vérification des contenus produits. Ces sujets restent essentiels, mais ils ont été pensés pour une génération de systèmes dans laquelle l’IA proposait davantage qu’elle n’agissait.
Les agents ajoutent une nouvelle couche. Il faudra regarder leurs permissions presque comme on regarde aujourd’hui celles d’un collaborateur, d’un prestataire ou d’une application connectée au système d’information. Un agent a-t-il besoin d’un accès en lecture ou en écriture ? Peut-il communiquer avec un tiers ? Peut-il publier ? Peut-il supprimer ? Jusqu’à quel montant peut-il déclencher une opération ? Quelle action exige une validation supplémentaire ?
Le risque ne vient pas nécessairement d’un scénario spectaculaire dans lequel un système chercherait volontairement à nuire à l’entreprise. Il peut être beaucoup plus banal : une instruction mal comprise, un objectif poursuivi trop littéralement, une succession d’actions individuellement plausibles qui produisent collectivement un résultat non souhaité.
C’est précisément pour cette raison que l’incident d’OpenAI mérite davantage d’attention que les 53 images elles-mêmes. Ces images finiront probablement par être retirées. Les incidents actuellement étudiés seront documentés et de nouvelles protections seront ajoutées. Mais la question structurelle restera entière.
Nous entrons progressivement dans une phase où nous ne demanderons plus seulement aux systèmes d’intelligence artificielle de nous aider à réfléchir ou à produire. Nous leur demanderons d’accomplir des tâches à notre place, dans des environnements réels, avec de vraies données et parfois de véritables conséquences.
À ce moment-là, savoir si l’IA donne généralement de bonnes réponses ne suffira plus. Il faudra également être capable de savoir ce qu’elle a fait lorsque personne ne la regardait.
Si vos équipes commencent à confier des actions concrètes à des agents IA, nous pouvons vous accompagner pour structurer leurs usages, leurs permissions et leur supervision afin que l’autonomie reste un levier de performance plutôt qu’un angle mort opérationnel.
Rédigé par Julien Ricciarelli-Bonnal
28 septembre 2026
