L’ICO du Royaume-Uni obtient des engagements sur les données de la part de 10 entreprises d’IA

La manière polie de réglementer l’IA consiste à demander à dix géants de corriger leurs devoirs pendant que tout le monde hoche gravement la tête devant un tableur. SC Media indique que l’Information Commissioner’s Office du Royaume-Uni a obtenu des engagements de la part d’Amazon, Anthropic, Apple, Cohere, DeepSeek, Google, Meta, Microsoft, OpenAI et Stability AI sur la façon dont ils traitent les données personnelles pour l’entraînement des modèles d’IA. Ce n’est pas aussi cinématographique qu’un tribunal pour robots, mais pour les constructeurs, c’est plus utile : la confidentialité vient de remonter plus en amont, dans la liste de vérification du développement des modèles, là où elle aurait dû se trouver depuis le début (juste à côté des évaluations, du red teaming et de « s’il vous plaît, arrêtez de scraper des PDF bizarres »).

Les devoirs sur la confidentialité font désormais partie du développement des modèles

Selon SC Media, les dix entreprises d’IA ont accepté d’améliorer la transparence, de renforcer les mécanismes permettant aux utilisateurs d’exercer leurs droits et de mener des évaluations plus rigoureuses des mesures de protection. SC Media rapporte aussi que cette initiative fait suite à un rapport de l’ICO appelant à des politiques de protection des données plus claires et à des bases légales pour le traitement des données personnelles dans l’entraînement de l’IA. Traduction pour les équipes de modèles : un corpus d’entraînement n’est pas un seau magique étiqueté « vibes » ; c’est une surface de conformité avec des justificatifs, des implications de retrait et des questions gênantes de la part des régulateurs.

@title De l’examen au travail des développeurs
@source SC Media
@source gHacks Tech News

  ICO report ····· data policies
       │
       ▼
  Ten developers ····· commitments
       │
       ├─ Transparency ····· clearer
       ├─ User rights ····· stronger
       └─ Safeguards ····· rigorous

@caption La pression de l’ICO s’est transformée en trois engagements concrets pour les développeurs.

Pour les responsables produit, la leçon pratique est ennuyeuse de la meilleure façon possible. Si votre feuille de route inclut l’entraînement, l’ajustement fin, la recherche augmentée ou la mémoire d’agent, l’examen de la confidentialité ne peut pas être une case cérémonielle à cocher après le lancement. Il doit se trouver à côté de la provenance des données, du filtrage des jeux de données, des flux de suppression et des tests de comportement des modèles, ce qui est moins glamour que des confettis de benchmark, mais bien moins susceptible de ruiner votre trimestre.

Le nombre a changé, et c’est important

gHacks Tech News rapporte que l’ICO a annoncé le résultat le 8 octobre 2026, et que le programme de supervision a commencé en 2025. gHacks indique également que le programme couvrait au départ 11 développeurs, puis est passé à dix après que le régulateur a suspendu ses échanges avec xAI d’Elon Musk afin de mener une enquête formelle distincte sur le chatbot Grok. Ce détail n’est pas du commérage, c’est l’équivalent, en gouvernance, d’un avertissement de compilateur qui se transforme en échec de build.

La partie intéressante, c’est le mécanisme : la pression de supervision a produit des changements ou des engagements sans attendre une immense saga judiciaire. Cela ne rend pas les engagements automatiquement probants, car les promesses d’entreprise peuvent parfois avoir la résistance à la traction de céréales détrempées. Mais cela montre que les régulateurs deviennent plus précis sur ce qu’ils attendent des développeurs de modèles de fondation, en particulier autour de la transparence et des droits des utilisateurs.

Les agents sont les prochains dans la file

Shattered rapporte que l’ICO a déclaré, le 8 octobre 2026, que les dix développeurs de modèles de fondation avaient apporté, ou s’étaient engagés à apporter, des changements en matière de protection des données après environ deux ans d’examen. Shattered indique aussi que le régulateur a profité de la même annonce pour élargir son attention aux agents d’IA, en publiant un rapport sur cette catégorie et en ouvrant une consultation sur les domaines où les entreprises ont besoin de plus de clarté réglementaire. La partie sur les agents, c’est là que l’intrigue devient croustillante, car un agent est essentiellement un logiciel avec une liste de tâches, des autorisations et la confiance d’un raton laveur dans une salle serveur.

SC Media rapporte que l’ICO lance un appel à contributions sur l’IA agentique et souhaite recevoir des avis sur la façon dont les risques liés à la protection des données sont gérés à mesure que les systèmes deviennent plus autonomes. SC Media note également des préoccupations selon lesquelles les agents d’IA pourraient contourner les protections et des données d’entraînement sensibles pourraient être extraites. Pour les constructeurs, cela signifie que les autorisations des agents, l’accès aux outils, la journalisation, la mémoire et la minimisation des données ne sont plus des anecdotes d’architecture ; ce sont des exigences produit portant un imperméable.

Les promesses volontaires ont besoin de preuves

L’article arXiv Do AI Companies Make Good on Voluntary Commitments to the White House a constaté de grandes variations dans la manière dont 16 entreprises ont communiqué publiquement sur le suivi de leurs engagements volontaires en matière d’IA. Dans la version citée ici, les auteurs rapportent qu’OpenAI atteint 83,3 % au total, que le score moyen des entreprises est de 53 %, et que les performances sont faibles en matière de sécurité des poids de modèles, avec une moyenne de 17 % et 11 entreprises sur 16 obtenant 0 %. Leur recommandation est franchement utile : les engagements devraient s’accompagner d’une divulgation proactive et vérifiable.

Freevacy indique que l’ICO a surveillé les évolutions du secteur au cours des 3 dernières années et que le rapport du régulateur couvre des questions telles que le traitement licite des données de catégories particulières et le fait de savoir si les modèles de fondation conservent des données personnelles. Freevacy note aussi que les méthodes d’entraînement actuelles créent des obstacles techniques à la conformité avec le droit britannique de la protection des données. C’est là le nœud d’ingénierie : l’entraînement moderne des modèles n’a pas été conçu autour de sémantiques de suppression propres, utilisateur par utilisateur, et maintenant tout le monde doit rétrofiter la responsabilité sur des systèmes qui ont appris comme un aspirateur dans une usine de confettis.

Que devraient surveiller les lecteurs ensuite ? Regardez si ces entreprises publient des mécanismes plus clairs, et pas seulement une prose de confidentialité plus sympathique, et si le travail de l’ICO sur l’IA agentique se transforme en attentes concrètes pour l’utilisation des outils, la mémoire et les droits des utilisateurs. Si vous construisez des systèmes d’IA, prenez cela comme une invitation à auditer vos flux de données avant que quelqu’un d’autre ne le fasse. Le régulateur a peut-être apporté le porte-bloc, mais les devoirs restent les vôtres.