---
Alors que les systèmes d'intelligence artificielle générative traditionnels (LLM) fonctionnent principalement selon une logique de "questions-réponses", les années 2025 et 2026 sont indéniablement devenues celles de "l'Agentic AI" (l'intelligence artificielle autonome ou agentique). L'IA agentique désigne des systèmes capables de prendre des décisions de manière autonome, de solliciter des outils indépendants (intégrations API), d'exécuter des tâches à plusieurs étapes sans intervention humaine, et de définir eux-mêmes leurs sous-tâches pour atteindre un objectif. Dans un cadre professionnel, ces systèmes jouissent d'un pouvoir considérable : de l'émission de factures à la gestion de l'agenda des employés, en passant par les paiements automatiques et la modification de données dans les systèmes CRM. Ce niveau d'autonomie inédit engendre d'importantes failles en matière de protection des données et de responsabilité en Droit Turc, tout particulièrement au regard de la loi sur la protection des données (KVKK) et du Code des Obligations.
IA Générative Classique vs IA Agentique : Où se Trouve la Frontière Juridique ?
Dans un système d'IA classique (comme le ChatGPT standard), le flux de données est limité et prévisible : l'utilisateur saisit une "requête" (prompt) et le modèle génère une réponse basée sur ses données d'entraînement. En général, la violation se produit lorsque la requête de l'utilisateur enfreint la confidentialité.
Dans le cas de l'IA Agentique, le modèle exécute plusieurs étapes autonomes pour atteindre un objectif général qui lui a été fixé (Ex. : "Envoie un e-mail de bienvenue au nouveau client et crée son dossier CRM") :
À chaque étape, des activités de traitement de données distinctes se produisent, et la majorité de ces choix autonomes ne sont pas "codés en dur" par avance. La structure de cette boîte noire (black box) met intrinsèquement à l'épreuve le principe de transparence.
Les Risques et Problématiques Directs au Regard de la KVKK
1. Le Dilemme de l'Identification du "Responsable du Traitement"
Conformément à l'article 3 de la KVKK, le responsable du traitement est la personne qui détermine "les finalités et les moyens" du traitement des données personnelles. Dans les systèmes d'IA Agentique, le modèle lui-même détermine les "moyens" et parfois même les "sous-finalités" de manière autonome. Bien que certains acteurs du secteur soutiennent que pour des agents hautement perfectionnés, la frontière entre responsable du traitement et sous-traitant s'estompe, l'Autorité de Protection des Données Personnelles (KVKK) adopte une approche strictement pragmatique : l'organisation qui met en place, finance et fixe l'objectif fondamental du système agentique est l'unique responsable du traitement. L'IA autonome n'ayant pas de personnalité juridique, l'entreprise est la seule entité légitimant le traitement des données. Le fait que l'entreprise "ne sache pas exactement comment" l'agent procède ne la dédouanera pas d'une sanction administrative.
2. Violation du Principe "Adéquat, Pertinent et Limité" (Minimisation)
Conformément à l'article 4/2-ç de la KVKK, les données ne doivent être traitées que de manière pertinente et mesurée par rapport à l'objectif poursuivi. Les agents autonomes ont fréquemment tendance à puiser dans des bassins de données plus vastes que nécessaire (extraction/web scraping) pour accomplir une tâche ou prendre la "meilleure" décision. Un agent qui parcourt un dossier restreint en dehors de ses compétences pour atteindre son objectif constitue une violation manifeste des règles de protection des données. L'imposition du "Sandboxing" (bac à sable) pour les agents d'entreprise est la conséquence logique pour éviter d'enfreindre ce principe.
3. Comment Répondre à l'Obligation d'Information ?
L'obligation d'information (Article 10 de la KVKK) exige que les personnes concernées sachent clairement "à quelles fins" leurs données seront traitées. S'il est impossible de prévoir avec 100 % de certitude quelle donnée l'agent autonome intégrera à l'avenir, sous quelle forme et à partir de quelle source, comment les avis de confidentialité peuvent-ils être "clairs" et "compréhensibles" ? Les formules vagues telles que "Vos données peuvent être traitées par notre assistant IA" sont considérées comme non valides par la KVKK. Il est obligatoire de fournir des mentions d'information ciblées par activité.
4. Droit à l'Oubli et Suppression Automatisée
Les systèmes agentiques peuvent conserver dans leur "mémoire" (bases de données vectorielles ou systèmes RAG) des données personnelles apprises ou indexées au cours de leurs tâches autonomes. Contrairement aux architectures classiques, lorsqu'une demande de suppression intervient (Article 7), l'agent doit être capable de supprimer cette information non seulement d'un tableau spécifique, mais aussi des cycles actifs de sa mémoire, nécessitant une ingénierie technique poussée.
Le Régime de Responsabilité Selon le Code des Obligations Turc (TBK)
Si un agent d'IA autonome cause une perte commerciale, une violation de contrat ou une fuite de données, l'argument de défense "C'est l'IA qui l'a fait, ce n'était pas sous notre contrôle" n'a absolument aucune valeur en Droit Turc :
Mise en Œuvre en Entreprise : Checklist de Conformité pour l'IA Agentique
Afin de se prémunir des sanctions pénales et civiles, les entreprises doivent prendre les mesures suivantes :
1. Accès Basé sur le Rôle (Sandboxing) : Interdisez à l'IA Agentique d'opérer avec des droits de "super-utilisateur" (admin). Si elle dispose d'un accès en lecture au CRM, restreignez ses droits d'écriture ; ne lui accordez qu'une autorisation de "consultation" pour les API bancaires. L'autonomie de l'agent doit être circonscrite par des barrières techniques.
2. Journalisation Détaillée (Piste d'Audit) : Chaque décision prise par l'agent, chaque API appelée, et chaque ligne de base de données extraite doivent être enregistrées (log) avec un horodatage. En cas de contrôle de la KVKK ou d'un litige, vous devez prouver "ce que l'agent a fait", et non "ce qu'il a pensé".
3. La Règle du Contrôle Humain (Human-in-the-Loop) : Pour toutes les missions à impact élevé (transfert de fonds, demande de suppression de base de données, engagement dans un contrat juridique), l'action finale de l'agent doit impérativement nécessiter le clic d'un humain sur un bouton "Approuver".
4. Rapport AIPD (DPIA) : L'utilisation de l'IA Agentique est intrinsèquement une activité de traitement "à haut risque" en vertu de la KVKK. Déployer un agent en production sans avoir préparé pro-activement une Analyse d'Impact relative à la Protection des Données (AIPD) expose l'entreprise à d'énormes risques.
5. Mise à Jour des Mentions d'Information : Proposez des annexes de transparence expliquant aux clients que certains processus sont "exécutés par un agent d'IA autonome" et indiquez les principes de base sur la façon dont le traitement des données s'y opère.
---
Le présent article est rédigé à titre informatif et ne constitue pas un avis juridique.