Stripe et OpenAI lancent les paiements par IA : la grande question de la responsabilité

Les agents IA peuvent désormais exécuter des paiements en totale autonomie. Une révolution opérationnelle qui masque un vide légal majeur. En cas de fraude ou de litige, l'impasse peut être totale.

Depuis 2025, Stripe, Coinbase et OpenAI ont chacun lancé leur propre protocole permettant à des agents d'intelligence artificielle d’exécuter des paiements de manière totalement autonome, sans validation humaine. Un agent peut désormais réserver un service, payer un fournisseur, régler un abonnement, seul, en quelques secondes. C'est présenté comme un gain d'efficacité évident. C'est aussi, et c'est le sujet dont personne ne parle encore vraiment, un système qui peut légalement décider de payer sans qu'on sache légalement qui répond de sa décision.

Le premier réflexe est donc orienté cybersécurité, car comment empêcher qu'un agent soit piraté ou détourné. C'est un vrai sujet, largement traité, et les équipes de sécurité progressent vite dessus. Mais il y a une question qui reste, elle, presque entièrement ouverte. En effet, le jour où un agent exécute un paiement frauduleux, manipulé par une instruction dissimulée dans un email ou un document qu'il a traité comme légitime, qui est responsable ?

Les candidats à la responsabilité sont pourtant pluriels, parmi eux le développeur qui a conçu l'agent, l'entreprise qui l'a déployé et configuré, le fournisseur du modèle de langage ou encore la plateforme de paiement ayant exécuté la transaction. Aujourd'hui, nul ne peut désigner le responsable avec certitude, et c'est précisément ce vide qui devrait inquiéter bien plus que le seul défi technique.

On pourrait croire à un simple retard de la loi sur la technologie, comme il en existe régulièrement. Mais ce vide est plus profond que cela. La stratégie nationale des moyens de paiement 2025-2030 publiée par la Banque de France ne mentionne pas une seule fois les agents IA. Ce n'est pas une négligence. Cela tire son explication simplement du fait qu’au moment où ce document a été rédigé, le sujet n'existait pas encore à cette échelle. Le droit européen n'est pas mieux loti car le règlement sur les services de paiement (DSP3/PSR) encadre des prestataires humains ou des personnes morales identifiées, pas des systèmes qui décident sans intervention directe. L'AI Act classe les systèmes d'intelligence artificielle par niveau de risque, mais où se situe précisément un agent qui exécute des transactions financières de sa propre initiative ? La question reste, à ce jour, sans réponse tranchée.

Il est donc légitime de se questionner sur la manière dont pourrait statuer un juge confronté à cette question en l’état actuel du droit. C'est sans doute la question la plus révélatrice qu'on puisse poser sur ce sujet car que déciderait un tribunal français, aujourd'hui, avec le droit existant, si un tel litige lui était soumis ?

Trois régimes juridiques pourraient être mobilisés, et aucun ne correspond vraiment. La responsabilité civile de droit commun exigerait de prouver une faute humaine identifiable, ce qui devient particulièrement difficile face à une chaîne de décision algorithmique. La responsabilité du fait des produits défectueux pourrait s'appliquer si l'on considère l'agent comme un produit, mais ce régime a été pensé pour des objets ou des logiciels classiques, pas pour des systèmes qui évoluent et prennent des décisions de façon autonome. Le régime contractuel, enfin, dépendrait de clauses qui, dans l'immense majorité des cas, n'ont tout simplement pas été rédigées pour couvrir ce scénario précis.

Le résultat probable serait une décision au cas par cas, sans doctrine claire, avec des solutions potentiellement différentes pour des affaires pourtant très similaires. Cela nous renvoie à la définition même d'un vide juridique, non pas l'absence totale de droit applicable, mais l'absence de réponse prévisible.

Ce n'est pas la première fois que le droit se retrouve dans cette situation. Au début du commerce électronique, dans les années 1990, les juges ont dû étirer des notions existantes, vente, mandat, pour couvrir des situations que personne n'avait anticipées, avant qu'un cadre spécifique ne soit construit des années plus tard. L'histoire se répète, simplement plus vite, et avec des sommes potentiellement plus importantes en jeu à chaque transaction.

Trois voies se dessinent désormais. On pourrait attendre une nouvelle réglementation européenne au risque d'arriver trop tard, étendre des régimes existants comme le RGPD à la chaîne de décision des IA, ou encore laisser le marché imposer ses propres standards de preuve.

Il n'y a pas de réponse évidente. Mais à mesure que les agents IA gèrent une part croissante des flux financiers, la question de savoir qui répond de leurs décisions ne pourra pas rester sans réponse indéfiniment. Le débat mérite d'être ouvert maintenant, par des juristes, des régulateurs et des avocats, avant que la première affaire ne le force à l'être dans l'urgence.