Estonie : des identités d'agents IA sans responsabilité

Ce que l'Estonie a décidé, et ce qu'elle a laissé de côté

Le 17 juin 2026, réuni pour sa deuxième séance à Stenbock House, siège du gouvernement estonien à Tallinn, le conseil consultatif Eesti.ai a validé le principe de la création d'« AI ID codes », des identités numériques propres aux agents d'IA. Selon le communiqué publié le jour même sur valitsus.ee, le Premier ministre Kristen Michal a soutenu la proposition du conseil de développer une solution permettant à l'IA d'agir pour le compte de personnes, d'entreprises ou d'organisations dans des limites clairement définies, de manière vérifiable et auditable.

L'idée, telle que présentée par le gouvernement, consiste à cesser de faire emprunter à l'agent l'intégralité de l'identité numérique de son donneur d'ordre. Le communiqué officiel donne un exemple précis : il doit devenir possible de spécifier si un agent peut seulement consulter des données, préparer un document, établir un paiement, ou agir dans la limite d'un plafond financier déterminé. Michal y affirme que l'Estonie a l'occasion de « façonner l'un des standards du prochain âge numérique » et pose la question qu'il juge centrale : « il doit être clair qui agit pour le compte de qui, avec quels droits, et qui est finalement responsable. »

Le conseil Eesti.ai, créé à l'initiative de Michal en janvier 2026, est présidé par Markus Villig, fondateur et dirigeant de la société de VTC Bolt. Il compte parmi ses membres Jaan Tallinn, cofondateur de Skype, et Risto Uuk, du Future of Life Institute. C'est un conseil d'entrepreneurs et de chercheurs, pas une instance juridictionnelle ni un comité de juristes.

Or c'est précisément là que le récit institutionnel s'interrompt. Aucun calendrier n'a été communiqué. Surtout, aucune règle d'imputation n'a été formulée. The Next Web, dans un article signé Alina Maria Stan et daté du 17 juin 2026, le formule sans détour : « Michal n'a donné aucune date de démarrage et aucun détail sur la manière dont fonctionnerait la responsabilité lorsqu'un agent doté de sa propre identité commet une erreur. Ce sont les questions difficiles, et elles restent sans réponse. » Le média Emerging Europe précise la nature du problème : dans la plupart des juridictions aujourd'hui, la responsabilité des actes d'un logiciel pèse sur l'entité qui le déploie, l'entreprise ou la personne qui se tient derrière lui, et non sur le logiciel. La question ouverte n'est donc pas l'existence d'un vide juridique mais la façon dont l'identité propre d'un agent viendrait modifier ce partage par défaut.

Autrement dit, l'Estonie avance sur l'identité, qui relève de l'ingénierie, sans trancher la responsabilité, qui relève du droit. Cette dissociation n'est pas un oubli marginal. Elle est la structure même de l'annonce.

Bürokratt, ou le glissement du guichet vers le système

Les AI ID codes ne surgissent pas de nulle part. Ils prolongent Bürokratt, l'assistant administratif que l'Estonie déploie depuis 2022, initiative du ministère des Affaires économiques et des Communications dont la mise en œuvre technique revient à l'Agence du système d'information (RIA). Bürokratt n'est pas un simple robot conversationnel. Il est conçu comme un réseau interopérable d'applications d'IA, sur le modèle de X-Road, la couche d'échange de données qui irrigue l'État numérique estonien. Selon les données de la RIA relayées par e-Estonia, X-Road relie aujourd'hui plus de 929 institutions et entreprises, 233 organismes du secteur public et 1 887 systèmes d'information interconnectés, pour plus de 3 000 services numériques.

Le programme a bénéficié d'un financement européen au titre de la facilité pour la reprise et la résilience, à hauteur de 53 millions d'euros pour l'ensemble « programme Bürokratt et plateforme d'assistant virtuel national ». Le logiciel est en accès ouvert, et son hébergement dans le nuage de l'État revient à environ 150 euros par mois, hors coûts des modèles de langage, selon le portail kratid.ee. La trajectoire annoncée par le gouvernement est claire : à partir de 2026, l'orientation se déplace vers des agents personnalisés et une IA dite « agentique », capable non seulement de répondre mais d'anticiper, par exemple en envoyant automatiquement des rappels pour les examens médicaux des enfants. Le directeur des données de l'État, Ott Velsberg, a résumé l'objectif de productivité dans un entretien au quotidien La Presse : faire « dix fois plus avec le même nombre de personnes ».

Cette phrase dit l'essentiel. Le discours dominant est celui de la préservation du service public malgré la contrainte sur les effectifs, dans un pays de 1 360 745 habitants au 1er janvier 2026 selon Statistics Estonia, confronté à un déficit structurel de données pour entraîner ses modèles. Mais derrière l'argument gestionnaire se joue une transformation de la nature même de la bureaucratie. C'est ici qu'un cadre théorique éclaire le fait.

La bureaucratie de niveau système

Dans « From Street-Level to System-Level Bureaucracies: How Information and Communication Technology is Transforming Administrative Discretion and Constitutional Control » (Public Administration Review, vol. 62, n° 2, 2002, p. 174-184, DOI 10.1111/0033-3352.00168), Mark Bovens et Stavros Zouridis décrivent le passage des administrations d'un modèle à l'autre. La bureaucratie de guichet (street-level) reposait sur le fonctionnaire de terrain exerçant un large pouvoir d'appréciation face à l'usager. Avec l'informatisation, apparaît d'abord la bureaucratie d'écran (screen-level), où l'agent décide devant son moniteur. Puis vient la bureaucratie de système (system-level), où, dans certains domaines, le fonctionnaire de terrain a disparu. Les acteurs déterminants deviennent alors les analystes et les concepteurs de logiciels. La mise en œuvre de la loi se trouve « quasiment perfectionnée », mais le pouvoir discrétionnaire se déplace vers les règles encodées en amont, hors de portée du contrôle constitutionnel classique.

Opérationnalisé sur le cas estonien, le concept produit une lecture nette. Quand Bürokratt répond, rappelle, prépare une déclaration ou établit un paiement, la décision ne se prend plus au comptoir. Elle a été fixée en amont, dans les paramètres, les seuils, les règles d'orchestration entre assistants. Le pouvoir d'appréciation qui appartenait à l'agent humain migre vers ceux qui définissent le système. L'attribution d'une identité juridique à l'agent logiciel n'ouvre pas ce mouvement : elle le clôt. Elle est l'aboutissement du déplacement décrit par Bovens et Zouridis, le moment où le système cesse d'être l'outil d'un agent pour devenir lui-même l'agent.

L'identité sans la responsabilité : un angle mort que l'Europe n'a pas comblé

Reconnaître à un logiciel le pouvoir d'agir suppose de savoir qui répond quand l'action tourne mal. L'Estonie a laissé cette question de côté, et elle n'est pas seule. Le droit européen, ces dernières années, a plutôt reculé sur ce terrain.

Le précédent le plus proche structurellement est l'épisode de la « personnalité électronique ». Le 16 février 2017, le Parlement européen adoptait, par 396 voix pour, 123 contre et 85 abstentions, une résolution contenant des recommandations sur des règles de droit civil en robotique. Elle envisageait, à long terme, de conférer aux robots autonomes les plus sophistiqués un statut de « personne électronique » responsable de la réparation des dommages causés. La proposition a été abandonnée. Dès 2020, le Parlement affirmait à l'inverse que les systèmes d'IA n'ont ni personnalité juridique ni conscience, et que la responsabilité doit toujours remonter à une personne qui conçoit, déploie ou interfère avec le système.

Le concept que ces débats cherchaient à nommer avait été forgé plus tôt.

Le fossé de responsabilité

Andreas Matthias, dans « The responsibility gap: Ascribing responsibility for the actions of learning automata » (Ethics and Information Technology, vol. 6, n° 3, 2004, p. 175-183), décrit une situation nouvelle. Traditionnellement, le fabricant ou l'exploitant d'une machine répond des conséquences de son fonctionnement. Avec les machines autonomes et apprenantes, ce fabricant n'est en principe plus capable de prédire le comportement futur de la machine, et ne peut donc plus en être tenu moralement ou juridiquement responsable. La société doit alors choisir entre renoncer à ces machines, ce qui n'est pas réaliste, ou affronter un « fossé de responsabilité » que les concepts classiques d'imputation ne comblent pas.

Le mouvement réglementaire européen récent n'a pas comblé ce fossé, il l'a laissé béant. La proposition de directive sur la responsabilité en matière d'IA, présentée par la Commission en septembre 2022 pour adapter les règles de responsabilité civile extracontractuelle à l'IA, a été inscrite au retrait dans le programme de travail de la Commission du 11 février 2025, faute d'accord prévisible entre États membres. Le retrait a été formalisé par une notice au Journal officiel de l'Union européenne du 6 octobre 2025.

Reste ce qui subsiste. La directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux, adoptée le 23 octobre 2024, entrée en vigueur le 8 décembre 2024, à transposer avant le 9 décembre 2026, intègre désormais explicitement les logiciels et les systèmes d'IA dans la notion de produit et maintient une responsabilité sans faute, assortie de présomptions destinées à alléger la charge de preuve du demandeur. Quant au règlement sur l'IA, son article 14 impose un contrôle humain effectif des systèmes à haut risque, mais l'accord politique provisoire du 7 mai 2026 sur l'« omnibus numérique » a reporté l'application des obligations à haut risque de l'annexe III au 2 décembre 2027, sous réserve d'adoption formelle.

Le tableau qui se dégage est celui d'un droit qui a choisi de traiter l'IA comme un objet, un produit dont répond un opérateur identifiable, et qui a explicitement écarté l'hypothèse d'en faire un sujet. L'Estonie, en attribuant une identité opposable à l'agent, fait exactement le geste inverse sur le plan technique, sans en tirer les conséquences sur le plan de l'imputation.

Le précédent des sociétés commerciales : l'identité d'abord, la responsabilité ensuite

Un précédent historique éclaire ce décalage mieux qu'aucun autre, et mérite d'être développé pour lui-même. L'attribution de la personnalité juridique aux sociétés commerciales au XIXe siècle a suivi le même chemin : la reconnaissance d'une entité distincte a précédé, de plusieurs décennies, la construction du régime de responsabilité qui l'a rendue vivable.

L'arrêt fondateur est Salomon v A Salomon & Co Ltd, rendu par la Chambre des lords britannique le 16 novembre 1897 (1897 AC 22). Aron Salomon, fabricant de chaussures, avait transformé son entreprise individuelle en société à responsabilité limitée sous l'empire du Companies Act de 1862, en gardant la quasi-totalité des parts. À la liquidation, le liquidateur voulut le tenir personnellement responsable des dettes, plaidant que la société n'était qu'un paravent. La Chambre des lords jugea unanimement le contraire : une fois régulièrement constituée, la société est, selon la formule de Lord Macnaghten, « en droit une personne tout à fait distincte » de ses souscripteurs. La conséquence était considérable : les créanciers d'une société insolvable ne pouvaient plus se retourner contre ses actionnaires.

Ce que révèle ce précédent, c'est que la reconnaissance d'une personnalité distincte crée immédiatement un problème d'imputation, et non l'inverse. Consacrer l'entité, c'est ouvrir la question de savoir qui répond de ses actes et de ses dettes. Le droit des sociétés a mis des décennies à répondre, en construisant patiemment les instruments correctifs : la responsabilité des dirigeants, la théorie de la levée du voile social pour les cas de fraude, les régimes de comblement de passif. La personnalité morale n'est devenue soutenable qu'une fois assortie de ce dispositif de rattrapage, qui rouvre la responsabilité humaine là où la fiction de l'entité l'avait fermée.

L'analogie a ses limites, et il faut les nommer pour ne pas la forcer. La société commerciale est une fiction qui organise des volontés humaines, tandis que l'agent d'IA agit selon des paramètres que ses concepteurs eux-mêmes ne prédisent pas entièrement, ce qui est précisément le fossé de responsabilité de Matthias. Mais la leçon de séquence tient : l'Estonie de 2026 se trouve à peu près au point où était le droit anglais en 1897, celui où l'entité vient d'être reconnue et où le régime de responsabilité reste à écrire. La différence est le rythme. Le droit des sociétés a eu des décennies ; l'agent identifié, doté d'un plafond de paiement et d'un accès aux registres, agira dans les mois qui suivent l'attribution du code.

D'autres pistes auraient pu servir de miroir. Le régime français de la responsabilité du fait des choses, fondé sur la notion de garde depuis l'arrêt Franck de 1941, bute sur l'IA autonome parce que le gardien n'en maîtrise plus l'usage. Le peculium romain, ce patrimoine confié à l'esclave-agent pour qu'il traite avec les tiers, offrait déjà un mécanisme de responsabilité plafonnée pour les actes d'un agent sans pleine personnalité. Ces rapprochements sont éclairants, mais un seul parallèle méritait d'être tenu jusqu'au bout, et c'est celui des sociétés, parce qu'il porte sur la séquence identité-puis-responsabilité qui est exactement celle de l'Estonie.

Le miroir français : le même angle mort, en creux

Le contraste avec la France est instructif, non parce que la France ferait mieux, mais parce qu'elle révèle le même impensé sous une autre forme. Le 16 juin 2026, la veille de l'ouverture de VivaTech, le ministre de l'Action et des Comptes publics David Amiel a présenté à Bercy le plan « Notre IA », revendiqué comme le premier plan systémique pour l'IA dans l'État. Le plan mobilise 655 millions d'euros sur les infrastructures et généralise « l'Assistant », outil développé par la DINUM avec Mistral AI, hébergé dans des centres de données certifiés SecNumCloud et intégré à LaSuite numérique. Expérimenté pendant dix mois par 10 000 agents issus de six ministères, avec évaluation indépendante, il a vocation à être mis à disposition, selon Localtis (Banque des Territoires, 16 juin 2026), de « près d'un million » d'agents de l'État. Une enquête conduite auprès d'environ 2 000 agents de neuf administrations, publiée avec le plan, indique que 89 % d'entre eux utilisent déjà l'IA dans leur travail et que 55 % ont recours à des outils non validés ; l'Assistant aurait fait gagner jusqu'à 16 % de temps sur la synthèse documentaire.

Le vocabulaire français est celui de l'assistant, pas de l'agent. Et cette prudence lexicale a un fondement doctrinal explicite. Le 13 avril 2026, le CERT-FR, entité de l'ANSSI, a publié le bulletin CERTFR-2026-ACT-016, qui vise nommément les assistants personnels autonomes de type OpenClaw et Claude Cowork et conclut que ces outils « ne doivent pas être déployés sur des postes de travail » et que leur usage doit être proscrit en production tant qu'ils ne sont pas éprouvés du point de vue de la sécurité. La France encadre donc l'IA agentique par la porte du risque cyber, en proscrivant sur le poste de travail ce que l'Estonie s'apprête à identifier et à autoriser dans l'administration.

Mais sur la question du statut juridique de l'agent, la France se tait autant que l'Estonie. À la date de rédaction, aucune doctrine publique de la DINUM ne traite de l'agent logiciel comme sujet de droit distinct ni de l'imputation de ses actes en propre. La réflexion juridique existe, mais elle vient du barreau et de l'université, pas de l'État déployeur : elle mobilise la théorie du mandat, l'article 1128 du Code civil sur le consentement, la répartition fournisseur-déployeur du règlement sur l'IA. Toutes ces analyses ont un point commun : elles rattachent l'acte de l'agent à une personne, physique ou morale, qui l'a habilité. Aucune ne reconnaît à l'agent une identité opposable. La France déploie massivement des assistants sans jamais poser la question du statut de l'agent ; l'Estonie pose la question de l'identité sans jamais poser celle de la responsabilité. Les deux États laissent intact le même angle mort, chacun par un bout différent.

Conclusion : l'entité avant la règle

L'Estonie fait sur l'agent d'IA le geste que le droit anglais fit sur la société en 1897 : elle reconnaît une entité distincte avant d'avoir écrit le régime qui dira qui répond de ses actes. La bureaucratie de niveau système de Bovens et Zouridis avait déjà déplacé le pouvoir discrétionnaire du guichetier vers les concepteurs et les règles encodées ; l'attribution d'une identité à l'agent ne fait qu'y apposer un sceau juridique. Le fossé de responsabilité de Matthias, que l'Union européenne a renoncé à combler en retirant sa directive sur la responsabilité en matière d'IA, se rouvre ici sous une forme aiguë : un agent qui porte un identifiant propre, un plafond de paiement et un accès aux registres, mais aucune règle disant qui paie quand il se trompe.

De là une hypothèse vérifiable. Si l'Estonie attribue une identité opposable à des agents d'IA sans texte définissant l'imputation de responsabilité, le premier contentieux d'une erreur imputée à un agent identifié surviendra avant tout cadre. L'horizon raisonnable est de vingt-quatre mois, soit juillet 2028. Trois indicateurs observables permettront de trancher, sans accès interne. Premièrement, la publication d'un régime de responsabilité, estonien ou européen, spécifique aux agents identifiés, par exemple l'inscription des AI ID codes dans un registre public nommé ou un amendement à la législation estonienne sur l'identification électronique articulée à eIDAS 2 et au portefeuille européen d'identité numérique attendu fin 2026. Deuxièmement, la reprise de la question de l'imputation dans les travaux d'application du règlement sur l'IA à l'échéance du 2 décembre 2027, ou dans la transposition de la directive 2024/2853 avant le 9 décembre 2026. Troisièmement, à défaut de tout cadre, le premier litige documenté. Le praticien observera lequel des trois arrive en premier. La séquence de 1897 laisse penser que ce sera le troisième.

---

Note méthodologique

Le concept central retenu est la bureaucratie de niveau système de Bovens et Zouridis, préféré à la seule notion de fossé de responsabilité, parce qu'il relie la transformation administrative concrète (Bürokratt) au déplacement du pouvoir discrétionnaire ; le fossé de responsabilité de Matthias intervient en appui. Le parallèle historique développé est celui de la personnalité morale des sociétés (arrêt Salomon, 1897), retenu contre le peculium romain et la responsabilité du fait des choses parce qu'il porte sur la séquence identité-puis-responsabilité propre au cas estonien. Sur la date de l'annonce, le communiqué gouvernemental et l'article de The Next Web sont datés du 17 juin 2026, tandis que plusieurs reprises (Euronews, Yahoo) circulent aux 18 et 19 juin ; la date du 17 juin, celle de la source primaire, a été retenue. L'absence de doctrine française sur le statut de l'agent est formulée comme « aucune doctrine publique identifiée à la date de rédaction », faute de pouvoir prouver une inexistence.

---

Sources

Sources primaires institutionnelles

Gouvernement estonien (Riigikantselei), « Prime Minister Michal: Estonia to become first country to create digital identities for AI agents », valitsus.ee, 17 juin 2026, https://www.valitsus.ee/en/news/prime-minister-michal-estonia-become-first-country-create-digital-identities-ai-agents

Kratid.ee (RIA), « Bürokratt », page programme, https://www.kratid.ee/en/burokratt

RIA (Estonie), « Bürokratt », https://www.ria.ee/en/state-information-system/personal-services/burokratt

Commission européenne, « Bürokratt programme and national virtual assistant platform and ecosystem » (facilité pour la reprise et la résilience, 53 millions d'euros), https://reforms-investments.ec.europa.eu/projects/burokratt-programme-and-national-virtual-assistant-platform-and-ecosystem_en

CERT-FR (ANSSI), « Vulnérabilités et risques des produits d'automatisation par IA agentique sur les postes de travail », bulletin CERTFR-2026-ACT-016, 13 avril 2026, https://www.cert.ssi.gouv.fr/actualite/CERTFR-2026-ACT-016/

Ministère de l'Économie (France), « Le plan Notre IA pour les services publics dévoilé », 16 juin 2026, https://www.economie.gouv.fr/actualites/video-le-plan-notre-ia-pour-les-services-publics-devoile

Parlement européen, « Civil law rules on robotics », résolution du 16 février 2017 (2015/2103(INL)), https://www.qmul.ac.uk/decentering-human/media/law/docs/research/European-Parliament---Civil-law-rules-on-robotics---2017.pdf

Parlement européen, Legislative Train Schedule, « AI liability directive » (retrait, Journal officiel C/2025/5423, 6 octobre 2025), https://www.europarl.europa.eu/legislative-train/theme-a-europe-fit-for-the-digital-age/file-ai-liability-directive

Directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux, EUR-Lex, 23 octobre 2024, https://eur-lex.europa.eu/eli/dir/2024/2853/oj/eng

Règlement sur l'IA, article 14 « Human oversight », AI Act Service Desk (Commission européenne), https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-14

Cadres théoriques

Mark Bovens et Stavros Zouridis, « From Street-Level to System-Level Bureaucracies: How Information and Communication Technology is Transforming Administrative Discretion and Constitutional Control », Public Administration Review, vol. 62, n° 2, 2002, p. 174-184, DOI 10.1111/0033-3352.00168, https://onlinelibrary.wiley.com/doi/10.1111/0033-3352.00168

Andreas Matthias, « The responsibility gap: Ascribing responsibility for the actions of learning automata », Ethics and Information Technology, vol. 6, n° 3, 2004, p. 175-183, DOI 10.1007/s10676-004-3422-1, https://dl.acm.org/doi/10.1007/s10676-004-3422-1

Parallèle historique

Salomon v A Salomon & Co Ltd [1897] AC 22, Chambre des lords, 16 novembre 1897, https://en.wikipedia.org/wiki/Salomon*v*A*Salomon*%26*Co*Ltd

Presse spécialisée

Alina Maria Stan, « Estonia wants to give every AI agent its own ID number », The Next Web, 17 juin 2026, https://thenextweb.com/news/estonia-ai-agents-personal-id-numbers

Anna Desmarais, « Estonia creates AI 'ID Codes' to govern autonomous agents », Euronews Next, 19 juin 2026, https://www.euronews.com/next/2026/06/19/estonia-creates-ai-id-codes-to-govern-autonomous-agents

« Estonia aims to be first to give AI agents official digital IDs », Emerging Europe, juin 2026, https://emerging-europe.com/estonia-aims-to-be-first-to-give-ai-agents-official-digital-ids/

« Estonia eyes cross-border interoperability for Bürokratt, its 'Siri of public services' », GovInsider, https://govinsider.asia/intl-en/article/estonia-eyes-cross-border-interoperability-for-burokratt-its-siri-of-public-services

« Un robot de l'État à votre service », dossier La Presse en Estonie, 27 juin 2026, https://www.lapresse.ca/international/europe/la-presse-en-estonie/un-robot-de-l-etat-a-votre-service/2026-06-27/du-numerique-a-l-ia/pour-une-bureaucratie-legere-et-efficace.php

« Avec le plan Notre IA, l'État accélère sur le déploiement des outils et la gouvernance », Localtis (Banque des Territoires), 16 juin 2026, https://www.banquedesterritoires.fr/avec-le-plan-notre-ia-letat-accelere-sur-le-deploiement-des-outils-et-la-gouvernance

« Plan Amiel : l'État accélère le déploiement d'outils d'IA souverains », Archimag, 16 juin 2026, https://www.archimag.com/univers-data/2026/06/16/plan-amiel-etat-accelere-deploiement-outils-ia-souverains

Digital and Population Data Services Agency (Finlande), « Maintenance of the AuroraAI network's core components will end on 31 December 2023 », https://dvv.fi/en/-/maintenance-of-the-auroraai-network-will-end