Le 20 juillet 2026, la CNIL et le Conseil de l’IA et du Numérique (CIANum) ont publié une note exploratoire sur l’IA agentique et la protection des données personnelles. Son constat : un agent qui agit à la place de l’utilisateur ne se contente plus de répondre à une requête, il accumule et réutilise des informations dans la durée. Le RGPD s’applique, mais sa mise en œuvre devient plus difficile. Le texte, lui, est sans effet contraignant : il ne crée aucune obligation nouvelle.
Ce que la note appelle « IA agentique »
La note au format PDF (16 pages numérotées) désigne par ce terme des programmes fondés sur des modèles d’IA générative, capables de décider de manière autonome, d’orchestrer des actions complexes et d’interagir avec des services tiers, avec ou sans validation humaine. L’architecture décrite repose sur un agent « orchestrateur », qui dialogue en langage naturel avec l’utilisateur, des agents « spécialisés » (code, texte, paiements en ligne) et des services externes (applications, bases de données, recherche web). Le tout communique via des protocoles standardisés, comme MCP (Anthropic) et ACP (OpenAI).
Deux mécanismes comptent pour la suite. Le « contexte » garde l’historique des échanges et des consignes le temps d’un processus, puis il est supprimé. Le « stockage mémoire » est au contraire persistant, indépendant des processus, et peut être enrichi automatiquement. Chaque agent a son contexte et sa mémoire ; une mémoire partagée entre agents peut aussi exister.
Pourquoi l’échelle des risques change
Les agents héritent des vulnérabilités de l’IA générative classique, mais leur capacité à puiser dans plusieurs sources et à agir seuls multiplie les flux de données, à l’intérieur du système comme vers l’extérieur (envoi d’un courriel, transaction financière). Pour l’utilisateur, il devient malaisé de mesurer l’ampleur des données traitées et leurs finalités.
La note examine plusieurs principes du RGPD, dont la finalité, la minimisation, l’exactitude et la durée de conservation. Un agent polyvalent rend le périmètre des traitements plus flou ; la nécessité de mobiliser courriels, historique ou fichiers « n’est pas toujours évidente à démontrer », écrit la note. Une hallucination peut circuler d’un agent à l’autre sans alerte, et des mémoires multiples compliquent le contrôle des durées de conservation.
Les droits des personnes (accès, rectification, effacement, opposition, limitation, articles 15 à 22) en pâtissent aussi : comment savoir quel agent a collecté une information, où elle est stockée, si elle a été transmise, et à quel responsable s’adresser ? La note donne un exemple : si un utilisateur supprime un fichier sensible dans un dossier partagé avec son agent, il peut être difficile de s’assurer que les données ont disparu de toute la mémoire du système.
Profilage et délégation de décision
Le cœur de l’analyse est l’hyperpersonnalisation. Mémoire persistante et sources externes permettent de construire des profils très précis. Dans l’exemple de la note, un agent à qui l’on ouvre messagerie, agenda et espaces documentaires peut consulter des informations non strictement nécessaires, puis les verser en mémoire ou les transmettre à des services externes, un recours souvent déclenché par l’agent lui-même.
La note y voit une forme implicite de délégation du pouvoir de décision. Elle cite le cas d’une employée d’une grande entreprise du numérique dont l’agent a supprimé de nombreux courriels professionnels, avec des difficultés pour interrompre le processus à distance. L’exemple ne remet pas en cause le principe de l’automatisation, précise-t-elle : savoir identifier vite l’origine d’une action, la corriger et en limiter les effets devient essentiel.
Sur le plan juridique, l’autonomie peut faire entrer certains traitements dans le régime des décisions individuelles automatisées de l’article 22 du RGPD. Une supervision humaine purement formelle ne suffit pas : la note rappelle, à la suite de l’arrêt SCHUFA de la CJUE (C-634/21, 7 décembre 2023), que l’intervention humaine doit être réelle, effective et influer sur la décision finale.
Qui est responsable ?
Le RGPD exige qu’un responsable de traitement soit identifiable, mais avec des modèles, des agents, des intégrateurs et des services tiers, la répartition des rôles se complique. Les chaînes de responsabilité civile, voire pénale, « demeurent floues ». Cette difficulté (un système d’IA sans personnalité juridique, mais pas un simple outil passif) illustre en partie, selon la note, les divergences ayant conduit à l’abandon, en 2025, du projet de directive européenne sur la responsabilité en matière d’IA. Le droit commun français reste applicable : responsabilité pour faute, du fait des choses, contractuelle et, le cas échéant, nouveau régime européen des produits défectueux. Côté sécurité, l’interconnexion élargit la surface d’attaque ; un agent trompé ou compromis peut exécuter une action non souhaitée.
Ce que la note recommande
La note rappelle d’abord que les IA agentiques « demeurent pleinement soumises au RGPD ». Elle suggère de renforcer la transparence, avec une traçabilité permettant d’identifier, pour chaque tâche, les données mobilisées, les agents intervenus, les services sollicités et la chronologie. Elle appelle aussi un contrôle renforcé de l’utilisateur sur les données accessibles, surtout sensibles, et des recommandations sectorielles précisant quand l’article 22 s’applique.
Côté technique, elle propose d’intégrer des garde-fous dès la conception. Les pistes se regroupent en trois familles :
- limiter ce que l’agent voit et garde : une mémoire dédiée et cloisonnée par agent, de taille limitée et à expiration automatique, et un environnement isolé (sandboxing) qui réduit l’accès aux services et données de l’utilisateur ;
- garder la main : un classement des actions par niveau de risque, avec intervention humaine avant exécution des plus sensibles, et un « kill switch », fonction qui interrompt à tout moment un processus au comportement inattendu ;
- surveiller et contrôler : détection des usages détournés à chaque sollicitation d’un modèle, pas seulement à la requête initiale, et évaluation indépendante étendue à la protection des données et à la sécurité.
Le dossier du Monde Informatique (26 juillet 2026) relaie ces pistes de filtrage, de surveillance en temps réel et de cloisonnement.
Un texte exploratoire, pas une règle
Le résumé du cabinet Norton Rose Fulbright note que le texte n’a aucun effet contraignant. Le blog du cabinet Covington le juge « exploratory rather than prescriptive » (exploratoire plutôt que prescriptif) et relève qu’il « does not announce forthcoming guidance », c’est-à-dire qu’il n’annonce pas de lignes directrices à venir. La note elle-même reconnaît que l’équation « n’est aujourd’hui pas résolue » et que ses propositions restent à mettre à l’épreuve des innovations.
Sur l’AI Act, la note précise que l’application complète du règlement, prévue en 2027, ne contient pas de règles spécifiques aux agents, tout en jugeant qu’il leur est déjà applicable. Next écrit que la note laisse volontairement de côté ce règlement ; c’est plus tranché que le PDF, qui l’aborde en partie (article payant, lu en partie). Selon la note, des lignes directrices du Comité européen de la protection des données et de la Commission européenne sur l’articulation entre RGPD et AI Act sont attendues d’ici fin 2026.
Ce que cela change, et ce qu’on ne sait pas
Ce qui suit est une lecture de la rédaction, pas une recommandation de la CNIL. Pour les éditeurs d’agents, la note ne fournit pas de liste de conformité ; on peut y voir un questionnaire utile : quelles données sont en mémoire, où, combien de temps, et peut-on les effacer ? Pour les utilisateurs, ses constats suggèrent de limiter les accès d’un agent à ce qui est utile, de vérifier si un arrêt d’urgence existe et de ne pas supposer qu’une suppression se répercute partout. La note ne formule pas de conseil de ce type aux particuliers.
Reste à savoir si ces pistes deviendront des recommandations officielles, et si les éditeurs les appliqueront sans y être contraints. Les lignes directrices européennes attendues fin 2026 porteront sur l’articulation entre RGPD et AI Act, pas sur ces pistes techniques ; pour la CNIL, Covington ne relève aucune annonce de lignes directrices à venir.
Sources
- CNIL — IA agentique et données personnelles : la CNIL et le Conseil de l’IA et du Numérique publient une note exploratoire (20 juillet 2026)
- CNIL / CIANum — IA agentique et protection des données personnelles : équation à inconnues multiples pour les utilisateurs (note, PDF) (juillet 2026)
- Le Monde Informatique — IA agentique : la CNIL et le CIANum alertent sur les défis de la protection des données (26 juillet 2026)
- Norton Rose Fulbright — note sur l’IA agentique de la CNIL et du CIANum (résumé) (18 août 2026)
- Covington, Inside Privacy — French CNIL Publishes Note on Agentic AI and Data Protection (13 août 2026)
- Next — IA agentique et données personnelles, un joli bazar
Image de fond de la vignette : Guilhem Vellut from Paris, France, CC BY 2.0, via Wikimedia Commons.