IA agentique et RGPD : la note de la CNIL et ce qu'il faut vérifier

Que contient la note de la CNIL sur l'IA agentique ?

Le 20 juillet 2026, la CNIL et le Conseil de l'IA et du numérique (CIANum) ont publié une note exploratoire consacrée à l'IA agentique et aux données personnelles. Elle part d'un constat : le passage d'assistants qui répondent à des agents qui agissent marque un changement d'échelle, qui renouvelle et amplifie les risques pour les données des utilisateurs.

Le document ne fixe ni doctrine ni obligation nouvelle. Il pose des questions et ouvre des pistes, utiles à toute entreprise qui prévoit de déployer des agents. Si vous découvrez le sujet, notre guide agent IA : définition et exemples explique d'abord ce qu'est un agent et en quoi il diffère d'un chatbot.

Pourquoi les agents IA posent-ils des questions nouvelles ?

Selon la note, plusieurs traits distinguent les agents. Ils reposent sur des chaînes de traitement complexes, qui associent plusieurs modèles, plateformes et fournisseurs : savoir qui traite quelle donnée devient difficile. Pour personnaliser leurs actions, ils peuvent accéder aux courriels, aux calendriers, aux historiques de navigation, aux documents professionnels ou aux données de localisation. Et ces flux sont difficiles à appréhender pour l'utilisateur, avec un risque réel de perte de maîtrise sur ses données.

La note soulève aussi la question du partage des responsabilités entre les acteurs impliqués. Enfin, chaque outil connecté élargit la surface d'attaque : un agent qui lit un e-mail piégé peut être manipulé, comme nous l'expliquons dans notre article sur l'injection de prompt.

Quelles règles du RGPD s'appliquent à un agent IA ?

Nul besoin d'attendre des règles propres aux agents pour savoir quoi faire : les principes du RGPD s'appliquent à chaque traitement que l'agent réalise.

• Une finalité précise : l'agent traite les demandes de devis, pas « tout ce qui arrive dans la boîte mail ».
• La minimisation : il n'accède qu'aux données nécessaires à sa tâche.
• Une base légale et l'information des personnes concernées, clients comme salariés.
• Un contrat avec chaque fournisseur qui traite des données pour vous (article 28), et des garanties si les données sortent de l'Union européenne.
• Une analyse d'impact (AIPD) si le traitement présente un risque élevé, par exemple sur des données de santé ou à grande échelle.
• Pas de décision produisant des effets juridiques fondée exclusivement sur un traitement automatisé, sauf exceptions encadrées (article 22).

Que vérifier avant de déployer un agent IA ?

1. Cartographier les flux : quelles sources l'agent lit, où il écrit, quels fournisseurs interviennent.
2. Donner à l'agent un compte dédié, avec des droits limités à sa mission.
3. Faire valider par un humain les envois, paiements, suppressions et décisions concernant des personnes.
4. Journaliser chaque action et conserver ces journaux pendant une durée définie.
5. Vérifier les contrats et la localisation des données de chaque fournisseur de modèle et d'outil.
6. Fixer des durées de conservation pour les données que l'agent mémorise.
7. Tester l'agent sur des cas pièges, dont des messages contenant des instructions malveillantes.

Notre article sur la confidentialité des données avec l'IA complète cette liste pour les outils du quotidien.

Faut-il renoncer aux agents IA dans une PME ?

Non. La note décrit des risques, elle n'interdit rien. Un agent limité à une tâche, avec peu d'accès et des validations humaines, reste un traitement de données classique, que l'on documente comme les autres. Les difficultés apparaissent avec les agents « à tout faire », branchés sur toute la messagerie et tous les outils, sans journal ni contrôle.

La bonne approche est progressive : un processus, deux outils, des droits en lecture d'abord, puis l'ouverture des actions une par une. C'est la méthode de notre offre de création d'agents IA ; notre guide IA et RGPD détaille le cadre général, et notre article sur les agents IA autonomes en entreprise fait le point sur leurs usages.

Questions fréquentes

Sources

• CNIL, « IA agentique et données personnelles : la CNIL et le Conseil de l'IA et du numérique publient une note exploratoire » (juillet 2026)(nouvel onglet)
• Solutions Numériques, « IA agentique et RGPD : ce que la note de la CNIL et du CIANum vous invite à vérifier dès maintenant »(nouvel onglet)
• Règlement (UE) 2016/679, règlement général sur la protection des données (RGPD)(nouvel onglet)

Cet article a une visée informative et ne constitue pas un conseil juridique.