Agents IA et données personnelles : ce qui change quand l’IA agit

Ce qu’un agent change par rapport à un assistant

Le 20 juillet 2026, la CNIL et le Conseil de l’IA et du numérique (CIANum) ont publié une note exploratoire, « IA agentique et protection des données personnelles : équation à inconnues multiples pour les utilisateurs ». Elle définit l’IA agentique comme des programmes reposant sur des modèles d’IA générative, « capables de prendre des décisions de manière autonome, d’orchestrer des actions complexes et d’interagir avec des services tiers, avec ou sans validation humaine ».

Un tel système réunit en général un agent orchestrateur, avec lequel l’utilisateur dialogue, des agents spécialisés qu’il coordonne, et des services externes (applications, bases de données, recherche web) reliés par des protocoles d’échange comme MCP. La note distingue deux façons de garder l’information : le contexte, propre à une tâche et « supprimé à la fin du processus », et la mémoire, « persistante et indépendante des processus d’exécution ». Chaque agent a les siens, et une mémoire peut être partagée entre plusieurs agents.

La note y voit un « changement d’échelle », et la CNIL un « risque réel de perte de maîtrise » de l’utilisateur sur ses données. Ce n’est pas une recommandation au sens strict : elle propose des voies de conciliation, dont les pistes techniques s’appliquent directement à une entreprise qui déploie un agent.

Les principes du RGPD que l’agent met en tension

La note ne remet pas en cause le RGPD : les IA agentiques « demeurent pleinement soumises au RGPD », et les recommandations de la CNIL pour les déployeurs d’IA générative, de juillet 2024, en forment « un premier socle ». Elle relève en revanche que l’autonomie de l’agent rend plus difficile l’application concrète de sept exigences. Chacune appelle une décision, à prendre avant la mise en service.

Les six recommandations générales de la CNIL (besoin, usages, hébergement, vérification, formation, pilotage) sont reprises sur la page IA et protection des données. Les sections suivantes ne traitent que ce que l’agent ajoute.

Droits d’accès : ouvrir le strict nécessaire

La note prend un exemple courant : un agent qui a accès à votre messagerie, votre agenda et vos espaces documentaires « peut consulter l’ensemble des informations disponibles » pour répondre à une requête, y compris celles dont la tâche n’a pas besoin. Ces données peuvent ensuite rejoindre sa mémoire ou partir vers des services externes.

D’où l’une de ses pistes : laisser l’utilisateur choisir les données auxquelles l’agent accède, pour que seules les données « strictement nécessaires à l’exécution d’une tâche » soient traitées. Le RGPD le formule déjà : par défaut, seules les données nécessaires à chaque finalité sont traitées, et la règle vaut pour leur accessibilité (article 25). La note ajoute un environnement isolé (sandboxing), qui réduit les accès de l’agent au strict nécessaire et limite le risque de fuite au périmètre qu’il peut traiter.

L’enjeu est aussi de sécurité. Chaque outil connecté élargit la surface d’attaque, et « une erreur, une tromperie ou une compromission » peut conduire l’agent à exécuter une action non souhaitée. Plus ses droits sont étroits, moins une tromperie peut en obtenir. La décision se prend donc outil par outil et action par action : lire n’est pas écrire, écrire n’est pas supprimer.

Sur notre infrastructure, en production, un orchestrateur confie chaque demande à 12 agents spécialisés, chacun limité à ses propres outils : le relecteur ne peut pas modifier le code, la vigie de visibilité ne peut rien corriger. Limite : c’est notre propre système, pas un déploiement chez un client, et aucun gain de temps global n’y est mesuré.

Minimisation : ce que l’agent va chercher de lui-même

Un agent ne se contente pas des données qu’on lui confie. Il peut compléter sa mémoire avec des services connectés ou le web, et ce recours « est souvent initié par le système d’IA agentique lui-même », sans que la requête le dise. En croisant les sources, il peut « déduire toujours plus d’informations » sur la vie privée de l’utilisateur. La minimisation ne se règle donc pas seulement à l’entrée : elle porte aussi sur les sources que l’agent peut interroger et sur ce qu’il retient.

Mémoire : cloisonnée, bornée, effaçable

La mémoire rend un agent utile d’une tâche à l’autre ; c’est aussi elle qui accumule les données personnelles. La note donne un exemple : un fichier sensible supprimé d’un dossier partagé avec l’agent peut subsister dans sa mémoire et resservir lors d’interactions futures. Avec plusieurs agents, les mémoires se multiplient, se désynchronisent et propagent des informations obsolètes ou contradictoires.

Ses pistes : une mémoire dédiée et isolée par agent, « sans accès automatique aux données des autres agents », limitée en taille, dont les informations expirent au bout d’un certain temps ou sont remplacées par de plus récentes, et des sessions séparées par traitement.

Sous-traitants et souveraineté : la chaîne derrière l’agent

Derrière un agent, il y a une chaîne : le fournisseur du modèle, l’hébergeur, l’outil d’orchestration, et les services qu’il appelle (CRM, messagerie, recherche web, enrichissement). Chacun peut recevoir des données personnelles. La note relève que cette multiplicité complique « la répartition des rôles entre responsables du traitement et sous-traitants », et la preuve de la conformité.

Le RGPD fixe la règle : un contrat lie chaque sous-traitant (article 28), qui n’en recrute pas un autre sans l’autorisation écrite préalable du responsable du traitement, et l’autre sous-traitant est tenu aux mêmes obligations. Un transfert hors de l’Union s’encadre (chapitre V). La souveraineté se joue sur les trois points de toute IA : la juridiction du fournisseur, le lieu d’hébergement et le modèle. Pour un agent, elle se joue aussi sur sa mémoire, ses journaux et chaque service qu’il appelle.

1. 01Quels services l’agent peut-il appeler de lui-même ?Une liste fermée, écrite au cadrage : chaque service appelé est un destinataire possible de vos données.
2. 02Le fournisseur du modèle réutilise-t-il vos données ?La réutilisation pour l’entraînement s’exclut par contrat ou par réglage ; sur vos serveurs, elle n’est pas possible.
3. 03Sous quel droit opère chaque fournisseur ?Le lieu du serveur ne suffit pas : un fournisseur soumis au droit américain peut être tenu de remettre les données qu’il contrôle, même stockées en Europe (Cloud Act).
4. 04Un sous-traitant ultérieur est-il prévu ?Pas sans l’autorisation écrite préalable du responsable du traitement, et avec les mêmes obligations que le premier (article 28 du RGPD).
5. 05Où vont la mémoire et les journaux ?Au même endroit que le reste, pour la durée choisie : ils contiennent eux aussi des données personnelles.

Journaux : retracer chaque tâche

Pour chaque tâche, la note propose que l’on puisse identifier « les données personnelles mobilisées, les agents intervenus, les services tiers sollicités, les échanges réalisés ainsi que leur chronologie ». Ce journal sert deux fois : il rend l’agent explicable, et il établit une chaîne de responsabilité en cas d’erreur. Car sans trace des étapes, l’origine d’un achat erroné, d’un e-mail au mauvais destinataire ou d’une donnée divulguée à un système tiers reste difficile à établir. La note y ajoute une surveillance en temps réel des actions des agents, avec une alerte en cas de comportement inhabituel.

Un journal contient lui-même des données personnelles : sa durée de conservation se fixe comme celle de la mémoire. Sur une mission Agentic Conseil, les journaux sont conservés six mois, durée recommandée par la CNIL, sans copie des données traitées, puis supprimés.

Sur notre infrastructure, chaque action est inscrite dans un registre (qui, quoi, résultat, coût) et une surveillance quotidienne détecte les échecs : 16 erreurs détectées et 16 résolues entre le 17 juillet et le 7 août 2026. Limite : ce registre décrit qui a fait quoi, avec quel résultat et à quel coût ; les rubriques proposées par la note sont plus larges. La supervision au quotidien est détaillée dans le guide superviser un agent IA en production.

Validation humaine : classer les actions par niveau de risque

La note propose de classer les actions possibles sur chaque service par niveau de risque : accès à des données, modification et suppression, envoi hors du système, en tenant compte de la nature des données (financières, de santé). Selon le risque, une intervention humaine peut être exigée avant l’exécution, et l’utilisateur pourrait choisir lui-même les actions qui attendent sa validation.

Une validation doit être réelle. La note rappelle l’article 22 du RGPD : toute personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques la concernant ou l’affecte de manière significative. Citant l’arrêt SCHUFA de la Cour de justice de l’Union européenne (7 décembre 2023), elle précise qu’une « validation purement formelle ou automatique est insuffisante » : l’intervention humaine doit pouvoir influencer la décision finale. Dernier garde-fou : un bouton d’arrêt (kill switch), qui interrompt l’exécution à tout moment en cas de comportement inattendu.

Sur notre infrastructure, les achats, les mises en ligne et les actions irréversibles attendent une validation humaine, et le budget d’API est plafonné. Côté AI Act, la Commission européenne précise que les agents ne forment pas une catégorie à part : les règles des systèmes d’IA s’appliquent, dont la transparence depuis le 2 août 2026 quand l’agent échange avec des personnes ou génère du contenu. Le calendrier et vos obligations sont sur la page AI Act : ce qui s’applique à votre PME.

La liste à valider avant la mise en service

Six décisions, dans l’ordre où elles se prennent. Elles se relisent chaque fois que l’agent reçoit une nouvelle tâche ou un nouvel outil.

Vos données : un agent IA souverain, de bout en bout

Sur chaque mission, ces décisions sont prises avec vous au cadrage, et le trajet de vos données est documenté à la livraison. Pour situer l’agent parmi vos autres usages de l’IA, voir aussi agents IA en entreprise.

Sources

Questions fréquentes

À lire aussi