Agents IA et données personnelles : les garde-fous que recommande la note CNIL-CIANum

Un agent IA ne se contente pas de répondre : il lit des courriels, interroge des bases, déclenche des actions. Pour y parvenir, il fait circuler des données entre de nombreux services et en garde une partie en mémoire. La CNIL et le Conseil de l'IA et du Numérique (CIANum) ont consacré à ce sujet une note exploratoire, publiée le 20 juillet 2026.

Le constat

La note décrit une architecture devenue courante : un agent « orchestrateur » avec lequel l'utilisateur dialogue, des agents spécialisés, et des services externes reliés par des protocoles standardisés. Elle cite MCP en exemple.

Trois risques en découlent :

• Une perte de maîtrise. La mémoire persistante permet de construire des profils d'utilisateurs très précis, et les flux entre services sont difficiles à suivre.
• Des responsabilités floues. Quand une tâche passe par plusieurs acteurs, savoir qui répond de quoi devient compliqué. Faute de régime spécifique, le droit commun de la responsabilité reste applicable en France.
• Une surface d'attaque élargie. Une faille dans un seul composant peut affecter l'ensemble, et un agent trompé peut exécuter une action non voulue.

Ce que dit le droit

La note l'écrit sans détour : les IA agentiques restent pleinement soumises au RGPD. Les garanties prévues pour les décisions entièrement automatisées (article 22) s'appliquent aussi. Le règlement européen sur l'IA couvre ces systèmes, mais ne prévoit pas de règles propres aux agents. Des lignes directrices sur l'articulation des deux textes sont en préparation au niveau européen ; la note attend leur parution d'ici fin 2026.

Les mesures proposées

• Traçabilité : pour chaque tâche, pouvoir retrouver les données utilisées, les agents intervenus, les services appelés et l'ordre des échanges.
• Choix des accès : laisser l'utilisateur décider des données auxquelles l'agent accède, surtout si elles sont sensibles.
• Mémoire cloisonnée : une mémoire propre à chaque agent, limitée en taille, avec expiration automatique des informations.
• Environnement isolé (« sandboxing ») : restreindre les accès au strict nécessaire, ce qui limite l'étendue d'une éventuelle fuite.
• Humain dans la boucle : classer les actions par niveau de risque (lecture, modification, suppression, envoi vers l'extérieur) et exiger une validation pour les plus critiques.
• Arrêt d'urgence : pouvoir interrompre un processus à tout moment.
• Filtrage et tests : bloquer les requêtes suspectes, surveiller les actions en temps réel, tester la robustesse avant et pendant le déploiement.

Les limites du document

C'est une note exploratoire, pas une recommandation officielle de la CNIL : elle ne crée aucune obligation nouvelle et ses auteurs reconnaissent que la question n'est pas résolue. Elle s'adresse davantage aux concepteurs de systèmes qu'aux entreprises utilisatrices, et ne fournit ni modèle de clause ni grille d'analyse prête à l'emploi. La page de présentation de la CNIL n'annonce pas de suite ni de calendrier.

Notre lecture

Pour une PME française qui déploie un agent, sur sa messagerie, son CRM ou son support client, cette liste fait un cahier des charges raisonnable. Avant de signer avec un éditeur, quatre questions suffisent à faire le tri :

1. À quelles données l'agent accède-t-il, et peut-on restreindre ce périmètre ?
2. Que conserve-t-il en mémoire, combien de temps, et peut-on l'effacer ?
3. Dispose-t-on d'un journal de ses actions ?
4. Quelles actions exigent une validation humaine, et peut-on tout arrêter d'un clic ?

Si l'agent traite des données de clients ou de salariés, inscrivez-le au registre des traitements et vérifiez si une analyse d'impact s'impose. Le RGPD n'attend pas de texte spécial pour s'appliquer.