Droit Vivant
Brief

↓ Version .md brute

Brief — « Mettez votre cerveau dans un bocal » : la CNIL cite la patronne de Signal, nomme le protocole MCP d'Anthropic et recommande un bouton d'arrêt d'urgence pour votre agent IA

Thème : IA et données personnelles — application du RGPD aux systèmes d'IA agentique, mémoire persistante, décision individuelle automatisée et partage des responsabilités

Le 20 juillet 2026, la CNIL et le Conseil de l'intelligence artificielle et du numérique (CIANum, coprésidé par Anne Bouverot et Guillaume Poupard, ancien directeur général de l'ANSSI) ont publié une note exploratoire conjointe intitulée « IA agentique et protection des données personnelles : équation à inconnues multiples pour les utilisateurs ». C'est la deuxième d'une série inaugurée en février 2026 par le seul CIANum, et la première coécrite avec le régulateur. Son message central tient en une phrase : le RGPD s'applique intégralement aux systèmes agentiques — aucune exception n'a été créée pour eux — mais leurs caractéristiques propres, autonomie décisionnelle, mémoire persistante, capacité à s'interconnecter à des services tiers et à agir au nom de l'utilisateur, appellent une adaptation des modalités concrètes de mise en œuvre de règles conçues à une époque où les traitements étaient déterminés par des acteurs humains poursuivant des finalités préalablement définies.

La note descend au niveau de l'architecture, ce qui la rend inhabituellement utile. Elle décrit un agent orchestrateur dialoguant en langage naturel avec l'utilisateur, des agents spécialisés (génération de code, traitement de texte, paiements en ligne), et des services externes — applications, bases de données, outils de recherche web —, le tout relié par des protocoles d'échange standardisés dont elle cite nommément deux exemples : le MCP développé par Anthropic et l'ACP développé par OpenAI. Elle distingue surtout deux mécanismes trop souvent confondus : le « contexte », qui porte l'historique d'un processus et disparaît à la fin de celui-ci, et le « stockage mémoire », persistant, indépendant des processus, propre à chaque agent — parfois partagé entre plusieurs —, alimenté par l'utilisateur ou enrichi automatiquement. C'est de cette dispersion que naissent les difficultés juridiques : cinq principes de l'article 5 du RGPD sont identifiés comme mis en tension (transparence, finalité, minimisation, exactitude, limitation de la durée de conservation), auxquels s'ajoutent la licéité (article 6) et l'exercice effectif des droits (articles 15 à 22). L'exemple donné par la note est parlant : si un utilisateur supprime un fichier sensible d'un dossier partagé avec son agent, il lui est très difficile de s'assurer que les données ont bien été effacées de l'ensemble des mémoires du système.

Le point juridique le plus tranchant est l'article 22 du RGPD, lu à la lumière de l'arrêt SCHUFA Holding (Scoring) de la Cour de justice (C-634/21, 7 décembre 2023). Beaucoup d'architectures agentiques placent un humain en bout de chaîne — un écran de confirmation — et considèrent le régime des décisions exclusivement automatisées écarté. La Cour a jugé le contraire : l'intervention humaine doit être réelle, effective et exercer une influence sur la décision finale ; une validation purement formelle ou automatique est insuffisante. Autrement dit, le nombre de clics de validation ne mesure rien ; ce qui compte est la capacité documentée de l'humain à refuser en connaissance de cause. Sur la responsabilité, la note rappelle qu'un système d'IA est dépourvu de personnalité juridique et ne peut donc voir sa responsabilité engagée, sans pour autant pouvoir être assimilé à un outil passif. Entre les deux, aucun régime spécifique : le projet de directive européenne sur la responsabilité en matière d'IA a été abandonné en 2025, et le règlement (UE) 2024/1689 (RIA) impose des obligations de conformité sans instaurer de régime de responsabilité exprès — il ne consacre d'ailleurs pas l'IA agentique comme catégorie distincte, et son application complète n'est prévue qu'en 2027. Restent le droit commun français (articles 1240 et 1242 du code civil) et la directive (UE) 2024/2853 sur les produits défectueux. Des lignes directrices CEPD–Commission sur l'articulation RGPD/RIA sont en cours de rédaction, attendues d'ici fin 2026.

Pour un praticien de la sécurité offensive et de l'automatisation, l'intérêt de la note est son inversion implicite. Les garanties qu'elle recommande dès la conception — cloisonnement de la mémoire par agent avec expiration automatique, sandboxing de l'environnement de déploiement, filtrage des requêtes à chaque appel de modèle et non seulement sur la requête initiale, classement des actions par niveau de risque avec validation humaine au-delà d'un seuil, journalisation permettant de reconstituer les données mobilisées, les agents intervenus, les services tiers sollicités et leur chronologie, et enfin un kill switch à la main de l'utilisateur — sont exactement les points de contrôle d'un audit offensif d'une chaîne agentique. Une mémoire partagée entre agents est simultanément un défaut de minimisation et un vecteur de persistance ; un serveur MCP qui expose des outils d'écriture sans gradation de risque est simultanément un manquement à l'article 5.1.c et une primitive d'exfiltration ; une hallucination qui se propage dans les mémoires est simultanément une violation du principe d'exactitude et une atteinte à l'intégrité. Le journal réclamé au titre de la transparence est aussi le seul artefact qui permettra, après incident, de savoir quel agent a fait quoi — et la plupart des déploiements actuels ne le produisent pas.

Une dernière précision de méthode, car elle décide de la portée du texte : il s'agit d'une note exploratoire, sans force contraignante. Ce n'est ni une sanction, ni une recommandation opposable, ni une délibération. Mais quand un régulateur écrit ce qu'il tient pour l'état de l'art, il décrit à l'avance la grille de lecture qu'il appliquera le jour où il contrôlera — la CNIL avait publié ses fiches pratiques IA avant de sanctionner sur ce terrain, et l'ordre des opérations ne varie guère.

Sources