article 5 et brouillent l'identification du responsable du traitement ; la réponse proposée par la CNIL et le CIANum n'est donc pas un nouveau texte, mais une architecture : cloisonnement des mémoires, bac à sable, journalisation du processus décisionnel et validation humaine des actions critiques.
art. 5.1.a (transparence), 5.1.b (finalité), 5.1.c (minimisation), 5.1.d (exactitude), 5.1.e (limitation de la conservation) du règlement (UE) 2016/679 (RGPD) : les cinq principes que la note identifie nommément comme « mis en tension » par l'agentiqueart. 6 du RGPD : licéité — six bases légales, dont le lien avec les opérations nouvelles initiées par l'agent devient difficile à établirart. 9-1 du RGPD : définition des données sensibles, que les systèmes agentiques sont susceptibles de traiter au passageart. 15 à 22 du RGPD : droits d'accès, rectification, effacement, opposition, limitation — dont l'exercice se heurte à la dispersion des mémoires entre agentsart. 22 du RGPD : décision individuelle automatisée produisant des effets juridiques ou affectant significativement la personne ; exceptions limitées au § 2 (contrat, droit de l'Union ou d'un État membre, consentement explicite)C-634/21, SCHUFA Holding (Scoring) : l'intervention humaine doit être réelle et effective et influencer la décision finale — une validation purement formelle ne fait pas sortir du champ de l'article 22(UE) 2024/1689 (RIA / AI Act) : applicable aux systèmes agentiques, mais sans catégorie ni régime propre pour eux ; application complète prévue en 2027(UE) 2024/2853 du 23 octobre 2024 (produits défectueux) et, à défaut de régime spécial, le droit commun français : art. 1240 (faute) et art. 1242 (fait des choses) du code civilLe 20 juillet 2026, la CNIL et le Conseil de l'intelligence artificielle et du numérique (CIANum, coprésidé par Anne Bouverot et Guillaume Poupard, ancien directeur général de l'ANSSI) publient une note conjointe : « IA agentique et protection des données personnelles : équation à inconnues multiples pour les utilisateurs ». C'est la deuxième d'une série inaugurée en février 2026, et la première coécrite avec le régulateur.
La note ne se contente pas de généralités : elle décrit l'architecture réelle. Un agent orchestrateur qui dialogue en langage naturel avec l'utilisateur ; des agents spécialisés (génération de code, traitement de texte, paiements en ligne) ; des services externes — applications, bases de données, outils de recherche web. Le tout relié par des protocoles d'échange standardisés, dont la note cite deux exemples nommément : le MCP (Model Context Protocol) développé par Anthropic et l'ACP développé par OpenAI.
Elle distingue surtout deux mécanismes de données trop souvent confondus. Le contexte, qui porte l'historique d'un processus et disparaît à la fin de celui-ci. Et le stockage mémoire, persistant et indépendant des processus, alimenté par l'utilisateur ou enrichi automatiquement, dont chaque agent dispose en propre — avec, parfois, une mémoire partagée. C'est de là que vient le problème juridique : « si un utilisateur supprime un fichier sensible de son ordinateur dans un dossier partagé avec son IA agentique, il peut être difficile pour lui de s'assurer que les données personnelles ont bien été effacées de l'ensemble de la mémoire ».
Pour illustrer la bascule de l'assistance vers la délégation décisionnelle, la note reprend la formule de Meredith Whittaker, présidente de Signal : « put your brain in a jar and let AI handle life » — « mettez votre cerveau dans un bocal et laissez l'IA gérer votre vie ». Elle cite aussi le cas, rapporté par la presse, d'une employée d'une grande entreprise du numérique dont l'agent a supprimé de nombreux e-mails professionnels, avec des difficultés pour interrompre le processus à distance.
Côté remèdes, la note propose une pile de mesures dès la conception : filtrage et détection des requêtes détournées à chaque appel de modèle — pas seulement sur la requête initiale de l'utilisateur —, mémoire dédiée et isolée par agent avec expiration automatique et comparaison inter-agents, sandboxing de l'environnement de déploiement, classement des actions par niveau de risque avec validation humaine au-delà d'un seuil, journalisation permettant de reconstituer « les données mobilisées, les agents intervenus, les services tiers sollicités » et leur chronologie, et enfin un kill switch à la main de l'utilisateur. La note relève également un enjeu de souveraineté : la concentration des données d'usage chez quelques fournisseurs, renvoyant à la tribune d'Anne Bouverot dans Les Échos, « Les agents IA, chevaux de Troie pour la sécurité des organisations ? » (juin 2026).
Il faut d'abord dire ce que ce texte n'est pas. Ce n'est ni une sanction, ni une recommandation opposable, ni une délibération : c'est une note exploratoire, sans force contraignante. Personne ne sera condamné pour ne pas avoir installé de kill switch. Mais c'est précisément ce qui la rend utile à lire aujourd'hui plutôt que dans dix-huit mois : quand un régulateur écrit ce qu'il considère comme l'état de l'art, il décrit à l'avance la grille de lecture qu'il appliquera le jour où il contrôlera. La CNIL avait publié ses fiches pratiques IA avant de sanctionner sur ce terrain ; l'ordre des opérations est toujours le même.
Le point juridique le plus tranchant est l'article 22 combiné à l'arrêt SCHUFA. Beaucoup d'architectures agentiques placent un humain en bout de chaîne — un écran de confirmation, un « approuver » — et considèrent le problème réglé. La Cour de justice a jugé le contraire dès 2023 : l'intervention humaine doit être réelle, effective et exercer une influence sur la décision finale. Un opérateur qui valide cent propositions à la minute sans marge d'appréciation ne fait pas sortir le traitement du régime de la décision exclusivement automatisée. Transposé à un agent qui enchaîne vingt appels d'outils, cela signifie que le nombre de clics de validation ne mesure rien : ce qui compte est la capacité documentée de l'humain à dire non en connaissance de cause.
Le deuxième déplacement concerne la responsabilité. La note rappelle un principe que l'on oublie vite : un système d'IA n'a pas la personnalité juridique et ne peut donc pas voir sa responsabilité engagée — mais il ne peut pas non plus être traité comme un simple outil passif. Entre les deux, il n'existe aujourd'hui aucun régime spécifique : le projet de directive européenne sur la responsabilité en matière d'IA a été abandonné en 2025, et le RIA impose des obligations de conformité sans créer de régime de responsabilité exprès. Restent donc le droit commun — faute, fait des choses, contrat — et le nouveau régime des produits défectueux. Autrement dit : en cas d'achat erroné, de courriel envoyé au mauvais destinataire ou de divulgation de données confidentielles à un système tiers, c'est la traçabilité qui décidera de l'imputation, faute de texte pour la décider à sa place.
Pour un praticien de la sécurité offensive et de l'automatisation, la lecture est directe, et l'inversion est intéressante. Les mesures que la note présente comme des garanties RGPD — cloisonnement mémoire, sandboxing, filtrage à chaque appel de modèle, classement des actions par niveau de risque, journalisation complète — sont exactement les points de contrôle d'un audit offensif d'une chaîne agentique. Une mémoire partagée entre agents est simultanément un défaut de minimisation et un vecteur de persistance ; un serveur MCP qui expose des outils d'écriture sans gradation de risque est simultanément un manquement à l'article 5.1.c et une primitive d'exfiltration ; une hallucination qui se propage dans les mémoires est simultanément une violation du principe d'exactitude et une compromission de l'intégrité. La conséquence pratique : le journal du processus décisionnel réclamé au titre de la transparence est aussi le seul artefact qui permettra, après incident, de savoir quel agent a fait quoi — et la plupart des déploiements actuels ne le produisent pas.