Droit Vivant
Source NotebookLM

↓ Version .md brute (pour NotebookLM)

IA agentique et RGPD : ce que la CNIL et le CIANum ont écrit le 20 juillet 2026

De quoi parle-t-on

Le 20 juillet 2026, la Commission nationale de l'informatique et des libertés et le Conseil de l'intelligence artificielle et du numérique ont publié une note conjointe au titre volontairement inquiet : « IA agentique et protection des données personnelles : équation à inconnues multiples pour les utilisateurs ». Le CIANum, successeur du Conseil national du numérique, est coprésidé par Anne Bouverot et par Guillaume Poupard, ancien directeur général de l'Agence nationale de la sécurité des systèmes d'information. C'est la deuxième note d'une série que le Conseil avait inaugurée en février 2026, et la première écrite avec le régulateur des données lui-même.

Il faut d'emblée fixer son statut, parce qu'il détermine la manière de la lire. Ce n'est pas une sanction, ce n'est pas une recommandation opposable, ce n'est pas une délibération : c'est une note exploratoire, dépourvue de force contraignante. Personne ne sera condamné pour ne pas avoir suivi ses préconisations. Mais quand une autorité de contrôle prend la peine d'écrire ce qu'elle tient pour l'état de l'art d'une technologie, elle décrit à l'avance la grille de lecture qu'elle appliquera le jour où elle contrôlera. La CNIL a publié ses fiches pratiques sur l'intelligence artificielle avant de sanctionner sur ce terrain ; l'ordre des opérations varie rarement.

Ce qu'est une IA agentique, techniquement

La note commence par une définition et une description d'architecture, ce qui est plus rare qu'il n'y paraît dans la littérature réglementaire. On désigne par IA agentique un ensemble de programmes reposant sur des modèles d'IA générative, capables de prendre des décisions de manière autonome, d'orchestrer des actions complexes et d'interagir avec des services tiers — avec ou sans validation humaine.

Concrètement, trois couches. Un agent « orchestrateur », au cœur duquel le modèle génératif permet à l'utilisateur d'interagir en langage naturel : c'est l'interface principale. Des agents « spécialisés », coordonnés par l'orchestrateur, qui accomplissent des tâches nécessitant des compétences particulières — génération de code, traitement de texte, paiements en ligne. Et des services externes : applications, bases de données, outils de recherche web. Le lien entre ces couches est assuré par des protocoles d'échange standardisés, que la note cite nommément : le MCP, ou Model Context Protocol, développé par Anthropic, et l'ACP développé par OpenAI. Ces protocoles, écrit-elle, « sont indispensables à l'interopérabilité des différents systèmes ».

Elle distingue ensuite deux mécanismes de gestion des données que la pratique confond souvent. Le « contexte » porte l'historique des échanges avec l'utilisateur, les instructions reçues et l'ensemble des interactions avec les autres agents et services — et il est supprimé à la fin du processus. Le « stockage mémoire », lui, conserve des informations réutilisables d'un processus à l'autre ; il est persistant, indépendant des processus d'exécution, il peut être alimenté par l'utilisateur ou enrichi automatiquement à partir des interactions. Point crucial : chaque agent, orchestrateur ou spécialisé, dispose de son contexte propre et de sa propre mémoire, et il peut exister en plus une mémoire partagée.

Pourquoi le RGPD craque aux entournures

Le règlement général sur la protection des données a été conçu, rappelle la note, à une époque où les traitements étaient principalement déterminés et mis en œuvre par des acteurs humains poursuivant des finalités préalablement définies. Il doit désormais s'appliquer à des environnements où une partie des opérations peut être initiée, coordonnée ou exécutée de manière autonome par un système.

Cinq principes de l'article 5 sont identifiés comme mis en tension. La finalité, parce qu'un agent conçu pour faire beaucoup de choses dans beaucoup de domaines rend difficile l'identification du périmètre exact des traitements. La minimisation, parce que les agents mobilisent e-mails, historiques de navigation et fichiers, les partagent entre eux et les conservent en mémoire pour anticiper les besoins de l'utilisateur — la nécessité de tout cela n'étant pas toujours démontrable. L'exactitude, parce que la nature probabiliste des modèles produit des erreurs qui peuvent se propager en cascade dans les mémoires sans que l'utilisateur dispose du moindre mécanisme d'alerte. La transparence, parce que les sorties d'un modèle génératif sont difficiles à expliquer. Et la limitation de la durée de conservation, parce que des mémoires diffuses et multiples rendent le contrôle des durées quasi impraticable. S'ajoutent la licéité de l'article 6, dont le lien avec les opérations nouvelles initiées par l'agent devient ténu, et l'exercice des droits des articles 15 à 22 : la personne concernée peut avoir du mal à savoir quel agent a collecté l'information, où elle est conservée, si elle a été transmise ailleurs, et auprès de qui exercer ses droits.

L'exemple que donne la note vaut mieux qu'un long développement : si un utilisateur supprime un fichier sensible de son ordinateur dans un dossier partagé avec son IA agentique, il peut lui être très difficile de s'assurer que les données ont bien été effacées de l'ensemble de la mémoire du système. Si elles y restent, elles continueront d'être utilisées lors d'interactions futures.

Le point le plus tranchant : l'article 22 et l'arrêt SCHUFA

Pour illustrer la bascule de l'assistance vers la délégation décisionnelle, la note reprend la formule de Meredith Whittaker, présidente de Signal : « put your brain in a jar and let AI handle life » — mettez votre cerveau dans un bocal et laissez l'IA gérer votre vie. Elle cite aussi le cas, rapporté par la presse, d'une employée d'une grande entreprise du numérique dont l'agent a supprimé de nombreux e-mails professionnels, avec des difficultés à interrompre le processus à distance. L'incident, souligne-t-elle, ne remet pas en cause le principe de l'automatisation ; il illustre que la capacité à identifier rapidement l'origine d'une action, à la corriger et à en limiter les effets devient un élément essentiel de la maîtrise du système.

Juridiquement, cette autonomie fait entrer certaines actions dans le champ de l'article 22 du RGPD, qui reconnaît à toute personne le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques la concernant ou l'affectant de manière significative — sauf exécution d'un contrat, autorisation par le droit de l'Union ou d'un État membre, ou consentement explicite.

Et c'est ici que la note fait mouche, en rappelant l'arrêt SCHUFA Holding (Scoring) de la Cour de justice de l'Union européenne, affaire C-634/21 du 7 décembre 2023. L'existence d'une intervention humaine en sortie ne suffit pas nécessairement à écarter la qualification de décision exclusivement automatisée : l'intervention doit être réelle, effective, et exercer une influence sur la décision finale. Une validation purement formelle ou automatique est insuffisante. Transposé à une chaîne agentique, cela signifie que le nombre d'écrans de confirmation ne mesure rien du tout. Ce qui compte est la capacité documentée d'un humain à refuser, en connaissance de cause, une action proposée.

Le trou noir de la responsabilité

Un système d'IA est dépourvu de personnalité juridique et ne peut donc pas voir sa responsabilité engagée. Mais il ne saurait pour autant être assimilé à un simple outil passif, compte tenu de son autonomie et de la multiplicité des acteurs intervenant dans sa conception, son développement, son déploiement et son utilisation. Entre les deux, il n'existe aujourd'hui aucun régime spécifique : le projet de directive européenne sur la responsabilité en matière d'intelligence artificielle a été abandonné en 2025, et le règlement (UE) 2024/1689 sur l'IA impose des obligations de conformité fondées sur les risques sans instaurer de régime de responsabilité exprès. Il ne consacre d'ailleurs pas l'IA agentique comme catégorie distincte, tout en lui étant applicable — son application complète est prévue pour 2027. Restent donc le droit commun français, responsabilité délictuelle pour faute de l'article 1240 du code civil, responsabilité du fait des choses de l'article 1242, responsabilité contractuelle, et le régime rénové des produits défectueux issu de la directive (UE) 2024/2853. En cas d'achat erroné, de courriel envoyé au mauvais destinataire ou de divulgation de données confidentielles à un système tiers, c'est donc la traçabilité qui décidera de l'imputation, faute de texte pour la décider à sa place. Des lignes directrices du Comité européen de la protection des données et de la Commission sur l'articulation entre RGPD et règlement IA sont en cours de rédaction, attendues d'ici fin 2026.

Les remèdes proposés — et ce qu'ils disent au praticien de la sécurité

Sur le plan juridique, la note appelle à des règles de transparence renforcées sur l'action agentique et à l'obligation d'une validation humaine pour les décisions les plus critiques. Sur le plan technique, elle liste une pile de mesures à intégrer dès la conception : détection et filtrage des usages détournés, appliqués à chaque sollicitation d'un modèle par un agent et pas seulement à la requête initiale de l'utilisateur ; cloisonnement de la mémoire, chaque agent disposant d'une mémoire dédiée et isolée, avec expiration automatique des informations et mécanisme de comparaison entre agents pour détecter les divergences ; cloisonnement de l'environnement de déploiement, autrement dit sandboxing, de sorte que le risque d'exfiltration se limite au périmètre de données réellement accessibles ; classement des actions possibles sur chaque service par niveau de risque, avec validation humaine imposée au-delà d'un seuil ; journalisation permettant de reconstituer, pour chaque tâche, les données personnelles mobilisées, les agents intervenus, les services tiers sollicités et leur chronologie ; et enfin l'intégration d'un kill switch permettant d'interrompre à tout moment un processus agentique.

Pour qui pratique la sécurité offensive et l'automatisation, l'inversion est immédiate et féconde : ces garanties de conformité sont, terme pour terme, les points de contrôle d'un audit d'une chaîne agentique. Une mémoire partagée entre agents est à la fois un défaut de minimisation et un vecteur de persistance. Un serveur MCP qui expose des outils d'écriture sans gradation de risque est à la fois un manquement à l'article 5.1.c et une primitive d'exfiltration. Une hallucination qui se propage dans les mémoires est à la fois une violation du principe d'exactitude et une atteinte à l'intégrité. Et le journal réclamé au nom de la transparence est le seul artefact qui permettra, après incident, de savoir quel agent a fait quoi.

La note s'achève sur un enjeu que l'on n'attendait pas nécessairement d'un texte de protection des données : la concentration, entre les mains d'un nombre limité d'acteurs, des données générées par les utilisateurs et réutilisées pour améliorer les modèles, au risque de créer de nouvelles formes de dépendance technologique — un « dilemme de souveraineté », selon la formule reprise de la tribune d'Anne Bouverot dans *Les Échos* de juin 2026, « Les agents IA, chevaux de Troie pour la sécurité des organisations ? ».

Références

Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Cette source se prête à plusieurs traitements très différents. Choisissez l'angle qui correspond à votre besoin du jour et collez-le tel quel dans le champ de personnalisation de l'Audio Overview.

Angle 1 — Audit offensif d'une chaîne agentique. Traite les mesures techniques recommandées par la note (cloisonnement mémoire, sandboxing, filtrage à chaque appel de modèle, classement des actions par niveau de risque, journalisation, kill switch) comme une checklist de test d'intrusion et non comme des mesures de conformité. Pour chacune, formule la question qu'un auditeur poserait, l'artefact qu'il demanderait à voir, et ce que son absence permettrait concrètement à un attaquant. Termine par les trois défauts les plus probables dans un déploiement d'entreprise réel.

Angle 2 — Architecture, protocoles et surface d'exposition. Concentre-toi sur la description technique du système : agent orchestrateur, agents spécialisés, services externes, protocoles MCP et ACP, distinction entre « contexte » éphémère et « mémoire » persistante. Explique où passent réellement les données à chaque saut, quels sont les points de confiance implicites entre composants, et pourquoi la multiplication des espaces mémoire crée à la fois un problème de conservation au sens du RGPD et un problème de persistance au sens de la sécurité offensive.

Angle 3 — L'article 22 et l'illusion du « human in the loop ». Centre l'exposé sur le régime des décisions individuelles automatisées et sur l'exigence, posée par l'arrêt SCHUFA (C-634/21, 7 décembre 2023), d'une intervention humaine réelle, effective et influente. Confronte cette exigence aux pratiques courantes d'approbation dans les pipelines agentiques. Explique comment on démontre, preuves à l'appui, qu'une supervision est effective plutôt que décorative, et ce qui distingue un point de validation utile d'un simple accusé de réception.

Angle 4 — Comparaison avec les autres modules du dépôt. Mets ce texte en regard des épisodes précédents de Droit Vivant : l'article 50 du règlement IA et le marquage des contenus générés (module du 12 août 2026), les lignes directrices du CEPD sur le moissonnage pour l'IA générative (1er août 2026), la redéfinition du statut d'hébergeur par la CJUE lorsqu'un algorithme prédétermine la diffusion (13 août 2026), et l'obligation de sécurité de l'article 32 du RGPD. Dégage la tendance de fond : le droit se déplace du contenu vers l'architecture qui le produit et le fait circuler.

Angle 5 — Veille réglementaire automatisée et prospective. Traite la note comme un signal faible et construis à partir d'elle un plan de veille : lignes directrices CEPD–Commission sur l'articulation RGPD/RIA attendues d'ici fin 2026, application complète du règlement IA en 2027, recommandations sectorielles de la CNIL (santé, éducation, travail), travaux du Conseil de l'Europe sur les systèmes fondés sur des LLM, régime des produits défectueux issu de la directive (UE) 2024/2853. Pour chaque échéance, indique la source à surveiller, la fréquence utile et le déclencheur qui justifierait de rouvrir le dossier.