La CNIL pointe les angles morts de l’IA agentique

Le 20 juillet 2026, la CNIL et le Conseil de l’IA et du Numérique, appelé CIANum, ont publié une note exploratoire. Leur réflexion porte sur les enjeux de l’IA agentique pour la protection des données personnelles. Ces systèmes peuvent agir sur leur environnement à la place de leur utilisateur. La note décrit une délégation de tâches facilitée par des interactions hyperpersonnalisées. Elle souligne aussi l’existence de chaînes de traitement complexes, parfois opaques. La publication intervient après des échanges de la CNIL avec ses homologues internationaux. Ces échanges comprennent le G7 des autorités de protection des données et de la vie privée, organisé sous présidence française du G7.

Le passage à l’action distingue l’IA agentique de l’IA générative par l’autonomie de ses systèmes. Ces outils accèdent à d’importants volumes de données depuis plusieurs sources connectées. Ils peuvent également agir sur leur environnement et interagir avec différents services. La circulation des données personnelles s’étend donc entre de nombreux services. La note mentionne aussi la conservation de l’historique des interactions avec l’utilisateur. Les mémoires persistantes augmentent les données conservées sur des supports variés. Ces mécanismes favorisent la création de profils utilisateurs hyperpersonnalisés. Ils accroissent aussi l’autonomie décisionnelle des systèmes, selon l’analyse publiée par la CNIL et le CIANum.

Les systèmes agentiques multiplient les flux

La maîtrise des données devient plus difficile lorsque les flux passent entre plusieurs applications. La CNIL et le CIANum indiquent que ces circulations peuvent être difficiles à appréhender pour l’utilisateur. Elles créent un risque de perte de maîtrise sur ses données personnelles. La note met cette situation en tension avec les principes du règlement général sur la protection des données. Les systèmes peuvent conserver des historiques et des mémoires persistantes. Ils peuvent aussi exploiter plusieurs sources connectées pour produire des profils hyperpersonnalisés. La complexité ne concerne donc pas seulement le volume traité. Elle concerne également la compréhension des traitements réalisés et des services impliqués.

Les responsabilités se fragmentent lorsque les systèmes délèguent des pouvoirs et automatisent des processus décisionnels. La note explique que ces processus peuvent faire intervenir de multiples acteurs. Les capacités d’action autonome permettent aux systèmes d’interagir avec d’autres applications. Ce fonctionnement décentralisé complique l’identification des responsabilités de chaque partie. Il étend également les risques liés à la cybersécurité à l’ensemble des services connectés. La CNIL et le CIANum relient donc l’autonomie décisionnelle à une difficulté de gouvernance. Leur analyse porte sur les systèmes agentiques et non sur une technologie limitée à une seule application. La note de la CNIL détaille ces enjeux.

Le droit européen reste applicable

Les règles existantes s’appliquent déjà aux systèmes d’IA agentique, selon la note publiée le 20 juillet 2026. La CNIL et le CIANum citent les principaux instruments du droit européen de la protection des données. Ils mentionnent également la régulation européenne de l’intelligence artificielle. Toutefois, les caractéristiques propres de ces systèmes appellent une adaptation des modalités de mise en œuvre. La note cite leur autonomie décisionnelle, leur mémoire persistante et leur capacité d’interagir avec plusieurs services. Elle mentionne aussi leur faculté d’agir au nom de l’utilisateur. Ces travaux s’inscrivent dans les échanges internationaux suivis par la CNIL, notamment au Conseil de l’IA et du Numérique. Pour aller plus loin, consultez notre guide sur déployer un agent IA en PME sans développeur.