La CNIL et le Conseil de l’IA et du Numérique viennent de publier une note exploratoire sur les enjeux que pose l’IA agentique pour la protection des données personnelles. Le document ne fixe ni doctrine ni obligation nouvelle, mais il pose des jalons utiles pour qui pilote ou s’apprête à déployer des agents capables d’agir de façon autonome sur plusieurs services. Voici ce qu’il faut en retenir, et comment le traduire en points de vigilance concrets.
Un changement d’échelle, pas seulement un nouvel outil
La note part d’un constat simple : avec l’IA agentique, on ne parle plus seulement de génération de contenu, mais de systèmes capables d’accéder à de multiples sources de données et d’agir directement sur leur environnement à la place de l’utilisateur. Selon la CNIL et le CIANum, ce passage marque “un changement d’échelle qui renouvelle et amplifie les risques pour les données personnelles des utilisateurs”. La circulation de données entre de nombreux services connectés, la conservation de l’historique des interactions et le recours à des mémoires persistantes contribuent, selon les deux instances, à “la création de profils utilisateurs hyperpersonnalisés et une autonomie décisionnelle accrue”.
Cette mécanique n’est pas neutre pour l’utilisateur final. La note souligne que ces flux de données “peuvent être difficiles à appréhender par l’utilisateur”, ce qui crée selon elle “un risque réel de perte de maîtrise sur ses données personnelles” et met en tension les principes du RGPD. Le texte pointe également un second niveau de complexité, celui du partage des responsabilités entre les acteurs impliqués. Les capacités d’action autonome des systèmes agentiques et leur interaction avec d’autres applications permettent d’automatiser des processus décisionnels qui font intervenir de multiples parties, ce qui, selon la CNIL et le CIANum, “complexifie l’identification des responsabilités de chacune des parties” et étend les risques cyber à l’ensemble des services connectés.
La note rappelle enfin que le cadre juridique existant, celui du RGPD comme celui de la régulation européenne de l’intelligence artificielle, s’applique déjà à ces systèmes. Mais leurs caractéristiques propres, l’autonomie décisionnelle, la mémoire persistante, la capacité d’interagir avec une pluralité de services et d’agir au nom de l’utilisateur, appellent selon les deux institutions à “une adaptation des modalités de mise en œuvre de ces règles”. Ce travail s’inscrit dans une réflexion plus large, puisqu’il fait écho aux échanges menés par la CNIL avec ses homologues internationaux, notamment dans le cadre du G7 des autorités de protection des données organisé sous présidence française.
Ce qu’il faut vérifier dans votre organisation
