IA agentique et données personnelles : ce que la CNIL et l’ANSSI demandent déjà

Deux autorités françaises se sont prononcées sur l’IA agentique à trois mois d’intervalle, et leurs messages ne se recouvrent pas. L’ANSSI demande de proscrire les assistants autonomes sur les postes de travail en production. La CNIL décrit un risque de perte de maîtrise sur les données et appelle à adapter les modalités d’application des règles existantes. Une organisation qui déploie un agent doit tenir les deux.

Cet article recense ce que les deux autorités ont publié, ce qui s’applique dès aujourd’hui, et les six contrôles à mettre en place avant tout déploiement.

Page à jour au 25 août 2026.

Un agent IA ne produit plus du contenu, il exécute des actions

La différence avec un assistant conversationnel n’est pas de degré mais de nature. Un agent IA reçoit une instruction, la décompose en étapes, puis interagit directement avec des outils numériques pour atteindre son objectif : lire et écrire des fichiers, contrôler un navigateur, gérer un agenda, envoyer des courriels, le tout déclenché depuis une simple messagerie.

Les usages déjà déployés en entreprise sont opérationnels, pas expérimentaux :
•    traiter les courriels entrants et y répondre automatiquement,
•    analyser une base clients pour identifier et contacter des prospects,
•    générer des devis et les transmettre,
•    coordonner plusieurs outils métier sans intervention humaine.

Dans une configuration avancée, plusieurs agents interagissent entre eux et se répartissent les tâches autour d’un objectif commun.
La conséquence sur le traitement de données est directe. Un assistant conversationnel traite ce qu’on lui soumet ; un agent va chercher les données là où elles se trouvent. Le périmètre du traitement n’est plus défini par l’utilisateur, il est défini par les droits d’accès accordés à l’agent.

Le bulletin CERTFR-2026-ACT-016 proscrit le déploiement en production

Le 13 avril 2026, le CERT-FR a publié le bulletin CERTFR-2026-ACT-016, intitulé « Vulnérabilités et risques des produits d’automatisation par IA agentique sur les postes de travail ». Sa position est sans ambiguïté : ces assistants « ne doivent pas être déployés sur des postes de travail » tant que le produit n’est pas stabilisé et éprouvé du point de vue de la sécurité. La recommandation vaut également pour les déploiements sur mobiles.
Le bulletin identifie cinq risques : la compromission du poste par une vulnérabilité de l’outil lui-même, la plupart de ces produits étant encore en version bêta ; la fuite de données sensibles vers des ressources externes non maîtrisées ; des droits d’accès démesurés accordés à l’ensemble des applications bureautiques ; le partage des secrets d’authentification avec l’agent ; la perte de maîtrise des actions réalisées, avec possibilité d’actions destructrices sur les données métier.

La cause technique est nommée. Les grands modèles de langage restent vulnérables aux injections de prompt : une instruction malveillante glissée dans un courriel, un document ou une page web peut détourner le comportement de l’agent. Le CERT-FR précise qu’une formulation défensive des prompts réduit le risque sans l’éliminer, puisqu’elle reste contournable. Le levier de sécurisation se déplace donc vers le durcissement de la configuration.

Un dernier point mérite l’attention des équipes techniques : le bulletin signale un risque résiduel d’extension autonome des capacités de l’agent, qui peut contourner les règles d’autorisation initiales.

La note CNIL-CIANum du 20 juillet 2026 : mémoire persistante et responsabilités diluées

La CNIL et le Conseil de l’IA et du Numérique ont publié le 20 juillet 2026 une note exploratoire consacrée à l’IA agentique et aux données personnelles. Elle ajoute deux facteurs que le bulletin de l’ANSSI ne traite pas.
Le premier est l’accumulation. La conservation de l’historique des interactions et le recours à des mémoires persistantes augmentent les données conservées par ces systèmes sur des supports variés, et alimentent des profils utilisateurs hyperpersonnalisés. Les données ne font pas que circuler entre services, elles s’accumulent.
Le second est la dilution des responsabilités. Le fonctionnement décentralisé des systèmes agentiques, qui automatisent des processus décisionnels faisant intervenir plusieurs acteurs, complexifie l’identification des responsabilités de chacune des parties. Quand un agent déclenche une action dans une application tierce, la chaîne cesse d’être linéaire.
La note conclut que les principaux instruments du droit européen leur sont déjà applicables, mais que l’autonomie décisionnelle, la mémoire persistante et la capacité d’agir au nom de l’utilisateur appellent une adaptation des modalités de mise en œuvre de ces règles. Les règles tiennent, leur application pratique reste à construire.

L’autonomie technique ne transfère aucune responsabilité juridique

Un système d’intelligence artificielle ne dispose d’aucune personnalité juridique. Il ne peut donc être tenu pour responsable de quoi que ce soit, et toute action qu’il réalise est imputable à l’organisation qui l’utilise.
Le déséquilibre est structurel. D’un côté, le système prend des décisions intermédiaires et enchaîne des actions complexes sans validation. De l’autre, la responsabilité reste entièrement humaine et entièrement portée par le responsable de traitement.
Trois scénarios suffisent à mesurer l’écart : un agent qui transmet des données personnelles à un destinataire non autorisé, un agent qui répond de manière inappropriée à un client, un agent qui exécute une action erronée affectant un système métier. Dans chacun de ces cas, la responsabilité de l’organisation peut être engagée, au titre du RGPD comme de ses obligations contractuelles.
C’est pourquoi la validation humaine sur les actions à effet de bord n’est pas une précaution de confort. C’est la seule mesure qui réintroduise un point de décision imputable dans une chaîne conçue pour s’en passer.

Un bulletin ANSSI n’est pas contraignant, mais l’article 32 du RGPD le rend opposable

Un bulletin du CERT-FR n’est pas un texte réglementaire et ne crée aucune obligation directe. La plupart des analyses disponibles s’arrêtent à ce constat, et c’est une lecture incomplète.
L’article 32 du RGPD impose au responsable de traitement et au sous-traitant de mettre en œuvre les mesures techniques et organisationnelles appropriées compte tenu de l’état de l’art. Une publication de l’agence nationale compétente, datée et publique, constitue précisément un élément de preuve de cet état de l’art. Une organisation qui déploie un agent autonome sur des postes de production après le 13 avril 2026, sans mesure compensatoire documentée, se placera en position difficile pour démontrer qu’elle en a tenu compte en cas d’incident.
La question n’est pas tranchée et aucune décision ne l’a encore consacrée. C’est néanmoins la lecture qu’un délégué à la protection des données a intérêt à retenir, parce que soutenir l’inverse revient à affirmer qu’une alerte publique de l’ANSSI n’apprend rien à la profession sur l’état de l’art.
La conséquence pratique est simple : la décision de déployer, ou de ne pas déployer, doit être écrite, motivée et signée. Une acceptation de risque résiduel non documentée n’existe pas.

Les recommandations de la CNIL sur l’IA visent le développement, pas le déploiement

C’est le point que les organisations découvrent le plus tard. La CNIL a construit depuis 2023 un corpus substantiel, ouvert par la délibération n° 2024-011 du 18 janvier 2024 portant recommandation sur l’application du RGPD au développement des systèmes d’IA, puis complété par des fiches pratiques successives portant notamment sur la base légale de l’intérêt légitime, le moissonnage, l’annotation des données et la sécurité du développement.
Ce corpus est explicitement circonscrit à la phase de développement des systèmes, à l’exclusion de leur déploiement. Une organisation qui n’entraîne aucun modèle et installe un agent du marché ne trouve donc pas sa réponse dans ces fiches. Elle relève du droit commun du RGPD, appliqué à une situation que le droit commun n’avait pas anticipée.
La note du 20 juillet 2026 comble partiellement ce vide sans le refermer. C’est dans cet intervalle que se situe aujourd’hui le travail de conformité sur les agents : entre des recommandations qui ne visent pas votre cas et un texte général qui n’a pas été écrit pour lui.

Qualifier l’agent : sous-traitant au sens de l’article 28, ou outil du responsable de traitement

La qualification commande tout le reste, et elle s’établit système par système. Un agent hébergé par un tiers, qui accède aux boîtes mail et aux fichiers de l’organisation pour son compte, traite des données personnelles pour le compte du responsable de traitement. La relation relève de l’article 28 du RGPD et suppose un contrat de sous-traitance en bonne et due forme, avec son annexe de sécurité.
La difficulté n’est pas juridique, elle est pratique. Ces outils entrent rarement par la voie contractuelle : ils sont installés par un collaborateur, connectés avec ses identifiants professionnels, et n’apparaissent dans aucun classeur de contrats. C’est du shadow IT avec des données personnelles dedans, et l’ANSSI en fait un point de vigilance explicite en recommandant de proscrire toute installation non validée par les équipes informatiques et le RSSI.
Sur le terrain, l’inventaire réel est presque toujours plus large que ce que la direction imagine. Il se construit en croisant trois sources : les dépenses fournisseurs, les intégrations autorisées dans les suites bureautiques, et les entretiens avec les métiers. Une version gratuite ne laisse aucune trace comptable et ne se découvre que par la question directe.

Six contrôles à mettre en place avant tout déploiement d’agent

Les mesures ci-dessous reprennent celles du bulletin CERTFR-2026-ACT-016 et les articulent aux obligations du RGPD.

L’analyse d’impact est le contrôle le plus souvent négligé. Un agent qui lit la messagerie de salariés cumule la possibilité de surveillance, le traitement à grande échelle et l’usage d’une technologie innovante. Ces trois critères réunis rendent l’analyse difficilement évitable, et elle doit précéder le déploiement.
Reste la question des droits des personnes, que l’agentique complique sans la résoudre. Répondre à une demande d’accès suppose de savoir ce que l’agent a conservé, où, et pendant combien de temps. La mémoire persistante décrite par la CNIL et le CIANum rend cette question opérationnelle, et non théorique.

L’IA Act s’applique déjà, et l’article 4 ne bénéficie d’aucun report

Un agent IA entre dans la définition du système d’IA posée par l’article 3 du règlement (UE) 2024/1689. L’organisation qui l’utilise sans le mettre sur le marché sous son nom est un déployeur, avec les obligations attachées à ce statut, que détaille notre page sur les rôles dans la chaîne de valeur.
Le règlement (UE) 2026/1744 dit Digital Omnibus, publié au Journal officiel de l’Union européenne le 24 juillet 2026, a reporté les obligations des systèmes à haut risque de l’annexe III au 2 décembre 2027 et celles de l’annexe I au 2 août 2028. Il n’a pas touché l’article 4 sur la maîtrise de l’IA, applicable depuis février 2025, dont il a seulement transformé l’obligation de résultat en obligation de moyens. Une organisation qui laisse ses équipes utiliser des agents sans les former reste en défaut sur ce point.
Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026. Le guide complet de l’IA Act détaille le calendrier consolidé.

Réintroduire de la maîtrise dans des systèmes conçus pour s’en passer

Le risque principal ne tient pas à l’existence de ces technologies mais à leur adoption sans cadre. Le RGPD repose sur une exigence de maîtrise : connaître ses traitements, en définir les finalités, en contrôler l’exécution. L’agentique fonctionne exactement à l’inverse, et c’est ce que la fonction de conformité doit corriger avant que les usages ne s’installent d’eux-mêmes.
SILEXO conduit l’audit de conformité IA Act en tant que tiers de confiance, dans le prolongement du mandat de délégué à la protection des données : inventaire des systèmes, qualification du rôle, analyse d’écarts et plan d’action daté.

Sources

• CERT-FR (ANSSI), bulletin CERTFR-2026-ACT-016, « Vulnérabilités et risques des produits d’automatisation par IA agentique sur les postes de travail », 13 avril 2026.
• CNIL et Conseil de l’IA et du Numérique, note exploratoire sur l’IA agentique et les données personnelles, 20 juillet 2026.
• CERT-FR (ANSSI), rapport CERTFR-2026-CTI-001 sur la menace liée à l’IA générative, 4 février 2026.
• ANSSI, « Recommandations de sécurité pour un système d’IA générative ».
• CNIL, délibération n° 2024-011 du 18 janvier 2024 et fiches pratiques IA subséquentes.
• Règlement (UE) 2024/1689 (IA Act), articles 3, 4, 26 et 50.
• Règlement (UE) 2026/1744 du 8 juillet 2026, JOUE du 24 juillet 2026.
• RGPD, articles 5, 28, 30, 32 et 35.

Le logiciel RGPD du DPO

Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.

Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.

En savoir plus