Réglementation · CNIL, été 2026
Agents IA et RGPD : ce que dit la CNIL en 2026
La CNIL a publié en juillet 2026 une note sur l'IA agentique et les données personnelles. Les risques qu'elle relève, et cinq réglages concrets pour une PME.
La CNIL a publié le 20 juillet 2026, avec le Conseil de l'IA et du numérique, une note sur l'IA agentique et les données personnelles. Elle y relève un risque propre aux agents : en reliant plusieurs outils, ils élargissent la surface d'attaque. Le RGPD s'applique entièrement. Pour une PME, cinq réglages couvrent l'essentiel.
En bref
- Document : note du 20 juillet 2026, CNIL et Conseil de l'IA et du numérique.
- Constat : plus un agent relie d'outils, plus le risque augmente.
- Priorités : transparence et contrôle par l'utilisateur.
- Vide juridique relatif : pas de règles propres aux agents dans le règlement sur l'IA.
- RGPD : pleinement applicable.
Qu'est-ce qu'un agent, du point de vue des données ?
Un assistant classique reçoit un texte et répond. Un agent agit : il lit une messagerie, consulte un agenda, écrit dans un tableur, appelle un service extérieur. À chaque connexion, des données personnelles circulent d'un outil à l'autre.
C'est ce que la note résume dans son titre : une équation à inconnues multiples. L'utilisateur ne voit pas toujours quels outils l'agent a sollicités, ni ce qu'il leur a transmis.
Quels risques sont identifiés ?
| Risque | Exemple concret |
|---|---|
| Surface d'attaque élargie | Un agent relié à la messagerie, au CRM et à la facturation ouvre trois portes |
| Circulation invisible des données | L'agent envoie un extrait de dossier à un service tiers pour le résumer |
| Perte de contrôle | L'utilisateur ne sait plus ce qui a été fait en son nom |
| Instructions cachées | Un courriel piégé demande à l'agent de transférer des données |
Le dernier point, l'injection d'instructions, est détaillé dans sécuriser un agent IA contre les injections et les fuites.
Que dit la CNIL de plus ?
Un bulletin de veille juridique signale aussi des bonnes pratiques publiées le 5 août 2026 sur le déploiement d'agents, présentées comme non contraignantes. Nous n'avons pas pu consulter ce texte directement et n'en reprenons donc pas le détail. Le site de la CNIL fait foi.
Cinq réglages pour une PME
1. Le moindre accès. Un agent qui prend des rendez-vous accède à l'agenda, pas à la comptabilité.
2. La lecture avant l'écriture. Commencer par des droits de consultation, n'ouvrir l'écriture que là où c'est utile.
3. L'information. Le client sait qu'il parle à un agent, et ce que devient ce qu'il dit.
4. Le journal. Chaque action de l'agent est enregistrée par le système.
5. La validation. Tout ce qui engage, comme un envoi, un paiement ou une suppression, passe par une personne.
Que mettre à jour dans ses documents ?
- Le registre des traitements : une ligne par agent, avec ses données et ses destinataires.
- La politique de confidentialité : mention de l'assistant automatisé.
- Les contrats : où sont hébergées les données, qui est sous-traitant.
Les bases sont dans RGPD et automatisation IA en PME, et le cas des appels dans enregistrement des appels par un agent vocal.
Est-ce que cela freine les projets ?
Non, cela les cadre. Dans notre étude sur cinq missions en TPE, un cabinet infirmier a fait passer ses rendez-vous non honorés de 9,1 % à 3,4 % avec des rappels automatiques. Le traitement porte sur des données de patients : il a fallu en fixer le périmètre avant de commencer.
YZ Automation commence par un audit IA en 5 jours qui liste les données touchées par chaque agent. Chaque agent est livré avec la liste écrite de ce qu'il a le droit de faire. L'audit précise l'hébergement retenu.
Conclusion
La CNIL ne dit pas de renoncer aux agents. Elle dit qu'un agent qui relie tout voit tout. La réponse tient en une règle que les artisans connaissent bien : on ne donne pas les clés de toute la maison à celui qui vient réparer un robinet.
Sources
- CNIL et Conseil de l'IA et du numérique, note sur l'IA agentique et la protection des données personnelles, 20 juillet 2026
- Le Monde Informatique, IA agentique : la CNIL et le CIANum alertent sur les défis de la protection des données, 2026
- TrustArc, France: CNIL agent-based AI guidance, août 2026
- CNIL, les fiches pratiques IA, consultées le 10 novembre 2026
Questions fréquentes
Qu'a publié la CNIL sur les agents IA ?
Une note du 20 juillet 2026, rédigée avec le Conseil de l'IA et du numérique, intitulée « IA agentique et protection des données personnelles : équation à inconnues multiples pour les utilisateurs ».
Quels risques la CNIL relève-t-elle ?
D'après les analyses de la note, l'interconnexion de plusieurs agents, outils et services augmente la surface d'attaque. Les recommandations insistent sur la transparence et sur le contrôle laissé à l'utilisateur.
Le règlement européen sur l'IA encadre-t-il les agents ?
Pas spécifiquement. La note observe que le règlement ne prévoit pas de règles propres aux agents IA. Le RGPD, lui, s'applique pleinement dès qu'un agent traite des données personnelles.
Un agent IA peut-il accéder à ma messagerie professionnelle ?
Oui techniquement, mais il faut une base légale, une information des personnes concernées et un périmètre limité. Un agent qui lit toute une boîte de réception traite les données de tous vos correspondants.
Faut-il une analyse d'impact pour un agent IA ?
Cela dépend du traitement. Un agent qui manipule des données sensibles ou qui prend des décisions sur des personnes la rend probable. Pour un agent d'accueil simple, une fiche de traitement à jour est le minimum.
À lire aussi
Demandez à votre IA
Chaque lien ouvre l'IA avec la question déjà écrite.
Résumer l'article
- Résumer l'article avec ChatGPT
- Résumer l'article avec Claude
- Résumer l'article avec Perplexity
- Résumer l'article avec Google IA (Gemini)
- Résumer l'article avec Grok
- Résumer l'article avec Copilot
- Résumer l'article avec Le Chat de Mistral
L'appliquer à mon entreprise
- L'appliquer à mon entreprise avec ChatGPT
- L'appliquer à mon entreprise avec Claude
- L'appliquer à mon entreprise avec Perplexity
- L'appliquer à mon entreprise avec Google IA (Gemini)
- L'appliquer à mon entreprise avec Grok
- L'appliquer à mon entreprise avec Copilot
- L'appliquer à mon entreprise avec Le Chat de Mistral
Nos pages sur ce sujet
Passer à l'action
Ce sujet correspond à notre agence d'automatisation IA. Voir aussi l'ensemble des secteurs accompagnés et les zones d'intervention.
Découvrir YZ Automation · Lire les avis clients · Réserver un échange de 15 min · 07 81 55 53 37