Réuni en séance plénière le jeudi 5 novembre 2026, le collège de la CNIL avait inscrit à son ordre du jour la présentation de la note « IA agentique et données personnelles », rédigée avec le Conseil de l’IA et du numérique (CIANum). La même séance comportait une communication sur les décisions individuelles entièrement automatisées (article 22 du RGPD).

La note elle-même n’est pas nouvelle : la CNIL l’a mise en ligne le 20 juillet 2026, en la présentant comme une note exploratoire. Ce n’est donc ni une recommandation ni un référentiel, mais un état de la réflexion du régulateur français sur les agents.

Ce qui inquiète le régulateur

Selon la CNIL, le passage de l’IA générative à l’IA agentique, capable d’agir à la place de son utilisateur, « marque un changement d’échelle » pour les données personnelles. Trois mécanismes sont pointés :

  • la circulation des données entre les nombreux services auxquels un agent est connecté (messagerie, agenda, outils métier…) ;
  • la mémoire persistante et l’historique des échanges, qui favorisent des profils d’utilisateurs très détaillés ;
  • la dilution des responsabilités entre les acteurs de la chaîne, et l’extension des risques de cybersécurité à tous les services connectés.

Les pistes avancées

La note propose, sur le plan juridique, des règles de transparence renforcées sur ce que fait l’agent et une validation humaine obligatoire pour les décisions les plus critiques. Sur le plan technique, elle évoque le cloisonnement de la mémoire des agents pour éviter l’accumulation de données, leur déploiement dans des environnements isolés, et un bouton d’arrêt d’urgence laissé à l’utilisateur. Elle relève aussi que le règlement européen sur l’IA ne prévoit pas de règles spécifiques aux agents.

Ce que ça change pour vos usages

Concrètement, avant de brancher un agent sur sa boîte mail ou ses comptes, il est raisonnable de limiter les accès au strict nécessaire, de savoir où sa mémoire est stockée et de garder la main sur toute action qui engage de l’argent ou une personne. C’est la logique que nous suivons dans les prompts proposés sur iadujour.fr : l’agent prépare, l’humain valide avant envoi ou paiement.