IA agentique et protection des données personnelles : équation à inconnues multiples pour les utilisateurs
Publié le 20 juillet 2026
Le Conseil inaugurait en début d’année une série de publications dédiée à l'IA agentique. La première note visait à définir ce saut fonctionnel et à fournir des clés de compréhension partagées pour mieux en anticiper ses impacts économiques et sociétaux.
Cette seconde note, rédigée avec la Commission nationale de l'informatique et des libertés (CNIL), examine l’incidence de l’IA agentique sur la maîtrise par les utilisateurs de leurs données personnelles. Elle s’attache notamment à identifier des voies de conciliation pour garantir l’effectivité du cadre du juridique et le déploiement des systèmes d’IA agentique, par la mise place de mécanismes techniques de contrôle et de supervision.
De quoi parle-t-on ?
Le passage à l’agentique marque un changement d’échelle dans les usages d’intelligence artificielle (IA) qui poursuit et amplifie les risques pour les données personnelles des utilisateurs. Les IA agentiques, parce qu’elles sont capables de réaliser de multiples tâches successives et d’interconnecter plusieurs agents et services en ligne, constituent une rupture dans le traitement et la circulation des données personnelles. Elles mettent ainsi en tension les principes essentiels du RGPD et par voie de fait, occasionnent une perte de maîtrise des utilisateurs sur leurs données personnelles.
Les systèmes agentique disposent d’une mémoire accrue et peuvent exploiter des données externes (issues du web, de bases de données, etc.). Leur fonctionnement favorise ainsi la création de profils utilisateur hyperpersonnalisés et une autonomie décisionnelle significative.
Par ailleurs, leurs capacités d’autonomie, les interactions entre applications, les flux décisionnels automatisés et la multiplicité des acteurs impliqués dans leur fonctionnement complexifient l’attribution des responsabilités et la maîtrise des risques de cybersécurité (voir la note du CIANum sur l’IA et la cybersécurité).
Ce changement d’échelle et les caractéristiques propres aux systèmes agentiques invitent ainsi à penser les voies de conciliation qui permettraient de garantir l’effectivité des principes du RGPD, de les adapter et de mettre en œuvre des mécanismes de contrôle et de supervision afin de tirer le meilleur bénéfice de ces nouvelles technologies tout en nous préservant collectivement des risques susceptibles de se matérialiser.
Sommaire
I. De l’IA générative à l’IA agentique : vers l’amplification des risques pour les données personnelles
(a) L’opacité des flux de données augmente les risques pour l’utilisateur
(b) Les effets de l’IA agentique : une mise sous tension des principes du RGPD
II. Autonomie et hyperpersonnalisation de l’IA agentique : quelles incidences sur la maîtrise des données personnelles ?
(a) La constitution d’une connaissance approfondie de l’utilisateur par les systèmes agentiques
(1) La mémoire des agents : un outil de personnalisation fondé sur la conservation des données personnelles
(2) L’enrichissement du profil de l’utilisateur par l’exploitation de sources de données externes
(b) De l’assistance à la délégation décisionnelle
III. L’opacité des flux décisionnels dans l’IA agentique : flou autour de la responsabilité des acteurs et sécurité des données
IV. Préserver la maîtrise des données personnelles face aux capacités d’action des IA agentiques : quelles voies de conciliation ?
(a) Garantir l'effectivité des principes du RGPD et adapter les recommandations sectorielles
(b) Mettre en place des mécanismes techniques de contrôle et de supervision
