L’IA ne se contente plus de répondre : elle peut désormais agir de manière autonome. Dans une note publiée en juillet 2026, la CNIL et le Conseil de l’IA et du numérique examinent les effets de cette « IA agentique », capable d’enchaîner des tâches, de solliciter plusieurs services et de conserver des informations sur l’utilisateur.
Des données qui circulent, un RGPD plus difficile à appliquer
Un système agentique peut puiser dans différentes sources, conserver des informations dans plusieurs mémoires et les transmettre à des services tiers. Dans un environnement de travail, il peut par exemple consulter une messagerie, un agenda ou des espaces documentaires pour exécuter une tâche, y compris lorsque toutes les données accessibles ne sont pas nécessaires.
Cette circulation plus diffuse complique l’application de plusieurs principes du RGPD : finalité, minimisation, exactitude, transparence ou limitation de la durée de conservation. Elle peut aussi rendre plus difficile l’exercice des droits d’accès, de rectification ou d’effacement lorsqu’une information a circulé entre plusieurs agents, mémoires ou services.
Du conseil à l’action
L’IA agentique peut aller au-delà de l’assistance et exécuter seule plusieurs étapes d’une action. Certaines décisions entièrement automatisées peuvent alors relever de l’article 22 du RGPD lorsqu’elles produisent des effets juridiques ou affectent significativement une personne. En cas d’erreur ou de fuite de données, la multiplicité des acteurs peut aussi compliquer l’identification des responsabilités.
Pour y remédier, la note préconise davantage de traçabilité, des accès limités et une intervention humaine pour les actions critiques. Ces pistes rejoignent les propositions de FO-Cadres : registre des systèmes d’IA accessible aux représentants du personnel, contrôle humain effectif et droit à l’explicabilité et à la contestation. Des lignes directrices européennes sur l’articulation entre RGPD et Règlement sur l’IA sont attendues d’ici fin 2026.