IA agentique et RGPD : ce que change la mémoire persistante des agents pour vos données personnelles

La CNIL et le Conseil de l’intelligence artificielle et du numérique (CIANum) ont publié le 29 juillet 2026 une note qui fait grand bruit chez les éditeurs de logiciels : l’IA agentique bouscule six principes fondamentaux du RGPD. En cause, la capacité de ces agents à agir seuls, sur la durée, en s’appuyant sur une mémoire persistante qui ne disparaît pas aussi facilement qu’un fichier supprimé d’un dossier partagé.

Six principes du RGPD mis à l’épreuve

La note identifie six points de friction entre le fonctionnement des agents autonomes et le cadre européen de protection des données :

• Finalité : un agent qui exécute plusieurs tâches à la chaîne brouille le périmètre exact des traitements effectués ;
• Base légale : l’autonomie de décision complique le rattachement de chaque action à la licéité qui l’a initialement justifiée ;
• Minimisation des données : les agents mobilisent souvent de grandes quantités de données sans démonstration claire de nécessité ;
• Exactitude : une hallucination peut se propager d’une tâche à l’autre sans mécanisme d’alerte ;
• Transparence : les sorties restent difficiles à expliquer en raison de l’architecture probabiliste des modèles ;
• Limitation de la conservation : les instances mémoire, diffuses et multiples, peuvent persister au-delà de ce qui est nécessaire.

Ce dernier point est sans doute le plus concret pour l’utilisateur final : supprimer un document d’un espace partagé ne garantit pas son effacement de la mémoire d’un agent qui l’avait déjà consulté. Une divergence s’installe alors entre la suppression logique, visible par l’utilisateur, et la persistance technique, invisible pour lui. Nous détaillions déjà ce risque dans notre mise en garde sur les données confiées à une IA.

Des recommandations techniques, pas encore des obligations nouvelles

La CNIL et le CIANum précisent que le RGPD et le règlement européen sur l’IA s’appliquent déjà aux agents autonomes : il s’agit d’une note exploratoire qui invite à adapter les modalités de mise en œuvre, pas d’un nouveau texte de loi. Plusieurs pistes concrètes sont avancées pour les concepteurs et opérateurs de ces systèmes :

• cloisonner les mémoires, chaque agent disposant d’une mémoire dédiée et isolée, sans accès automatique aux données des autres agents ;
• limiter la taille et la durée de vie de ces mémoires ;
• déployer les agents dans un environnement restreint (sandboxing), à l’image de ce que pratiquent déjà certains outils d’exécution de code en environnement isolé ;
• prévoir un bouton d’arrêt d’urgence capable d’interrompre tout processus en cours ;
• classifier les actions par niveau de risque, avec validation humaine obligatoire pour les plus sensibles.

Le document souligne aussi que la circulation des données entre services multiples complique l’identification des responsabilités de chaque partie impliquée, un enjeu déjà très concret pour les grandes organisations qui déploient ces outils à grande échelle, comme le montre le déploiement d’un agent IA à 27 000 salariés chez Adecco.

Ce que cela signifie pour les utilisateurs

Pour un particulier, le message est simple : un agent qui a eu accès, un jour, à une boîte mail, un agenda ou un moyen de paiement peut continuer à s’appuyer sur ces informations longtemps après, même si l’accès initial a été révoqué. C’est tout l’enjeu des agents IA qui s’installent progressivement dans les usages professionnels, comme le rappelle aussi le cas des données de santé Doctolib utilisées sauf opposition. Avant de confier une tâche sensible à un agent, mieux vaut vérifier s’il propose une mémoire limitée dans le temps et un historique consultable, plutôt que de se fier uniquement à la promesse de « personnalisation ». Ces vérifications rejoignent les repères déjà donnés dans notre rubrique comprendre les agents IA.

Questions fréquentes

La note de la CNIL crée-t-elle de nouvelles obligations légales ?

Non, il s’agit d’une note exploratoire publiée avec le CIANum le 29 juillet 2026. Elle rappelle que le RGPD et le règlement européen sur l’IA s’appliquent déjà aux agents autonomes et invite à adapter leur mise en œuvre technique.

Pourquoi la mémoire des agents IA pose-t-elle un problème particulier ?

Parce que supprimer un fichier d’un espace partagé ne garantit pas son effacement de la mémoire d’un agent qui l’avait déjà consulté : les instances mémoire peuvent persister au-delà de ce qui est nécessaire, en décalage avec le principe de limitation de la conservation.

Quelles précautions techniques recommande la note CNIL/CIANum ?

Entre autres : des mémoires cloisonnées et limitées dans le temps par agent, un environnement d’exécution restreint (sandboxing), un bouton d’arrêt d’urgence et une validation humaine pour les actions les plus risquées.

Sources

• CNIL — Intelligence artificielle
• IT Social — La CNIL et le CIANum listent six entorses au RGPD
• Solutions Numériques — IA agentique et RGPD

Cet article a été rédigé avec l’aide d’une intelligence artificielle. Politique éditoriale