Fin juillet 2026, la CNIL et le Conseil de l'IA et du Numérique publient une note exploratoire commune sur l'IA agentique et la protection des données. Le document ne crée ni doctrine ni obligation. Mais il pose des jalons pour toute organisation qui déploie des agents capables d'agir seuls pour le compte de leurs utilisateurs. Deux institutions jusque-là distinctes qui unissent leurs voix. En soi, c'est déjà un signal. La perte de maîtrise Premier risque identifié. Un agent qui accède à de multiples sources, exploite une mémoire persistante et agit sur son environnement fait circuler des données personnelles entre de nombreux services. Des chaînes de traitement complexes, parfois opaques. Cela met en tension deux piliers du RGPD : la transparence, et la maîtrise des données par la personne concernée. L'hyperpersonnalisation qui fait la valeur de l'agent est aussi ce qui dilue le contrôle. La responsabilité en cascade Deuxième risque, plus structurant pour un DPO. Quand un agent automatise un processus décisionnel impliquant plusieurs acteurs, l'identification du responsable de traitement et des sous-traitants se brouille. Qui répond d'une décision prise seule par l'agent ? D'une donnée transmise à un service tiers non prévu ? D'une cascade d'erreurs dans une chaîne d'appels automatisés ? La note le dit clairement : l'IA Act n'a pas tranché cette question. Le vide juridique est réel. Il ne se comblera pas tout seul. Ce que les organisations doivent construire elles-mêmes C'est là que se situe l'implication la plus immédiate. Tant que le cadre ne fixe pas la répartition, elle revient aux organisations et à leurs DPO. Par la contractualisation, par la documentation. Cartographier les flux de données de l'agent. Identifier chaque service tiers connecté. Qualifier le rôle de chaque acteur au sens des articles 4, 26 et 28. Documenter ces choix. Fastidieux, oui. Mais c'est la meilleure protection en cas de contrôle, car cela reconstitue la traçabilité que l'architecture technique tend à effacer. La note recommande enfin d'agir sur l'architecture elle-même, en intégrant dès la conception des mécanismes de contrôle et de supervision. L'AI by design rejoint le privacy by design. Déployer un agent sans avoir tranché la responsabilité, c'est accepter d'en répondre seul le jour où ça dérape.
