Agents IA et RGPD : bases légales, sous-traitance et journalisation

Un assistant conversationnel répond à une question. Un agent IA, lui, lit une boîte de réception, interroge un CRM, rédige une réponse, modifie une fiche client et déclenche un remboursement, parfois sans qu'un humain relise. Chaque étape est un traitement de données personnelles. L'analyse RGPD faite pour un outil de rédaction ne couvre donc plus le projet. Les plafonds en jeu sont ceux du RGPD (jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial pour les bases légales et les droits des personnes) et ceux de l'AI Act (jusqu'à 15 millions d'euros ou 3 % pour les obligations du déployeur d'un système à haut risque). Cet article traite des questions propres à un agent qui agit : base légale par action, décision automatisée, rôles de chacun, journalisation, conservation, AIPD et droits des personnes.

Pourquoi un agent IA change l'analyse RGPD

Le RGPD raisonne par traitement : une finalité, une base légale, des catégories de données, une durée. Un agent casse ce découpage, parce qu'il décide lui-même, en cours d'exécution, des données qu'il consulte et des outils qu'il appelle. Dans leur note exploratoire du 20 juillet 2026 sur l'IA agentique, la CNIL et le Conseil de l'IA et du numérique (CIANum) décrivent précisément cette mécanique : un « contexte » propre à chaque tâche, effacé à la fin du processus, et une « mémoire » persistante qui conserve des informations d'une tâche à l'autre, alimentée par l'utilisateur ou enrichie automatiquement.

Trois conséquences pratiques en découlent.

• Le périmètre des données n'est plus fixé à l'avance. Un agent à qui l'on ouvre la messagerie et l'espace documentaire peut tout lire pour répondre à une demande simple. La note relève que ces informations ne sont pas toujours nécessaires à la tâche demandée.
• Les flux se multiplient. Entre l'orchestrateur, les agents spécialisés et les services externes (API, bases, moteurs de recherche), une même tâche peut produire des dizaines d'échanges, plus encore en cas d'échecs répétés.
• L'agent produit des effets. Un courriel envoyé au mauvais destinataire, une fiche modifiée à tort, un dossier clôturé : l'erreur n'est plus une phrase fausse à l'écran, c'est un acte.

Le contrat qui encadre le développement d'un tel outil est un sujet distinct, traité dans l'article sur les clauses à négocier dans un contrat de développement d'agent IA. Ici, la question est celle de la conformité du traitement lui-même.

Bases légales et finalités : raisonner action par action

L'article 6 du RGPD n'admet aucun traitement sans base légale, et l'article 5 impose des finalités déterminées. Pour un agent, la bonne méthode consiste à partir de la liste de ses actions, pas de la description commerciale de l'outil. « Assistant du service client » n'est pas une finalité exploitable. « Qualifier les demandes entrantes », « répondre aux questions sur l'état d'une commande », « proposer un geste commercial jusqu'à un montant défini » en sont trois, et elles n'appellent pas forcément la même base. Le choix entre les six bases légales est détaillé dans l'article consacré à la base légale de l'article 6 du RGPD.

Le contrat et l'intérêt légitime couvrent la plupart des usages

Quand l'agent traite la demande d'un client pour exécuter le contrat conclu avec lui, l'article 6, 1, b) s'applique, à condition que le traitement soit réellement nécessaire à cette exécution. Pour le reste (tri des courriels, préparation de réponses, synthèse de dossiers), l'intérêt légitime de l'article 6, 1, f) est la base la plus fréquente. Le CEPD, dans son avis 28/2024 du 17 décembre 2024, rappelle qu'il n'existe pas de hiérarchie entre les bases légales et applique un test en trois étapes : un intérêt licite, précis et réel ; un traitement nécessaire, sans moyen moins intrusif ; une mise en balance avec les droits des personnes, en tenant compte de leurs attentes raisonnables.

Le consentement est rarement adapté : il doit pouvoir être retiré, ce qui suppose de savoir arrêter le traitement pour une personne donnée, y compris dans la mémoire de l'agent.

Le piège de la réutilisation des échanges

Le point le plus sensible n'est pas l'exécution de la tâche, c'est ce qui arrive ensuite aux échanges. Réutiliser les conversations pour améliorer le modèle est une finalité distincte. La CNIL l'admet sur le fondement de l'intérêt légitime dans ses recommandations du 19 juin 2025, à condition notamment d'offrir un droit d'opposition préalable et discrétionnaire. L'intérêt commercial peut être légitime s'il n'est pas contraire à la loi, mais il reste soumis aux tests de nécessité et de proportionnalité.

Point de vigilance. Le fait que l'agent ait accès à une donnée ne crée aucune finalité nouvelle. Si l'agent du service client lit l'historique RH d'un salarié parce que ce dossier se trouvait dans un espace partagé, le traitement est sans base légale, quel que soit l'usage qui en est fait ensuite.

Décision automatisée : quand l'article 22 s'applique à un agent

L'article 22 du RGPD pose un principe : une personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques à son égard ou l'affecte de manière significative de façon similaire. En droit français, l'article 47 de la loi Informatique et Libertés reprend la règle et ajoute une condition : lorsque la décision repose sur le contrat ou sur le consentement explicite, communiquer à la personne qui le demande les règles définissant le traitement et les principales caractéristiques de sa mise en œuvre.

Ce qui fait basculer un agent dans le régime

Un agent qui prépare un brouillon de réponse ne prend pas de décision. Un agent qui refuse un remboursement, rejette une candidature, suspend un compte ou fixe des conditions tarifaires en prend une, et ses effets sont souvent significatifs. La CJUE l'a jugé dans un cas proche : dans l'arrêt SCHUFA du 7 décembre 2023 (C-634/21), elle retient qu'un score de solvabilité calculé automatiquement constitue une décision individuelle automatisée lorsque la décision d'un tiers de conclure, d'exécuter ou de rompre un contrat en dépend « de manière déterminante ».

La note CNIL-CIANum en tire la leçon pour les agents : une intervention humaine en bout de chaîne ne suffit pas toujours à écarter l'article 22. Elle doit être réelle et effective et exercer une influence sur la décision ; une validation purement formelle ne compte pas. Par exemple, un opérateur qui valide 300 propositions de l'agent par heure sans pouvoir les vérifier ne fait pas sortir le traitement du régime.

Les trois exceptions et leurs garanties

La décision automatisée reste possible si elle est nécessaire à la conclusion ou à l'exécution d'un contrat, si la loi l'autorise, ou si la personne y a consenti explicitement. Dans les cas du contrat et du consentement, l'article 22, paragraphe 3, impose au minimum trois garanties : obtenir une intervention humaine, exprimer son point de vue, contester la décision. Les données sensibles de l'article 9 ne peuvent fonder une telle décision que sur consentement explicite ou pour un motif d'intérêt public important, avec des mesures appropriées.

Pour un agent, ces garanties se traduisent en fonctionnalités : un circuit d'escalade vers un humain qui a le pouvoir de réformer la décision, un canal de contestation identifié dans la réponse de l'agent, et des journaux qui permettent de reconstituer ce que l'agent a fait.

Responsable, sous-traitant, fournisseur de modèle : qui porte quoi

Un agent mobilise rarement un seul acteur. Le schéma courant réunit l'entreprise cliente qui déploie l'agent, l'éditeur ou l'intégrateur qui le construit et l'exploite, et le fournisseur du modèle de langage appelé par API. La qualification se fait au cas par cas, mais une grille de lecture se dégage.

Le client est en principe responsable du traitement

Il choisit de traiter les données de ses clients ou salariés pour ses propres finalités. Il tient le registre de l'article 30, choisit la base légale, informe les personnes et répond à leurs demandes. L'agent doit figurer dans l'inventaire des systèmes d'IA rattaché au registre, selon la méthode décrite dans l'article sur le DPO et la gouvernance de l'IA.

L'éditeur et le fournisseur de modèle sont le plus souvent sous-traitants

L'éditeur qui fait tourner l'agent pour le compte du client agit sur instruction : c'est un sous-traitant, et l'article 28 exige un contrat qui fixe l'objet, la durée, la nature et la finalité du traitement, les catégories de données et les obligations des huit points du paragraphe 3. Le fournisseur de modèle qui reçoit les requêtes est alors un sous-traitant ultérieur, qui ne peut être recruté qu'avec l'autorisation écrite du client (article 28, paragraphe 2), et auquel les mêmes obligations doivent être imposées par contrat. Si ce sous-traitant ultérieur défaille, l'éditeur reste pleinement responsable devant son client (article 28, paragraphe 4).

La ligne rouge : la finalité propre

Le schéma se renverse dès qu'un acteur poursuit sa propre finalité. Un fournisseur qui utilise les requêtes de ses clients pour entraîner ses modèles détermine une finalité : pour ce traitement, il devient responsable. L'article 28, paragraphe 10, le prévoit expressément pour le sous-traitant qui détermine les finalités et les moyens en violation du règlement. Le client doit donc vérifier, dans les conditions du fournisseur de modèle, si l'option de non-réutilisation existe et si elle est activée par défaut.

Le CEPD ajoute une exigence en amont : le déployeur qui utilise un modèle développé par un tiers doit vérifier, au titre de sa responsabilité, que ce modèle n'a pas été développé par un traitement illicite de données personnelles. L'avis 28/2024 précise que cette vérification est plus ou moins approfondie selon les risques du déploiement.

Journalisation de l'agent : ce que l'AI Act exige et ce que le RGPD encadre

La journalisation est le sujet où les deux règlements se rencontrent le plus directement. Pour un agent, elle est indispensable : sans trace de l'entrée, des données consultées, des outils appelés et de l'action exécutée, personne ne peut expliquer une erreur, répondre à une demande d'accès ou établir une responsabilité.

Ce qu'impose l'AI Act

Pour les systèmes à haut risque, l'article 12 du règlement (UE) 2024/1689 exige que le système permette techniquement l'enregistrement automatique des événements tout au long de sa durée de vie. Le fournisseur conserve les journaux qu'il contrôle (article 19), le déployeur aussi (article 26, paragraphe 6), pendant une durée adaptée à la destination du système et d'au moins six mois, sauf disposition contraire, notamment du droit de la protection des données. Le règlement 2026/1744, dit omnibus numérique sur l'IA, n'a pas modifié ces articles. Il a en revanche reporté l'application des sections 1 à 3 du chapitre III au 2 décembre 2027 pour les systèmes de l'annexe III, qui couvre notamment le recrutement, la gestion des travailleurs et l'accès aux services essentiels. Un agent qui trie des candidatures ou évalue la solvabilité d'un client particulier entre dans cette catégorie ; un agent de réponse au support, en principe, non.

Ce que le RGPD encadre

Le journal est lui-même un traitement de données personnelles. Il contient les demandes des personnes, les réponses de l'agent et souvent l'identité de l'opérateur. La CNIL, dans sa recommandation sur la journalisation (délibération n° 2021-122 du 14 octobre 2021), rattache les journaux à l'obligation de sécurité des articles 5 et 32, recommande une conservation comprise entre six mois et un an, et qualifie de détournement de finalité possible leur réutilisation à d'autres fins. Lorsque l'agent est utilisé par des salariés, l'article L1222-4 du Code du travail interdit de collecter une information les concernant par un dispositif non porté préalablement à leur connaissance.

La note CNIL-CIANum va plus loin : pour chaque tâche, l'utilisateur devrait pouvoir identifier les données mobilisées, les agents intervenus, les services tiers sollicités et la chronologie des échanges. C'est une piste de bonne pratique, pas encore une obligation, mais elle donne le niveau d'attente de l'autorité.

Conseil d'avocat. Séparez deux journaux : un journal d'actions (qui a fait quoi, quand, sur quel objet), conservé selon la durée de l'AI Act ou de la recommandation CNIL, et un journal de contenu (texte complet des échanges), conservé moins longtemps et pseudonymisé. Les deux finalités, traçabilité et amélioration, ne se confondent pas.

Minimisation, mémoire et durée de conservation

L'article 5, 1, c) exige des données limitées à ce qui est nécessaire, et l'article 25 impose la protection des données dès la conception et par défaut. Pour un agent, ces deux principes se traduisent en choix d'architecture, documentés avant la mise en production.

Restreindre les accès plutôt que filtrer après coup

L'agent reçoit des droits techniques limités à ses finalités : lecture seule sur le CRM s'il ne doit rien modifier, aucun accès aux dossiers RH s'il sert les clients, des champs masqués (IBAN, données de santé) quand ils sont inutiles. La note CNIL-CIANum recommande de classer les actions possibles par niveau de risque (consultation, modification, suppression, envoi hors du système, nature des données) et d'exiger une validation humaine pour les plus sensibles, ainsi qu'un dispositif d'arrêt immédiat de l'agent.

Une mémoire avec une date d'expiration

La mémoire persistante est la principale source de conservation excessive. La même note préconise une mémoire cloisonnée par agent et par traitement, limitée en taille, dont les informations expirent automatiquement. Une durée doit être fixée pour chaque espace : contexte de tâche effacé en fin de processus, mémoire client alignée sur la durée de la relation, journaux selon la règle retenue plus haut. La donnée effacée dans le système source doit l'être aussi dans la mémoire de l'agent, faute de quoi la durée de conservation affichée dans le registre est fausse.

Le cas particulier des données sensibles et des biais

L'omnibus de 2026 a inséré dans l'AI Act un article 4 bis : les fournisseurs et déployeurs peuvent, à titre exceptionnel, traiter des catégories particulières de données pour détecter et corriger des biais, sous des conditions cumulatives (aucun autre moyen, y compris des données synthétiques ou anonymisées, pseudonymisation, accès strictement contrôlé, suppression une fois le biais corrigé, justification au registre). Ce n'est pas une autorisation générale de traiter des données sensibles dans l'agent.

AIPD : quand l'agent la rend obligatoire

L'article 35 du RGPD impose une analyse d'impact avant tout traitement susceptible d'engendrer un risque élevé, en particulier par le recours à de nouvelles technologies. Il la rend obligatoire, notamment, en cas d'évaluation systématique et approfondie d'aspects personnels, fondée sur un traitement automatisé, sur laquelle reposent des décisions produisant des effets juridiques ou significatifs. Un agent qui décide (paragraphe 3, a), qui traite des données sensibles à grande échelle ou qui croise plusieurs sources atteint vite les seuils. Les critères et la méthode sont détaillés dans l'article sur l'AIPD pour un éditeur de logiciel.

L'AIPD d'un agent doit au minimum traiter quatre points que les modèles génériques ignorent :

1. la liste des outils et des droits donnés à l'agent, avec l'effet de chaque action sur les personnes ;
2. le risque d'erreur du modèle et sa propagation (une réponse inventée qui devient une action) ;
3. les risques de détournement propres aux agents : instructions malveillantes cachées dans un document ou un courriel lu par l'agent, exfiltration de données vers un service tiers ;
4. la chaîne de sous-traitance réelle, modèle compris, et la localisation des traitements.

Pour un système à haut risque, l'article 26, paragraphe 9, de l'AI Act prévoit que le déployeur utilise les informations fournies par le fournisseur au titre de l'article 13 pour réaliser son AIPD. Le contrat avec l'éditeur doit donc garantir la remise de cette documentation. Si l'AIPD conclut à un risque élevé qui ne peut pas être réduit, l'article 36 impose de consulter la CNIL avant la mise en œuvre.

Droits des personnes face à un agent

Les droits des articles 15 à 22 s'appliquent sans aménagement. La difficulté est pratique : la personne ne sait pas quel agent a collecté l'information, où elle est conservée, ni à quel service tiers elle a été transmise. La note CNIL-CIANum le relève expressément.

Informer avant d'agir

Depuis le 2 août 2026, l'article 50, paragraphe 1, de l'AI Act impose que les personnes soient informées qu'elles interagissent avec un système d'IA, sauf si c'est évident. Cette obligation s'ajoute aux mentions des articles 13 et 14 du RGPD : finalités, base légale, destinataires (fournisseur de modèle compris), durées, et, en cas de décision automatisée, l'existence de cette décision et la logique sous-jacente.

Expliquer la logique de la décision

Dans l'arrêt Dun & Bradstreet Austria du 27 février 2025 (C-203/22), la CJUE précise ce que recouvre l'accès aux « informations utiles concernant la logique sous-jacente » : une explication de la procédure et des principes concrètement appliqués pour obtenir le résultat, compréhensible par la personne. Si le responsable invoque le secret des affaires, il doit communiquer les informations à l'autorité de contrôle ou au juge, qui arbitre. Pour un agent, cela suppose de pouvoir dire quelles données et quelles règles ont conduit au refus. Pour les systèmes de l'annexe III, l'article 86 de l'AI Act ajoute un droit à l'explication du rôle de l'IA dans la décision.

Effacer partout

Le droit à l'effacement ou à la rectification n'est effectif que s'il atteint la mémoire de l'agent, les journaux de contenu et les copies chez les sous-traitants. Le contrat de l'article 28 doit imposer à l'éditeur d'aider le client à répondre (paragraphe 3, e) et préciser comment la suppression se propage au fournisseur de modèle.

Scénario type : un éditeur SaaS déploie un agent qui traite les demandes de remboursement et accorde seul les gestes commerciaux jusqu'à 50 euros. Un client dont la demande est refusée exerce son droit d'accès. L'éditeur doit pouvoir produire les données consultées, la règle appliquée, la trace de l'action et la possibilité d'un réexamen humain. Sans journal d'actions et sans circuit d'escalade, il ne peut rien démontrer, et la question de l'article 22 se pose sans réponse.

Ce que je recommande avant de mettre un agent en production

La conformité d'un agent se règle avant son ouverture aux utilisateurs, pas après le premier incident. Je travaille en quatre temps : cartographier les actions de l'agent et y rattacher finalités et bases légales ; qualifier les rôles et remettre à niveau les contrats de sous-traitance, modèle compris ; fixer la politique de journalisation et de conservation par espace de données ; conduire l'AIPD et organiser l'intervention humaine là où l'article 22 la rend nécessaire. Mon accompagnement en droit de l'intelligence artificielle couvre ces quatre étapes, du côté du client qui déploie comme de l'éditeur qui vend l'agent. Si votre projet d'agent touche des données clients, salariés ou candidats, échangeons sur votre architecture et vos contrats avant la mise en production.