IA agentique : la CNIL et le Conseil de l'IA et du Numérique analysent les risques pour les données personnelles

L’intelligence artificielle (IA) agentique représente une évolution majeure par rapport aux modèles génératifs traditionnels. Contrairement à ces derniers, elle est désormais capable d’agir de manière autonome sur son environnement, en exécutant des tâches pour le compte de l’utilisateur. Cette capacité, combinée à des interactions hyperpersonnalisées, engendre des chaînes de traitement de données complexes et parfois opaques.

Une protection des données personnelles mise à l’épreuve

Dans une note coécrite avec le Conseil de l’IA et du Numérique (CIANum), la CNIL examine les implications de l’IA agentique pour la protection des données personnelles. Cette réflexion s’inscrit dans le cadre des échanges internationaux menés par la CNIL, notamment au sein du G7 des autorités de protection des données et de la vie privée, lors de la présidence française de cette instance.

Des flux de données amplifiés et des profils utilisateurs renforcés

Le passage à l’IA agentique marque un changement d’échelle dans le traitement des données personnelles. Ces systèmes, capables d’accéder et de traiter des volumes importants de données issues de multiples sources, favorisent la création de profils utilisateurs hyperpersonnalisés. La conservation des historiques d’interactions et l’utilisation de mémoires persistantes accentuent cette tendance, tout en complexifiant la maîtrise des données par les utilisateurs. Ces mécanismes peuvent ainsi entrer en tension avec les principes fondamentaux du RGPD, notamment celui de la maîtrise des données par leur titulaire.

Des responsabilités diluées et des risques cyber étendus

L’autonomie décisionnelle des IA agentiques et leur capacité à interagir avec d’autres applications soulèvent des questions cruciales quant au partage des responsabilités. En automatisant des processus décisionnels impliquant plusieurs acteurs, ces systèmes décentralisent les responsabilités et étendent les risques liés à la cybersécurité à l’ensemble des services connectés. Cette complexité rend plus difficile l’identification des obligations de chaque partie prenante.

Un cadre juridique à adapter

Face aux risques associés à l’IA agentique, le cadre juridique actuel apparaît comme un levier essentiel, mais nécessite des adaptations. Bien que les principaux instruments du droit européen de la protection des données et de la régulation de l’IA leur soient applicables, leurs spécificités – autonomie décisionnelle, mémoire persistante, interactions multiples – appellent à une révision des modalités de mise en œuvre de ces règles. La note publiée par la CNIL et le CIANum vise à éclairer ces enjeux et à proposer des pistes d’évolution réglementaire.

Source : CNIL