§ Guide
RGPD et agents IA : 12 points à vérifier avant de déployer
Dès qu'un agent IA traite des données sur des personnes, le RGPD s'applique, quel que soit l'outil. Huit sujets se vérifient avant le déploiement, de la base légale aux droits des personnes. Ce guide les détaille et finit par une checklist de 12 points. Il n'est pas un avis juridique.
- Sources officielles
- Relevé le 15 octobre 2026
Réponse directe
Que vérifier côté RGPD avant de mettre un agent IA en production ?
Huit points : la finalité et la base légale (article 6), la minimisation des données (article 5), l'inscription au registre (article 30), le contrat avec chaque sous-traitant (article 28), l'encadrement des transferts hors de l'Union (articles 44 à 46), la durée de conservation, la nécessité d'une analyse d'impact (article 35) et les droits des personnes (articles 12 à 22). Les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial (article 83).
En bref
- Le RGPD s'applique à l'agent, pas à l'outil. Ce qui compte : quelles données personnelles entrent, pour quoi faire, chez qui elles passent et combien de temps elles restent.
- Vous restez responsable de traitement. Le prestataire ou l'éditeur est en général votre sous-traitant (article 28). Il faut un contrat.
- Le registre est presque toujours dû. L'exemption pour les moins de 250 salariés tombe quand le traitement n'est pas occasionnel (article 30, paragraphe 5). Un agent qui tourne chaque jour n'est pas occasionnel.
- L'analyse d'impact (AIPD) se décide sur critères. Au moins deux des neuf critères de la CNIL, ou un traitement de sa liste.
Les faits de ce guide sont relevés le 15 octobre 2026 dans le texte du règlement (UE) 2016/679 tel que présenté par la CNIL et dans les publications de la CNIL. Ce guide n'est pas un avis juridique ; il ne remplace ni un délégué à la protection des données (DPO) ni un avocat. Pour l'obligation de transparence d'un chatbot, voir le guide chatbot et article 50 de l'AI Act.
Qui est responsable quand un agent traite des données personnelles ?
Vous, en principe, si vous décidez des finalités et des moyens : vous êtes responsable de traitement (article 24 : mettre en œuvre des mesures appropriées et pouvoir le démontrer, article 5, paragraphe 2). L'éditeur du modèle ou de la plateforme qui exécute le traitement pour votre compte est sous-traitant (article 28). La CNIL le rappelle dans ses questions-réponses sur l'IA générative du 18 juillet 2024 : l'organisme qui utilise un système d'IA générative doit qualifier son rôle et celui du fournisseur, et conclure un contrat de sous-traitance avec l'hébergeur et le fournisseur. Elle précise qu'un déployeur qui connecte une base de connaissances (RAG) ou affine un modèle devient responsable de ce traitement.
Conséquence pratique : le contrat, la liste des sous-traitants et les consignes de l'agent sont des pièces de votre dossier de conformité, pas des détails techniques de l'éditeur.
RGPD et agent IA : ce que dit le texte, ce que vous faites
| Sujet | Ce que dit le texte | Ce que vous faites |
|---|---|---|
| Finalité et base légale | Finalité déterminée, explicite, légitime (art. 5) ; une des six bases de l'article 6 (consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêt légitime) | Écrire en une phrase ce que fait l'agent, puis choisir la base ; si c'est l'intérêt légitime, documenter la mise en balance |
| Minimisation | Données adéquates, pertinentes, limitées à ce qui est nécessaire (art. 5, par. 1, c) | Ne donner à l'agent que les champs utiles ; masquer ou retirer les autres avant l'envoi |
| Registre | Registre des activités de traitement (art. 30) ; exemption sous 250 salariés levée si le traitement n'est pas occasionnel | Ajouter une ligne par agent : finalité, données, destinataires, transferts, durée, sécurité |
| Sous-traitants | Contrat écrit ; autorisation préalable pour les sous-traitants ultérieurs (art. 28, par. 2 et 3) | Signer le DPA de chaque éditeur et lister leurs sous-traitants ultérieurs |
| Transferts hors UE | Décision d'adéquation, garanties appropriées ou dérogation (art. 44 à 46) | Demander où les données sont traitées et sur quel mécanisme le transfert repose |
| Conservation | Pas plus longtemps que nécessaire (art. 5, par. 1, e) ; durée à communiquer (art. 13, par. 2, a) | Fixer une durée par catégorie de données, y compris pour les journaux et les historiques de conversation |
| Analyse d'impact (AIPD) | Requise pour un traitement susceptible d'engendrer un risque élevé (art. 35) | Passer les neuf critères de la CNIL ; deux ou plus, ou liste CNIL : faire l'AIPD avant la mise en production |
| Droits des personnes | Information (art. 13), accès, effacement, opposition ; réponse sous un mois (art. 12, par. 3) ; décision automatisée encadrée (art. 22) | Savoir retrouver et supprimer les données d'une personne dans l'agent, ses journaux et ses sauvegardes |
Quelle base légale pour un agent IA ?
L'article 6 en liste six. Pour un agent de support, la base la plus courante est l'exécution du contrat (répondre à un client) ou l'intérêt légitime (qualifier des demandes entrantes). Pour l'intérêt légitime, la CNIL fixe trois conditions : l'intérêt est légitime, le traitement est nécessaire, et il ne porte pas une atteinte disproportionnée aux personnes. Elle demande de documenter cette mise en balance. Le consentement convient quand la personne peut réellement refuser sans perdre le service. Choisissez la base avant de brancher l'agent, et gardez-la écrite : c'est elle qui conditionne les droits (opposition, effacement).
Faut-il inscrire l'agent au registre des traitements ?
Oui, dans la pratique. L'article 30 impose le registre au responsable et au sous-traitant, avec les finalités, les catégories de données et de personnes, les destinataires, les transferts, les durées et les mesures de sécurité. Le paragraphe 5 exempte les organismes de moins de 250 personnes, sauf si le traitement n'est pas occasionnel. Un agent qui traite des tickets ou des e-mails chaque jour tombe donc dans le champ. Le registre est un document unique, daté, à mettre à jour à chaque nouvel agent ; la CNIL publie un modèle sur sa page registre des activités de traitement.
Que doit contenir le contrat avec le fournisseur de l'agent ?
L'article 28 exige un contrat écrit (paragraphe 9) fixant l'objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes. Le paragraphe 3 liste ce que le sous-traitant s'engage à faire : traiter sur instruction documentée, garantir la confidentialité, assurer la sécurité, aider à répondre aux demandes de droits, supprimer ou restituer les données à la fin, permettre les audits. Le paragraphe 2 impose son autorisation écrite, spécifique ou générale, avant qu'il recoure à un autre sous-traitant ; en cas d'autorisation générale, il doit vous informer des changements. La Commission a adopté des clauses contractuelles types entre responsable et sous-traitant (décision d'exécution (UE) 2021/915). Pour un exemple de DPA lu clause par clause, voir le guide Claude et RGPD pour une PME.
Peut-on envoyer des données personnelles à un fournisseur hors de l'Union ?
Oui, à condition d'un mécanisme de transfert (articles 44 à 46) : une décision d'adéquation de la Commission, des garanties appropriées comme des clauses contractuelles types, ou une dérogation. Pour les États-Unis, la décision d'adéquation relative au cadre de protection des données UE-États-Unis (Data Privacy Framework) est la décision d'exécution (UE) 2023/1795 du 10 juillet 2023. Événements datés, relevés le 15 octobre 2026 :
- le 3 septembre 2025, le Tribunal de l'Union a rejeté le recours contre cette décision (affaire T-553/23, Latombe) ;
- un pourvoi a été formé le 31 octobre 2025 (affaire C-703/25 P, publié au Journal officiel C/2025/6610) ;
- le 31 juillet 2026, le Comité européen de la protection des données a écrit à la Commission pour lui demander d'examiner l'effet de l'arrêt Trump v. Slaughter de la Cour suprême des États-Unis du 29 juin 2026 ;
- Waimia n'a trouvé, à la date de lecture, aucune décision de la Cour de justice sur ce pourvoi.
Concrètement : demandez à chaque fournisseur sur quel mécanisme il s'appuie, et préférez un contrat qui ne repose pas sur une seule décision d'adéquation si vos données sont sensibles. La CNIL recommande par ailleurs, pour des usages avec données personnelles, de privilégier un déploiement maîtrisé (sur site ou chez un hébergeur sous contrat) ; elle souligne que via une API la maîtrise du traitement reste chez le fournisseur, d'où l'intérêt d'éviter d'y envoyer des données personnelles.
Cas des données de santé : l'article L1111-8 du code de la santé publique impose que l'hébergement de données de santé sur support numérique soit confié à un hébergeur titulaire d'un certificat de conformité (HDS), par contrat. Un agent qui traite des dossiers de patients ne se branche donc pas sur n'importe quel modèle hébergé.
Combien de temps conserver les données d'un agent IA ?
Le texte ne fixe pas de durée : il impose de ne pas conserver plus longtemps que nécessaire (article 5, paragraphe 1, e) et de communiquer la durée aux personnes (article 13, paragraphe 2, a). À vous de fixer une durée par catégorie, et de l'appliquer aussi aux traces de l'agent : historiques de conversation, journaux d'exécution, sorties intermédiaires, copies dans les outils de l'éditeur. C'est le point que l'on oublie le plus souvent, car ces traces sont créées sans que personne ne les ait décidées. Pour n8n, le guide n8n auto-hébergé et RGPD détaille les journaux d'exécution.
Faut-il faire une analyse d'impact (AIPD) ?
L'article 35 la rend obligatoire pour un traitement susceptible d'engendrer un risque élevé, notamment une évaluation systématique et approfondie fondée sur un traitement automatisé (y compris le profilage) produisant des effets juridiques ou significatifs, un traitement à grande échelle de données sensibles, ou une surveillance systématique à grande échelle d'un lieu public. La CNIL donne deux voies : le traitement figure sur sa liste, ou il remplit au moins deux de ses neuf critères :
- évaluation ou notation de personnes ;
- décision automatique avec effet juridique ou significatif ;
- surveillance systématique ;
- données sensibles ou hautement personnelles ;
- traitement à grande échelle ;
- croisement ou combinaison de jeux de données ;
- personnes vulnérables ;
- usage innovant ou nouvelle technologie ;
- traitement qui empêche d'exercer un droit ou de bénéficier d'un contrat.
Un agent qui note des candidats (critère 1) ou qui trie des demandes de clients vulnérables relève vite de l'AIPD. La fiche de la CNIL sur la mise en conformité d'un système d'IA indique qu'elle est requise pour les traitements de profilage ou de décision automatisée. L'AIPD se fait avant le déploiement, et se tient à jour.
Quels droits les personnes gardent-elles face à un agent ?
Information (article 13, dont la durée de conservation et, en cas de décision automatisée, des informations utiles sur la logique sous-jacente), accès, effacement, opposition. La réponse est due dans un mois, prolongeable de deux mois pour les demandes complexes (article 12, paragraphe 3). L'article 22 donne le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou significatifs, avec des exceptions et des garanties dont l'intervention humaine. Un agent qui prépare une décision que quelqu'un valide réellement n'est pas une décision exclusivement automatisée. Un agent qui refuse seul un remboursement ou un candidat l'est peut-être.
Que risque-t-on, et que faire en cas de fuite ?
L'article 83, paragraphe 5, fixe un plafond de 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel pour les manquements aux principes (articles 5, 6, 7 et 9), aux droits (articles 12 à 22) et aux transferts (articles 44 à 49). Le paragraphe 4 retient 10 millions ou 2 % pour d'autres obligations, dont celles du responsable et du sous-traitant (articles 25 à 39) : le montant le plus élevé s'applique. Une violation de données se notifie à l'autorité dans les 72 heures (article 33, paragraphe 1), et un sous-traitant vous prévient sans retard injustifié (paragraphe 2). Ces plafonds ne sont pas des barèmes.
Avancer seul, ou faire appel à un DPO ou à un juriste
Recommandation de Waimia : le seuil se place sur la donnée et sur la décision, pas sur la taille de l'entreprise.
- Agent interne sans données de clients ni de salariés (résumés de documents publics, veille).
- Données de contact professionnelles, éditeur sous DPA signé, hébergement dans l'Union, conservation courte.
- Registre à compléter avec le modèle de la CNIL, huit sujets du tableau passés un par un.
- Données de santé, données sensibles, mineurs, personnes vulnérables.
- Décision à effet juridique ou significatif : recrutement, crédit, assurance, sanction, remboursement.
- Au moins deux critères de la CNIL, donc une AIPD à rédiger.
- Transfert hors UE sur un mécanisme contesté, ou fournisseur qui refuse de signer un DPA.
12 points à cocher avant de déployer un agent IA
- 01 Décrivez en une phrase ce que fait l'agent et pour qui, puis listez les données personnelles qu'il touche.
- 02 Choisissez et écrivez la base légale de l'article 6 ; pour l'intérêt légitime, gardez la mise en balance.
- 03 Retirez ou masquez les champs inutiles avant l'envoi à l'agent (minimisation).
- 04 Ajoutez l'agent au registre des traitements (article 30), avec les destinataires et les durées.
- 05 Qualifiez chaque acteur : responsable, sous-traitant, sous-traitant ultérieur.
- 06 Signez le DPA de chaque éditeur et prestataire (article 28) et archivez la liste de leurs sous-traitants ultérieurs.
- 07 Demandez où les données sont traitées et stockées, et le mécanisme de transfert hors UE si besoin ; HDS si ce sont des données de santé.
- 08 Fixez une durée de conservation par catégorie, y compris journaux et historiques, et paramétrez la purge.
- 09 Passez les neuf critères de la CNIL ; si deux ou plus, faites l'AIPD avant la mise en production.
- 010 Mettez à jour vos mentions d'information (article 13) : l'IA, les destinataires, la durée, les droits.
- 011 Prévoyez un humain pour toute décision à effet juridique ou significatif (article 22) et un chemin pour les droits d'accès et d'effacement.
- 012 Définissez la procédure de violation (72 heures, article 33), les accès, la journalisation et les consignes de l'agent, puis testez-les.
Outils autorisés, données interdites, validation humaine : recevez le modèle de charte IA en PDF
- Le modèle complet en neuf articles, mis en page pour être imprimé et signé
- Les notes d'adaptation pour l'ajuster à votre entreprise
- Les champs que vous avez personnalisés sur la page, repris dans l'e-mail
- Un seul e-mail, sans inscription à une liste
Sources, relevées le 15 octobre 2026
- CNIL, texte du règlement (UE) 2016/679, chapitres 2, 3, 4, 5 et 8 (articles 5, 6, 12, 13, 22, 24, 28, 30, 32, 33, 35, 44 à 46 et 83). Texte officiel : EUR-Lex.
- CNIL, questions-réponses sur l'utilisation d'un système d'IA générative (18 juillet 2024).
- CNIL, IA : comment se mettre en conformité et base légale de l'intérêt légitime.
- CNIL, ce qu'il faut savoir sur l'AIPD et le registre des activités de traitement.
- Commission européenne, décision d'exécution (UE) 2021/915 (clauses contractuelles types responsable de traitement et sous-traitant).
- Tribunal de l'Union européenne, communiqué sur l'arrêt T-553/23 du 3 septembre 2025 ; pourvoi C-703/25 P, JO C/2025/6610 ; lettre du CEPD du 31 juillet 2026.
- Légifrance, article L1111-8 du code de la santé publique.
Ce guide est une information générale, il n'est pas un avis juridique : pour un cas précis, adressez-vous à votre délégué à la protection des données ou à un avocat. Le cadre d'ensemble est sur la page conformité IA ; pour faire cadrer un projet, voir l'audit IA pour PME.
RGPD et agents IA : questions fréquentes
Q.01 Le RGPD s'applique-t-il à un agent IA ?
Oui, dès que l'agent traite des données relatives à des personnes identifiables : noms, e-mails, messages de clients, CV, tickets. L'outil utilisé n'y change rien. Vous êtes en général responsable de traitement, et l'éditeur ou le prestataire est votre sous-traitant au sens de l'article 28.
Q.02 Faut-il un contrat avec le fournisseur du modèle ?
Oui, si le fournisseur traite des données personnelles pour votre compte. L'article 28 exige un contrat écrit qui prévoit, entre autres, le traitement sur instruction documentée, la sécurité, l'aide aux droits des personnes, la suppression ou la restitution, et l'autorisation préalable des sous-traitants ultérieurs. Vérifiez que le DPA est signé, pas seulement proposé.
Q.03 Un agent IA est-il dispensé de registre ?
Rarement. L'article 30, paragraphe 5, exempte les organismes de moins de 250 personnes, sauf si le traitement n'est pas occasionnel. Un agent qui traite des données chaque jour n'est pas occasionnel. Le plus simple est d'ajouter une ligne au registre par agent.
Q.04 Peut-on utiliser un modèle américain avec des données de clients européens ?
C'est possible avec un mécanisme de transfert valable (articles 44 à 46) : une décision d'adéquation, des clauses contractuelles types ou une autre garantie. La décision relative au cadre UE-États-Unis a été confirmée par le Tribunal le 3 septembre 2025 ; un pourvoi a été formé le 31 octobre 2025. Demandez le mécanisme à votre fournisseur et gardez la preuve.
Q.05 Quand une AIPD est-elle obligatoire pour un agent IA ?
Quand le traitement figure sur la liste de la CNIL, ou remplit au moins deux de ses neuf critères (évaluation, décision automatique, données sensibles, grande échelle, personnes vulnérables, usage innovant, par exemple). Elle se fait avant le déploiement. Un agent qui note des candidats ou refuse seul une demande y entre vite.
Q.06 Combien de temps garder les conversations d'un agent ?
Le RGPD ne donne pas de durée : seulement « pas plus longtemps que nécessaire » (article 5, paragraphe 1, e) et l'obligation d'informer les personnes de la durée (article 13). Fixez une durée par catégorie, appliquez-la aux historiques et aux journaux, et programmez la suppression plutôt que de compter sur un nettoyage manuel.
Q.07 L'AI Act remplace-t-il le RGPD pour un agent ?
Non, les deux s'appliquent. L'AI Act impose par exemple l'information des personnes qui parlent à un chatbot (article 50) ; le RGPD encadre les données personnelles que l'agent traite. Un même agent peut donc devoir respecter les deux, avec des documents distincts.
Page mise à jour le par Simon Beros, fondateur de Waimia.