Le plan de la CNIL pour la protection des données dans l'IA : notes, audits et alliances

IA agentique et données personnelles : la note exploratoire de la CNIL

Le 20 juillet 2026, l'autorité française de protection des données (CNIL) et le Conseil de l'IA et du Numérique ont publié une note exploratoire sur l'IA agentique et les données personnelles. La note aborde les défis posés par les systèmes d'IA capables d'agir de manière autonome pour le compte des utilisateurs, en effectuant des tâches, en prenant des décisions et en interagissant avec des services sans supervision humaine directe. Le document décrit les risques que cela crée pour la protection des données, en particulier lorsque les agents exécutent des actions sur plusieurs plateformes et accumulent des données personnelles en cours de route. Bien que la note ne prescrive pas encore de règles strictes, elle signale les lacunes les plus urgentes selon le régulateur.

Comme le note une récente prépublication sur le cadrage dynamique des capacités pour les agents d'IA en entreprise, les architectures d'autorisation se fragmentent : différents agents s'appuient sur des mécanismes de cadrage différents, ce qui rend la supervision difficile. La note exploratoire de la CNIL peut être lue comme un appel à des normes partagées avant que la fragmentation ne devienne structurelle.

Des recommandations aux outils : le projet d'audit PANAME

La CNIL ne s'arrête pas aux notes écrites. Le 26 février 2026, elle a lancé PANAME, un projet conjoint avec l'ANSSI, le PEReN et l'Inria. L'outil est conçu pour auditer les modèles d'IA en matière de conformité au RGPD, notamment leur niveau de confidentialité et leur conformité aux principes de protection des données. Un appel ouvert à participation invite les organisations à tester l'outil et à contribuer à sa version finale.

PANAME marque un passage de directives réglementaires abstraites à une mise en œuvre pratique et technique. Il offre aux auditeurs un moyen mesurable d'évaluer si un modèle fuit des données d'entraînement, respecte les limites du consentement ou expose des informations personnelles par inférence. Le projet est encore en phase de test, mais il indique déjà à quoi pourrait ressembler une conformité exécutable de l'IA dans le cadre réglementaire de l'UE.

Coordination européenne et internationale

Le 7 juillet 2026, le Comité européen de la protection des données (CEPD) a adopté des lignes directrices finales sur l'anonymisation et le web scraping dans le contexte de l'IA générative, ainsi que la version finale de ses lignes directrices sur la blockchain. La CNIL a activement contribué à ces textes. Les lignes directrices sur l'anonymisation sont directement pertinentes pour les pipelines d'entraînement de l'IA qui s'appuient sur le scraping de données publiques, une pratique qui reste juridiquement contestée au titre du RGPD. L'adoption de versions finales suggère que l'UE s'oriente vers des limites plus claires pour la manière dont les entreprises peuvent collecter et traiter des données pour l'entraînement des modèles.

Au niveau international, la CNIL a approfondi son partenariat avec la Commission de protection des informations personnelles (PIPC) de Corée. Ensemble, ils ont produit une affiche de sensibilisation intitulée « IA générative et vie privée » pour aider les utilisateurs à protéger leurs données personnelles lorsqu'ils utilisent l'IA générative. L'affiche a été publiée en mai 2026 et cible les utilisateurs quotidiens, pas seulement les professionnels.

Impact pratique : sensibilisation, jeunesse et application

Au-delà des directives de haut niveau, la CNIL a investi dans la compréhension de la manière dont les personnes réelles, en particulier les jeunes, interagissent avec l'IA. Une enquête menée avec le Groupe VYV dans quatre pays européens, publiée le 5 mai 2026, a révélé que près de 9 jeunes sur 10 en France utilisent l'IA conversationnelle et que près de la moitié abordent des sujets sensibles avec ces robots. Les résultats soulèvent des questions sur les risques pour la santé mentale et l'adéquation des mesures actuelles de protection des données pour les mineurs.

La CNIL a également organisé des webinaires à destination des professionnels sur l'utilisation de la base juridique de l'intérêt légitime lors du développement de systèmes d'IA et du scraping de données. Une session du 2 avril 2026 a couvert ce sujet exact. Ces webinaires, combinés aux campagnes de sensibilisation et au projet PANAME, montrent un régulateur qui tente de couvrir tous les fronts : informer le public, former les développeurs et construire des outils d'application simultanément.