Le 5 novembre 2026, réunie en séance plénière, la Commission nationale de l’informatique et des libertés (CNIL), en coordination avec le Comité interministériel de l’IA (CIANum), a officialisé sa doctrine de régulation relative aux systèmes d’intelligence artificielle agentique (agents autonomes capables d’exécuter des chaînes d’actions complexes sans supervision humaine directe).
Ce texte de référence clarifie l’articulation entre l’article 22 du RGPD (décisions individuelles automatisées), les obligations de gouvernance de l’AI Act européen et le droit commun de la responsabilité civile et professionnelle.
Les piliers de la doctrine sur l’IA agentique
Face à l’essor des agents logiciels déployés dans les services clients, les ressources humaines, la finance et la commande publique, le régulateur pose des règles d’or non négociables :
- Monopole humain de la décision finale : Conformément à l’article 22 du RGPD, aucune décision produisant des effets juridiques ou affectant de manière significative une personne physique (recrutement, octroi de crédit, résiliation contractuelle, sanction disciplinaire) ne peut être déléguée exclusivement à un agent d’IA.
- Responsabilité objective du responsable de traitement : L’autonomie fonctionnelle de l’agent ne constitue pas une cause d’exonération. L’entreprise utilisatrice répond intégralement de chaque acte, erreur ou dérive algorithmique accompli par son agent numérique.
- Journalisation et traçabilité des raisonnements : Obligation stricte de consigner chaque étape du raisonnement agentique, les requêtes d’outils (tool calls) et les données manipulées, afin de garantir un droit d’explication intelligible aux citoyens et aux tribunaux.
- Kill-switch obligatoire et contrôle permanent : Tout déploiement d’IA agentique en entreprise doit comporter un dispositif d’arrêt d’urgence instantané (kill-switch) et une procédure d’intervention humaine effective permettant d’annuler ou de rectifier toute instruction en temps réel.
Recommandations pour les directions juridiques et avocats
Pour les organisations publiques et privées intégrant des flux agentiques à l’automne 2026 :
- Cartographie des délégations agentiques : Identifier avec précision les processus opérationnels où des agents automatisés interagissent avec des données personnelles de clients ou de salariés.
- Consultation préalable obligatoire du CSE : Rappel ferme que l’introduction d’outils d’IA agentique modifiant l’organisation du travail nécessite l’information et la consultation préalables des instances représentatives du personnel.
- Conformité contractuelle : Exiger des éditeurs d’agents logiciels des garanties écrites sur l’auditabilité des modèles et l’absence de réutilisation des données d’entreprise pour leur entraînement.