Agents IA et RGPD : ce qu’il faut savoir en 2026

Déployer un agent IA qui dialogue avec vos clients, c’est traiter des données personnelles : identité, coordonnées, historique, parfois données sensibles. La conformité RGPD n’est donc pas une formalité, mais un prérequis. À cela s’ajoute désormais le règlement européen sur l’IA (AI Act), dont l’application est progressive depuis le 2 février 2025 et sera complète le 2 août 2026. Ce guide fait le point, concrètement, sur ce que vous devez savoir et mettre en place.

Le double cadre juridique : RGPD + AI Act

Deux textes se superposent. Le RGPD encadre le traitement des données personnelles depuis 2018. L’AI Act, lui, encadre spécifiquement les systèmes d’IA selon leur niveau de risque. Un agent conversationnel relève des deux : il traite des données (RGPD) et constitue un système d’IA (AI Act).

Un agent IA conforme à l’AI Act mais pas au RGPD reste illégal, et inversement. Les deux cadres se cumulent : il faut traiter les deux de front.

Les 6 principes RGPD appliqués à un agent IA

La CNIL a publié en juillet 2025 un corpus de recommandations sur l’application du RGPD aux systèmes d’IA (base légale, sécurité, annotation des données). C’est la référence officielle française à consulter avant tout déploiement.

Le piège des données sensibles (article 9)

Un agent conversationnel peut, sans le vouloir, collecter des données sensibles au sens de l’article 9 du RGPD : santé, opinions, orientation. La CNIL alerte précisément sur ce risque, car ces données bénéficient d’une protection renforcée et exigent une base légale spécifique. Concrètement : votre agent doit être conçu pour ne pas solliciter ni stocker ce type d’information hors d’un cadre maîtrisé. Sur un service client automatisé, c’est un point de vigilance majeur.

Le cas particulier de la voix

Un callbot ou un standard téléphonique IA traite des enregistrements vocaux, qui sont des données personnelles à part entière, et parfois biométriques. Cela renforce les obligations : information en début d’appel (« vous échangez avec un assistant »), gestion fine des enregistrements et durée de conservation justifiée. L’IA vocale n’échappe à aucune des règles applicables au texte — elle en ajoute même.

Le sujet des sous-traitants hors UE

Beaucoup de modèles d’IA sont opérés par des fournisseurs établis hors de l’Union européenne. Tout transfert de données vers ces pays doit être encadré (clauses contractuelles types, garanties appropriées). Vous restez responsable de traitement : c’est à vous de vérifier que votre prestataire et les modèles qu’il utilise offrent les garanties nécessaires. Exigez de la transparence sur l’hébergement et la localisation des traitements.

L’AI Act : niveaux de risque et calendrier

L’AI Act classe les systèmes selon leur risque. Un agent conversationnel relève généralement du risque « limité », avec une obligation de transparence : l’utilisateur doit savoir qu’il interagit avec une IA.

Les sanctions ne sont pas symboliques : l’AI Act prévoit des amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, qui s’ajoutent au plafond RGPD (jusqu’à 20 M€ ou 4 % du CA).

Checklist de conformité avant déploiement

• Informer : l’utilisateur sait qu’il parle à une IA et ce qui est collecté.
• Cadrer la base légale : consentement, contrat ou intérêt légitime documenté.
• Minimiser : l’agent ne demande que le nécessaire.
• Sécuriser : chiffrement, contrôle des accès, journalisation.
• Maîtriser la rétention : durées définies, purge automatique.
• Encadrer les transferts : garanties pour les prestataires hors UE.
• Permettre les droits : accès, rectification, effacement effectifs.
• Documenter : registre des traitements, analyse d’impact (AIPD) si nécessaire.

Conformité : un atout commercial, pas un frein

Trop d’entreprises voient la conformité comme une contrainte. C’est une erreur stratégique. Un agent IA conçu conforme dès le départ (privacy by design) rassure vos clients, sécurise juridiquement votre activité et constitue un argument différenciant face à des concurrents négligents. La confiance est, sur le marché de l’IA, une monnaie d’échange aussi précieuse que la performance technique.

Qui est responsable en cas de manquement ?

C’est une question que beaucoup d’entreprises éludent. La réponse est nette : en tant qu’entreprise qui déploie l’agent et décide des finalités du traitement, vous êtes le responsable de traitement. Votre fournisseur de technologie est généralement sous-traitant. Cette distinction est lourde de conséquences : c’est vous qui répondez devant la CNIL d’un défaut d’information, d’une rétention abusive ou d’une fuite de données, même si la cause technique vient du prestataire. D’où l’importance d’un contrat de sous-traitance solide (article 28 du RGPD) qui répartit clairement les responsabilités et exige des garanties de sécurité. Ne signez jamais un déploiement d’agent IA sans avoir lu et négocié cette annexe.

Bien gérer une demande d’exercice des droits

Un client peut, à tout moment, demander l’accès à ses données, leur rectification ou leur effacement. Votre agent IA doit donc s’inscrire dans un dispositif capable de répondre à ces demandes dans le délai légal d’un mois. Concrètement, cela suppose de savoir où sont stockées les conversations, de pouvoir les retrouver par personne, et de disposer d’une procédure d’effacement effective — y compris dans les sauvegardes. Un agent qui collecte sans que vous sachiez retrouver ni supprimer les données est une bombe à retardement juridique. Anticipez ce point dès la conception plutôt que de le découvrir au premier signalement.

Exemple concret : un standard IA conforme

Prenons un cabinet qui installe un standard téléphonique IA pour gérer ses appels. La mise en conformité passe par des gestes simples mais décisifs : une annonce vocale en début d’appel précisant que l’interlocuteur échange avec un assistant et que l’appel peut être traité automatiquement ; une collecte limitée au strict nécessaire (motif, coordonnées, créneau souhaité) ; une durée de conservation des enregistrements définie et courte ; et un registre documentant ce traitement. Avec ces réflexes, l’agent rend service sans exposer le cabinet. Sans eux, le même outil devient un risque. La technologie est identique : c’est le paramétrage qui fait la conformité.

Les erreurs de conformité les plus fréquentes

• Oublier l’information : ne pas signaler que l’utilisateur parle à une IA.
• Sur-collecter : demander des données « au cas où », sans nécessité réelle.
• Conserver sans limite : garder les conversations indéfiniment.
• Négliger le contrat de sous-traitance : accepter les conditions par défaut du fournisseur.
• Ignorer les transferts hors UE : ne pas vérifier où transitent les données.

Chacune de ces erreurs est évitable et bien moins coûteuse à prévenir qu’à corriger. La conformité d’un agent IA n’est pas un projet de juriste isolé : c’est une responsabilité partagée entre la direction, les équipes techniques et le délégué à la protection des données, le cas échéant.

FAQ — Agents IA et RGPD

Faut-il prévenir l’utilisateur qu’il parle à une IA ?
Oui. C’est une exigence de transparence à la fois du RGPD et de l’AI Act. L’information doit être claire et donnée en début d’interaction.

Combien de temps peut-on conserver les conversations ?
Le RGPD n’impose pas de durée chiffrée unique : vous devez fixer une durée justifiée par la finalité, puis purger les données. Une rétention « indéfinie » est non conforme.

Mon prestataire d’IA est aux États-Unis : est-ce un problème ?
Pas en soi, mais tout transfert hors UE doit être encadré par des garanties appropriées (clauses contractuelles types). Vous restez responsable de cette vérification.

Quand l’AI Act s’applique-t-il pleinement ?
Son application est progressive depuis février 2025 ; l’application complète est prévue le 2 août 2026. Certaines obligations sont déjà en vigueur.

Une analyse d’impact (AIPD) est-elle obligatoire ?
Elle l’est lorsque le traitement est susceptible d’engendrer un risque élevé pour les personnes — par exemple un traitement à grande échelle de données sensibles. En cas de doute, mieux vaut la réaliser.

Dois-je tenir un registre des traitements pour mon agent IA ?
Oui, dès lors que votre agent traite des données personnelles de façon régulière. Le registre des activités de traitement est une obligation de base du RGPD : il documente les finalités, les données collectées, les durées de conservation et les destinataires. C’est aussi votre première ligne de défense en cas de contrôle.

Le consentement est-il toujours nécessaire ?
Non, pas systématiquement. Selon le contexte, la base légale peut être l’exécution d’un contrat ou l’intérêt légitime, dûment documenté. Le consentement s’impose surtout pour les données sensibles ou certains usages marketing. L’essentiel est d’identifier et de justifier une base légale valable avant de traiter.

En résumé : un agent IA conforme au RGPD et à l’AI Act repose sur quelques réflexes simples — transparence, minimisation, base légale, sécurité, maîtrise des transferts et des durées. Anticipez ces points dès la conception : c’est moins coûteux que de corriger après coup, et c’est un gage de confiance pour vos clients.