Donner accès à vos données à une IA : ce que la CNIL dit aux entreprises

Jusqu’ici, utiliser l’IA au travail, c’était poser une question à un assistant. Avec les agents IA, on franchit un cran : l’outil ne répond plus seulement, il agit. Il lit vos mails, consulte vos fichiers, prépare ou envoie des messages, en s’appuyant sur plusieurs services à la fois.

Le 20 juillet 2026, la CNIL et le Conseil de l’IA et du Numérique (CIANum) ont publié une note exploratoire sur le sujet. Elle décrit ces IA comme « capables d’agir sur leur environnement à la place de leur utilisateur », et alerte sur ce que cela implique pour les données.

Ce que la CNIL met en avant

D’après la présentation de la note, les risques sont d’abord ceux de la perte de maîtrise : les données circulent entre de nombreux services, les historiques et mémoires persistantes augmentent ce qui est conservé, et le fonctionnement en plusieurs briques rend difficile de savoir qui est responsable de quoi. La CNIL note aussi que les risques de cybersécurité s’étendent à tous les services connectés à l’agent.

Elle conclut que ces caractéristiques « appellent à une adaptation des modalités de mise en œuvre » des règles de protection des données, qui sont mises en tension. La note est exploratoire : ce n’est pas encore un mode d’emploi. Mais elle indique le terrain sur lequel les contrôles se feront.

La règle de base reste celle de la CNIL sur l’IA générative

Pour tout usage d’une IA par des salariés, la CNIL recommande depuis 2024 un petit nombre de réflexes, qui s’appliquent d’autant plus quand l’outil a accès à vos données :

• Une charte d’usage : « encadrer l’utilisation d’un système d’IA générative par des politiques ou chartes internes », qui distingue clairement les usages permis et interdits.
• Pas d’information confidentielle dans un outil grand public : ni données personnelles, ni secrets d’affaires. Les salariés ne transmettent que ce qu’ils ont le droit de partager.
• Des comptes professionnels, pas personnels, et la réutilisation des données par le fournisseur désactivée quand l’outil le permet.
• Une formation adaptée et des contrôles réguliers, et ne « jamais reproduire telles quelles les sorties » de l’IA sans les vérifier.
• Un déploiement plus encadré pour les données sensibles : la CNIL juge « plus opportun et plus sécurisé » de privilégier un déploiement sur site, ou un hébergement encadré par contrat, dès que l’on traite des données personnelles ou sensibles.

Surtout, c’est l’organisme utilisateur qui engage sa responsabilité légale en cas de mauvais usage par son personnel. Le fournisseur de l’outil ne la porte pas à votre place.

Ce que cela change pour une PME

Les dirigeants le sentent déjà : d’après l’Insee, parmi les entreprises qui utilisent l’IA, 43 % s’inquiètent de la protection des données et 42 % du manque de clarté juridique. Ces craintes sont fondées, mais elles ne justifient pas de renoncer. Elles justifient de choisir l’outil en fonction de la sensibilité des données, pas l’inverse.

En pratique :

1. Classez vos données en trois niveaux : publiques, internes, sensibles (clients, salariés, contrats). Dans un outil grand public, la CNIL déconseille toute information confidentielle : ne mettez que du public. Pour le reste, choisissez un outil et un hébergement adaptés.
2. N’ouvrez l’accès d’un agent qu’aux seuls dossiers nécessaires, jamais à toute la messagerie « pour simplifier ».
3. Gardez une validation humaine avant toute action irréversible : envoi, paiement, suppression.
4. Demandez à votre fournisseur où sont hébergées les données, si elles servent à entraîner ses modèles, et ce qui est prévu en cas de problème.
5. Écrivez trois lignes de règles et faites-les lire. Une règle que tout le monde connaît protège mieux qu’un document que personne n’a lu.

Bien cadrée, l’IA ne met pas vos données en danger. C’est son absence de cadre qui le fait.

Cet article présente des recommandations de la CNIL à la date indiquée, il ne remplace pas un conseil juridique.