L’IA agentique en France : trois processus, et qui autorise les outils

Situation de départ : deux textes du même mois de juillet

Le 20 juillet 2026, la Commission Nationale de l’Informatique et des Libertés, la CNIL, et le Conseil de l’IA et du Numérique ont publié ensemble une note sur l’IA agentique. Elle décrit d’abord l’architecture : un agent orchestrateur, des agents spécialisés à côté de lui, et derrière eux des services connectés, des applications, des bases de données, des outils de recherche. Le constat, tel que la CNIL le résume en présentant la note, tient en deux formules. L’IA agentique entraîne « la circulation de données personnelles entre de nombreux services », et il en naît pour les personnes « un risque réel de perte de maîtrise sur ses données personnelles ».¹ S’y ajoute un second point, qui pèse plus lourd en exploitation qu’il n’y paraît : parce que plusieurs acteurs interviennent dans un même enchaînement automatisé, il devient plus difficile de voir qui répond de quelle étape.

Huit jours plus tard, le 28 juillet 2026, paraissait la nouvelle version du Model Context Protocol, MCP en abrégé. MCP est un standard ouvert qui décrit comment un système d’IA s’adresse à des outils externes, autrement dit une interface : une manière convenue pour deux programmes de se parler. La version du 28 juillet 2026 rend le transport sans état. La poignée de main initiale et l’identifiant de session disparaissent ; chaque requête porte elle-même sa version de protocole, son origine et ses capacités. S’y ajoutent une autorisation durcie, assortie de règles plus strictes pour l’enregistrement des applications et la vérification des identifiants, et un régime d’extensions ordonné ; l’autorisation gérée pour les entreprises y figure comme extension distincte.²

Les deux textes ne se répondent pas, et nous ne les présentons pas ainsi. Ils décrivent le même problème par deux côtés. L’un demande qui garde la maîtrise des données dans un système agentique et qui répond de quelle étape. L’autre fixe comment un appel d’outil isolé est déclaré, autorisé et transmis. Qui veut répondre concrètement à la première question aboutit forcément à la seconde, car maîtriser un système agentique revient en fin de compte à maîtriser ses outils.

L’ampleur réelle de l’IA agentique en France ne peut pas être quantifiée précisément, et la raison figure dans la statistique publique elle-même. Selon Insee Première numéro 2120 du 21 juillet 2026, 18 % des entreprises françaises de dix salariés ou plus ont utilisé en 2025 au moins une technique d’intelligence artificielle, enquête menée auprès d’environ 11 000 entreprises pour une population d’environ 194 000. La partie méthodologique contient la phrase qui compte : les réponses n’incluent en principe pas les usages ponctuels et individuels des salariés.⁵ Les enquêtes qui interrogent directement les salariés arrivent donc à de tout autres valeurs. Le Baromètre Phygital Workplace, réalisé par l’Ifop pour le compte d’un cabinet de conseil auprès de 1 003 salariés d’entreprises de 1 000 collaborateurs ou plus, avance 62 % d’utilisation pour 34 % de règles formalisées.⁶ Ce sont deux questions posées à deux populations différentes, et aucun de ces deux chiffres n’infirme l’autre. En tirer un pourcentage unique, c’est vendre une précision qui n’existe pas. Ce qui reste, c’est le motif : on utilise plus qu’on ne règle. La même enquête de l’Insee relève, parmi les entreprises qui utilisent déjà l’IA, 43 % de préoccupations liées à la protection des données et à la vie privée et 42 % qui évoquent un manque de clarté juridique.⁵

Qui est concerné, et ce qui déclenche le besoin dans chaque cas

Le groupe le plus étroit est aussi celui que l’on élargit le plus souvent à tort. Le décret d’application de l’article 31 de la loi SREN, pris le 14 avril 2026, vise les administrations de l’État, leurs opérateurs et six groupements d’intérêt public nommément désignés. Le décret ne cite pas les collectivités territoriales ; elles ne relèvent donc pas de cette obligation. Tout établissement public n’y tombe pas non plus automatiquement.⁷ Sur le fond, l’obligation ne joue en outre que pour des données dont l’atteinte pourrait porter préjudice à l’ordre public, à la sécurité publique, à la santé ou à la vie des personnes, ou à la protection de la propriété intellectuelle. Qui lit aujourd’hui que toute la France devrait héberger souverainement ajoute au texte ce qui ne s’y trouve pas.

Du côté de la protection des données, la pression est d’une autre nature, mais elle se mesure. La CNIL a publié pour l’année 2025 un bilan de 83 sanctions pour un total de 486 839 500 euros, dont 78 amendes.⁸ Ces procédures ne portaient pas sur l’IA agentique, mais elles décrivent la surveillance sous laquelle travaillent les responsables de traitement. Autoriser un système à agir dans plusieurs applications métier ne déplace aucune responsabilité, cela l’étend.

Les personnes censées porter cela au quotidien disent elles-mêmes qu’elles n’y sont pas encore. Dans l’enquête de l’Observatoire des DPO, menée du 5 au 21 novembre 2025 auprès de 2 390 délégués à la protection des données, 6 % des organisations sont jugées très bien préparées au règlement européen sur l’IA. 27 % des répondants déclarent bien connaître le texte du règlement, 85 % n’ont encore suivi aucune formation à l’intelligence artificielle.³ Que les obligations applicables aux systèmes à haut risque ne s’appliquent, en vertu du règlement (UE) 2026/1744, qu’à partir du 2 décembre 2027, et du 2 août 2028 pour les systèmes embarqués, donne de l’air mais ne dispense pas du travail. Cette enquête est portée par la DGEFP, l’administration française de l’emploi, et par la CNIL, en partenariat avec l’association professionnelle des délégués à la protection des données et l’Afpa, qui l’a réalisée : ce n’est donc pas une étude d’éditeur, mais une auto-déclaration de la profession.

Cinq groupes, cinq déclencheurs différents, et derrière eux une question commune : qui décide quel outil un agent a le droit d’appeler, et à quoi cela se montre-t-il après coup ? La réponse varie selon le groupe, et pour l’un d’eux elle joue contre nous. Cela figure plus bas, dans la section sur les limites, et cela y figure en détail.

Cas d’usage 1 : le dossier qui traverse plusieurs applications métier

Une demande arrive, et la réponse se répartit sur trois programmes : le contrat dans la gestion documentaire, l’état de la livraison dans la gestion commerciale, le dernier échange dans la messagerie. Aujourd’hui, une personne clique dans les trois. Le collègue IA peut reprendre ce chemin si les systèmes sont connectés. Il planifie les étapes, appelle l’un après l’autre les outils autorisés, contrôle chaque résultat intermédiaire et présente à la fin un projet à valider. Le point n’est pas qu’il en soit capable. Le point est que chaque appel peut échouer d’avance sur un droit et figurer ensuite dans le journal d’audit.

La connexion passe par MCP. Un connecteur est le raccordement à un programme donné, une instance l’installation autonome qui tourne pour votre organisation. Ce que le collègue IA n’a pas le droit de voir, il ne le voit pas : l’ordre appliqué est utilisateur, rôle, groupe, valeur par défaut du serveur. Un outil non autorisé pour un rôle n’apparaît même pas dans le plan ; il n’est donc pas refusé, il n’existe pas. Les logiciels connectables aujourd’hui figurent sur la page Intégrations.

La limite de ce processus : un droit par outil n’est pas un droit par enregistrement. Si un connecteur autorise la recherche sur toute la gestion documentaire, il l’autorise sur toute la gestion documentaire, même quand le dossier n’a besoin que d’un seul contrat. Jusqu’où cela se restreint dépend du système connecté et non de nous. Vérifiez-le connecteur par connecteur avant d’autoriser largement, et commencez par le périmètre le plus petit qui porte la tâche.

Cas d’usage 2 : l’accès en écriture, qui doit être autorisé à part

Lire n’est que la moitié. L’autre commence quand un système doit modifier un enregistrement, envoyer un message ou supprimer une entrée. C’est exactement là que la plateforme sépare : outils de lecture et outils d’écriture ne relèvent pas du même droit. Un accès en écriture s’autorise séparément, et là où cela n’a pas été fait, le processus se termine par un projet et non par une écriture. C’est peu spectaculaire, et c’est la différence entre une proposition et un fait accompli.

La note de la CNIL va dans le même sens, sans viser un produit. Elle propose de classer par risque les actions possibles sur chaque service, de la lecture à la modification et à la suppression jusqu’à l’envoi de données hors du système, et d’exiger à partir d’un certain niveau une validation humaine avant exécution. Elle cite aussi le cloisonnement des mémoires par agent, un environnement d’exécution isolé et la possibilité d’interrompre à tout moment un traitement en cours.¹ Traduit en exploitation, cela donne : la question n’est pas de savoir si un agent a le droit d’agir, mais quelle action il a le droit de conclure seul. Ce réglage relève de l’administration, pas du modèle.

La limite : une validation ne vaut que l’attention qui la porte. Qui confirme vingt fois par jour finit par tout confirmer. La supervision humaine ne naît pas de l’ouverture d’une fenêtre, mais du fait que peu d’étapes, et des étapes importantes, passent par cette instance intermédiaire, tandis que les autres ne sont pas autorisées du tout. Ce tri est un travail, il appartient à votre organisation et ne s’achète pas. La plateforme ne fabrique pas la supervision humaine, elle la rend démontrable.

Cas d’usage 3 : retracer ce qu’un agent a réellement fait

Quatre semaines plus tard, quelqu’un revient à la charge : l’audit interne, un client, une autorité de contrôle, ou la personne concernée elle-même. La question se ressemble à chaque fois. Quelles données ont été mobilisées, quel outil a été appelé, autorisé par qui, et dans quel ordre ? Sans journal, la réponse est une reconstitution à partir de souvenirs et de captures d’écran. Avec un journal, c’est une requête.

Dans Kisuno, chaque appel d’outil figure au journal d’audit, c’est-à-dire au registre continu des opérations, et ce journal s’exporte. Les appels refusés y figurent comme les appels exécutés, ce qui est souvent la partie la plus intéressante lors d’un contrôle. C’est précisément ce composant que propose aussi la note de la CNIL : faire apparaître, pour chaque tâche exécutée, quelles données personnelles ont été mobilisées, quels agents sont intervenus, quels services tiers ont été sollicités et dans quel ordre chronologique.¹ La traduction en politiques internes et en responsabilités figure chez nous sous Governance.

La limite, et elle est plus grande qu’il n’y paraît : le journal montre ce qui est passé par Kisuno. Ce que quelqu’un fait à côté, dans un accès privé chez un fournisseur quelconque, n’y figure pas. Un outil ne constitue pas un registre de tout l’usage de l’IA dans l’entreprise, il ne voit que son propre chemin. C’est exactement là que se situe aussi la lacune laissée ouverte par la statistique publique. Qui a besoin d’une image complète ne fera pas l’économie d’un travail d’organisation.

Les limites : là où cette voie ne convient pas pour la France

La phrase la plus inconfortable d’abord, et elle nous concerne nous-mêmes. Pour les données d’une sensibilité particulière de l’État, l’article 31 de la loi SREN exige une preuve, et l’arrêté du 12 août 2026 qui approuve le référentiel d’exigences n’admet exactement que deux voies : une qualification de l’ANSSI, ou une certification de l’Union européenne ou d’un État partie à l’accord sur l’Espace économique européen et reconnue équivalente par l’agence.⁴ Le référentiel, connu sous le nom de SecNumCloud, exige lui-même au point 19.6, au titre de la protection contre le droit extra-européen, que « le siège statutaire, administration centrale et principal établissement du prestataire doivent être établis au sein d’un État membre de l’Union Européenne ».⁹ La Suisse n’est ni membre de l’Union européenne ni partie à l’accord sur l’Espace économique européen. Un centre de données suisse ne peut pas satisfaire à cette exigence en l’état actuel, aussi bien soit-il exploité. Et l’exigence va plus loin que la localisation. Le point 19.6, lettre a, vise notre siège ; la lettre c vise toute société tierce établie hors de l’Union qui pourrait techniquement accéder aux données traitées dans le service ou aux données techniques.⁹ Pour qui doit apporter cette preuve, le chemin des modèles compte donc aussi : les modèles d’OpenAI (ChatGPT) et d’Anthropic (Claude) sont exécutés dans le centre de données AWS de Francfort, et AWS est une entreprise américaine, ce qui fait jouer le US CLOUD Act. Pour les clients aux exigences élevées en matière de protection des données, des modèles ouverts de premier plan comme GLM, Kimi et DeepSeek sont disponibles, exploités par des entreprises européennes sur des serveurs en Europe ; le CLOUD Act ne s’y applique pas. Cela vaut de la même manière en auto-hébergement, si vous conservez le chemin par AWS. Pour les administrations françaises soumises à cette obligation, notre exploitation gérée à Lupfig n’est donc pas la bonne voie. Ce qui reste, c’est l’auto-hébergement : l’obligation est liée au recours à un service en nuage fourni par un prestataire privé. Si vous exploitez le logiciel vous-même, la question ne se pose plus pour nous, mais seulement pour les prestations que vous achetez vous-même. La base LibreChat est sous licence MIT, le dépôt contenant nos propres extensions suivra prochainement, et l’auto-hébergement ne coûte rien chez nous, à lire sous Héberger vous-même. Nous préférons le dire nous-mêmes plutôt que de vous le laisser découvrir en procédure de passation.

Pour que la limite ne devienne pas plus grande qu’elle n’est : cette obligation ne vaut pas pour la sphère publique dans son ensemble. Le décret d’application du 14 avril 2026 vise les administrations de l’État, leurs opérateurs et six groupements d’intérêt public nommément désignés. Le décret ne cite pas les collectivités territoriales ; elles ne relèvent donc pas de cette obligation, et entre entreprises privées elle ne s’applique de toute façon pas.⁷ Les fournisseurs de l’État devraient toutefois lire aussi les circulaires : la circulaire n° 6519/SG du 5 février 2026 fait de la souveraineté numérique le deuxième objectif prioritaire de la commande publique numérique de l’État, après la performance fonctionnelle, et y range notamment l’indépendance à l’égard des droits extra-européens à portée extraterritoriale.¹⁰ Si et comment cela pèse sur votre cas précis, c’est l’acheteur public qui en décide, pas un article de blog. Cet article ne remplace pas un conseil juridique.

Une deuxième affirmation est littéralement exacte et conduit pourtant sur une fausse piste. Il est exact qu’aucun grand fournisseur américain ne détient cette qualification en son nom propre. En conclure que la technologie américaine serait de ce fait exclue serait faux. Depuis le 17 décembre 2025, l’offre PREMI3NS de S3NS, coentreprise de Thales et de Google Cloud qui s’appuie sur la technologie de Google, est qualifiée.¹¹ La voie qui passe par une société française licenciant la technologie et assumant elle-même l’exploitation est ouverte, et elle est empruntée. Qui affirme dans un appel d’offres ou dans un entretien de vente que la technologie américaine est hors jeu se fera contredire. Cela vaut pour nous comme pour tout le monde, et c’est une raison de ne pas jouer cette carte.

À la note de la CNIL s’attache une réserve que nous laissons expressément subsister. Elle est exploratoire. Ce n’est ni une recommandation, ni un guide, ni un cadre contraignant, et elle n’en annonce pas non plus. Elle mentionne le Model Context Protocol une seule fois, en note de bas de page, comme exemple d’un protocole d’échange répandu, et n’en tire aucune conclusion, ni pour ni contre un procédé particulier.¹ Qui la cite comme une confirmation pour une décision d’achat lui fait dire plus qu’elle ne dit. Nous la lisons pour ce qu’elle est : une description des risques avec laquelle l’autorité compétente travaille actuellement, et un ensemble de composants sur lesquels personne n’a encore tranché.

Enfin la limite technique, et c’est la plus dure. Notre plateforme ne reconnaît pas un serveur d’outils malveillant. Elle n’empêche pas non plus l’injection de prompt, c’est-à-dire une instruction dissimulée dans un document, un message ou une page web, qu’un modèle prend pour une consigne en la lisant. Ce qu’elle fait est plus étroit et plus honnête. Elle limite le rayon d’action, parce qu’un outil non autorisé n’est pas appelé et qu’un accès en écriture demande une deuxième décision, et elle rend le déroulement vérifiable, parce que chaque appel figure au journal. Les références de la source dans une base de connaissances n’empêchent pas davantage un modèle d’affirmer quelque chose de faux, elles le rendent seulement vérifiable. Une offre qui vous promet ici de la sécurité au lieu d’une limitation et d’une preuve mérite un examen plus attentif ; ce que nous faisons et ce que nous ne faisons pas figure sous Security et Trust. Et encore une fois, parce qu’il a beaucoup été question de droit dans cette section : cet article ne remplace pas un conseil juridique.

Questions fréquentes sur l’IA agentique, les droits sur les outils et la France

Sources

Tous les chiffres, citations et références juridiques de cet article proviennent des sources suivantes, vérifiées pour la dernière fois en septembre 2026. Les enquêtes portent sur des populations différentes, et nous avons indiqué dans le texte laquelle est visée à chaque fois.

1. CNIL et Conseil de l’IA et du Numérique, note « IA agentique et protection des données personnelles : équation à inconnues multiples pour les utilisateurs », publiée le 20 juillet 2026. Les formulations citées « la circulation de données personnelles entre de nombreux services » et « un risque réel de perte de maîtrise sur ses données personnelles » figurent dans le communiqué d’accompagnement de la CNIL ; les composants relatifs à la traçabilité, au classement selon le risque et à la validation humaine figurent à la section IV de la note, la mention du Model Context Protocol dans sa note de bas de page 2 : cnil.fr
2. Model Context Protocol, spécification dans la version 2026-07-28, publiée le 28 juillet 2026, avec un cœur de protocole sans état, la suppression d’initialize et de l’identifiant de session, une autorisation durcie et le champ extensions dans les capacités du client et du serveur : modelcontextprotocol.io. L’autorisation gérée pour les entreprises figure comme extension distincte dans l’aperçu des extensions : modelcontextprotocol.io
3. DGEFP et CNIL, en partenariat avec l’AFCDP et l’Afpa, Observatoire des DPO, enquête 2025 « Les DPO à l’heure de l’IA », réalisée par l’Afpa, questionnaire en ligne du 5 au 21 novembre 2025, 2 390 délégués à la protection des données répondants, résultats publiés le 3 juillet 2026 : 6 % des organisations très bien préparées au règlement européen sur l’IA, 27 % avec une bonne connaissance du texte, 85 % sans formation propre à l’intelligence artificielle : cnil.fr
4. Arrêté du 12 août 2026 portant approbation du référentiel d’exigences relatif aux prestataires de services d’informatique en nuage, article 2 sur la preuve par une qualification de l’ANSSI ou par une certification délivrée dans l’Union européenne ou dans l’Espace économique européen et reconnue équivalente par elle ; ce qui est ainsi approuvé, c’est le référentiel SecNumCloud en version 3.2, celui auquel renvoie la note 9 : legifrance.gouv.fr
5. Insee, Insee Première numéro 2120, « Les technologies de l’information et de la communication dans les entreprises en 2025 », publié le 21 juillet 2026, environ 11 000 entreprises interrogées pour une population d’environ 194 000 entreprises de dix salariés ou plus. La partie méthodologique retient que les réponses n’incluent en principe pas les usages ponctuels et individuels des salariés : insee.fr
6. Ifop pour Julhiet Sterwen, Baromètre Phygital Workplace 2026, 1 003 salariés interrogés dans des entreprises françaises de 1 000 collaborateurs ou plus, présenté en avril 2026. Enquête réalisée pour le compte d’un cabinet de conseil ; les valeurs reprises ici suivent les comptes rendus de la presse spécialisée : themedialeader.com
7. Décret n° 2026-272 du 14 avril 2026 relatif à la protection des données d’une sensibilité particulière des administrations, opérateurs et groupements d’intérêt public de l’Etat traitées par un service d’informatique en nuage fourni par un prestataire privé, pris pour l’application de l’article 31 de la loi SREN du 21 mai 2024 ; l’article 1er du décret nomme les six groupements d’intérêt public, l’article 2 les dix domaines d’exigences : legifrance.gouv.fr. L’énumération des catégories de données, à savoir l’ordre public, la sécurité publique, la santé ou la vie des personnes et la protection de la propriété intellectuelle, figure dans l’article 31 de la loi SREN lui-même : legifrance.gouv.fr
8. CNIL, bilan des sanctions et des mesures correctrices pour l’année 2025, publié le 9 février 2026 : 83 sanctions, dont 78 amendes, pour un montant total de 486 839 500 euros : cnil.fr
9. ANSSI, « Prestataires de services d’informatique en nuage (SecNumCloud), référentiel d’exigences », version 3.2, exigence 19.6 point a relative à la protection contre le droit extra-européen : « Le siège statutaire, administration centrale et principal établissement du prestataire doivent être établis au sein d’un État membre de l’Union Européenne. » La lettre c de la même exigence vise le recours à une société tierce établie hors de l’Union et impose que celle-ci n’ait aucune possibilité technique d’accéder aux données traitées dans le service, données techniques comprises. Source : cyber.gouv.fr
10. Circulaire n° 6519/SG du 5 février 2026 relative à la commande publique numérique, avec la souveraineté numérique comme deuxième objectif prioritaire après la performance fonctionnelle, et l’indépendance à l’égard des droits extra-européens à portée extraterritoriale comme l’une de ses composantes : legifrance.gouv.fr
11. Thales, communiqué sur la qualification SecNumCloud 3.2 de l’offre PREMI3NS de S3NS, la coentreprise de Thales et de Google Cloud, délivrée le 17 décembre 2025 : thalesgroup.com