IA agentique et DSN : jusqu'où déléguer l'action ?

Comprendre la capacité d'action

Dans un article publié le 2 septembre 2026, Romain Darous, au laboratoire LINC de la CNIL, souligne la diversité des définitions de l'IA agentique. Il décrit notamment des systèmes qui associent un modèle d'IA générative à des outils permettant d'interagir avec un environnement. Le niveau d'autonomie peut varier.

La CNIL et le CIANum ont également publié, le 20 juillet 2026, une note exploratoire consacrée aux données personnelles. Ils y examinent la circulation des données entre services et les questions de responsabilité liées à la délégation d'actions.

Pour aborder un projet DSN, nous proposons donc de décrire l'action attendue avant de choisir la technologie : consulter une documentation, préparer une analyse, suggérer une affectation ou modifier une information. Ces possibilités sont des pistes d'étude ; elles doivent être examinées séparément.

Définir le périmètre avant l'expérimentation

Une fiche de cadrage peut préciser l'utilisateur concerné, les données nécessaires, les outils accessibles et le résultat attendu. Elle peut aussi nommer les actions exclues. L'objectif proposé est de rendre le périmètre compréhensible pour les équipes métier, la DSI et les responsables de la protection des données.

Nous suggérons de distinguer trois modalités de travail : une réponse consultative, une proposition soumise à validation et une action exécutée dans un périmètre autorisé. Cette distinction est une grille éditoriale de discussion, sans prétendre constituer une classification réglementaire.

Pour chaque modalité, les mêmes questions restent à documenter : quelles informations peuvent être lues ? Quelles opérations peuvent être déclenchées ? Qui valide ? Qui peut interrompre le traitement ? Quelle trace permet ensuite de comprendre ce qui a été réalisé ?

Préparer les critères d'évaluation

Avant un essai, nous proposons de réunir des situations de référence, avec le résultat attendu et les cas qui doivent être transmis à un gestionnaire. L'évaluation peut porter sur l'exactitude des informations utilisées, la pertinence des propositions, les erreurs constatées et la qualité des traces disponibles.

Le temps de traitement peut être mesuré, en précisant ce qu'il inclut : préparation des données, analyse, vérification et éventuelle reprise. Une mesure ainsi définie permettrait de comparer des résultats sur un périmètre explicite, sans annoncer de gain avant l'expérimentation.

Dans son opinion du 6 août 2025, adressée aux superviseurs nationaux, l'EIOPA traite notamment de gouvernance des données, de tenue des traces et de supervision humaine. Cette opinion clarifie des principes existants ; elle ne crée pas de nouvelles exigences.

Une question à poser en comité projet

Quelle décision sommes-nous prêts à déléguer, sur quelles données et avec quelle possibilité de reprise ? Nous proposons de consigner la réponse pour chaque usage étudié, puis de la réexaminer lorsque le périmètre, les outils connectés ou les conditions d'utilisation changent.

Pour les responsables DSN, cette démarche ouvre un sujet de travail précis : choisir une tâche, nommer les contrôles et définir les éléments qui permettront de juger l'essai. La décision de déployer, d'adapter ou d'arrêter l'usage pourra alors être documentée.