Agent IA conforme RGPD : guide d'architecture 2026

Les enquêtes RGPD liées à l'IA ont augmenté de 340 % entre 2024 et 2026, et la Loi IA de l'UE commence à appliquer les obligations à haut risque de l'Annexe III le 2 août 2026, avec des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Les deux cadres s'appliquent désormais simultanément à quiconque exploite un agent IA qui touche des données personnelles de l'UE, et il n'y a aucune exemption pour "nous sommes petits" ou "c'est juste un projet interne d'équipe".

C'est pourquoi beaucoup d'entreprises européennes reconstruisent discrètement les outils d'IA qu'elles utilisaient l'an dernier. La pile fournisseurs a changé sous leurs pieds : ce qui était un seul compte OpenAI en 2024 est désormais un responsable de traitement, un sous-traitant, une chaîne de sous-sous-traitants, une cartographie des flux de données et une Analyse d'Impact relative à la Protection des Données qui doit véritablement exister avant la mise en production de l'agent.

Cet article est la version pratique et indépendante du fournisseur de cette reconstruction. Nous couvrons ce que le RGPD et la Loi IA de l'UE exigent réellement d'un agent IA en 2026, pourquoi "région UE" sur un cloud américain ne suffit pas, les choix d'architecture qui vous gardent du bon côté de la ligne, et où s'insère un agent auto-hébergé comme Hermes.

Ce que "conforme RGPD" signifie réellement pour un agent

Le RGPD a été rédigé pour des systèmes où un humain saisit des données et une machine les traite de façon prévisible. Les agents IA sont plus désordonnés. Le même agent lit votre boîte de réception, appelle une API de modèle, écrit dans un magasin vectoriel, exécute une tâche planifiée et publie sur Telegram. Chaque étape est une activité de traitement distincte avec sa propre base juridique.

Les exigences n'ont pas changé : elles mordent simplement plus fort quand le système est autonome.

• Article 5 (minimisation des données) : l'agent ne doit collecter et conserver que le nécessaire. L'historique indéfini de transcriptions complètes "pour analytique ou entraînement" est le drapeau rouge le plus courant.
• Article 6 (base juridique) : chaque étape de traitement en a besoin d'une. L'intérêt légitime n'est pas un laissez-passer quand la donnée est sensible ou que l'utilisateur n'a pas été informé.
• Article 22 (décisions automatisées) : si l'agent prend des décisions affectant significativement une personne - approuver un remboursement, noter un CV, escalader un cas de support - l'utilisateur a droit à un examen humain.
• Article 25 (protection des données dès la conception) : les contrôles de confidentialité doivent être dans l'architecture dès le départ, pas vissés après une plainte.
• Article 30 (registre des activités de traitement) : il vous faut un inventaire documenté des données personnelles : où elles vivent, qui y accède, combien de temps vous les conservez.
• Article 17 (droit à l'effacement) : quand un utilisateur demande à être oublié, vous devez le supprimer : du journal de conversation, du magasin vectoriel, de la mémoire de l'agent et de toute sortie d'outil ayant capturé ses données.

Les Articles 22 et 25 sont les deux les plus cités dans la nouvelle vague de procédures de sanction. Ce sont aussi les deux qui prennent les agents IA hébergés au dépourvu, parce que la plateforme décide de l'architecture et vous héritez de ce qu'elle a livré.

La couche Loi IA de l'UE par-dessus

Le RGPD régit les données personnelles. La Loi IA de l'UE régit le système IA lui-même. À partir d'août 2026, les fournisseurs et déployeurs de systèmes à "haut risque" - qui incluent de nombreux cas d'usage en RH, crédit, éducation et infrastructures critiques - doivent démontrer trois choses :

1. Gouvernance : politiques documentées, supervision humaine, un véritable processus de gestion des risques.
2. Auditabilité : journaux par requête montrant ce que l'agent a exécuté, quand, et sur quelles données.
3. Résidence des données : preuve que les données personnelles et réglementées sont restées dans les juridictions exigées par la loi.

Les deux cadres ne se remplacent pas. Ils s'empilent. Au moment où la Loi IA sera pleinement applicable en décembre 2027, un agent touchant à des données personnelles de l'UE devra satisfaire les deux, et un seul journal manquant peut faire sortir tout un pipeline de la conformité.

Pourquoi "région UE" ne suffit pas

Le malentendu le plus coûteux de 2026 est de traiter "région UE" sur un hyperscaler américain comme une solution de résidence. Ce n'en est pas une.

Le CLOUD Act américain permet aux autorités américaines de contraindre les entreprises américaines à livrer des données stockées n'importe où dans le monde, y compris dans les centres de données européens. Si votre fournisseur de modèle, votre base vectorielle ou l'hôte de votre agent est une entité juridique américaine, vos données sont soumises à la juridiction américaine quelle que soit la localisation physique du serveur. Le Chapitre V du RGPD sur les transferts internationaux ne regarde pas où est le disque : il regarde qui contrôle l'accès.

Cela a des conséquences réelles pour la conception de l'agent IA. Appeler une API de modèle dont le siège est aux États-Unis depuis l'intérieur de l'UE est un transfert international de données personnelles au moment de l'inférence, même si toutes les autres couches sont européennes. L'amende de 15 millions d'euros du Garante italien à OpenAI en 2024 portait en partie exactement sur ce type de transfert non annoncé.

Il y a trois réponses pratiques :

1. Utiliser un fournisseur de modèle dont le siège est dans l'UE (Mistral, Aleph Alpha, modèles à poids ouverts hébergés par OVHcloud). Les transferts restent dans l'EEE et les Clauses Contractuelles Types ne sont pas nécessaires.
2. Auto-héberger le modèle sur une infrastructure UE (Llama, Mistral, Qwen via Ollama ou vLLM). Aucun transfert n'a lieu : l'inférence s'exécute sur du matériel que vous contrôlez.
3. Utiliser un fournisseur américain avec un Accord de Traitement des Données signé et documenter le mécanisme de transfert. Possible, mais c'est le maximum de paperasse et la base juridique est la plus fragile si l'utilisateur n'a pas été informé.

Le choix dépend de la sensibilité de la donnée et du budget. Pour des agents grand public qui manipulent des données de contact ordinaires, un fournisseur américain adossé à un DPA peut être défendable. Pour des agents touchant à des données de santé, financières ou RH, la deuxième option devient de plus en plus le défaut sûr.

L'architecture d'agent auto-hébergé qui tient

Auto-héberger le runtime aide beaucoup, mais cela ne résout pas à soi seul la résidence au moment de l'inférence. Une architecture défendable en 2026 combine plusieurs couches.

• Un runtime auto-hébergé sur une infrastructure UE (Hetzner, OVHcloud, Scaleway, votre propre matériel). Le processus de l'agent, les journaux de conversation, le magasin vectoriel et les fichiers de skills vivent sur des disques que vous contrôlez.
• BYOK sur le fournisseur de modèle pour que vous choisissiez où l'inférence se déroule. Bring Your Own Key garde transparents la facture du modèle, le flux des données et le choix du fournisseur.
• Secrets chiffrés au repos pour les clés API, les jetons OAuth et les identifiants de messagerie. Le chiffrement au niveau du disque ne suffit pas : le chiffrement au niveau applicatif avec une clé que la plateforme hôte ne voit jamais est le standard.
• Allowlists strictes sur chaque surface de messagerie (Telegram, Slack, Signal, email). Les agents qui répondent à n'importe qui avec le nom du bot sont le vecteur d'incident RGPD le plus courant chez ceux qui s'auto-hébergent.
• Une politique de rétention documentée avec de véritables tâches de suppression qui tournent. "Nous supprimons sur demande" ne suffit pas si vous ne pouvez pas montrer la piste d'audit demande-à-suppression.
• Journaux structurés par requête qui capturent ce que l'agent a fait, mais rédigent les données personnelles à l'intérieur des prompts. Les nouvelles stacks de logging structuré rendent cela praticable sans en écrire une à la main.

C'est le motif d'architecture que l'Article 25 du RGPD ("protection des données dès la conception") attend que vous puissiez dessiner sur un tableau. C'est aussi le motif qui survit à une Analyse d'Impact relative à la Protection des Données sans des mois de remédiation derrière.

Où Hermes et Hermify s'insèrent

Hermes Agent est une option qui s'aligne avec l'architecture ci-dessus dès la sortie de la boîte. Il est sous licence MIT, tourne en Docker sur n'importe quel VPS UE, BYOK sur le fournisseur de modèle pour que vous choisissiez où l'inférence se déroule, chiffre les clés API au repos et embarque des contrôles d'allowlist par messager (SLACK_ALLOWED_USERS, SIGNAL_ALLOWED_USERS, EMAIL_ALLOWED_USERS). Le journal de conversation, le magasin vectoriel et la mémoire persistante de l'agent vivent tous dans HERMES_HOME sur l'hôte que vous avez choisi, ce qui signifie que la résidence des données est une question de déploiement, pas une question de fournisseur.

Le cadrage honnête : Hermes auto-hébergé plus BYOK soutient une architecture défendable sous le RGPD, mais ce n'est pas une certification. Vous restez le responsable du traitement. Vous avez toujours besoin de l'AIPD, de la politique de rétention, de la tâche de suppression et des registres de l'Article 30. Ce qui change, c'est que la couche technique cesse de vous combattre.

Pour les entreprises européennes qui veulent la même configuration sans gérer d'infrastructure, Hermify héberge Hermes sur des VPS région UE, signe un DPA pour la couche runtime et garde vos clés fournisseur chiffrées avec une clé que la plateforme ne peut pas lire. Le fournisseur du modèle reste votre choix et votre responsabilité : c'est la partie BYOK, et c'est la couche où la résidence se décide.

Une courte checklist de conformité

Une courte liste pratique à emporter dans une conversation d'AIPD :

• Cartographiez chaque endroit où vivent des données personnelles à l'intérieur de l'agent : journal de conversation, magasin vectoriel, fichiers de skills, sorties d'outils, archives de messages.
• Choisissez le fournisseur de modèle en ayant les yeux ouverts sur la juridiction. UE ou auto-hébergé est le chemin le plus facile.
• Signez des DPA avec chaque sous-traitant et sous-sous-traitant de la chaîne.
• Mettez en œuvre une suppression réelle - pas seulement un drapeau - et prouvez-la avec une piste d'audit.
• Verrouillez les surfaces de messagerie avec des allowlists explicites et faites tourner les jetons du bot.
• Loguez par requête, rédigez au moment du log et ne gardez les journaux que le temps nécessaire.
• Ajoutez une étape humaine-dans-la-boucle partout où l'agent prend une décision relevant de l'Article 22.
• Documentez tout. Les registres de l'Article 30 sont l'assurance la moins chère contre une conclusion de "vous ne pouvez pas prouver ce qu'a fait votre agent".

Le défaut de 2026

Il y a cinq ans, "IA conforme au RGPD" sonnait comme une préoccupation européenne de niche. En 2026, c'est la question d'architecture qui décide si vous pouvez vendre à l'entreprise, mener un pilote dans le secteur public ou accepter un seul client UE sans reconstruire au trimestre suivant. Les réponses techniques - runtime auto-hébergé, BYOK, résidence UE à la couche qui compte, secrets chiffrés, allowlists, suppression réelle - ne sont plus exotiques. Ce sont les défauts. Les fournisseurs qui n'ont pas construit pour cela sont ceux que l'on reconstruit autour.

Si vous préférez sauter le travail d'infrastructure et partir d'une base durcie, Commencer avec Hermify prend quelques minutes et vous laisse sur l'architecture ci-dessus. Si vous préférez gérer toute la pile vous-même, les mêmes motifs s'appliquent : le reste du travail est à vous, mais l'agent n'a pas à être la partie qui vous combat.

Sources

• EU AI Act enforcement timeline 2026
• AI Agent GDPR Compliance 2026 12-Point Checklist
• EU Data Residency for AI Infrastructure 2026 Guide
• Running AI Locally in 2026 A GDPR-Compliant Guide
• GDPR-Compliant Agent Deployment Guide
• The Geopolitics of Data Residency and AI Compliance
• AI Privacy Rules GDPR EU AI Act and US Law