CNIL

Le 20 juillet 2026, la CNIL et le Conseil de l'IA et du Numérique ont publié une note exploratoire sur les conséquences de l'IA agentique pour les données personnelles. Les deux organismes relèvent un changement d'échelle lié à l'accès des agents à de multiples sources, à la circulation des données entre services et à la conservation de mémoires persistantes, qui favorisent des profils utilisateurs très détaillés. L'autonomie des systèmes complique également le partage des responsabilités et étend les risques de cybersécurité aux services connectés. La note estime que le droit européen de la protection des données et la réglementation de l'IA s'appliquent déjà à ces systèmes, mais que leur autonomie, leur mémoire et leur capacité à agir au nom de l'utilisateur imposent d'adapter les modalités de mise en œuvre de ces règles.

À partir de début août 2026, Doctolib lance un programme de recherche en intelligence artificielle de trois ans exploitant les données de santé pseudonymisées de ses quelque 50 millions d'utilisateurs, sauf opposition de leur part. Mené avec l'équipe HeKA (Inria, Inserm, Université Paris Cité), il vise à anticiper des risques médicaux et à mesurer la fiabilité de modèles génératifs en santé, sur la base du référentiel CNIL MR-004. Les données sont conservées cinq ans.

Doctolib a annoncé le 8 juillet 2026, par email envoyé à ses 80 000 professionnels de santé et à ses patients, la création d'un laboratoire de recherche en IA clinique visant à améliorer les parcours de soins, en partenariat avec Inria, l'Inserm et l'Université Paris Cité. Le démarrage des recherches est prévu en août 2026 pour une durée de trois ans. Les données concernées incluent les données démographiques, les données de santé déclarées et celles des proches rattachés au compte, pseudonymisées. Le dispositif s'appuie sur la méthodologie de référence MR-004 de la CNIL, qui autorise un mécanisme d'opposition (opt-out) plutôt qu'un consentement explicite préalable pour la recherche d'intérêt public. Les utilisateurs peuvent s'opposer via un lien dédié inséré dans l'email et dans les pages de confirmation de rendez-vous ; Doctolib précise qu'une fois les recherches lancées, le retrait ne sera plus garanti afin de préserver la validité scientifique du projet. Ce sujet est distinct d'une affaire séparée, révélée par Le Canard Enchaîné, concernant l'assistant de transcription vocale de Doctolib et le partage de notes de consultation avec des fournisseurs de modèles d'IA, que Doctolib conteste par ailleurs.

Le Comité européen de la protection des données (CEPD) a adopté le 7 juillet 2026 trois textes relatifs aux données et à l'IA, selon un communiqué relayé par la CNIL. Seules les lignes directrices sur la chaîne de blocs ont été adoptées en version finale. Les projets de lignes directrices sur l'anonymisation et sur le moissonnage de données web (web scraping) pour l'IA générative restent, eux, soumis à consultation publique jusqu'au 30 octobre 2026 et ne sont donc pas encore définitifs.

Le 3 juillet 2026, le ministère du Travail et des Solidarités, l'AFCDP et la CNIL ont publié les résultats de la 5e édition de l'Observatoire du métier de délégué à la protection des données (DPO), réalisée par l'AFPA à partir d'une enquête lancée en 2025 et consacrée cette année à l'intelligence artificielle. L'étude montre que 70% des organisations utilisent ou prévoient d'utiliser l'IA, à 81% de l'IA générative, aux deux tiers achetée auprès de fournisseurs externes. La gouvernance reste peu structurée : moins de 25% des entités ont une stratégie IA formelle et seulement 31% ont entamé leur préparation au règlement européen sur l'IA. Côté DPO, 55% estiment que ce règlement relève déjà de leur périmètre et 71% souhaitent un élargissement de leurs missions en ce sens, mais seuls 27% jugent bien connaître le texte et 85% n'ont suivi aucune formation spécifique.