Ce que votre agent retient, et pour combien de temps

Version 1.0 · Publié le 2026-09-07

La plupart des équipes qui exploitent un agent face aux clients savent dire ce qu’il sait. Bien moins savent dire ce qu’il conserve. Ce sont deux questions distinctes, et une seule des deux retient aujourd’hui l’attention d’un régulateur.

Cet article traite de la seconde. À la fin, vous disposerez de quatre questions à poser à n’importe quel fournisseur d’agents, le nôtre compris, et vous saurez reconnaître une vraie réponse d’une réponse évasive.

Ce que le régulateur a réellement dit

Le 20 juillet 2026, la CNIL a publié avec le Conseil de l’IA et du numérique, le CIANum, une note commune sur les effets de l’IA agentique sur les données à caractère personnel. La synthèse de Covington, French CNIL Publishes Note on Agentic AI and Data Protection, en donne le compte rendu le plus clair en anglais.

Commencez par la réserve, car beaucoup de commentaires de fournisseurs l’omettront. La note est exploratoire. Elle n’énonce aucune attente réglementaire définitive, n’annonce aucune future recommandation et ne nomme aucun fournisseur. Personne ne s’y conforme et personne ne l’enfreint. C’est un régulateur qui réfléchit à voix haute, et c’est précisément ce qui la rend utile.

Elle signale quatre zones de risque : des chaînes de traitement opaques réparties sur plusieurs services, la mémoire persistante, les erreurs en cascade, et des rôles de responsable de traitement et de sous-traitant mal définis. La deuxième nous occupe ici, et la raison de sa place en tête est simple. Une personne ne peut pas vous dire ce qu’un agent a retenu d’elle, où cela se trouve, ce qui en a été fait, ni quand cela disparaîtra.

Pourquoi la mémoire s’étend d’elle-même

La mémoire persistante est rarement une fonctionnalité que quelqu’un a choisie. C’est ce que vous obtenez quand personne ne choisit.

La construction la plus simple empile chaque interaction, donne à chaque instance de l’agent sa propre copie, et hérite de la durée de conservation que la couche de stockage applique par défaut. Rien de négligent là-dedans. C’est le chemin de moindre résistance, et il produit un système où personne n’a jamais regardé ce qui est conservé au sujet d’une personne donnée.

Viennent ensuite les problèmes de second ordre, que la note nomme. Un fait erroné inscrit en mémoire se propage au système suivant qui le lit, et une erreur devient ainsi une cascade. Les durées de conservation se multiplient jusqu’à ce que plus personne ne les suive. Les pistes techniques découlent directement de ce diagnostic. Cloisonnez la mémoire par agent et par processus. Imposez-lui des limites de taille et une expiration automatique. Filtrez et détectez à chaque appel d’un modèle, et pas seulement sur la première requête. Classez les actions par niveau de risque, pour qu’un humain intervienne sur les plus sensibles.

Relisez cette liste et voyez ce qu’elle est. Ce sont des décisions produit. Chacune d’elles est une chose qu’un fournisseur a faite ou n’a pas faite, des mois avant que tout cela ne soit écrit.

Les quatre questions

D’où les questions. Elles sont volontairement ennuyeuses, et c’est tout l’intérêt : chacune appelle une réponse factuelle qu’un fournisseur possède ou ne possède pas.

Qu’est-ce qui est conservé ? Pas « nous stockons l’historique des conversations ». Quels champs, à quelle fin, et ce qui a été délibérément écarté. Une bonne réponse est courte, précise, et mentionne quelque chose que le fournisseur a choisi de jeter. Une réponse évasive décrit une capacité au lieu d’une décision.

Où cela réside-t-il ? Quel stockage, dans quelle région, et séparé par quoi. Une bonne réponse nomme d’elle-même la frontière entre la mémoire d’un client et celle d’un autre.

Qu’est-ce qui peut le lire ? C’est la question qui surprend le plus souvent. Une mémoire que n’importe quel composant peut lire est une mémoire sans contrôle d’accès, et la réponse doit distinguer ce que le système peut lire de ce qu’un salarié du fournisseur peut lire.

Quand cela disparaît-il ? La meilleure réponse est un chiffre et un mécanisme. « La conservation est de 365 jours, l’expiration est automatique, et les copies dérivées expirent avec l’original » vaut mieux que n’importe quel volume de déclarations sur l’attachement à la vie privée. Un fournisseur incapable de répondre vous dit que personne n’en est propriétaire.

L’erreur classique consiste à accepter une réponse à la première question comme si elle réglait la quatrième. Savoir ce qu’un système stocke ne dit rien du moment où il cesse de le stocker, et c’est cette seconde question qu’une personne concernée finira par vous poser.

Nos réponses, et ce sont les nôtres

Voici comment Unless répond à ses propres quatre questions, formulées comme nos choix de conception et non comme la conformité à une note qui n’exige rien.

Living Memory conserve ce qui sert la relation client et reste privée par client, ce qui règle la question du cloisonnement au niveau de l’architecture plutôt que par un réglage. Les données à caractère personnel restent dans des régions de l’UE, et notre durée de conservation n’excède pas 365 jours, avec des sauvegardes de base de données en continu sur un cycle de trente-cinq jours. Les deux figurent sur notre page consacrée aux droits des personnes concernées, sans qu’il faille les demander.

Sur ce qui peut le lire : les identifiants sont filtrés et transformés en jetons au niveau de la passerelle avant tout appel à un modèle génératif tiers, de sorte que le modèle qui formule la réponse reçoit des marqueurs et non des noms. Il faut être précis sur la limite de cette affirmation. Il s’agit d’une minimisation au mieux des identifiants détectables, et non d’une anonymisation, et l’étape de détection des données à caractère personnel lit par conception l’entrée brute. C’est pourquoi elle figure comme sous-traitant ultérieur dans votre DPA au lieu d’en être discrètement absente.

Et sur le moment où cela disparaît : le responsable de traitement exerce l’accès, la rectification, l’effacement et la portabilité depuis le tableau de bord, un humain confirmant avant toute modification. Les jetons sont orphelins dès que la valeur sous-jacente est modifiée ou supprimée. C’est le point opérationnel, et c’est par là qu’il faut commencer : il existe un mécanisme que vous pouvez exécuter, et ensuite une trace montrant qu’il l’a été.

La partie où un humain doit vraiment en être un

La note aborde également les décisions déléguées produisant des effets significatifs, et avec elles la question de savoir si la supervision humaine est réelle ou décorative.

Nous avons traité ce point en détail dans l’approbation n’est pas la supervision, la version courte suffit donc ici. Quelqu’un qui valide ce qu’il ne peut pas inspecter ne supervise rien. La supervision devient réelle lorsque celui qui approuve voit ce qu’il approuve et aurait pu dire non. La mémoire est l’endroit où cela se joue en pratique, car qui ne voit pas ce dont l’agent s’est souvenu ne peut pas évaluer ce qu’il en a conclu.

À lire en parallèle : le trio fatal traite la mémoire comme l’un des trois volets d’un risque d’exfiltration. C’est un autre problème que celui-ci. Cet article porte sur l’opacité et la conservation ; l’autre porte sur ce qu’un attaquant peut en extraire.

Ce que vous pouvez faire cette semaine

Envoyez les quatre questions à qui exploite votre agent, y compris votre propre équipe si vous l’avez construit. Demandez les réponses par écrit, car le fait même de les écrire transforme une hypothèse en décision.

Si elles reviennent sous forme de descriptions de capacités plutôt que de choix, vous avez vu exactement ce que la CNIL pointait. Non pas que quelqu’un ait enfreint une règle. Mais que personne n’ait décidé.