Agents IA pour l'automatisation : comment les choisir, et ce que dit la CNIL sur vos données
Publié le 2026-08-14 · mis à jour le 2026-08-14
En bref : un agent IA ne fait pas la même chose qu’un scénario d’automatisation classique, et la confusion coûte cher au moment de choisir un outil. L’automatisation par règles exécute une suite d’actions fixes ; l’agent IA raisonne sur un objectif et décide lui-même des étapes. Depuis le 20 juillet 2026, la CNIL et le Conseil de l’IA et du Numérique ont publié une note sur les risques spécifiques que cette autonomie fait peser sur les données personnelles. Voici la distinction à connaître avant d’équiper son entreprise, et douze agents IA comparés sur leurs tarifs et leur hébergement réels.
Automatisation classique et agent IA : ce n’est pas le même outil
Un scénario d’automatisation (RPA, no-code, scripts) suit une logique fixe : si telle condition est remplie, alors telle action se déclenche, sur des données structurées, sans marge d’interprétation. C’est fiable et prévisible tant que le processus ne change pas, mais ça casse dès qu’une étape imprévue survient, et ça demande une maintenance régulière des scénarios.
Un agent IA part d’un objectif plutôt que d’une suite d’étapes : il analyse le contexte, choisit les actions à mener parmi plusieurs outils ou sources de données, et s’adapte si la situation change. C’est ce qui permet à un agent vocal de gérer un appel imprévu, ou à un agent de navigation web de s’adapter à une interface qui a changé, là où un script RPA classique se serait arrêté. Cette autonomie a un revers : l’agent devient plus difficile à auditer, et c’est précisément le point que soulève la CNIL.
Ce que dit la CNIL sur les agents IA autonomes
Dans une note exploratoire publiée le 20 juillet 2026, la CNIL et le Conseil de l’IA et du Numérique (CIANum) alertent sur le changement d’échelle que représente l’IA agentique pour la protection des données personnelles. Les points soulevés concernent directement les entreprises qui déploient des agents IA sur des tâches d’automatisation : la mémoire persistante de certains agents et leur capacité à créer des profils hyperpersonnalisés amplifient les risques liés à la circulation des données entre plusieurs services, et un agent autonome peut déclencher des traitements en cascade sans intervention humaine directe, ce qui complique l’identification du responsable de traitement et l’exercice des droits des personnes concernées.
La note précise que le cadre RGPD existant s’applique déjà pleinement à ces systèmes, sans exception liée à leur autonomie, mais que leurs caractéristiques propres (mémoire persistante, capacité d’action sur plusieurs services, chaînes de traitement parfois opaques) imposent d’adapter les modalités de mise en œuvre. Ce principe rejoint une règle plus ancienne mais toujours en vigueur, le droit à l’intervention humaine face à une décision automatisée prévu par l’article 22 du RGPD : dès qu’une décision entièrement automatisée produit un effet juridique ou affecte significativement une personne, celle-ci peut demander qu’un humain la révise.
À retenir
- Automatisation classique : règles fixes, prévisible, casse au premier imprévu. Agent IA : objectif, décision autonome, s’adapte mais devient plus difficile à auditer.
- Depuis le 20 juillet 2026, la CNIL et le CIANum documentent les risques spécifiques de l’IA agentique pour les données personnelles, sans changer le cadre RGPD applicable.
- Un agent qui prend seul une décision à conséquence réelle pour un client doit rester contrôlable par un humain (article 22 du RGPD).
Quatre familles d’agents IA pour l’automatisation
Le catalogue référence 37 solutions dans la catégorie Agents IA. Douze d’entre elles, aux fiches les plus complètes et au tarif ou à l’hébergement clairement documentés, couvrent quatre usages distincts d’automatisation en entreprise.
Agents conversationnels branchés sur les données internes
Ces agents répondent, cherchent et raisonnent à partir des documents, outils et bases de connaissances déjà en place dans l’entreprise, plutôt que d’exécuter une tâche isolée.
| Outil | Ce qu’il fait | Tarif à partir de | Hébergement |
|---|---|---|---|
| Dust | Agents personnalisés multi-modèles (GPT, Claude, Gemini, Mistral), workflows multi-agents, connecteurs MCP | 24 $/siège/mois (plan gratuit permanent) | Résidence des données UE ou US au choix selon le plan |
| LightOn | Assistant Paradigm branché sur les connaissances internes, API RAG documentaire multimodale | 0 €/mois + facturation à l’usage (Starter) | Hébergement souverain UE annoncé (Starter/Business), SecNumCloud/VPC/on-premise en Enterprise |
| Craft AI | Assistant conversationnel + agents connectés aux outils internes, monitoring FinOps/GreenOps | 35 € | France/UE revendiqué, infrastructure SaaS non détaillée publiquement |
| iAdvize | Agents IA en pré-vente e-commerce combinés à des conseillers humains, routage omnicanal | 550 €/mois | Non communiqué publiquement (éditeur français) |
Agents qui agissent : la RPA augmentée par l’IA
Ici, l’agent ne se contente pas de répondre : il exécute une tâche de bout en bout à la place d’un humain, sur le téléphone, dans un navigateur, ou en enchaînant plusieurs outils.
| Outil | Ce qu’il fait | Tarif à partir de | Hébergement |
|---|---|---|---|
| Rounded | Agents vocaux IA no-code pour les appels entrants (secrétariat, qualification de leads, relance d’impayés) | 129 €/mois | France, sans certification tierce publiée |
| Twin | Automatisation de navigateur (browser automation), scraping, prospection multicanal sans code | 20 €/mois | Non documenté publiquement à la date du contrôle |
| Synrune | Moteur de workflow qui enchaîne plusieurs outils IA, applications sur-mesure déployées chez le client | 490 €/mois | Self-hosted / on-premise sur l’infrastructure du client |
Orchestration multi-outils : l’agent qui fait circuler l’information
Ces agents connectent plusieurs applications métier entre elles (CRM, messagerie, outils bureautiques) pour piloter un processus qui traverse plusieurs systèmes.
| Outil | Ce qu’il fait | Tarif à partir de | Hébergement |
|---|---|---|---|
| Cobl.ai | Génération multi-agents de propositions commerciales et réponses aux appels d’offres, intégré à Salesforce, Gmail, Teams et Notion | 23 €/mois (essai gratuit) | Non communiqué publiquement |
| Upstream | Boîte mail agentique : détection des messages à traiter, rédaction de réponses dans le style de l’utilisateur, relances automatiques | Gratuit (Core), puis 20 $/membre/mois (Pro) | Non documenté publiquement ; s’appuie sur des modèles Anthropic ou OpenAI au choix |
| Mindflow | Hyperautomatisation no-code (SOAR) pour l’IT et la cybersécurité, plus de 150 000 opérations disponibles | Sur devis | Non communiqué publiquement |
Agents avec gouvernance et supervision explicite
Deux plateformes du catalogue rendent la supervision humaine visible et pilotable, plutôt que de la laisser à la charge de l’entreprise cliente : un point directement utile face aux recommandations de la CNIL citées plus haut.
| Outil | Ce qu’il fait | Tarif à partir de | Hébergement |
|---|---|---|---|
| GetVocal | Orchestration d’agents conversationnels multicanaux pour centres de contact, avec tour de contrôle d’audit temps réel des décisions | Sur devis | Au choix : on-premise, auto-hébergé, UE, ou hybride |
| Siit | Service desk interne dopé à l’IA (Slack, Teams, email), agents exécutant des workflows d’approbation de bout en bout | 23 € | Hébergé sur AWS, certifié SOC 2 Type II, région précise non communiquée |
Comment choisir : quatre critères avant de signer
L’hébergement réel des données, pas seulement le pays du siège social. Un éditeur français peut très bien router ses traitements vers des modèles hébergés hors UE, comme le montrent plusieurs fiches de ce comparatif. Vérifiez la mention explicite d’un hébergement UE ou France sur la page tarifs ou dans la politique de confidentialité, pas seulement dans la communication marketing.
Le niveau de supervision humaine intégré nativement. Un agent qui décide seul d’une action à conséquence pour un client devrait, au minimum, journaliser ses décisions et permettre une reprise en main humaine. GetVocal et Zaion en font un argument produit explicite ; sur d’autres outils, cette garantie reste à construire côté entreprise cliente.
Le modèle tarifaire, et ce qu’il cache. Par siège (Dust, Upstream), à l’usage (LightOn), à l’abonnement fixe (Rounded, Synrune) ou sur devis (Mindflow, GetVocal) : ces modèles ne se comparent pas directement, et un tarif sur devis empêche toute estimation avant un premier contact commercial.
La réversibilité. Un agent qui a appris le contexte de l’entreprise (documents, historique, règles métier) crée une forme de dépendance à l’outil. Avant de généraliser un déploiement, vérifiez ce qu’il est possible d’exporter et de reconstruire ailleurs si la relation avec l’éditeur s’arrête.
Les erreurs fréquentes à éviter
Déployer un agent IA avant d’avoir cartographié le processus qu’il doit automatiser. Un agent n’invente pas un processus métier clair là où il n’existe pas : sans règles de décision et sans cas limites identifiés en amont, il improvisera sur des zones grises, ce qui est exactement le risque que pointe la note CNIL/CIANum.
Confondre un scénario d’automatisation simple et un agent réellement autonome. Beaucoup d’outils se présentent comme des « agents IA » alors qu’ils exécutent un scénario fixe assisté par un modèle de langage. La distinction compte pour évaluer le niveau de supervision réellement nécessaire, pas seulement pour le choix technique.
Laisser un agent agir sur des données personnelles sans traçabilité. Dès qu’un agent traite des données de clients, de prospects ou de salariés, la question n’est plus seulement technique : elle engage la conformité RGPD de l’entreprise qui le déploie, quel que soit l’endroit où l’agent est hébergé.
Pour comparer les agents IA fiche par fiche, tarifs et hébergement constatés à l’appui, direction la catégorie Agents IA.
Questions fréquentes
Quelle est la différence entre un agent IA et l'automatisation classique (RPA, no-code) ?
L'automatisation classique (RPA, scénarios no-code, scripts) exécute une suite d'actions prédéfinies selon des règles fixes : si telle condition, alors telle action, sans marge d'interprétation, et elle casse dès que le processus change. Un agent IA raisonne sur un objectif à partir de données structurées et non structurées, choisit lui-même les étapes pour l'atteindre, et s'adapte quand le contexte change. En pratique, les deux se combinent souvent dans les outils de ce comparatif : l'automatisation exécute les tâches répétitives et stables, l'agent IA prend le relais sur les cas ambigus ou les décisions à trancher.
Combien coûte un agent IA pour l'automatisation en entreprise ?
Les tarifs observés dans ce comparatif vont d'un plan gratuit permanent (Dust, en version limitée, ou Upstream sur son offre Core) à 550 €/mois pour une plateforme de relation client à grande échelle (iAdvize), avec des paliers intermédiaires autour de 20 à 35 €/mois par utilisateur (Twin, Cobl.ai, Craft AI) et des offres on-premise nettement plus chères (490 €/mois pour Synrune). Plusieurs éditeurs (Mindflow, GetVocal) ne publient aucun tarif et fonctionnent uniquement sur devis, ce qui rend la comparaison directe impossible sans contact commercial.
Le RGPD s'applique-t-il à un agent IA qui traite des données personnelles ?
Oui, sans exception liée au caractère autonome de l'agent. La CNIL et le Conseil de l'IA et du Numérique (CIANum) l'ont rappelé dans une note exploratoire publiée le 20 juillet 2026 : le cadre RGPD existant s'applique pleinement à l'IA agentique, mais ses caractéristiques (mémoire persistante, capacité à agir sur plusieurs services, chaînes de traitement parfois opaques) compliquent l'identification du responsable de traitement et l'exercice des droits des personnes concernées, ce qui impose d'adapter les modalités de mise en œuvre plutôt que d'inventer un nouveau cadre.
Quel niveau de supervision humaine faut-il prévoir sur un agent IA autonome ?
L'article 22 du RGPD donne à toute personne le droit de ne pas être soumise à une décision entièrement automatisée qui produit des effets juridiques ou l'affecte de façon significative, sauf exceptions (consentement, contrat, disposition légale), et dans tous les cas le droit d'obtenir une intervention humaine. Concrètement, un agent qui décide seul d'une action à conséquence réelle pour un client (relance d'impayé, réponse contractuelle, refus) doit rester contrôlable par un humain : certaines plateformes de ce comparatif intègrent ce garde-fou nativement, comme la tour de contrôle de GetVocal qui audite en temps réel les décisions des agents, plutôt que de le laisser entièrement à la charge de l'entreprise cliente.
Un agent IA doit-il être hébergé en France pour être conforme au RGPD ?
Non, ce n'est pas une obligation légale en soi. Le RGPD encadre le traitement des données, pas leur localisation géographique à l'intérieur de l'Union européenne. Un hébergement en France ou en UE simplifie néanmoins la démonstration de conformité et la relation avec un sous-traitant soumis au même droit, ce qui explique pourquoi une majorité des éditeurs de ce comparatif (Dust, LightOn, Craft AI, Rounded, Synrune) le mettent en avant. À l'inverse, plusieurs solutions ne communiquent tout simplement pas cette information (Twin, Cobl.ai, Mindflow, Upstream), ce qui doit alerter avant toute signature si l'agent traite des données personnelles.
Comment choisir entre plusieurs agents IA pour l'automatisation de mon entreprise ?
Partez du cas d'usage, pas de l'outil : un agent conversationnel branché sur vos documents internes (Dust, LightOn, Craft AI) ne résout pas le même problème qu'un agent vocal qui décroche le téléphone (Rounded) ou qu'un agent qui pilote un navigateur pour prospecter (Twin). Vérifiez ensuite trois points avant de signer : l'hébergement réel des données, le modèle tarifaire (par siège, à l'usage, ou sur devis) et le niveau de supervision humaine proposé nativement sur les décisions à conséquence.
Sources : IA agentique et données personnelles : la CNIL et le Conseil de l'IA et du Numérique publient une note exploratoire (consulté le 2026-08-14) · Vos droits à l'intervention humaine face à votre profilage ou à une décision automatisée (article 22 du RGPD) (consulté le 2026-08-14)