Microsoft Clarity trace les agents IA : un casse-tête RGPD pour les DSI

Un tableau de bord qui regarde les bots, pas seulement les humains

Le 4 novembre 2026, Microsoft a ajouté à Clarity, son outil gratuit de mesure d’audience, trois fonctions présentées comme disponibles « dans le monde entier à tous nos utilisateurs » : un tableau Agent Activity (aussi appelé Agentic Analytics), une extension de Brand Agents, et Ask Clarity, rebaptisé Conversational Analytics dans la version destinée aux annonceurs. L’annonce est signée Nabil Naghdy, directeur de la gestion de produit chez Microsoft AI. Le tableau Agent Activity montre, selon Microsoft, « comment le trafic des agents évolue, quels agents visitent votre site et ce qu’ils font une fois arrivés » : recherches, formulaires envoyés, connexions, téléchargements, prises de rendez-vous, paiements. Des simulations complètent le dispositif : elles font tenter une tâche à un agent, par exemple un achat, et indiquent s’il a réussi, en combien de temps et en combien d’interactions. Microsoft commence par le commerce et le voyage, et prévoit d’étendre la liste des scénarios.

Pour un service informatique français, la nouveauté n’est pas anodine. Jusqu’ici, la plupart des outils d’analyse d’audience traitaient les robots comme du bruit à filtrer. Clarity en fait désormais un segment à part entière, avec son propre tableau de bord. Le problème, relevé notamment par le site américain WindowsForum, est que le périmètre réel de la fonction reste plus étroit que l’annonce « disponible dans le monde entier » ne le laisse penser.

Trois opérateurs reconnus, les autres restent invisibles

Le texte de l’annonce précise, en note de bas de page, que « les agents pris en charge actuellement pour Agentic Analytics incluent les opérateurs d’agents de Google, OpenAI et Anthropic ». Aucun autre fournisseur n’est nommé. Copilot, l’assistant de Microsoft lui-même, n’apparaît pas dans la liste, pas plus que d’autres agents de navigation. L’annonce cite pourtant des agents appelés « Muse » ou « Dots » comme exemples de bots qui font des achats, des réservations et remplissent des formulaires, sans préciser qui les édite. Cette zone grise compte pour un responsable sécurité : un site français recevant du trafic d’un agent non répertorié par Clarity ne le verra simplement pas apparaître dans le tableau de bord, alors même que ce trafic agit déjà sur ses formulaires ou son panier.

L’étude sur laquelle Microsoft s’appuie porte sur 5,23 millions de sessions d’agents relevées sur 230 511 projets Clarity entre le 13 août et le 9 septembre 2026. Elle ne couvre que les sites déjà équipés de l’outil : ce n’est pas une mesure de l’ensemble du web, et les trois opérateurs retenus (Google, OpenAI, Anthropic) ne représentent qu’une partie du trafic automatisé observé par ailleurs sur le web.

Ce que les chiffres de Clarity disent, et ce qu’ils taisent

Ces écarts suggèrent que les agents vont plus directement au but que les visiteurs humains et s’égarent moins vers d’autres sites. Mais l’étude elle-même met en garde : une session d’agent peut inclure un relais humain, que Clarity ne sait pas encore séparer. Voir « paiement » dans une session ne prouve donc pas qu’un agent a acheté seul. Microsoft ajoute par ailleurs que les sessions hebdomadaires d’agents ont presque doublé en trois semaines, pour atteindre près de 2 millions, avec une hausse de volume de 88 % sur la même période.

Le défi de conformité que Microsoft ne tranche pas

Le consentement, obligatoire depuis le 31 octobre 2025, mais muet sur les agents

Depuis le 31 octobre 2025, Clarity exige, pour les visites venues de l’Espace économique européen, du Royaume-Uni et de la Suisse, un signal de consentement valide pour que ses fonctions s’activent pleinement. Le mode consentement y est actif par défaut, et Clarity ne pose ses cookies qu’après l’accord du visiteur, transmis via un bandeau cookies comme CookieYes ou tout autre outil branché sur son interface de consentement. Cette règle a été pensée pour des visiteurs humains qui cliquent sur un bandeau. Microsoft ne précise pas comment ce mécanisme s’applique à une session menée par un agent OpenAI, Google ou Anthropic, qui ne clique sur aucun bandeau et ne manifeste aucun consentement au sens où le RGPD l’entend pour une personne physique. Pour un DSI français, c’est une question ouverte, non tranchée par l’éditeur : le trafic d’agent qui remplit un formulaire ou valide un paiement constitue-t-il un traitement de données nécessitant la même base juridique qu’un visiteur humain, et si oui, comment la recueillir auprès d’un système automatisé agissant pour le compte d’un utilisateur absent de la page.

Brand Agents et le catalogue transmis à Microsoft Merchant Center

La deuxième extension du 4 novembre, Brand Agents, pose une obligation plus concrète. Le site américain WindowsForum rapporte, à partir de la documentation Microsoft Learn, qu’accepter les conditions de Brand Agents revient à consentir à la publication du catalogue du commerçant dans Microsoft Merchant Center, ce qui rend les produits visibles dans Bing, Copilot et les autres assistants adossés à Bing. Les commerçants doivent inclure une mention obligatoire dans leur politique de confidentialité. Le modèle de texte fourni par Microsoft porte sur les données de gestion de commande, captées via des cookies internes et tiers, et sur l’enregistrement des échanges textuels avec l’assistant, partagés avec Microsoft pour faire fonctionner, sécuriser et améliorer le service. Aucune durée de conservation n’est précisée dans la documentation consultée. WindowsForum conseille explicitement aux équipes informatiques et juridiques de valider le dispositif avant toute publication d’un agent, en référence aux régimes de type RGPD.

Brand Agents est annoncé pour les commerçants Shopify et WooCommerce « éligibles », et désormais pour les sites WordPress, selon des critères que Microsoft ne détaille pas. Sa disponibilité précise pour la France n’est pas confirmée par la documentation consultée ; elle ne l’est pas davantage pour la Belgique ou le Luxembourg, selon le média info-lux qui a vérifié ce point sur place.

Le même type de question, celle du lieu et du statut des données envoyées à un modèle tiers, se pose côté éditeurs français d’intelligence artificielle, même en dehors du cas Clarity. Moon AI, plateforme éditée par Stellarr Studio SAS et hébergée chez OVHcloud à Strasbourg et Roubaix, propose par exemple un dispositif nommé Moon Blur, qui remplace les données personnelles par des jetons avant l’envoi aux modèles tiers intégrés à l’abonnement (GPT, Claude, Gemini, Mistral et autres, parmi plus de 100 modèles), puis les rétablit au retour. Le procédé étant réversible, il s’agit d’une pseudonymisation au sens de l’article 4, point 5, du RGPD, et non d’une anonymisation : les requêtes partent bien chez les fournisseurs des modèles, après ce traitement. Ce mécanisme ne résout pas la question posée par les agents de navigation que suit désormais Clarity, mais il illustre la façon dont certains acteurs français structurent déjà la circulation des données vers des modèles basés hors de France.

Vérifier son exposition en cinq étapes

Le média info-lux a construit un cas pratique fictif, celui d’une boutique de jouets en bois d’Esch-sur-Alzette vendant au Luxembourg, en Belgique et en Lorraine, pour illustrer la méthode. Elle est transposable telle quelle par un site francophone qui veut savoir, concrètement, ce que font les agents sur ses pages.

1. Installer Clarity, ou vérifier qu’il est déjà en place : créer un projet gratuit et ajouter le code de suivi, ou demander l’accès au prestataire qui gère déjà le site.
2. Régler le consentement avant de lire les chiffres : vérifier que le bandeau cookies transmet bien le choix du visiteur à Clarity, et que la politique de confidentialité mentionne l’outil. Microsoft fournit, dans sa documentation, une commande à coller dans la console du navigateur pour afficher l’état du consentement reçu.
3. Ouvrir le tableau Agent Activity et noter quels opérateurs passent (Google, OpenAI, Anthropic), à quelle fréquence, et ce qu’ils font : recherche dans le catalogue, formulaire, panier, paiement.
4. Lancer une simulation d’achat, lire si la tâche a été réussie, en combien de temps et en combien d’interactions, puis rejouer à la main chaque échec pour identifier le blocage : fenêtre qui masque un bouton, frais de port affichés trop tard, formulaire qui refuse une adresse.
5. Corriger d’abord ce qui gêne aussi les visiteurs humains, car un parcours clair sert les deux, puis mesurer de nouveau le mois suivant, sans tirer de conclusion sur les ventes : l’outil ne dit pas si l’agent a agi seul.

Questions fréquentes

Qu’est-ce que le tableau Agent Activity de Microsoft Clarity ?

C’est un tableau ajouté à Clarity le 4 novembre 2026. Il montre quels agents IA de Google, d’OpenAI et d’Anthropic visitent un site, et ce qu’ils y font : recherches, formulaires, rendez-vous, paiements. Des simulations testent en plus si un agent réussit une tâche précise comme un achat.

Le consentement RGPD s’applique-t-il aux sessions d’agents IA ?

Clarity exige depuis le 31 octobre 2025 un signal de consentement pour les visites venues de l’Espace économique européen, du Royaume-Uni et de la Suisse, mais Microsoft ne précise pas comment ce mécanisme, conçu pour des visiteurs humains cliquant sur un bandeau, s’applique à une session menée par un agent.

Que risque une entreprise qui active Brand Agents sans adapter sa politique de confidentialité ?

Microsoft indique que les commerçants doivent inclure une mention obligatoire dans leur politique de confidentialité, puisqu’accepter les conditions de Brand Agents revient à publier le catalogue dans Microsoft Merchant Center et à partager des données de conversation avec Microsoft. L’absence de cette mention expose à un défaut de transparence vis-à-vis des visiteurs.

Clarity permet-il de savoir si un agent IA a vraiment acheté seul sur un site ?

Non. L’étude de Microsoft sur 5,2 millions de sessions précise elle-même qu’une session d’agent peut inclure un relais humain, que Clarity ne sait pas encore séparer. Voir une action de paiement dans une session ne prouve donc pas qu’un agent a agi seul, et aucun taux de réussite global n’est publié.