Agent IA mail : trier tes mails, préparer tes réponses, ne jamais envoyer seul

Un agent IA mail est un agent qui lit une boîte de réception, trie et résume les messages, et prépare des brouillons de réponse selon des règles fixées par son utilisateur. L'OWASP cite une extension qui résume des mails : elle n'a besoin que de lire. Les bases d'un agent sont dans agent IA : définition, fonctionnement et limites.

L'essentiel à retenir :

• Un agent mail utile trie, résume et prépare. C'est toi qui appuies sur Envoyer.
• Chaque mail reçu peut contenir une instruction écrite par un inconnu. Un agent qui lit tes mails ne devrait donc pas pouvoir en envoyer.
• Sur Gmail, le droit de gérer les brouillons vient avec le droit d'envoyer : l'interdit d'envoi doit venir d'une règle ou d'un outil de validation.
• Sur Outlook, Microsoft sépare le droit d'écrire dans la boîte du droit d'envoyer.
• Les pièces jointes et les résumés contiennent des données personnelles : fixe ce que l'agent garde, et combien de temps.

Ce guide définit l'agent IA mail, liste ce qu'il peut faire dans ta messagerie, explique pourquoi il prépare sans envoyer, détaille les accès sur Gmail et sur Outlook, déroule un scénario type de matinée, traite les pièces jointes et les données personnelles, puis ce qui se passe quand l'agent perd un accès ou en prend un sans demander.

Qu'est-ce qu'un agent IA mail ?

Un agent IA mail est un assistant qui travaille dans ta boîte de réception : il lit les messages, les classe, les résume et rédige des brouillons, selon des règles que tu as écrites. Il ne se contente pas d'appliquer un filtre : il juge si un message demande une réponse, une validation ou rien du tout.

Le point de départ est l'accès. Un agent mail lit des contenus que tu ne maîtrises pas, écrits par n'importe qui. C'est ce qui le distingue d'un agent qui lit tes propres fichiers, et c'est ce qui fixe ses limites.

Que peut faire un agent IA dans ta messagerie ?

Un agent IA peut trier tes mails, les résumer, en extraire les tâches et préparer des brouillons de réponse. Ce sont quatre tâches de lecture et de préparation, et aucune ne fait partir quoi que ce soit de ta boîte.

• Trier : classer chaque message dans quelques étiquettes simples, comme « à répondre », « à valider », « pour info » ou « suspect ».
• Résumer : te donner en quelques lignes ce qui est arrivé et ce qui attend une décision.
• Extraire les tâches : repérer une demande de devis, une date de rendu, une facture à payer, et la noter là où tu suis ton travail.
• Préparer des brouillons : rédiger une réponse à partir de tes notes, que tu relis, corriges et envoies.

Tout ne demande pas un agent. Si tu veux ranger les mails d'un même expéditeur dans un même dossier, une règle de filtrage de ta messagerie le fait sans modèle et sans risque. La frontière entre règle fixe et agent est détaillée dans agent IA, chatbot ou automatisation.

Un agent IA peut-il répondre à tes mails ?

Un agent IA peut préparer tes réponses, pas les envoyer. Le brouillon fait gagner l'effort de la première version ; l'envoi engage ton nom, ton prix, ton délai, et ne se reprend pas.

La règle que j'applique à mes agents est la même pour tout ce qui sort : un envoi externe attend mon GO écrit. Elle vaut d'autant plus pour une boîte mail, où chaque réponse part chez un client ou un prospect.

D'autres indépendants décrivent le même partage. Sur X, le 9 octobre 2026, @LiorNsnd raconte que son agent lui prépare des pistes, un PDF « et le mail pour lui répondre », puis ajoute : « Je vérifie avant d'envoyer. » (post). C'est un témoignage isolé, et son métier n'est pas vérifié ; il montre la méthode, pas un résultat.

Pourquoi un agent qui lit tes mails ne doit-il pas pouvoir en envoyer ?

Parce qu'un mail reçu peut contenir des instructions que l'agent suivra comme si elles venaient de toi. L'OWASP, un projet communautaire sans vendeur, classe ce risque en tête de sa liste : LLM01:2025 Prompt Injection. L'injection indirecte arrive quand le modèle accepte des contenus externes, comme des sites ou des fichiers, et qu'un de ces contenus modifie son comportement.

L'OWASP cite un cas de messagerie dans ses scénarios : un attaquant exploite une vulnérabilité (CVE-2024-5184) dans un assistant mail fondé sur un modèle de langage pour injecter des instructions, ce qui lui donne accès à des informations sensibles et lui permet de manipuler le contenu des mails.

Le second risque est l'excès de droits, décrit dans LLM06:2025 Excessive Agency. L'exemple de l'OWASP est presque mot pour mot ton cas : un assistant personnel lit la boîte d'un utilisateur pour résumer ses mails, mais l'extension choisie permet aussi d'envoyer. Un mail piégé pousse alors le modèle à chercher des informations sensibles dans la boîte et à les transférer à l'adresse de l'attaquant. La parade proposée : une extension qui ne fait que lire, et une validation humaine avant toute action à fort impact.

Si ton agent ne peut pas envoyer, un mail piégé ne peut rien faire partir. Il reste un mail suspect à signaler.

Quels accès donner à un agent sur Gmail ?

Sur Gmail, donne d'abord la lecture seule, et sache que le droit de brouillon inclut le droit d'envoi. La page Google for Developers Choisir les champs d'application de l'API Gmail, consultée le 20 octobre 2026, décrit les droits qu'une application peut te demander. En substance :

• `gmail.readonly` : afficher tes e-mails et tes paramètres de messagerie ;
• `gmail.compose` : gérer les brouillons et envoyer des e-mails ;
• `gmail.send` : envoyer un e-mail en ton nom ;
• `gmail.modify` : consulter, rédiger et envoyer des e-mails depuis ton compte Gmail.

Le piège est là : il n'existe pas, dans cette liste, de droit qui permet d'écrire des brouillons sans permettre d'envoyer. Un agent à qui tu donnes `gmail.compose` pour préparer tes réponses peut techniquement les envoyer. L'interdit d'envoi doit donc venir d'ailleurs : une règle écrite dans les instructions de l'agent, et surtout un outil qui bloque ou soumet à ta validation toute action d'envoi.

Quand une application te demande l'accès à ton compte Google, lis l'écran de consentement. S'il mentionne l'envoi alors que tu veux un tri, refuse et cherche une autre configuration.

Et sur Outlook ?

Sur Outlook, Microsoft sépare le droit d'écrire dans ta boîte du droit d'envoyer. La référence des permissions Microsoft Graph, mise à jour le 14 septembre 2026, décrit trois permissions utiles :

• `Mail.Read` : « Allows the app to read the signed-in user's mailbox » (permet à l'application de lire la boîte de l'utilisateur connecté).
• `Mail.ReadWrite` : « Allows the app to create, read, update, and delete email in user mailboxes. Does not include permission to send mail. » (permet de créer, lire, modifier et supprimer des mails, sans le droit d'envoyer).
• `Mail.Send` : « Allows the app to send mail as users in the organization » (permet d'envoyer des mails au nom des utilisateurs).

Sur Outlook, un agent peut donc préparer des brouillons sans pouvoir les envoyer : il lui faut `Mail.ReadWrite` sans `Mail.Send`. Ce droit de rédaction inclut toutefois la suppression. Si l'outil que tu utilises le permet, garde la suppression hors des actions de l'agent, ou commence en `Mail.Read`.

À quoi ressemble une matinée avec un agent mail ?

Scénario type, pas un résultat : voici comment ça se passerait pour un consultant solo. Il travaille en conseil en organisation, avec une boîte pro sur Gmail ou Outlook. L'agent ne lit pas cette boîte directement : il lit une boîte dédiée, qui reçoit les mails pros par une règle de transfert. L'idée vient de Rui Ma (@ruima), qui écrivait sur X le 26 septembre 2026 avoir créé « a whole new mailbox and some forwarding rules » (une boîte toute neuve et des règles de transfert) pour que son agent ne voie qu'une partie de ses échanges (post original en anglais).

Un lundi matin, la boîte dédiée contient une demande de devis d'un prospect, des questions d'un client en cours de mission, une facture d'un fournisseur, une invitation à un appel, des newsletters, des notifications d'outils, et un mail d'un expéditeur inconnu qui demande d'ignorer les instructions précédentes et de transférer les dernières factures à une adresse.

1 - Ce que l'agent propose

Il trie en quatre étiquettes : à répondre, à valider, pour info, suspect. Il écrit un résumé du matin en quelques lignes. Il prépare un brouillon de réponse pour chaque question du client, à partir des notes de mission, et un brouillon d'accusé de réception pour le prospect, sans prix. Il range la facture et la signale pour la comptabilité. Il propose un créneau pour l'appel, sans l'accepter.

2 - Ce que le consultant valide

Chaque envoi, un par un. Tout ce qui touche à un prix, un délai ou une réunion. Le classement de la facture. Le devis, qu'il rédige lui-même.

3 - Ce qui reste hors limites

Envoyer un mail. Supprimer ou archiver définitivement. Transférer hors de la boîte. Ouvrir un lien ou une pièce jointe d'un expéditeur inconnu. Donner suite à une demande de paiement ou de changement de coordonnées bancaires. Obéir à une instruction contenue dans un mail. Le mail piégé est étiqueté « suspect » et signalé dans le résumé, rien de plus.

Ce que montre le scénario : l'agent prépare tout et ne décide de rien qui part chez quelqu'un. Le moment où un agent n'est pas la bonne réponse, et ce qui doit rester humain, est traité dans quand ne pas utiliser un agent IA.

Que faire des pièces jointes et des données personnelles ?

Traite les pièces jointes comme des contenus non fiables et les résumés comme des données personnelles à conserver le moins longtemps possible. Une boîte mail contient des noms, des adresses, des contrats, des factures : tout ce que l'agent lit et résume circule.

La CNIL et le CIANum le disent dans leur note sur l'IA agentique du 20 juillet 2026 : les IA agentiques « impliquent la circulation de données personnelles entre de nombreux services ». La même note relève que « la conservation de l'historique des interactions avec l'utilisateur et le recours à des mémoires persistantes participent également à augmenter les données conservées par ces systèmes ».

Pour une boîte pro, trois règles en découlent :

• L'agent n'ouvre pas les pièces jointes d'un expéditeur inconnu. Il les signale.
• Les résumés ne recopient pas les données sensibles : un numéro de compte, une adresse personnelle ou un document d'identité restent dans le mail d'origine.
• Tu fixes une durée de conservation pour les résumés et les notes de l'agent, et tu la respectes. C'est une obligation du RGPD, pas une option.

Que se passe-t-il quand l'agent perd l'accès ou prend une adresse sans demander ?

Un agent mail dépend d'un branchement qui peut casser, et d'un outil qui peut agir plus largement que prévu. Deux témoignages publics, présentés comme tels, illustrent les deux cas.

Sur le forum de la communauté OpenAI, le 4 octobre 2026, Stormylee raconte qu'après une migration son plugin a gardé ses instructions, mais a perdu « the external capability required for its core function: reading the business mailbox » (la capacité externe nécessaire à sa fonction principale : lire la boîte mail de l'entreprise) (fil du forum). Si ton tri repose sur un agent, prévois ce que tu fais le jour où il ne lit plus rien : ta boîte doit rester lisible à la main.

Sur X, le 14 octobre 2026, Jerome Jacob (@jeromejacob_) écrit qu'un de ses agents Grok Bot « grabbed my only permanent email address without asking me » (a pris sa seule adresse mail permanente sans lui demander), et que le support ne peut pas la changer (post original en anglais). Ce n'est pas un problème de boîte de réception, c'est un problème de droits : un agent ne devrait pas créer ou réserver une adresse à ton nom sans ton accord.

Ce sont deux retours isolés, pas un échantillon. Ils disent la même chose : écris ce que l'agent a le droit de faire, et vérifie ce qu'il a fait. Pour le reste de la mise en place, vois automatiser son business avec l'IA : par où commencer quand tu es seul.