Ce qui est sanctionné aujourd'hui est ce que l'AI Act codifie demain

Retenus comme manquements : art. 32 · art. 34

Sécurité (art. 32) et information des personnes après une violation (art. 34). Ce qui est reproché n'est pas une faille exotique : une authentification sans second facteur sur l'accès au dossier patient, des habilitations qui ne cloisonnent pas par équipe de soins, et aucune détection d'activité anormale en temps réel — autrement dit, un compte compromis suffisait à voir bien au-delà de ce que son porteur avait à connaître. C'est exactement la question que pose l'article 15 de l'AI Act à tout système à haut risque : qui accède à quoi, et qu'est-ce qui le remarque quand l'accès devient anormal. L'article 34 ajoute la partie qu'on oublie : la violation a touché des personnes qui n'étaient pas les patients, et elles n'ont pas été informées. Le périmètre d'une notification se mesure aux personnes concernées, jamais à la catégorie d'usagers qu'on a en tête.

Retenus comme manquements : art. 5 · art. 6 · art. 15

Licéité (art. 6), principes (art. 5), droit d'accès (art. 15). L'article 15 est celui qu'on sous-estime : il oblige à répondre à « quelles données avez-vous sur moi, et d'où viennent-elles ». Une base enrichie automatiquement ne sait pas répondre si personne n'a tracé l'origine de chaque champ — et c'est une mesure d'injonction qui l'a rappelé ici, pas une amende.

Retenus comme manquements : art. 32

Un seul article retenu : la sécurité des données (art. 32). Pas une politique mal rédigée, pas un formulaire — la protection effective de ce qu'on détient. C'est l'exigence que l'AI Act reprend pour les systèmes à haut risque, et la première que déplace un agent connecté à vos outils : il élargit la surface sans qu'on redimensionne la protection.

Retenus comme manquements : art. 32 · art. 33 · art. 34

Sécurité (art. 32), notification à l'autorité (art. 33), information des personnes (art. 34). Les trois temps d'une violation de données — et les deux derniers se jouent en 72 heures, sur des procédures que personne n'écrit avant d'en avoir besoin. Savoir qui prévient qui, et dans quel ordre, est un livrable, pas une intention.

Retenus comme manquements : art. 5 · art. 32 · art. 33 · art. 34

Les trois mêmes, plus l'article 5 : les principes. Conserver au-delà du nécessaire est un manquement à part entière — et c'est exactement ce que produit une chaîne IA qui garde « au cas où » chaque trace de conversation, chaque embedding, chaque log de prompt. La durée de conservation d'un index vectoriel est une décision, même quand personne ne l'a prise.

Retenus comme manquements : art. 32

L'article 32, encore, et seul. Deux décisions sur la sécurité en moins de deux mois : ce n'est pas le sujet exotique du RGPD, c'est son sujet le plus fréquent.

Retenus comme manquements : art. 5 · art. 33 · art. 38

Principes (art. 5), notification de violation (art. 33) et — celui-là est rare — l'article 38 sur la position du délégué à la protection des données. Il exige que le DPO soit associé « en temps utile » aux décisions. Autrement dit : le consulter après avoir déployé n'est pas le consulter.