Ce qui est sanctionné aujourd'hui est ce que l'AI Act codifie demain

Prospection électronique sans consentement valable : l'injonction prononcée un an plus tôt est close, sans astreinte. Ce qui a convaincu la formation restreinte : un contrôle des formulaires de collecte des partenaires par analyse automatisée, complété au besoin par un regard humain. Et ce qu'elle rappelle dans la même décision : l'outil ne transfère rien — la société reste responsable de la validité de chaque consentement recueilli pour son compte. Un contrôle automatisé est une mesure ; ce n'est jamais une décharge.

Retenus comme manquements : art. 12 · art. 17

Effacement (art. 17) et réponse aux personnes (art. 12). Des demandes d'effacement restées sans suite, et des personnes jamais informées de ce qu'il était advenu de leur demande. Un détail éclaire le dossier : un courriel automatique annonçait aux candidats non retenus une conservation de deux ans, alors que la durée invoquée ensuite était de soixante jours — et qu'aucun document interne ne la fixait. Un message automatique qui dit autre chose que la pratique ne se contente pas d'être faux : il fabrique lui-même les demandes.

Retenus comme manquements : art. 32 · art. 34

Sécurité (art. 32) et information des personnes après une violation (art. 34). Ce qui est reproché n'est pas une faille exotique : une authentification sans second facteur sur l'accès au dossier patient, des habilitations qui ne cloisonnent pas par équipe de soins, et aucune détection d'activité anormale en temps réel — autrement dit, un compte compromis suffisait à voir bien au-delà de ce que son porteur avait à connaître. C'est exactement la question que pose l'article 15 de l'AI Act à tout système à haut risque : qui accède à quoi, et qu'est-ce qui le remarque quand l'accès devient anormal. L'article 34 ajoute la partie qu'on oublie : la violation a touché des personnes qui n'étaient pas les patients, et elles n'ont pas été informées. Le périmètre d'une notification se mesure aux personnes concernées, jamais à la catégorie d'usagers qu'on a en tête.

Retenus comme manquements : art. 14 · art. 25

Information des personnes en collecte indirecte (art. 14) et protection des données dès la conception (art. 25). Des modules installés sur les logiciels de pharmacies transmettaient les données de patients à un tiers, y compris pour des officines qui ne participaient pas à l'étude : le tri existait, mais en aval. La formation restreinte rappelle qu'il fallait filtrer à la source, et que l'information des patients incombe au responsable du traitement, quel que soit l'intermédiaire à qui il l'a confiée par contrat. C'est la question qu'un pipeline d'IA pose à chaque étape : qu'est-ce qui sort par défaut, quand personne n'a dit oui ?

Retenus comme manquements : art. 5 · art. 6 · art. 15

Licéité (art. 6), principes (art. 5), droit d'accès (art. 15). L'article 15 est celui qu'on sous-estime : il oblige à répondre à « quelles données avez-vous sur moi, et d'où viennent-elles ». Une base enrichie automatiquement ne sait pas répondre si personne n'a tracé l'origine de chaque champ — et c'est une mesure d'injonction qui l'a rappelé ici, pas une amende.

Retenus comme manquements : art. 32

Un seul article retenu : la sécurité des données (art. 32). Pas une politique mal rédigée, pas un formulaire — la protection effective de ce qu'on détient. C'est l'exigence que l'AI Act reprend pour les systèmes à haut risque, et la première que déplace un agent connecté à vos outils : il élargit la surface sans qu'on redimensionne la protection.

Retenus comme manquements : art. 32 · art. 34

Sécurité (art. 32) et information des personnes (art. 34). Le détail qui instruit : la notification à la CNIL avait bien été faite, et elle décrivait les mesures prises. C'est le message aux personnes concernées qui ne les décrivait pas. Une violation de données se traite en deux messages, à deux destinataires différents — réussir le premier ne couvre pas le second.

Retenus comme manquements : art. 5 · art. 32 · art. 34

Les deux mêmes (art. 32 et 34), plus l'article 5 : la durée de conservation. Conserver au-delà du nécessaire est un manquement à part entière — et c'est exactement ce que produit une chaîne IA qui garde « au cas où » chaque trace de conversation, chaque embedding, chaque log de prompt. La durée de conservation d'un index vectoriel est une décision, même quand personne ne l'a prise.

Retenus comme manquements : art. 32

L'article 32, encore, et seul. Deux décisions sur la sécurité en moins de deux mois : ce n'est pas le sujet exotique du RGPD, c'est son sujet le plus fréquent.

Retenus comme manquements : art. 5 · art. 33 · art. 38

Principes (art. 5), notification de violation (art. 33) et — celui-là est rare — l'article 38 sur la position du délégué à la protection des données. Il exige que le DPO soit associé « en temps utile » aux décisions. Autrement dit : le consulter après avoir déployé n'est pas le consulter.