Réponse · Multi-régimes
Comment articuler AI Act, NIS2 et DORA pour un incident IA ?
Les régimes se cumulent, ils ne s’excluent pas. NIS2 impose une alerte précoce sous 24 heures aux entités essentielles et importantes ; DORA impose au secteur financier une notification d’incident majeur sous 4 heures après classification ; l’AI Act impose 2, 10 ou 15 jours selon la catégorie. Le délai le plus court gouverne.
Ouvrir les canaux en parallèle
- La faute la plus fréquente est séquentielle : on qualifie, on notifie l’autorité IA, puis on découvre que DORA expirait quatre heures après la classification.
- La bonne pratique tient en une phrase : un seul geste de qualification, plusieurs canaux ouverts simultanément.
Trois destinataires, trois formats
- DORA : l’ACPR, pour un incident majeur lié aux TIC, au format JSON (instructions 2025-I-10 et 2025-I-11).
- RGPD : la CNIL, pour une violation de données à caractère personnel, par son téléservice.
- AI Act, article 73 : l’autorité de surveillance du marché, pour un incident grave impliquant un système d’IA.
- L’instruction ACPR 2025-I-09 permet d’externaliser l’obligation de déclaration des incidents majeurs TIC — une option à instruire quand les équipes sont peu nombreuses.
Ce qui est proposé mais pas encore acquis
- Un régime simplifié est proposé : pour un système à haut risque dans un secteur déjà couvert par NIS2, la déclaration au titre de l’AI Act se limiterait aux violations de droits fondamentaux.
- Il relève du volet « données » du Digital Omnibus, encore en négociation. Le construire dans ses procédures aujourd’hui serait prématuré.
Le guide complet : Incident grave & IA — article 73 de l’AI Act.
Lire le guideVoir aussi : Toutes les réponses · Checklists et trames