Réponse · Multi-régimes
Comment articuler AI Act, NIS2 et DORA pour un incident IA ?
Les régimes se cumulent, ils ne s’excluent pas. NIS2 impose une alerte précoce sous 24 heures aux entités essentielles et importantes ; DORA impose au secteur financier une notification d’incident majeur sous 4 heures après classification ; l’AI Act impose 2, 10 ou 15 jours selon la catégorie. Le délai le plus court gouverne.
Ouvrir les canaux en parallèle
- La faute la plus fréquente est séquentielle : on qualifie, on notifie l’autorité IA, puis on découvre que DORA expirait quatre heures après la classification.
- La bonne pratique tient en une phrase : un seul geste de qualification, plusieurs canaux ouverts simultanément.
Ce qui est proposé mais pas encore acquis
- Un régime simplifié est proposé : pour un système à haut risque dans un secteur déjà couvert par NIS2, la déclaration au titre de l’AI Act se limiterait aux violations de droits fondamentaux.
- Il relève du volet « données » du Digital Omnibus, encore en négociation. Le construire dans ses procédures aujourd’hui serait prématuré.
Le guide complet : méthode en 6 étapes, mesures supplémentaires, plan de repli.
Lire le guideVoir aussi : Toutes les réponses · Checklist transferts IA · Comparatif des mécanismes