Réponse · DORA
Qu’est-ce qu’un incident majeur pour un système d’IA au sens de DORA ?
Il n’existe pas de grille toute faite pour l’IA, et c’est le problème : elle doit être écrite avant l’incident, pas pendant. Une indisponibilité du fournisseur de modèle ou une fuite de données par un prompt sont des incidents ; une dérive progressive de la qualité des réponses n’est pas une panne.
Ce qui se qualifie, et ce qui ne se qualifie pas
- Déclarable selon les seuils : indisponibilité du fournisseur de modèle, fuite de données par un prompt ou une sortie, compromission d’une clé d’API ou d’un connecteur.
- Pas une panne : la dérive progressive de la qualité des réponses, qui relève du suivi de performance — sauf effet sur une fonction critique.
- À qualifier selon l’impact : un changement de version de modèle sans préavis, qui révèle le plus souvent une lacune contractuelle.
Comment se fait la remise
- Les déclarations d’incidents majeurs et les notifications volontaires de cybermenaces importantes se remettent à l’ACPR au format JSON, selon les instructions 2025-I-10 et 2025-I-11.
- L’instruction 2025-I-09 encadre l’externalisation de cette obligation de déclaration — une option à instruire quand les équipes sont peu nombreuses.
Ce qu’il faut écrire dès maintenant
- Qui qualifie, sur quels seuils, dans quel délai, et qui déclare. Une grille écrite après l’incident n’est plus une grille, c’est une justification.
Le guide complet : DORA & IA — prestataires TIC et résilience.
Lire le guideVoir aussi : Toutes les réponses · Articuler AI Act, NIS2 et DORA sur un incident · Incident majeur lié aux TIC — définition