Le 14 septembre 2026, l'Agencia Española de Protección de Datos (AEPD) a annoncé avoir reçu sa première notification de violation de données dont l'entité notifiante attribuait l'origine à un agent IA utilisé comme outil d'attaque. Ce n'est pas une curiosité académique. C'est le signal que votre procédure de notification sous l'article 33 du RGPD a probablement été conçue pour un scénario que ce type d'incident ne respecte pas.
Ce qui s'est passé
D'après les éléments publiés par l'AEPD, l'agent impliqué a conduit de manière autonome plusieurs étapes d'une chaîne d'attaque standard: reconnaissance de l'application, identification de vulnérabilités, authentification réussie, modification de données personnelles, accès à des documents comptables (factures). L'ensemble de cette séquence s'est déroulée sans intervention humaine continue de la part de l'attaquant.
L'AEPD précise que l'usage d'un modèle d'IA ne signifie pas que le modèle lui-même, ni son fournisseur, a été compromis. L'agent fonctionnait comme un outil, à l'initiative d'un acteur malveillant humain. Ce point est important : il n'ouvre pas un nouveau régime de responsabilité pour les éditeurs de modèles de langage, mais il change fondamentalement les hypothèses de vitesse sur lesquelles votre plan de réponse aux incidents est construit.
Le problème des 72 heures dans un contexte d'attaque automatisée
L'article 33(1) du RGPD impose à votre organisation de notifier l'autorité de contrôle compétente dans un délai de 72 heures à compter du moment où vous avez connaissance d'une violation. Ce délai est calculé à partir de la découverte, pas de l'incident lui-même.
La plupart des procédures de notification ont été rédigées en postulant un scénario dans lequel un attaquant humain, même outillé, met plusieurs heures ou plusieurs jours à progresser à travers les couches d'une infrastructure. Ce délai crée une fenêtre dans laquelle vos équipes SOC peuvent détecter l'intrusion, qualifier l'incident, alerter votre DPO et déclencher le compteur des 72 heures.
Un agent IA peut comprimer ce scénario. L'AEPD le formule ainsi dans sa publication du 17 septembre 2026 : l'IA ne crée pas de nouvelles menaces, mais augmente la vitesse, l'ampleur et la capacité d'adaptation des techniques déjà connues, réduisant le temps disponible pour la détection et la maîtrise de l'incident. Cette formulation a une conséquence directe sur votre procédure : si l'attaque complète son cycle en quelques minutes, votre fenêtre de détection se rétrécit au point que le compteur des 72 heures peut démarrer beaucoup plus tard que l'impact réel.
Ce décalage entre l'instant de la violation effective et l'instant de la découverte est déjà une source de tension dans les dossiers RGPD actuels. Il devient structurellement plus difficile à maîtriser quand la vitesse d'exécution de l'attaque dépasse la cadence de vos alertes.
Ce que cela change pour votre article 32
L'article 32 du RGPD vous oblige à mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. La notion d'approprié n'est pas figée : elle évolue avec l'état de l'art des menaces.
Si des agents IA sont désormais utilisés comme vecteurs d'attaque dans des incidents réels ayant fait l'objet de notifications RGPD, vos mesures de détection doivent en tenir compte. Concrètement, cela signifie vérifier si vos outils EDR, SIEM ou WAF incluent des règles de détection capables de signaler une séquence d'actions automatisées à haute vitesse sur une application, distincte des patterns habituels d'un utilisateur humain ou d'un crawler connu.
Ce n'est pas une obligation nouvelle au sens textuel. C'est l'application du principe d'approprié à une menace qui vient d'entrer dans le registre des incidents documentés auprès d'une autorité de contrôle européenne.
Trois vérifications pratiques à mener dans votre organisation
La première concerne votre procédure de notification. Vérifiez si elle comporte un déclencheur de qualification spécifique pour les incidents à forte vélocité. Un incident où la progression de l'attaquant s'étend sur plusieurs jours laisse une trace distribuée dans le temps. Un incident conduit par un agent en quelques minutes produit une trace condensée, souvent moins détectée par des règles de corrélation calées sur des durées longues. Si votre procédure ne prévoit pas ce cas, la découverte risque d'arriver trop tard pour tenir les 72 heures avec les informations nécessaires.
La deuxième concerne vos exercices de réponse aux incidents. Les simulations de type tabletop supposent généralement un attaquant humain qui progresse à une vitesse humaine. Intégrer un scénario d'attaque automatisée dans votre prochain exercice permet d'identifier les points de friction dans votre chaîne d'alerte : qui doit être notifié, dans quel ordre, et avec quel niveau d'information disponible quand les événements se comptent en secondes plutôt qu'en heures.
La troisième concerne votre registre de traitement et la documentation associée à chaque traitement sensible. L'article 32 RGPD exige que vos mesures de sécurité soient documentées et justifiables. Si votre documentation de sécurité pour une application exposant des données personnelles ne mentionne aucune mesure spécifique face à des attaques automatisées à haute cadence, c'est une lacune à combler avant que votre autorité de contrôle ne vous pose la question après un incident.
Un repère dans une tendance de fond
Cette première notification enregistrée par l'AEPD ne restera pas isolée. Selon l'ENISA Threat Landscape 2026, publié le 27 septembre 2026, 60 % des intrusions réussies passent par l'exploitation de vulnérabilités dans des dépendances logicielles. Les agents IA rendent cette exploitation plus rapide et plus systématique : là où un attaquant humain teste manuellement quelques vecteurs, un agent peut parcourir une surface d'attaque entière en quelques minutes.
La question n'est pas de savoir si votre organisation sera ciblée par un agent IA. La question est de savoir si vos procédures RGPD ont été revues depuis que ce type d'attaque est sorti du domaine des hypothèses théoriques pour entrer dans celui des dossiers réels instruits par une autorité de contrôle.
La gestion d'un incident impliquant plusieurs régimes de notification simultanément, notamment RGPD et NIS2, est un sujet connexe traité dans l'analyse RGPD et NIS2 : un incident, deux notifications. Les délais sont différents, les destinataires sont différents, et la coordination n'est pas automatique même quand l'incident est le même.