Espagne : première violation de données personnelles causée par un agent IA notifiée au régulateur

L’autorité espagnole de protection des données (AEPD, l’équivalent de la CNIL) a indiqué avoir reçu, le 14 septembre, la première notification officielle d’une violation de données personnelles exécutée au moyen d’un agent d’IA autonome. Selon l’AEPD, un tiers a utilisé un agent s’appuyant sur un grand modèle de langage pour enchaîner seul les étapes de l’attaque : recherche de failles dans des fichiers, connexion réussie au système, puis modification de données personnelles et accès à des factures. L’agence ne nomme ni l’entreprise ni le secteur concernés. Ce que cela change pour vous : c’est le même cadre RGPD qui s’applique en France, et qu’une attaque soit conduite par un humain ou par un agent IA ne modifie en rien vos obligations — une violation touchant des données personnelles reste à notifier à la CNIL sous 72 heures. L’AEPD insiste sur un point directement utile : face à des attaques menées à la vitesse d’une machine, une surveillance uniquement manuelle ne suffit plus. Intégrez explicitement ce type d’attaque à votre analyse de risques, renforcez la gestion de vos identifiants et de vos accès, et prévoyez une détection des anomalies qui ne repose pas seulement sur une vérification humaine.