Un agent IA ressemble à un compte compromis, sanction CNIL de 500 000 euros pour un hôpital

— Résumé

La CNIL a rendu publique une sanction de 500 000 euros à l'encontre d'un établissement de santé privé, faisant suite à une intrusion dans son dossier patient informatisé. Cet incident sert de point de départ à une analyse des risques RGPD posés par les agents IA au sein des systèmes d'information. L'article souligne plusieurs vulnérabilités structurelles : des accès trop larges accordés à ces agents, des dispositifs de détection d'anomalies inadaptés à leur comportement spécifique, et une incapacité à identifier précisément le nombre de tiers dont les données personnelles sont consultées. Le comportement d'un agent IA autonome, explorant largement les données pour accomplir ses tâches, peut ainsi présenter des similitudes avec celui d'un compte utilisateur compromis, rendant plus difficile la distinction entre usage légitime et intrusion malveillante pour les équipes de sécurité et de conformité.