Runbook d’incident IA

Déclencheurs

• effet non autorisé ou irréversible ;
• fuite, accès indu ou instruction malveillante suivie ;
• discrimination ou erreur grave ;
• perte de journalisation ou d’identité ;
• boucle, consommation ou volume hors limites ;
• changement fournisseur non évalué ;
• impossibilité de recours ou de retour manuel.

0–15 minutes — Contenir

• suspendre le workflow ou l’outil concerné ;
• révoquer les accès ou secrets à risque ;
• empêcher la propagation sans détruire les preuves ;
• basculer vers le processus manuel ;
• nommer le commandant d’incident.

15–60 minutes — Qualifier

• horodatage, versions, utilisateurs, données, outils et destinations ;
• actions demandées, dispatchées, confirmées et persistantes ;
• personnes ou systèmes affectés ;
• obligations de notification ;
• conservation proportionnée des preuves.

Résoudre

• corriger ou annuler les effets lorsque possible ;
• notifier les responsables et autorités compétentes selon le plan ;
• communiquer sans spéculer ;
• tester la correction contre le cas et les variantes ;
• obtenir une nouvelle décision de gate avant reprise.

Après incident

• cause racine et facteurs organisationnels ;
• contrôles attendus, présents et efficaces ;
• mise à jour des tests, risques, formation et fournisseur ;
• décision : reprendre, limiter, remplacer ou retirer ;
• propriétaire et échéance de chaque action.