Pack Shield : 27 spécialistes de conformité et 11 workflows
Shield aiguille les questions de conformité vers 27 spécialistes de référentiels et 11 workflows RGPD et AI Act, et ajoute dossiers d’assurance, registre IA et règles de revue. Pas un avis juridique.
Shield transforme BMAD+ en assistant de gouvernance, risque et conformité (GRC). Un orchestrateur lit votre question, repère le ou les référentiels concernés et l’aiguille vers un agent spécialiste : 27 au total, chacun dédié à une réglementation ou à une norme, répartis en six catégories. Onze workflows supplémentaires couvrent les documents récurrents du RGPD et de l’AI Act européen (analyses d’impact, réponse aux violations, notices d’information, politiques cookies, classification des risques IA). Shield apporte en outre trois outils de preuve adossés à de vraies commandes de la CLI : un dossier d’assurance, un registre de traitement IA et des règles de revue de conformité.
Attention· Pas un avis juridique
Chaque rapport de Shield porte la mention « généré par IA » et un avertissement « pas un avis juridique ». Le résultat peut être incomplet ou dépassé et ne remplace ni un avocat, ni un délégué à la protection des données, ni un auditeur certifié. Une personne qualifiée doit le relire avant toute décision de conformité, tout dépôt ou toute attestation.
Vous devez démontrer qu’un produit respecte une réglementation ou une norme (RGPD, SOC 2, ISO 27001, PCI DSS, HIPAA, NIS2, DORA, AI Act et d’autres) et vous voulez une analyse d’écart structurée plutôt qu’une page blanche.
Il vous faut un document type du RGPD ou de l’AI Act : AIPD, notification de violation, test d’intérêt légitime, notice d’information, politique cookies, classe de risque IA.
Vous voulez des preuves d’audit vérifiées par des commandes, pas affirmées : un dossier d’assurance lié à un commit.
Vous voulez une revue de code qui dit quelles mesures de conformité un changement touche.
Shield est un pack empaqueté : tout se trouve dans .agents/skills/pack-shield/. Ce dossier contient la compétence du pack SKILL.md, l’orchestrateur shield-orchestrator.md, categories/ (les 27 spécialistes et les 11 workflows), references/ (79 fichiers de référence réglementaire), shared/ (outil de correspondance entre référentiels, modèles d’analyse d’écart et de rapport d’audit, procédures de dossier d’assurance et de registre IA avec leurs modèles) et review-rules/ (les six règles de revue de conformité et leur index). bmad-plus doctor vérifie la présence de SKILL.md et de review-rules/index.yaml.
SOC 2, PCI DSS v4.0.1, HIPAA, SWIFT CSP, DORA et FedRAMP
Défense et contrôle des exportations
4
CMMC 2.0, ITAR, EAR, directives de sécurité de la TSA
Gouvernance de l’IA
3
AI Act 2024/1689, ISO/IEC 42001, NIST AI RMF 1.0
Accessibilité et ESG
3
WCAG 2.2, Section 508, CSRD
Le pack compte 27 agents spécialistes, un par référentiel. La liste des étiquettes de conformité du registre les nomme tous les 27, et la liste des packs de l’installateur affiche « GRC compliance (27 frameworks) ».
Agents spécialistes, leur référentiel et ce sur quoi ils aident
Agent
Référentiel
Juridiction
Aide sur
gdpr-agent
GDPR
UE, EEE, Royaume-Uni
Audit de code et de système, rédaction de documents, questions-réponses, revue des flux et des données personnelles, AIPD, gestion des violations, LIA (7 workflows)
ccpa-agent
CCPA / CPRA
Californie
Qui doit s’y conformer, droits des consommateurs, obligations, exposition aux sanctions
lgpd-agent
LGPD
Brésil
Périmètre, principes, les dix bases légales, droits des personnes, différences avec le RGPD
dpdpa-agent
DPDPA
Inde
Information, droits des personnes concernées, devoirs du fiduciaire, données d’enfants, transferts transfrontaliers
iso27701-agent
ISO/IEC 27701
International
Analyse d’écart, politiques, guide des mesures, évaluation des risques vie privée, déclaration d’applicabilité
iso27001-agent
ISO/IEC 27001
International
Analyse d’écart, génération de politiques et de documents, guide des mesures, appréciation des risques, liste des documents obligatoires
nist-csf-agent
NIST CSF 2.0
États-Unis
Évaluation des écarts, profils, feuille de route, correspondance entre référentiels, politiques
nist-800-53-agent
NIST SP 800-53 Rev. 5
États-Unis (fédéral)
Catégorisation du système, socles, familles de mesures, adaptation, surcouches, récits du SSP, évaluation
cis-controls-agent
CIS Controls v8
International
Groupes de mise en œuvre, les 18 mesures, correspondances avec d’autres référentiels, évaluation des écarts
nis2-agent
NIS2
UE
Classification de l’entité, évaluation des écarts, déclaration d’incidents, obligations de la direction, alignement ISO 27001
ism-agent
Australian ISM
Australie
Analyse d’écart, autorisation de système, préparation IRAP, documentation de sécurité, Essential Eight face à l’ISM
soc2-agent
SOC 2 Type I/II
États-Unis
Évaluation de préparation et d’écarts, politiques, documentation des mesures, preuves d’audit, questionnaires de risque fournisseur
pci-dss-agent
PCI DSS v4.0.1
International
Cadrage de l’environnement de données de cartes, évaluation des écarts, choix du SAQ, guide des mesures, politiques
hipaa-agent
HIPAA
Santé aux États-Unis
Revue de conformité, modèles et politiques, garanties techniques, explications
swift-csp-agent
SWIFT CSP
Banque internationale
Types d’architecture, cadre de mesures, calendrier d’évaluation et d’attestation annuelles, constats fréquents
dora-agent
DORA
Secteur financier de l’UE
Entités concernées, cadre de gestion du risque lié aux TIC (articles 5 à 16)
fedramp-agent
FedRAMP
Cloud fédéral américain
Évaluation de préparation, documentation d’autorisation, correspondance avec NIST 800-53
cmmc-agent
CMMC 2.0
Défense américaine
Évaluation des écarts, plan de sécurité du système, score SPRS, POA&M, périmètre CUI
itar-agent
ITAR
Export d’armements (États-Unis)
Compétence ITAR ou EAR, enregistrement, licences, accords, exportations réputées, divulgation volontaire, plan de contrôle technologique
ear-agent
EAR
Export à double usage (États-Unis)
Compétence, classification ECCN, exigence de licence, exceptions, contrôles des utilisateurs finaux
tsa-agent
TSA Security Directives
Transports (États-Unis)
Couverture des directives par secteur, systèmes cyber critiques, déclaration d’incidents, désignation du coordinateur
eu-ai-act-agent
EU AI Act 2024/1689
UE
Workflow de conformité en huit étapes, format de réponse, calendrier, sanctions
iso42001-agent
ISO/IEC 42001
International
Évaluation des écarts, étude d’impact du système d’IA, appréciation des risques IA, déclaration d’applicabilité, parcours de certification
nist-ai-rmf-agent
NIST AI RMF 1.0
États-Unis
Fonctions gouverner, cartographier, mesurer et gérer, fiabilité, évaluation des écarts, registre des risques IA
wcag-agent
WCAG 2.2
International
Les quatre principes, audit d’accessibilité, déclaration d’accessibilité, ARIA, contraste, correspondance juridique
section508-agent
Section 508
États-Unis (fédéral)
Cadre réglementaire, périmètre des TIC, remplissage d’un VPAT, audit d’accessibilité
csrd-agent
CSRD
UE
Périmètre et seuils, évaluation de la double matérialité, architecture des ESRS, exigences de publication
Analyse d’impact (AIPD), article 35, avec points propres à l’IA ; rapport en neuf sections
breach-sentinel
Réponse à une violation, articles 33 et 34 : classification de gravité, notification à l’autorité sous 72 heures, information des personnes, retour d’expérience
legitimate-interest
Évaluation de l’intérêt légitime, article 6(1)(f) : finalité, nécessité et test de mise en balance
privacy-advisor
Évaluation d’un programme RGPD et de la posture globale
privacy-notice-gen
Notice d’information avec les éléments obligatoires des articles 13 et 14
privacy-policy-gen
Politique de confidentialité complète pour un site ou une application
cookie-policy-gen
Politique cookies selon ePrivacy et le RGPD, avec les recommandations de la CNIL
ai-act-classifier
Classe de risque d’un système d’IA : interdit, haut risque (annexe III), limité, minimal
ai-act-roles
Fournisseur, déployeur ou importateur : quelles obligations vous incombent
ai-act-fria
Analyse d’impact sur les droits fondamentaux, article 27
ai-act-incidents
Workflow de déclaration des incidents graves, article 73
Une affirmation n’est soutenue que si le contrôle qui la fonde a été exécuté au commit concerné, consigné dans un registre à chaînage de hachages. Une preuve absente, en échec ou périmée laisse l’affirmation non soutenue.
Registre de traitement IA
bmad-plus ai-register init, check
Compare _bmad/ai-processing-register.yaml aux intégrations d’IA trouvées dans le projet et signale celles qui ne sont pas inscrites. Les avertissements ne font jamais échouer la commande.
Règles de revue de conformité
bmad-plus review scope, review rules <chemin>
Six listes de contrôle par chemin, étiquetées avec des mesures comme ISO27001:A.8.5, SOC2:CC6.1 ou GDPR:Art.32, pour qu’une revue liste les mesures qu’un changement touche.
Les six règles de revue sont shield-access-control, shield-personal-data, shield-cryptography, shield-logging, shield-ai-integrations et shield-change-and-supply-chain. Elles s’ajoutent aux règles de revue intégrées sans jamais les remplacer ; un projet peut les remplacer ou les désactiver dans _bmad/review-rules.yaml.
Core est ajouté automatiquement. Shield n’exige que Node.js 20 pour l’installateur ; les commandes de preuve viennent de la même CLI.
Dans le terminal du projet
npx bmad-plus install --packs shield
02
Interroger l’orchestrateur
Nommez le référentiel si vous le connaissez, ou décrivez votre situation ; Shield pose deux ou trois questions (juridiction, secteur, types de données) quand le référentiel est ambigu.
Dans le terminal du projet
Shield, audite mon application pour la conformité RGPD
03
Vérifier l’installation
Le diagnostic confirme la présence de la compétence du pack et de l’index des règles de revue.
Le chemin le plus court vers une revue de code mono-référentiel. Shield reconnaît le RGPD aux mots employés et passe la main au spécialiste RGPD. Une demande générale d’« audit RGPD » ou d’« évaluation de conformité » va plutôt au workflow privacy-advisor (évaluation de tout le programme de protection des données) : pour examiner du code, citez des fichiers précis.
Dans votre assistant IA
Shield, le back-end de notre application mobile stocke des profils d’utilisateurs et des tokens de notification. Examine le code dans services/api/ et les définitions de tables dans db/migrations/ au regard du RGPD : liste les données personnelles trouvées, la base légale déductible pour chacune et les écarts.
Ce que vous devriez obtenir La demande va à gdpr-agent, workflow 1 (audit de code et de système). Le rapport suit le format d’audit : données personnelles identifiées, évaluation de la base légale, constats et synthèse. Il porte la mention « généré par IA » et l’avertissement « pas un avis juridique ».
Quand une demande nomme plusieurs référentiels, Shield exécute chaque spécialiste et fusionne les résultats.
Dans votre assistant IA
Shield, analyse d’écart NIS2 contre DORA pour notre plateforme de paiement, qui sert des banques dans trois pays de l’UE. Nous avons un processus d’incident de sécurité mais pas de registre des prestataires TIC. Montre quelles obligations se recoupent, comme la notification d’incident et le risque lié aux tiers, pour construire un seul processus qui satisfait les deux, et donne une feuille de route de remédiation priorisée.
Ce que vous devriez obtenirnis2-agent et dora-agent s’exécutent tous deux, puis Shield utilise l’outil de correspondance entre référentiels (NIS2 ↔ DORA fait partie des appariements qu’il liste) pour bâtir la table des mesures communes et produit un rapport consolidé au format d’audit : mesures communes (implémenter une fois, satisfaire plusieurs), écarts propres à chaque référentiel et feuille de route priorisée.
À utiliser avant une fenêtre d’audit, quand vous savez quels critères de confiance sont dans le périmètre.
Dans votre assistant IA
Shield, génère une liste de preuves SOC 2 pour Security et Availability. Nous tournons sur AWS avec GitHub Actions. Pour chaque critère, nomme l’artefact à collecter, son responsable et la fréquence de mise à jour.
Ce que vous devriez obtenir Routé vers soc2-agent, dont la section sur les preuves d’audit organise les preuves par critère. Attendez-vous à une liste que vous pouvez transformer en tickets. Elle ne certifie rien : seul un auditeur peut émettre un rapport SOC 2.
À utiliser quand un traitement risque de présenter un risque élevé pour les personnes, par exemple la surveillance systématique de salariés ou le profilage.
Dans votre assistant IA
Shield, mène une AIPD pour la caméra de détection de fatigue que nous ajoutons à nos camionnettes de livraison. Elle filme le visage du conducteur en continu, calcule un score de fatigue sur l’appareil et ne téléverse que le score et un horodatage vers le tableau de bord de la flotte. Les images restent 24 heures sur l’appareil. Demande-moi tout ce qu’il te faut pour décrire le traitement.
Ce que vous devriez obtenir Le workflow dpia-sentinel déroule les étapes de l’article 35 (seuil, description, nécessité et proportionnalité, risques, mesures, consultation du DPO, consultation préalable) et produit un rapport en neuf sections : informations sur le projet, évaluation du seuil, description du traitement, nécessité et proportionnalité, risques pour les personnes, mesures d’atténuation, avis du DPO, conclusion et validation. Les sections 7 (avis du DPO) et 9 (validation) sont laissées aux personnes concernées pour qu’elles les complètent.
Réagir à une violation de données (breach-sentinel)#
À utiliser dès que vous soupçonnez une violation : le compte à rebours de 72 heures de l’article 33 démarre quand vous en avez connaissance.
Dans votre assistant IA
Shield, nous avons eu une violation de données. Un export CSV de clients (noms, e-mails, historique de commandes, environ 4 200 personnes dans l’UE) a été envoyé ce matin à 9 h 40 à une mauvaise adresse externe. Guide-moi pour les premières heures et rédige la notification à l’autorité.
Ce que vous devriez obtenir Le workflow breach-sentinel suit une chronologie : détection et évaluation initiale (premières heures), classification de gravité, notification à l’autorité avant les 72 heures avec les quatre éléments de l’article 33(3), information des personnes si la gravité l’exige, puis documentation et retour d’expérience. Les brouillons sont à faire relire par votre DPO ou votre juriste avant tout envoi.
À utiliser en premier, avant de décider quelles obligations s’appliquent. Enchaînez avec les workflows rôles et FRIA si le résultat est « haut risque ».
Dans votre assistant IA
Shield, classe mon système d’IA au titre de l’AI Act. Il classe des candidats pour une agence d’intérim à partir de CV et d’un court questionnaire. Nous le développons nous-mêmes et le vendons à des agences en France et en Allemagne.
Ce que vous devriez obtenir Le workflow ai-act-classifier identifie le système, vérifie les pratiques interdites de l’article 5, puis le statut de haut risque via l’article 6 et l’annexe III, puis les risques limité et minimal, et rend un rapport de classification avec le raisonnement, les obligations applicables et les prochaines étapes recommandées. Savoir si un cas est à haut risque est une conclusion juridique : faites-la confirmer.
Construire un dossier d’assurance lié à un commit#
À utiliser pour une version que vous devrez défendre devant un auditeur. Lancez les commandes depuis un arbre de travail propre, au commit concerné.
Dans votre assistant IA
Shield, construis un dossier d’assurance sécurité pour la version 2.3 de notre API mobile. Affirmations : l’analyse de l’image de conteneur ne signale aucune vulnérabilité critique, l’API refuse les versions de TLS inférieures à 1.2 et la sauvegarde de la nuit se restaure dans une base vide. Pour chaque affirmation, choisis une commande qui sort en erreur quand elle est fausse, puis exécute et vérifie le dossier et dis-moi quelles affirmations sont soutenues.
Ce que vous devriez obtenir Le fichier de dossier _bmad/assurance/<id>.yaml est créé avec bmad-plus assurance init, bmad-plus assurance run exécute chaque commande déclarée sans shell et ajoute le résultat à un registre à chaînage de hachages, et bmad-plus assurance verify classe chaque affirmation comme soutenue ou non soutenue, en jugeant le contrôle qui la fonde réussi, en échec, périmé ou manquant. Définissez BMAD_PLUS_ASSURANCE_KEY (32 caractères ou plus) et conservez la tête du registre donnée par run pour rendre détectables les modifications délibérées. Le verdict dit ce que sont les preuves ; ce n’est pas une certification.
À utiliser quand vous devez répondre à la question : quels outils d’IA voient vos données, et sur quelle base légale.
Dans votre assistant IA
Shield, ce trimestre nous avons ajouté un plugin d’assistant de code, un serveur MCP de chatbot de support et une API d’OCR. Crée le registre de traitement IA, inscris ces trois outils et demande-moi pour chacun les données vues, la base légale, la conservation et tout transfert hors de l’UE. Puis vérifie le registre et dis-moi quelles intégrations le contrôle a trouvées sans que je les aie citées.
Ce que vous devriez obtenirbmad-plus ai-register init crée _bmad/ai-processing-register.yaml à partir du modèle de Shield ; bmad-plus ai-register check affiche ensuite la date de revue et le nombre d’intégrations d’IA inscrites, avec un avertissement pour chacune qui ne l’est pas (adaptateurs BMAD+, dossiers d’outils, serveurs MCP). Le contrôle est une porte souple : les avertissements ne le font pas échouer, et bmad-plus doctor signale la même chose.
Ni Python, ni clé d’API, ni outil supplémentaire : Shield, ce sont des instructions plus des commandes de la CLI. Votre outil IA fournit le modèle.
Un flux hors machine concerne les commandes de preuve, et il appartient à la CLI bmad-plus plutôt qu’au pack : assurance-checks. La commande assurance existe sans Shield (le pack livre la procédure et les modèles). bmad-plus assurance run exécute les commandes écrites dans le dossier, avec la même confiance que les scripts du projet ; un contrôle peut donc accéder au réseau si sa commande le fait. Relisez un dossier écrit par quelqu’un d’autre avant de l’exécuter. La clé BMAD_PLUS_ASSURANCE_KEY reste dans l’environnement et n’est jamais transmise à un contrôle.
Ce que vous collez dans une conversation Shield (code, flux de données, détails d’incident) part vers le modèle de votre outil IA comme n’importe quelle consigne. Ne collez pas de données personnelles réelles dans une demande d’audit.
Remarque· Une consigne n’est pas une certification
Les spécialistes sont des consignes d’expert adossées à des fichiers de référence. Leur contenu réglementaire peut être dépassé, et une affirmation soutenue dans un dossier d’assurance signifie seulement qu’un contrôle nommé a réussi à un commit. Traitez chaque production comme un brouillon destiné à une personne qualifiée.
Astuce· Installer le pack
--packs prend une liste d’identifiants de packs séparés par des virgules : npx bmad-plus install --packs core,shield. Core est toujours inclus, et all installe tous les packs.
Remarque· Limites du registre
Sans BMAD_PLUS_ASSURANCE_KEY et sans --ledger-head conservé, la chaîne de hachages ne montre que les modifications accidentelles ou négligentes : qui peut écrire dans le registre peut y ajouter un enregistrement qui se vérifie. Indiquez quelle protection s’appliquait en présentant le résultat.
Remarque· Provenance
Les agents spécialistes sont adaptés d’une collection open source sous licence MIT de compétences GRC, et les workflows RGPD et AI Act ont été enrichis par des idées d’un catalogue de compétences professionnelles. Les mentions figurent dans THIRD-PARTY-LICENSES.md du paquet.