Checklist de journalisation et de conservation

Une checklist efficace intègre la traçabilité au travail quotidien. Identifiez d'abord le système d'IA complet, sa finalité, le rôle de l'entreprise, sa classification et les traces réellement sous votre contrôle. Définissez ensuite le minimum permettant d'expliquer résultats importants, changements, actions humaines, contrôles et incidents. Nommez les responsables de la collecte, de l'accès, de la revue, de la conservation et de la suppression, puis vérifiez qu'un examinateur autorisé peut reconstruire les faits.

Pour les systèmes d'IA à haut risque, l'article 12 de l'AI Act exige l'enregistrement automatique d'événements pendant la vie du système. Les articles 19 et 26 imposent aux fournisseurs et déployeurs de conserver les journaux automatiques sous leur contrôle pendant une durée adaptée et, en principe, au moins six mois, sauf autre règle applicable. Cela ne justifie ni de tout enregistrer ni de tout conserver indéfiniment.

1. Confirmer le périmètre

• [ ] Documenter nom, propriétaire, finalité, utilisateurs, personnes touchées, entrées, sorties et décisions.
• [ ] Cartographier modèles, sources, règles, étapes humaines, intégrations et actions en aval.
• [ ] Consigner rôle, analyse du haut risque, hypothèses, approbation et déclencheurs de réévaluation.
• [ ] Distinguer les journaux contrôlés par l'entreprise, le client et les fournisseurs; recenser confidentialité, sécurité, emploi, secteur et contrats.

2. Définir questions et événements minimaux

• [ ] Relier chaque question d'enquête ou d'audit à un type d'événement et aux champs minimaux.
• [ ] Inclure versions du système, modèle et configuration, horodatage et identifiants de corrélation.
• [ ] Tracer contrôles, erreurs, exceptions, interventions humaines, changements, plaintes et corrections.
• [ ] Versionner le schéma et tester automatiquement les champs obligatoires.

Un journal utile répond à une question. La télémétrie de disponibilité ne prouve généralement pas quelle version a produit un résultat. Le stockage systématique des prompts, documents, réponses et identités peut accroître le risque; utilisez des références protégées, hachages, résumés ou échantillons restreints lorsqu'ils suffisent.

3. Attribuer les responsabilités

• [ ] Nommer un responsable par système.
• [ ] Répartir instrumentation à l'ingénierie, finalité et changements au produit, modèles et évaluations aux équipes ML, accès et intégrité à la sécurité, minimisation à la vie privée, exigences et tests à la conformité.
• [ ] Documenter les limites clients et fournisseurs.

4. Intégrer la preuve à la livraison

• [ ] Relier cadrage, classification, versions et évaluations à la version livrée.
• [ ] Faire émettre par le déploiement identifiants, approbations, état des contrôles et retour arrière.
• [ ] Capturer automatiquement exceptions, interventions, plaintes et incidents; réévaluer toute modification importante.

La preuve doit naître là où la décision est prise. Automatisez la complétude courante et réservez le jugement humain aux changements et exceptions importants.

5. Protéger accès et intégrité

• [ ] Classer les traces, séparer accès opérationnel et enquête, appliquer moindre privilège, authentification, chiffrement et journal d'accès.
• [ ] Régir export, protection contre l'altération, conservation en cas d'incident et documentation du schéma.

6. Conserver et supprimer par catégorie

• [ ] Définir finalité, point de départ, date de suppression et minimum des articles 19 ou 26 lorsqu'il s'applique.
• [ ] Concilier minimisation, règles sectorielles, contrats, incidents et gels.
• [ ] Couvrir stockage principal, analyses, exports, répliques et sauvegardes; approuver les exceptions et tester la suppression.

« Au moins six mois » n'est pas une durée universelle : elle vise certains journaux automatiques à haut risque sous le contrôle de l'opérateur.

7. Revoir et escalader

• [ ] Déclencher la revue après changement important, identifiant absent, contrôle défaillant, dérogation inhabituelle, performance inattendue ou usage non autorisé.
• [ ] Donner à chaque alerte une destination, une gravité, un délai, un décideur et une preuve de clôture.
• [ ] Suivre corrections, tendances et échantillons fondés sur le risque.

8. Tester la chaîne de preuve

• [ ] Reconstruire une livraison, un résultat et une exception jusqu'à leur clôture.
• [ ] Vérifier accès, export et suppression dans toutes les copies gouvernées.
• [ ] Documenter lacunes, responsables, échéances et nouveaux tests.

Le test doit être réalisé par une personne qui n'a pas constitué le dossier. S'il dépend de messages privés ou de la mémoire d'un ingénieur, le processus n'est pas reproductible.

Démarrage en une semaine

Choisissez un flux important. Documentez périmètre, rôle, classification, questions, fournisseurs et lacunes. Convenez du schéma, des responsabilités, de l'accès, de la conservation et des déclencheurs. Testez une reconstruction, créez un court plan correctif, puis réutilisez le modèle pour le risque suivant.

Après la modification de 2026, les règles à haut risque s'appliquent aux usages de l'annexe III le 2 décembre 2027 et aux systèmes intégrés aux produits réglementés de l'annexe I le 2 août 2028.

FAQ

Quel est l'objectif pratique ?

Permettre à une personne autorisée de reconstruire activité, contrôles, actions humaines, changements et suivi importants, non de maximiser les données collectées.

Faut-il conserver tous les prompts et réponses ?

Non. Choisissez les champs selon une finalité définie et privilégiez métadonnées minimisées, références protégées, hachages ou échantillons restreints lorsque suffisants.

Comment prouver l'efficacité ?

Par des tests de reconstruction, d'accès, d'export et de suppression, avec lacunes documentées et nouveaux tests après correction.

Sources

• Règlement (UE) 2024/1689 consolidé au 27 juillet 2026, notamment articles 12, 19 et 26.
• Règlement (UE) 2026/1744 sur les dates modifiées.
• Commission européenne, « AI Act », calendrier et aperçu actuels.