Journalisation et conservation : guide pratique pour les équipes SaaS

Dans l'AI Act, la journalisation et la conservation sont des contrôles de traçabilité, pas une consigne de collecter indéfiniment chaque donnée possible. Pour les systèmes d'IA à haut risque, l'article 12 exige que le système permette techniquement l'enregistrement automatique d'événements pendant son cycle de vie. Fournisseurs et déployeurs doivent conserver les journaux automatiquement générés sous leur contrôle pendant une durée adaptée à la finalité et, en principe, au moins six mois, sauf règle applicable contraire.

Ces obligations ne visent pas automatiquement toute fonction d'IA ou toute entreprise SaaS. Il faut d'abord identifier le système, sa finalité, le rôle de l'entreprise et sa classification. Il faut aussi distinguer les journaux contrôlés par le fournisseur de ceux contrôlés par un client ou un fournisseur amont. L'objectif est une chaîne de preuves proportionnée permettant à un réviseur autorisé de relier un événement significatif à la version, au contexte d'entrée et de sortie, à l'action humaine, au contrôle et à la décision.

Même avant l'application des règles de haut risque, cette discipline aide à enquêter sur les incidents, surveiller la sécurité, répondre aux clients, gérer les changements et justifier les décisions produit. Il ne s'agit pas de surveillance indiscriminée, mais d'une journalisation volontairement conçue avec finalités, accès, déclencheurs et limites de conservation.

Commencer par le périmètre, pas par l'outil

Documentez la fonction, les modèles et services tiers, la finalité, les utilisateurs, les personnes affectées, les entrées, sorties, intégrations, environnements et décisions influencées. Le seul appel à l'API d'un modèle de fondation peut omettre les données de récupération, règles métier, interventions utilisateur ou actions aval qui constituent le système SaaS complet.

Déterminez ensuite le rôle. Une société développant ou commercialisant sous son nom un système à haut risque peut être fournisseur ; un client utilisant le système d'autrui peut être déployeur. Changement de marque, modification substantielle ou nouvelle finalité peuvent transférer les responsabilités. Les termes du contrat ne suffisent pas.

Évaluez enfin la classification. L'article 6 couvre les systèmes liés aux produits de l'annexe I et les cas de l'annexe III, sous réserve des conditions et exclusions. Le classement de candidats exige une analyse différente d'un assistant de rédaction marketing interne. Consignez raisonnement, réviseur, date, hypothèses et événements de réévaluation. Pour le contexte, voyez comment la gouvernance de l'IA change les attentes de conformité.

Ce que l'AI Act exige

Selon l'AI Act, l'article 12 impose aux systèmes à haut risque l'enregistrement automatique d'événements tout au long de leur vie. Les fonctions doivent assurer une traçabilité adaptée, aider à repérer les risques ou modifications substantielles, soutenir le suivi après commercialisation et permettre au déployeur de surveiller l'exploitation.

Les événements dépendent du système. Pour certains systèmes d'identification biométrique à distance de l'annexe III, l'article 12 fixe des informations minimales supplémentaires. Copier ce schéma spécialisé dans un autre produit ne prouve rien : les événements doivent découler de la finalité, des risques, limites de performance, mesures de supervision humaine, instructions et plan de suivi.

L'article 19 exige des fournisseurs qu'ils conservent les journaux automatiques sous leur contrôle pendant une durée adaptée d'au moins six mois, sauf disposition contraire du droit de l'Union ou national, notamment en matière de données personnelles. L'article 26 pose un minimum parallèle pour les déployeurs. Ce minimum n'autorise donc pas une conservation illimitée. Le calendrier doit concilier traçabilité, minimisation, limitation de conservation, sécurité, droit du travail, règles sectorielles, contrats et incidents.

Après le règlement (UE) 2026/1744, ces exigences s'appliquent le 2 décembre 2027 aux systèmes de l'annexe III et le 2 août 2028 aux systèmes intégrés aux produits réglementés de l'annexe I. Le calendrier de la Commission reprend ces dates.

Quelles données enregistrer

Un événement utile répond à une question de contrôle, pas seulement à la preuve qu'un serveur fonctionnait :

1. Système et version : identifiant stable, modèle ou composant, configuration, environnement et version.
2. Temps et corrélation : horodatage fiable, identifiant de requête ou transaction et liens entre événements.
3. Contexte : fonction, flux prévu, rôle utilisateur ou service et réglages utiles sans contenu superflu.
4. Entrée et sortie : références, empreintes, résumés structurés ou instantanés protégés lorsqu'une reconstruction est justifiée.
5. Supervision humaine : revue, approbation, rejet, dérogation, escalade et autorité de l'acteur.
6. Contrôles : règles, seuils, filtres, accès, erreurs, solutions de repli et résultat du contrôle.
7. Changement et suivi : déploiements, changements de modèle ou données, dérive, incidents, plaintes et corrections.
8. Intégrité : origine, accès, préservation et transformation ou suppression.

Ne stockez pas automatiquement prompts, documents, réponses ou identités complets. Le contenu peut parfois être indispensable à une enquête ; ailleurs, un identifiant pseudonyme, une empreinte, une catégorie, une mesure ou un échantillon protégé suffit. Décidez champ par champ selon les finalités et risques documentés.

Un processus opérationnel

1. Formaliser la décision

Pour chaque système, consignez périmètre, finalité, rôle, classification, obligations, objectifs, catégories et responsables. Identifiez les journaux contrôlés par l'entreprise et ceux dépendant d'un tiers. Notez hypothèses et déclencheurs.

2. Relier questions et événements

Partez des questions : quelle version a produit le résultat ? La revue humaine était-elle requise et réalisée ? Un contrôle s'est-il déclenché ? L'usage respectait-il la finalité ? Qu'a-t-on changé avant la dégradation ? Associez les plus petits champs fiables et leur source.

3. Répartir la responsabilité

L'ingénierie gère généralement l'instrumentation ; la sécurité, l'accès, l'intégrité et les alertes ; le produit, le flux et les versions ; les équipes data/ML, les identifiants de modèles, jeux et évaluations ; la protection des données, la licéité et la minimisation ; la conformité, la cartographie des exigences. Un responsable coordonne sans inventer les faits d'autrui.

4. Régler accès et conservation

Séparez accès opérationnel et enquête. Appliquez moindre privilège, authentification, journalisation des accès, chiffrement et contrôle des exports. Définissez départ du délai, suppression, exceptions, gels et sauvegardes. Clarifiez aussi le partage fournisseur-déployeur.

5. Déclencher les revues par les changements

Réexaminez après changement important de modèle, prompt, récupération, seuil, source, intégration, finalité ou supervision, ainsi qu'après incident, plainte, performance inattendue, usage non autorisé ou notification fournisseur. Liez le résultat à la version de production.

6. Tester reconstruction et suppression

Demandez à un réviseur indépendant de reconstruire version, contrôles, actions humaines et suivi d'un événement. Vérifiez ensuite la suppression effective dans stockage principal, analytique, exports et sauvegardes. Les deux opérations exigent des preuves.

Erreurs fréquentes

Tout journaliser. Cela augmente les risques de vie privée, sécurité, contentieux et coût sans garantir la traçabilité.

Confondre télémétrie et piste d'audit IA. Disponibilité et erreurs identifient rarement modèle, configuration, supervision et preuve d'un résultat.

Appliquer six mois à tout. Le minimum vise les journaux automatiques des systèmes à haut risque sous contrôle de l'opérateur et reste soumis aux autres lois.

Ignorer les frontières de contrôle. Un fournisseur ne conserve pas un journal qu'il ne reçoit jamais ; un déployeur ne doit pas supposer que son fournisseur garde le contexte utile.

Collecter du contenu sensible sans garanties. Prompts et sorties peuvent contenir données personnelles ou secrets. Minimisez, séparez, chiffrez et surveillez.

Conserver des événements incompréhensibles. Sans schéma, synchronisation, version ou corrélation, ils peuvent être inutiles.

Exemple : recrutement assisté par IA

Un fournisseur SaaS classe des candidatures. Il documente finalité, périmètre, rôle et classification. Les événements relient modèle et configuration de production à chaque classement, aux références d'entrée, à la sortie et son contexte, aux seuils, alertes, revues humaines, dérogations et action finale.

L'accès au contenu est réservé aux enquêtes autorisées ; le suivi courant emploie des données agrégées si possible. La décision de conservation explique l'article 19, les contraintes de données, les responsabilités client et les délais sectoriels. Changer modèle, seuil ou revue déclenche une analyse et maintient la liaison entre anciennes et nouvelles preuves.

Ce dispositif ne garantit pas seul la conformité, mais permet de vérifier le fonctionnement documenté, la supervision humaine et la réponse responsable aux changements et incidents.

FAQ

Quel est l'objectif pratique ?

Rendre l'activité matérielle traçable en reliant événement, version, contexte, contrôles, actions humaines et suivi sans données étrangères à la finalité.

Quand ces obligations concernent-elles une équipe SaaS ?

Les articles 12, 19 et 26 concernent les systèmes à haut risque et répartissent les exigences selon le rôle et le contrôle. Confirmez système, finalité, classification et rôle.

Faut-il stocker chaque prompt et réponse ?

Non. Une traçabilité adaptée n'est pas une conservation indiscriminée. Choisissez les champs nécessaires et protégez-les.

Combien de temps conserver les journaux ?

En principe, les journaux automatiques sous contrôle des fournisseurs ou déployeurs sont conservés pendant une durée adaptée d'au moins six mois. Une autre loi peut imposer ou limiter une autre durée.

Par quoi commencer ?

Inventoriez système, rôle, classification, sources et questions, puis définissez schéma minimal, responsabilités, accès, conservation, changements et test de reconstruction.

Sources

• Règlement (UE) 2024/1689, notamment articles 6, 12, 19 et 26.
• Règlement (UE) 2026/1744 et nouvelles dates d'application.
• Commission européenne, « AI Act », calendrier et obligations à haut risque.