Article 12 IA ACT : Conservation des registres (Logging)
Table des matières
Explication de l’article
L’article 12 de l‘IA ACT impose aux systèmes d’IA à haut risque d’intégrer des mécanismes automatiques d’enregistrement des événements (logs) tout au long de leur cycle de vie, en particulier lors de leur utilisation en conditions réelles.
L’objectif est de garantir une traçabilité effective et opérationnelle du fonctionnement du système afin de :
- détecter les dysfonctionnements ;
- analyser les incidents ou quasi-incidents ;
- faciliter la surveillance post commercialisation ;
- permettre aux autorités compétentes de vérifier la conformité.
Contrairement à la documentation technique prévue à l’article 11 (qui est essentiellement statique), l’article 12 impose une traçabilité dynamique et continue, reflétant le comportement réel du système en production.
Les logs doivent être conçus de manière à :
- être automatiques (sans dépendre d’une action humaine) ;
- enregistrer uniquement les informations pertinentes au regard des risques ;
- respecter les exigences de protection des données et de sécurité.
L’article 12 permet :
- de passer d’une conformité déclarative à une conformité vérifiable ;
- d’anticiper les contentieux et contrôles ;
- de renforcer la confiance des utilisateurs et des autorités ;
- de détecter les dérives algorithmiques invisibles à court terme.
Il constitue un pilier technique essentiel de l’effectivité de l’AI Act.
Notions clés à comprendre
Logs (journaux d’événements) : enregistrements automatiques retraçant le fonctionnement d’un système d’IA (entrées, décisions, résultats, anomalies, interventions humaines, etc.).
Traçabilité dynamique : capacité à reconstituer a posteriori le comportement réel du système pendant son utilisation effective.
Surveillance post-commercialisation : obligation de suivre le fonctionnement du système après sa mise sur le marché afin d’identifier de nouveaux risques ou dérives.
Accountability (responsabilité démontrable) : capacité du fournisseur ou de l’utilisateur à démontrer, preuves à l’appui, que le système fonctionne conformément au règlement.
Pertinence des logs : les données enregistrées doivent être suffisantes pour l’analyse des risques, sans être excessives ou inutiles
Détection d’anomalies : capacité à identifier dans les logs les situations où le système fonctionne de manière inattendue ou présente des risques.
Rétention des logs : durée pendant laquelle les logs doivent être conservés, généralement proportionnée à l’objectif prévu du système (minimum 6 mois dans la plupart des cas).
Accès aux logs : possibilité pour les autorités, les utilisateurs, et les tiers d’accéder aux logs pour audit, investigation ou résolution de problèmes.
Exemple pratique
Une entreprise utilise un système d’IA pour classer automatiquement les candidatures reçues pour des postes à pourvoir. Ce système relève de l’Annexe III et est donc considéré comme une IA à haut risque.
Application de l’article 12 :
- le système enregistre automatiquement :
- les critères utilisés pour chaque décision de classement ;
- les scores attribués aux candidats ;
- les éventuelles interventions humaines ;
- les anomalies ou erreurs détectées ;
En cas de plainte pour discrimination, l’entreprise peut :
- reconstituer le raisonnement du système ;
- identifier une dérive ou un biais ;
- démontrer sa conformité ou corriger le système.
Sans logs, toute enquête serait impossible ou purement théorique.
Texte original de l’IA Act
Article 12 – Conservation des registres
1. Les systèmes d’IA à haut risque permettent, techniquement, l’enregistrement automatique des événements (journaux) tout au long de la durée de vie du système.
2. Afin de garantir un degré de traçabilité du fonctionnement d’un système d’IA qui soit adapté à la destination du système, les fonctionnalités de journalisation permettent l’enregistrement des événements pertinents pour :
a) repérer les situations susceptibles d’avoir pour effet que le système d’IA à haut risque présente un risque au sens de l’article 79, paragraphe 1, ou d’entraîner une modification substantielle;
b) faciliter la surveillance après commercialisation visée à l’article 72; et
c) surveiller le fonctionnement du système d’IA à haut risque comme prévu à l’article 26, paragraphe 5.
3. Pour les systèmes d’IA à haut risque visés à l’annexe III, point 1 a), les fonctionnalités de journalisation fournissent, au minimum :
a) l’enregistrement de la période de chaque utilisation du système (date et heure de début et de fin pour chaque utilisation);
b) la base de données de référence utilisée par le système pour vérifier les données d’entrée;
c) les données d’entrée pour lesquelles la recherche a abouti à une correspondance;
d) l’identification des personnes physiques participant à la vérification des résultats, visées à l’article 14, paragraphe 5.
Perspectives avec d’autres textes
Perspectives européennes
RGPD – Accountability (art. 5§2) : obligation de démontrer la conformité des traitements, étendue ici à l’IA.
Règlement (UE) 2019/1020 – Surveillance du marché : les logs permettent aux autorités de vérifier la conformité des systèmes.
Perspectives françaises
Code de la consommation – Transparence des algorithmes : l’article 12 soutient la transparence des décisions affectant les consommateurs.
CNIL – Recommandations relative aux mesures de Journalisation : directives sur ce qui doit être enregistré et comment protéger les données.
Assurer la traçabilité de votre système d’IA peut être complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne.
Menu IA Act
Besoin d’aide pour cet article ?
Comprendre les obligations liées à cet article et éviter les erreurs.
🔓 Échange confidentiel – Sans engagement