Qu'exige l'article 12 en matière de journalisation ?
L'article 12 impose une capacité de journalisation par conception : les systèmes d'IA à haut risque doivent permettre l'enregistrement automatique des événements (« logs ») pendant toute leur durée de vie. L'objectif est d'assurer un niveau de traçabilité approprié à la finalité du système. Concrètement, ces journaux doivent aider à :
- identifier les situations susceptibles de présenter un risque ou de conduire à une modification substantielle ;
- faciliter la surveillance après commercialisation (article 72) ;
- assurer le suivi du fonctionnement des systèmes à haut risque tout au long de leur vie.
Pour certains systèmes — notamment biométriques — l'article 12 précise des exigences minimales de journalisation (période d'utilisation, base de données de référence, données d'entrée ayant conduit à une correspondance, identification des personnes vérifiant les résultats).
Qui conserve les journaux, et pendant combien de temps ?
La journalisation ne sert à rien si les journaux ne sont pas conservés. L'AI Act répartit cette obligation entre les acteurs.
| Acteur | Obligation | Durée |
|---|---|---|
| Fournisseur | Conserver les journaux générés automatiquement, sous son contrôle (art. 19) | Appropriée à la finalité, au moins 6 mois (sauf droit applicable contraire) |
| Déployeur | Conserver les journaux sous son contrôle (art. 26 § 6) | Au moins 6 mois, sauf disposition contraire |
| Établissements financiers | Journaux intégrés à la documentation au titre du droit financier | Selon la réglementation sectorielle applicable |
Pourquoi la traçabilité est-elle si centrale ?
La journalisation est le socle de plusieurs autres obligations. Elle nourrit le contrôle humain (article 14), qui suppose de pouvoir détecter les anomalies ; elle alimente la surveillance après commercialisation (article 72) et la gestion des [incidents graves](/ressources/surveillance-marche-incidents-graves) (article 73) ; elle rend possibles l'audit et l'action des autorités. Sans journaux fiables, impossible de reconstituer une décision contestée, d'expliquer une défaillance ou de démontrer sa conformité. La traçabilité transforme une IA opaque en système redevable.
Comment mettre en place une journalisation conforme ?
- 01
Concevoir la capacité de logs en amont
Intégrez l'enregistrement automatique des événements dès la conception du système à haut risque (article 12).
- 02
Définir les événements pertinents
Déterminez quels événements journaliser au regard des risques et de la finalité, sans collecte excessive.
- 03
Organiser la conservation
Mettez en place une conservation sécurisée des journaux, d'au moins six mois côté fournisseur comme déployeur (art. 19 et 26).
- 04
Articuler avec le RGPD
Encadrez les données personnelles présentes dans les journaux : base légale, minimisation, sécurité, durée justifiée.
Questions fréquentes
La journalisation concerne-t-elle tous les systèmes d'IA ?
L'obligation de l'article 12 vise les systèmes d'IA à haut risque. Les autres systèmes n'y sont pas soumis, même si la journalisation reste une bonne pratique de sécurité et de traçabilité. Pour le haut risque, c'est une exigence technique de conception, non une option.
Combien de temps faut-il conserver les journaux ?
Le déployeur conserve les journaux sous son contrôle pendant une durée appropriée d'au moins six mois, sauf disposition contraire du droit applicable (article 26 § 6). Le fournisseur conserve, lui, les journaux générés automatiquement dans les mêmes ordres de grandeur (article 19). Des réglementations sectorielles peuvent imposer des durées plus longues.
Qui est responsable de la conservation des journaux ?
La responsabilité est partagée. Le fournisseur conserve les journaux qui sont sous son contrôle (article 19) ; le déployeur conserve ceux qui relèvent du sien (article 26). La répartition dépend de qui détient effectivement les journaux, ce qu'il est utile de préciser par contrat.
Les journaux peuvent-ils contenir des données personnelles ?
Oui, c'est fréquent. Dans ce cas, le RGPD s'applique pleinement : la journalisation doit respecter la minimisation, la sécurité et une durée de conservation justifiée. L'exigence de traçabilité de l'AI Act et les principes de protection des données doivent être conciliés dès la conception.