Traçabilité IA : obligations de journalisation AI Act 2026

Sommaire

Qu'est-ce qu'un audit trail dans les systèmes d'IA
Quelles informations l'AI Act exige d'enregistrer
Combien de temps conserver les enregistrements
Vie privée et journaux : le conflit avec le RGPD
Que se passe-t-il si l'audit trail est incomplet ou inexistant
Concevoir pour l'audit trail dès le début
Comment Yeeply peut vous aider

L’une des exigences techniques les plus concrètes que l’AI Act impose aux systèmes d’IA à haut risque est la journalisation automatique : le système doit être capable de générer des enregistrements permettant de reconstituer son comportement après qu’il a pris ou assisté une décision.

Ce n’est pas une exigence abstraite. L’AI Act précise le type d’informations qui doivent être consignées, et août 2026 est la date à laquelle ces obligations entrent en vigueur pour la plupart des systèmes. Ce guide explique quoi enregistrer, comment et pendant combien de temps.

Qu’est-ce qu’un audit trail dans les systèmes d’IA

Un audit trail est une séquence chronologique d’enregistrements qui documente les entrées, le traitement et les sorties d’un système dans le temps. Dans les systèmes conventionnels, il existe depuis des décennies à des fins de sécurité et de conformité. Dans les systèmes d’IA à haut risque, l’AI Act le rend obligatoire et précise le contenu minimal de ces enregistrements.

L’objectif réglementaire est concret : si un système d’IA assiste une décision affectant une personne — évaluer un candidat, rejeter un crédit ou recommander un diagnostic — il doit être possible de reconstituer exactement quels inputs le système a reçus et quels outputs il a générés, afin que la décision puisse être auditée a posteriori.

Quelles informations l’AI Act exige d’enregistrer

Identifier la période de fonctionnement du système
Enregistrer les entrées traitées par le système pour chaque décision ou assistance
Enregistrer les sorties pour chaque décision
Identifier les personnes chargées de superviser le système lors de chaque opération
Détecter et enregistrer les situations de risque ou les anomalies opérationnelles

Champ	Description
timestamp	Date et heure exactes de chaque opération
input_hash ou input_id	Référence aux données d’entrée (sans nécessairement stocker les données brutes, pour la vie privée)
output	La décision ou recommandation générée
model_version	Version du modèle qui a généré la sortie
confidence_score	Score de confiance ou probabilité si applicable
human_override	Si une intervention humaine a modifié ou rejeté la sortie
operator_id	Identifiant de l’opérateur ou superviseur humain
context_flags	Tout signal d’anomalie ou de situation à risque détecté

Combien de temps conserver les enregistrements

L’AI Act stipule que les enregistrements doivent être conservés pendant une période minimale de six mois, sauf disposition contraire du droit de l’Union ou national applicable. Dans la pratique, pour de nombreux systèmes dans des secteurs réglementés comme la finance ou la santé, les délais de conservation peuvent être beaucoup plus longs — 2, 5 ou même 10 ans — en raison de la superposition avec d’autres réglementations.

Vie privée et journaux : le conflit avec le RGPD

Le plus grand défi technique de l’audit trail IA est son intersection avec le RGPD. Les données d’entrée peuvent contenir des données personnelles, et le RGPD oblige à les minimiser et à ne pas les conserver plus longtemps que nécessaire.

Pseudonymisation : les entrées sont stockées avec un identifiant de référence, pas les données personnelles brutes
Hachage des entrées : stocker le hash de l’entrée, pas l’entrée elle-même
Séparation des journaux : le journal d’audit de l’AI Act et le journal de données personnelles sont des systèmes séparés

Que se passe-t-il si l’audit trail est incomplet ou inexistant

L’absence d’enregistrements adéquats dans un système à haut risque constitue une non-conformité à l’AI Act, sanctionnée par des amendes pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial. Au-delà de l’amende, l’impossibilité d’auditer une décision peut engager une responsabilité civile supplémentaire si cette décision a causé un préjudice à une personne.

Concevoir pour l’audit trail dès le début

La conclusion pratique est que l’audit trail est significativement moins coûteux à implémenter lorsqu’il est conçu dès le départ que lorsqu’il est ajouté à un système déjà en production. Adapter rétroactivement la journalisation à des systèmes existants peut être complexe et coûteux.

Comment Yeeply peut vous aider

Chez Yeeply, nous travaillons avec des entreprises certifiées spécialisées dans les architectures d’IA qui intègrent déjà les exigences de journalisation de l’AI Act dans leurs modèles de conception. Que vous ayez besoin d’auditer un système existant ou de concevoir un nouveau avec la conformité intégrée, nous vous mettons en relation avec l’équipe technique adaptée.

Pour les projets avec des contraintes budgétaires, nous faisons également appel à des équipes espagnoles spécialisées offrant les mêmes garanties à 30–40 % de coût en moins. Utilisez le bouton Demander un devis sur yeeply.com/fr ou écrivez à sales@yeeply.com.