Article 12 règlement IA : enregistrement et journalisation
L’article 12 exige que les systèmes d’IA à haut risque enregistrent automatiquement les événements. Ce guide indique ce que les journaux doivent contenir, comment les construire et combien de temps les conserver.
Les fournisseurs de systèmes d’IA à haut risque doivent les doter d’un enregistrement automatique des événements (journaux) pendant toute leur durée de vie (article 12).
Cela vise les systèmes mis sur le marché ou mis en service dans l’UE. Cela s’applique à partir du 2 décembre 2027 (annexe III) et du 2 août 2028 (annexe I). Les fournisseurs et les déployeurs (organisations qui utilisent le système) doivent conserver les journaux sous leur contrôle au moins six mois (articles 19 et 26(6)). Le droit de l’Union ou le droit national peut prévoir une autre durée. Les amendes peuvent atteindre 15 millions d’EUR ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)). Prochaine étape : dressez la liste des événements que votre système doit enregistrer.
Les journaux servent trois objectifs, et un type de système a un contenu minimal fixe
L’article 12(2) ne fixe pas de liste de champs. Il exige d’enregistrer les événements pertinents pour trois objectifs, avec un degré de traçabilité adapté à la finalité prévue du système.
Repérer les risques et les modifications substantielles
Journalisez les événements qui montrent quand le système peut présenter un risque au sens de l’article 79(1) ou subit une modification substantielle (article 12(2), point a)).
Soutenir la surveillance après commercialisation
Journalisez les événements dont le fournisseur a besoin pour surveiller le système après sa mise sur le marché (article 12(2), point b), article 72).
Soutenir la surveillance par les déployeurs
Journalisez les événements qui permettent aux déployeurs de surveiller le fonctionnement du système (article 12(2), point c), article 26(5)).
Contenu minimal pour l’identification biométrique à distance
Les systèmes d’identification biométrique à distance relevant de l’annexe III, point 1 a), lorsque leur utilisation est autorisée par le droit de l’Union ou le droit national, doivent journaliser au minimum les éléments suivants (article 12(3)). Les systèmes servant uniquement à confirmer qu’une personne est bien celle qu’elle prétend être sont exclus. Ce sont la période de chaque utilisation, la base de données de référence consultée, les données d’entrée ayant abouti à une correspondance et les personnes ayant vérifié les résultats.
Le règlement ne fixe pas de format de journal ; ces pratiques servent ses objectifs
L’article 12 ne nomme ni format de journal ni technologie de stockage. Les trois pratiques ci-dessous sont des choix d’ingénierie courants.
Champs structurés
Écrivez chaque événement en JSON avec toujours les mêmes champs : horodatage, type d’événement, identifiant du système, identifiant de trace et résumé de l’entrée et de la sortie.
Stockage en ajout seul
Stockez les journaux là où personne ne peut les modifier ensuite, par exemple avec S3 Object Lock. Ni l’article 12 ni l’article 19 ne l’exige ; cela protège les journaux comme preuve.
Identifiants de trace
Mettez le même identifiant de trace dans chaque entrée de journal d’une requête, afin de suivre un événement dans tout le pipeline d’IA.
Fournisseurs et déployeurs conservent les journaux au moins six mois, sauf disposition contraire d’un autre droit
Le minimum de six mois s’applique aux journaux placés sous votre contrôle. Le droit de l’Union ou le droit national, en particulier le droit de la protection des données, peut prévoir une autre durée. Le droit de l’Union sur les services financiers fixe des exigences de gouvernance interne, de dispositifs et de processus aux établissements financiers. Ceux-ci conservent les journaux dans la documentation qu’ils tiennent au titre de ce droit (articles 19(2) et 26(6)).
Conservez les journaux générés par votre système d’IA à haut risque, dans la mesure où ils se trouvent sous votre contrôle. La durée doit être adaptée à la finalité prévue et d’au moins six mois, sauf disposition contraire du droit de l’Union ou du droit national (article 19(1)).
Conservez les journaux générés par le système, dans la mesure où ils se trouvent sous votre contrôle. La durée doit être adaptée à la finalité prévue et d’au moins six mois, sauf disposition contraire du droit de l’Union ou du droit national (article 26(6)).
L’article 12 ne s’applique qu’aux systèmes d’IA à haut risque
Un système est à haut risque s’il relève d’un domaine de l’annexe III, sauf si une exemption de l’article 6(3) s’applique. Un système qui effectue du profilage de personnes physiques est toujours à haut risque. Il l’est aussi s’il est un produit de l’annexe I exigeant une évaluation de la conformité par un tiers, ou son composant de sécurité (article 6). Les fournisseurs sont couverts lorsqu’ils mettent un système sur le marché de l’UE ou le mettent en service dans l’UE, où qu’ils soient établis (article 2(1), point a)). Les fournisseurs et déployeurs établis dans un pays tiers sont aussi couverts lorsque les sorties du système sont utilisées dans l’UE (article 2(1), point c)). Les systèmes à haut risque liés à des produits relevant des législations de l’annexe I, section B, sont exclus de l’article 12 (article 2(2)). Pour les produits de l’annexe I, section A, certaines exigences peuvent être limitées (article 2(13)). Cela concerne les articles 9 à 15 et 17 à 25, lorsque la législation sectorielle offre un niveau de protection équivalent ou supérieur. Des actes délégués attendus d’ici le 2 août 2027 préciseront lesquelles. Le règlement exclut les usages militaires, de défense et de sécurité nationale, ainsi que les systèmes développés uniquement pour la recherche scientifique (article 2(3) et (6)). Il exclut aussi la recherche et les essais avant la mise sur le marché (article 2(8)). Les systèmes déjà mis sur le marché ou en service avant la date d’application ne sont couverts qu’après des modifications substantielles de leur conception. En tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111(2)).
Questions fréquentes : journaux existants, RGPD et amendes
Puis-je utiliser mon système de journalisation existant ?
Oui, s’il respecte l’article 12. Le système d’IA à haut risque doit permettre techniquement l’enregistrement automatique des événements pour les trois objectifs de l’article 12(2). Les journaux placés sous votre contrôle doivent être conservés au moins six mois, sauf disposition contraire du droit de l’Union ou du droit national. Comparez vos journaux actuels à ces trois objectifs et à la durée de conservation.
L’article 12 est-il en conflit avec la minimisation des données du RGPD ?
L’article 12 ne nomme aucun champ de données personnelles, sauf l’identification des personnes qui vérifient les résultats dans les systèmes d’identification biométrique à distance (article 12(3), point d)). L’obligation de conservation cède devant le droit de la protection des données lorsque celui-ci en dispose autrement (articles 19(1) et 26(6)). Si la finalité le permet, journalisez des identifiants et des métadonnées d’événements plutôt que des données personnelles brutes. Les données personnelles qu’un journal peut contenir relèvent du RGPD : demandez à votre délégué à la protection des données ou à un conseil juridique.
Quelles sont les amendes, et le plafond est-il plus bas pour les PME ?
Les amendes atteignent jusqu’à 15 millions d’EUR ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)). Elles visent les fournisseurs (article 16) et les déployeurs (article 26). Pour les PME, y compris les jeunes pousses, et les petites ETI, le plafond est le plus faible des deux montants (article 99(6) et (6 bis)). Le règlement les appelle « petites entreprises à moyenne capitalisation ». Les États membres fixent les règles relatives aux sanctions (article 99(1)).
À lire ensuite : surveillance après commercialisation, obligations du déployeur et pistes d’audit
Article 72 : surveillance après commercialisation
Les fournisseurs surveillent leurs systèmes à haut risque après leur lancement ; les journaux de l’article 12 soutiennent cette surveillance.
Article 26 : obligations des déployeurs
Les déployeurs surveillent le système, conservent les journaux au moins six mois et signalent les incidents graves.
Exigences de piste d’audit du règlement IA
Exigences techniques pour des pistes d’audit résistantes à la falsification.
Scanara prépare des preuves à partir de vos dépôts
Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.