Article 12 : tenue de registres de l'IA répressive — EU AI Act
Comment la tenue de registres de l'article 12 de l'EU AI Act s'applique à l'IA répressive — journaux recevables en justice, chaîne de possession, normes de preuve.
L'article 12 de l'EU AI Act exige que les systèmes d'IA à haut risque enregistrent automatiquement les événements pertinents pour l'identification des risques et la garantie de la traçabilité. L'IA répressive — classée à haut risque au titre de l'Annexe III, sections 6 à 8 lorsqu'elle est utilisée pour l'évaluation des risques présentés par des personnes physiques, des outils de type polygraphe, l'évaluation de la fiabilité des preuves ou l'analyse criminelle — doit tenir des journaux d'audit recevables devant les tribunaux, capables de résister à un examen juridique, établir une chaîne de possession pour les preuves numériques et faciliter les audits des organes de contrôle indépendants.
La journalisation de l'IA répressive comporte les enjeux juridiques les plus élevés de tous les secteurs : ces journaux peuvent déterminer si des preuves sont recevables dans une procédure pénale, si les droits d'un suspect ont été respectés et si des décisions assistées par l'IA peuvent résister à un contrôle judiciaire. Contrairement à d'autres secteurs, les journaux de l'IA répressive ne sont pas accessibles au public mais doivent pouvoir être audités par des organes de contrôle indépendants et des autorités de protection des données. Cette page explique les obligations spécifiques de tenue de registres, les normes de preuve et les violations au niveau du code que Scanara détecte.
Que faut-il journaliser pour les systèmes d'IA répressive ?
Résultats de décision de l'IA et justification
Chaque évaluation des risques, évaluation de preuves ou résultat prédictif généré par l'IA doit être journalisé avec : horodatage, version du modèle, résultat de la décision, score de confiance et facteurs clés ayant déterminé le résultat. Ces journaux doivent être suffisamment détaillés pour expliquer le rôle de l'IA dans toute action répressive ultérieure.
Références et provenance des données d'entrée
Journalisez les références de toutes les données d'entrée utilisées pour chaque décision : requêtes de bases de données, flux de renseignement, sources de données de capteurs et tout prétraitement appliqué. La chaîne de possession commence dès l'ingestion des données — le journal doit établir d'où proviennent les données et comment elles ont été transformées avant d'atteindre le système d'IA.
Registres des décisions et actions des agents
Journalisez quel agent a examiné le résultat de l'IA, quelle action il a entreprise (enquêter, transmettre, classer) et s'il s'est écarté de la recommandation de l'IA. L'article 14 exige un contrôle humain effectif — les journaux doivent démontrer que les agents ont pris des décisions indépendantes plutôt que de suivre aveuglément les résultats de l'IA.
Requêtes de bases de données de référence et de listes de surveillance
L'article 12(1) exige de journaliser la base de données de référence à laquelle les données d'entrée ont été comparées. Pour la répression, journalisez chaque requête de base de données : quelles bases ont été interrogées, les paramètres de la requête, les résultats renvoyés et la version de la base. Les requêtes sur les listes de surveillance sont particulièrement sensibles et exigent une journalisation renforcée.
Journaux d'accès au système et de requêtes
Journalisez chaque utilisateur ayant accédé au système d'IA, les requêtes qu'il a exécutées et les résultats qu'il a reçus. La journalisation des accès est essentielle pour détecter les abus (surveillance non autorisée, recherches exploratoires) et pour répondre aux demandes d'accès à l'information et de transparence sur les schémas d'utilisation du système.
Métadonnées de la chaîne de possession
Pour les résultats de l'IA susceptibles de devenir des preuves dans une procédure pénale, journalisez les métadonnées de la chaîne de possession : qui a généré le résultat, quand, comment il a été stocké, qui y a accédé ensuite et si le résultat a été modifié. Une chaîne ininterrompue du système d'IA jusqu'au tribunal est requise pour la recevabilité des preuves.
Principales obligations de tenue de registres pour la répression
La journalisation de l'IA répressive doit satisfaire aux normes de preuve les plus strictes de tous les secteurs. Les journaux ne sont pas seulement de la documentation de conformité — ils constituent des preuves potentielles dans les procédures pénales et les contrôles judiciaires des actions répressives. L'architecture de journalisation doit être conçue avec la recevabilité devant les tribunaux comme exigence primordiale.
Journaux d'audit recevables devant les tribunaux
Les journaux de décision de l'IA utilisés dans les procédures pénales doivent répondre aux normes de recevabilité des preuves : stockage inviolable (hachage cryptographique ou support à écriture unique), horodatages précis provenant d'horloges synchronisées, chaîne de possession ininterrompue de la génération à la présentation au tribunal, et contexte technique suffisant pour le témoignage d'experts.
Non public mais auditable
Les journaux de l'IA répressive ne sont pas accessibles au public — mais l'article 26(5) exige qu'ils soient disponibles pour audit par l'autorité de surveillance du marché. Les organes de contrôle indépendants, les autorités de protection des données et les tribunaux doivent pouvoir accéder aux journaux de décision de l'IA et les examiner. Concevez les contrôles d'accès pour une auditabilité à plusieurs niveaux plutôt que pour une transparence publique.
Demandes d'accès à l'information et de transparence
Les lois sur les archives publiques peuvent exiger la divulgation de statistiques agrégées d'utilisation des systèmes d'IA, sous réserve d'exemptions répressives pour les enquêtes en cours. Les journaux doivent être structurés de manière à permettre la production de rapports agrégés (nombre de requêtes, distribution des décisions, schémas démographiques) sans révéler les détails de cas individuels.
Conservation : délais des procédures pénales
L'AI Act exige un minimum de 6 mois. Les registres répressifs doivent généralement être conservés pendant toute la durée de l'enquête, des poursuites et de la procédure d'appel connexes. Pour les infractions graves, cela peut s'étendre sur des décennies. Les politiques de conservation doivent tenir compte de la possibilité que les journaux de décision de l'IA deviennent des preuves pertinentes des années après la décision initiale.
Chevauchements réglementaires
La tenue de registres de l'IA répressive relève d'un cadre réglementaire distinct qui comprend la directive en matière répressive (remplaçant le GDPR pour le traitement policier), les codes nationaux de procédure pénale et les exigences de coopération internationale. La conformité à l'article 12 doit tenir compte de ces obligations sectorielles.
Directive en matière répressive (LED)
La directive (UE) 2016/680 régit le traitement des données à caractère personnel par les autorités répressives. La LED exige la journalisation de la collecte, de la modification, de la consultation, de la communication, de la combinaison et de l'effacement des données à caractère personnel. Les journaux des systèmes d'IA au titre de l'article 12 doivent s'intégrer aux exigences de journalisation de l'article 25 de la LED, créant ainsi une piste d'audit unifiée pour les opérations de traitement des données.
Codes nationaux de procédure pénale
Le code de procédure pénale de chaque État membre de l'UE fixe des normes de recevabilité des preuves. Les journaux de décision de l'IA susceptibles d'être utilisés dans des procédures pénales doivent satisfaire à ces normes nationales, qui varient dans leurs exigences en matière d'authentification, de documentation de la chaîne de possession et de présentation par des experts.
Régime de protection des données d'Europol
Pour les systèmes d'IA utilisés dans la coopération répressive transfrontalière, le règlement Europol impose des exigences spécifiques de traitement des données et de journalisation. Les journaux de décision de l'IA partagés via les canaux d'Europol doivent respecter les normes de qualité des données et les exigences de journalisation des accès d'Europol, en plus de l'article 12.
Règles de preuve devant les tribunaux
Les normes relatives aux preuves numériques varient d'un État membre de l'UE à l'autre mais exigent généralement : l'authenticité (le journal est bien ce qu'il prétend être), l'intégrité (le journal n'a pas été altéré), la fiabilité (le système qui l'a généré est digne de confiance) et la pertinence (le journal se rapporte à la question en cause). L'infrastructure de journalisation des systèmes d'IA doit prendre en charge ces quatre éléments.
Violations courantes détectées par Scanara
Journalisation par print() au lieu d'un JSON structuré
Code de décision d'IA répressive utilisant des instructions print ou une journalisation en texte non structuré. Les journaux d'audit recevables devant les tribunaux exigent des journaux structurés et analysables par machine, pouvant être interrogés, vérifiés et présentés de manière fiable comme preuves. Le texte non structuré ne satisfait pas aux normes de recevabilité.
Version du modèle absente dans les événements de décision
Points de terminaison d'évaluation des risques ou d'évaluation des preuves par l'IA qui journalisent des résultats sans enregistrer la version du modèle, la configuration ou la version des données d'entraînement. La défense contestera les preuves issues de l'IA si l'état exact du système au moment de la décision ne peut être établi à partir des journaux.
Journaux écrits sur disque local sans conservation
Écriture des journaux de décision de l'IA dans un stockage éphémère sans conservation durable et inviolable. Les journaux de l'IA répressive peuvent être nécessaires des années ou des décennies après la décision initiale pour des procédures d'appel ou l'examen d'affaires classées. Le stockage éphémère est fondamentalement incompatible avec les délais de la justice pénale.
Aucune métadonnée de chaîne de possession
Résultats de l'IA stockés sans journalisation de la chaîne de possession : qui a généré le résultat, qui y a accédé, s'il a été modifié ou copié et comment il a été transféré. Sans chaîne de possession ininterrompue, les preuves générées par l'IA peuvent être déclarées irrecevables dans une procédure pénale.
Liste de contrôle de conformité à l'article 12 pour la répression
Journaliser chaque décision répressive assistée par l'IA
Générez des événements de journal structurés pour chaque évaluation des risques, évaluation de preuves, résultat d'analyse criminelle et requête de base de données. Incluez l'horodatage, la version du modèle, les références d'entrée, le résultat et les facteurs contributifs.
Enregistrer les décisions et actions des agents
Journalisez l'identité des agents ayant examiné les résultats de l'IA, leur décision et s'ils se sont écartés de la recommandation de l'IA. Démontrez un contrôle humain effectif dans chaque action répressive assistée par l'IA.
Maintenir une chaîne de possession recevable devant les tribunaux
Utilisez un stockage inviolable avec hachage cryptographique. Maintenez une chaîne de possession ininterrompue depuis la génération du résultat de l'IA jusqu'au stockage, à l'accès et à la présentation au tribunal. Journalisez tout accès aux enregistrements de décision de l'IA.
S'intégrer à la journalisation de l'article 25 de la LED
Assurez-vous que les journaux des systèmes d'IA satisfont aux exigences de journalisation de la directive en matière répressive pour le traitement des données à caractère personnel. Créez une piste d'audit unifiée couvrant à la fois la journalisation des décisions de l'IA et les registres de traitement des données de la LED.
Permettre l'accès à un contrôle indépendant
Concevez des contrôles d'accès à plusieurs niveaux permettant aux autorités de surveillance du marché, aux autorités de protection des données et aux organes de contrôle indépendants d'auditer les journaux de décision de l'IA sans compromettre les enquêtes en cours.
Questions fréquentes
Ressources connexes
Article 12 : tenue de registres
Exigences complètes de l'article 12 dans tous les secteurs.
IA répressive — Hub sectoriel
Guide complet de conformité à l'EU AI Act pour l'IA répressive.
Article 13 : transparence pour la répression
Exigences de transparence pour les systèmes d'IA répressive.
Article 12 : tenue de registres pour la biométrie
Journalisation des correspondances biométriques et pistes d'audit des listes de surveillance.
Comment Scanara vous aide
Scanara automatise la conformité au règlement sur l'IA du code au dossier. Connectez vos repos GitHub et obtenez des rapports de conformité en quelques minutes.