Preuves IA Act : Charge de la Preuve

Dans le droit classique, c'est au plaignant de prouver la faute de l'accusé. L'AI Act renverse cette logique : vous êtes présumé non-conforme si vous ne pouvez pas produire les preuves documentaires.

Concrètement : lors d'un contrôle, si vous ne pouvez pas démontrer que vous avez respecté vos obligations, l'autorité peut considérer que vous ne les avez PAS respectées. Même si en réalité vous étiez conforme.

Ce guide détaille les 4 types de preuves à conserver, les durées de conservation, et comment garantir l'intégrité de vos éléments probants.

Par Loïc Gros-Flandre

Directeur de Modernee - Agence IA. Expertise en conformité réglementaire, traçabilité et documentation probante pour systèmes d'intelligence artificielle.

📋 Spécialiste Documentation IA • 🎯 Expert AI Act • ✅ +50 entreprises accompagnées

⚖️ L'Inversion de la Charge de la Preuve

Dans le droit classique, le principe est simple : "La preuve incombe au demandeur". C'est à celui qui accuse de prouver la faute.

L'AI Act renverse cette logique. Les articles 11 à 14 créent une présomption de non-conformité si vous ne pouvez pas produire les preuves documentaires exigées.

📋 Le Mécanisme Juridique

"L'AI Act crée un régime probatoire exigeant. Sans documentation, vous ne pouvez pas démontrer votre conformité. Et sans preuve de conformité, vous êtes présumé non-conforme."

— Pr. Céline Castets-Renard, Spécialiste droit du numérique, Université d'Ottawa

📚 Les 4 Types de Preuves à Conserver

L'AI Act exige la conservation de 4 catégories distinctes de preuves. Chacune répond à un aspect différent de la conformité.

📘 Type 1 : Documentation Technique

La documentation technique prouve que votre système a été conçu conformément aux exigences.

• 📋 Architecture du système — Schémas, composants, flux de données
• 🧪 Tests et validations — Protocoles, résultats, non-conformités corrigées
• ⚠️ Analyses de risques — Identification, évaluation, mesures de mitigation
• 📊 Métriques de performance — Précision, rappel, biais mesurés

📊 Type 2 : Logs Opérationnels

Les logs prouvent que votre système fonctionne conformément à ce qui a été prévu.

• 🤖 Décisions du système — Chaque décision horodatée avec contexte
• 📥 Données d'entrée/sortie — Inputs utilisés, outputs générés
• 🔄 Versions du modèle — Quelle version était active à quel moment
• 👤 Interventions humaines — Qui est intervenu, quand, pourquoi

🔍 Type 3 : Preuves d'Audit

Les audits prouvent que vous avez vérifié régulièrement votre conformité.

• 📝 Rapports d'évaluation interne — Auto-évaluations documentées
• 🏢 Audits externes — Rapports d'organismes tiers
• ✅ Certifications — Certificats de conformité obtenus
• 🔧 Actions correctives — Non-conformités détectées et corrigées

🎓 Type 4 : Preuves de Formation

Les preuves de formation démontrent que vos équipes sont compétentes pour utiliser le système.

• 📜 Certificats individuels — Attestations de formation par personne
• 📅 Registre des présences — Qui a suivi quelle formation, quand
• 📋 Programmes de formation — Contenus, durées, évaluations
• 🔄 Recyclages — Preuves de mise à jour des compétences

🔬 3 Cas Pratiques de Contrôle

📌 Cas 1 : Plainte d'un Candidat Refusé (Système RH)

Contexte : Un candidat conteste son refus par un système de tri de CV. Il saisit l'autorité de surveillance.

L'autorité vous demande :

• 1️⃣ Les logs de la décision du système pour ce candidat
• 2️⃣ Les critères utilisés par l'algorithme
• 3️⃣ La preuve de l'intervention humaine dans la décision finale
• 4️⃣ La documentation technique du système

📌 Cas 2 : Audit Programmé (Système de Crédit)

Contexte : L'autorité nationale annonce un audit de votre système de scoring crédit.

Documents exigés (délai 15 jours) :

• 📚 Documentation technique complète (Article 11)
• 📊 Logs des 12 derniers mois (échantillon)
• 🔍 Rapports d'audit internes
• 🎓 Preuves de formation des équipes
• 📋 Registre des incidents et actions correctives

📌 Cas 3 : Incident de Sécurité (Système Médical)

Contexte : Votre système de diagnostic a produit une recommandation erronée ayant entraîné un retard de traitement.

Preuves critiques à produire :

• 🔄 Version exacte du modèle au moment de l'incident
• 📥 Données d'entrée utilisées
• 📤 Sortie exacte du système
• 👤 Trace de la validation (ou non) par un humain
• 📋 Preuve que le médecin était formé au système

"En cas d'incident, la reconstitution de l'état exact du système au moment des faits est cruciale. C'est pourquoi le versioning des modèles n'est pas optionnel."

— Dr. Antoine Flahault, Épidémiologiste, Directeur de l'Institut de Santé Globale, Genève

🔐 Garantir l'Intégrité des Preuves

Une preuve modifiable n'a aucune valeur probatoire. L'autorité peut considérer qu'elle a été fabriquée a posteriori.

🔒 Mécanismes de Non-Répudiation

• ⏱️ Horodatage qualifié — Conforme eIDAS, prouve la date de création
• ✍️ Signature électronique — Prouve l'auteur et l'intégrité
• #️⃣ Empreinte cryptographique — Hash SHA-256 minimum, détecte toute modification
• 🗄️ Archivage à valeur probante — Certifié NF Z42-013

📋 7 Étapes pour une Traçabilité Probante

❓ Questions Fréquentes - Preuves AI Act

🎯 Conclusion : Pas de Preuve = Pas de Conformité

L'inversion de la charge de la preuve change fondamentalement la donne. Être conforme ne suffit plus : vous devez pouvoir le prouver.

La traçabilité n'est plus une bonne pratique optionnelle. C'est une obligation légale dont dépend votre capacité à vous défendre en cas de contrôle.

"La meilleure défense en cas de contrôle, c'est un dossier de conformité irréprochable. Sans documentation probante, même l'entreprise la plus vertueuse est vulnérable."

— Maître Sophie Boudin, Avocate spécialisée en droit du numérique

• 1️⃣ Conservez les 4 types de preuves — Documentation, logs, audits, formations
• 2️⃣ Garantissez l'intégrité — Horodatage, hash, archivage certifié
• 3️⃣ Testez votre capacité — Simulez des contrôles régulièrement

L'échéance d'août 2025 approche. Vos preuves doivent être en place.