Traçabilité IA Act : Décisions et Données

L’Article 12 de l’AI Act impose aux systèmes haut risque une traçabilité complète. Vous devez pouvoir reconstituer, a posteriori, comment chaque décision a été prise, avec quelles données, par quelle version du modèle.

En cas de litige ou de contrôle, vos logs sont votre seule preuve. Si vous ne pouvez pas démontrer le fonctionnement de votre système IA à un instant T, vous êtes présumé non conforme.

Dans ce guide, découvrez les 5 dimensions de la traçabilité, les exigences techniques, et comment implémenter un système de logs conforme à l’AI Act.

Par Loïc Gros-Flandre

Directeur de Modernee – Agence IA. Expert en architecture de systèmes IA et conformité réglementaire.

🔍 Spécialiste traçabilité • 📊 Architecte données • ✅ +50 audits réalisés

🔍 Les 5 Dimensions de la Traçabilité IA

L’Article 12 de l’AI Act exige que les systèmes haut risque soient conçus pour permettre l’enregistrement automatique des événements (logs). Voici les 5 dimensions à couvrir.

Photo par Campaign Creators sur Unsplash

1️⃣ Traçabilité des Décisions

Chaque décision prise par votre système IA doit être loggée :

• ⏰ Horodatage : Date et heure précises (UTC recommandé)
• 🔢 Identifiant unique : ID de la décision pour référence
• 📥 Inputs : Données d’entrée (ou hash si volumineuses)
• 📤 Output : Décision/prédiction/recommandation
• 📊 Score de confiance : Niveau de certitude du modèle
• 💡 Explicabilité : Facteurs ayant influencé la décision

2️⃣ Traçabilité des Données

Le data lineage complet de vos données :

• 🌐 Origine : D’où viennent les données (sources, collecte)
• 🔄 Transformations : Nettoyage, enrichissement, feature engineering
• 📅 Dates : Quand les données ont été collectées/traitées
• ✅ Qualité : Indicateurs de qualité des données
• 🔐 Consentement : Base légale si données personnelles

3️⃣ Traçabilité du Modèle

Le versioning complet de votre modèle IA :

• 🔢 Version : Numérotation sémantique (MAJOR.MINOR.PATCH)
• ⚙️ Hyperparamètres : Configuration utilisée
• 📊 Métriques : Performance sur le jeu de test
• 📅 Date de déploiement : Quand cette version est entrée en production
• 📝 Changelog : Ce qui a changé par rapport à la version précédente

4️⃣ Traçabilité des Modifications

L’historique complet des changements :

• 📋 Changelog : Description de chaque modification
• 👤 Auteur : Qui a effectué le changement
• 📅 Date : Quand le changement a été fait
• ❓ Justification : Pourquoi ce changement
• ✅ Validation : Tests effectués avant déploiement

5️⃣ Traçabilité des Accès

La journalisation des accès au système :

• 👤 Identité : Qui a accédé (utilisateur, service, API)
• ⏰ Moment : Horodatage précis
• 🎯 Action : Ce qui a été fait (lecture, modification, export)
• 📍 Contexte : IP, application cliente, géolocalisation
• ✅ Résultat : Succès ou échec de l’opération

« Sans traçabilité, votre système IA est une boîte noire. En cas de litige, vous ne pouvez pas prouver que la décision était justifiée. »

— Architecte Data, Cabinet de conseil spécialisé AI Act

⚙️ Exigences Techniques de Traçabilité

Photo par Scott Graham sur Unsplash

L’AI Act impose des exigences techniques précises pour que la traçabilité soit valide en cas d’audit.

📅 Durées de Conservation

🔒 Intégrité des Logs

Les logs doivent être infalsifiables. Techniques recommandées :

• 📝 WORM : Write Once Read Many (stockage non modifiable)
• 🔐 Hashing : Empreinte cryptographique de chaque log
• ✍️ Signature : Signature électronique horodatée
• ⛓️ Blockchain : Chaîne de preuves immuable (optionnel)
• 🏛️ Tiers de confiance : Archivage certifié (ex: Arkhineo)

📊 Format et Structure des Logs

Exemple de structure de log pour une décision IA :

{
  "timestamp": "2025-12-19T14:32:17.892Z",
  "decision_id": "DEC-2025-12-19-00042891",
  "model_version": "credit-score-v2.3.1",
  "input_hash": "sha256:a8f2d9e1b7c4...",
  "output": {
    "decision": "APPROVED",
    "confidence": 0.87,
    "amount_approved": 15000
  },
  "explanation": {
    "top_factors": ["income_stability", "credit_history", "employment_duration"],
    "risk_score": 23
  },
  "subject_id": "pseudonymized:USR-8a7f2e",
  "operator_id": "system:auto-decision",
  "context": {
    "channel": "mobile_app",
    "session_id": "sess-abc123"
  }
}

🔧 Outils et Solutions

« La traçabilité n’est pas un add-on qu’on implémente après coup. Elle doit être pensée dès la conception du système. C’est du by-design, pas du retrofit. »

— Data Engineer Senior, Scale-up IA française

🛠️ Implémenter la Traçabilité en 6 Étapes

Photo par Carlos Muza sur Unsplash

Suivez cette méthodologie pour mettre en place un système de traçabilité conforme à l’AI Act.

❓ Questions Fréquentes – Traçabilité IA

🎯 Conclusion : La Traçabilité, Votre Meilleure Défense

La traçabilité n’est pas une contrainte technique. C’est votre meilleure défense en cas de litige, de plainte, ou de contrôle.

Un système IA sans logs est une boîte noire. En cas de décision contestée, vous ne pouvez pas prouver qu’elle était justifiée. Vous êtes présumé non conforme.

• 1️⃣ 5 dimensions — Décisions, données, modèle, modifications, accès
• 2️⃣ Logs infalsifiables — WORM, hashing, signature électronique
• 3️⃣ 10 ans de conservation — Minimum pour systèmes haut risque

La deadline approche. Implémentez la traçabilité maintenant.