Une décision prise par votre IA sans trace ne vous appartient plus. En cas de plainte d'un candidat évincé par votre ATS, d'un client refusé par votre scoring, la première question d'un contrôleur ne sera pas « pourquoi ». Ce sera : « Montrez-moi les logs. »
Pas de logs, pas de défense. L'Article 12 de l'IA Act a précisément été rédigé pour éviter ce scénario. Voici ce qu'il impose, à qui, et comment s'y conformer sans infrastructure complexe.
Outil gratuit : recensez vos systèmes d'IA et téléchargez votre registre avec notre registre des systèmes IA.
Ce que dit exactement l'Article 12
L'Article 12 §1 est direct : « Les systèmes d'IA à haut risque permettent techniquement l'enregistrement automatique d'événements (logs) tout au long du cycle de vie du système. »
Deux mots clés : automatique et tout au long du cycle de vie. Pas un export manuel trimestriel. Pas une conservation uniquement en phase de test. Les logs doivent être produits en continu, pendant toute l'utilisation du système en production.
L'Article 12 §2 précise la finalité : faciliter la surveillance post-marché du système, et permettre les enquêtes en cas d'incident grave. En clair, les logs ne servent pas à vous surveiller. Ils servent à vous protéger, et à protéger vos utilisateurs si quelque chose se passe mal.
Article 12 §3, cas biométrie
Pour les systèmes à haut risque listés à l'Annexe III §1 (identification biométrique, catégorisation biométrique non interdite), le règlement impose des logs spécifiques : date et heure de début et de fin de chaque utilisation, bases de données de référence consultées, données ayant donné lieu à un résultat positif, identité des personnes chargées de vérifier les résultats.
Si vous opérez un système de contrôle d'accès biométrique ou d'authentification client par reconnaissance faciale, ces quatre informations doivent être journalisées pour chaque interaction.
Qui est obligé : fournisseur et déployeur, les deux
L'obligation Article 12 pèse sur les deux parties, mais pas pour la même chose.
Le fournisseur (celui qui développe et vend le système IA) doit concevoir le système pour qu'il produise des logs. Si l'outil que vous achetez n'a pas de fonction de journalisation native, son fournisseur n'est pas conforme au 2 août 2026.
Vous, en tant que déployeur PME, vous devez : vérifier que votre outil produit effectivement des logs, configurer leur conservation à la bonne durée, et savoir où ils sont stockés si vous recevez une demande de contrôle.
En pratique
Pour chaque outil IA à haut risque que vous utilisez, posez trois questions par écrit à votre fournisseur :
- Quels événements sont journalisés, et sous quel format ?
- Où les logs sont-ils stockés (votre infrastructure ou la leur) ?
- Quelle est la durée de conservation par défaut, et puis-je la modifier ?
Un fournisseur qui ne sait pas répondre à ces trois questions n'est pas conforme. Vous avez le droit de l'exiger contractuellement avant le 2 août 2026.
Durées de conservation : le minimum légal et le minimum raisonnable
L'Article 19 (obligations du fournisseur) et l'Article 26 §6 (obligations du déployeur) fixent tous deux le plancher à 6 mois. C'est le minimum légal.
En pratique, 6 mois est souvent insuffisant. Un candidat évincé par un ATS avec scoring IA peut contester son rejet plusieurs mois après la décision. Un client refusé par un scoring crédit peut déposer une réclamation dans des délais similaires. Pour les usages recrutement, scoring financier et supervision RH, 12 mois constituent le minimum raisonnable, 24 mois l'objectif. Les logs courts vous laissent sans défense au moment précis où vous en auriez besoin.
Pour les systèmes à risque limité (chatbots, agents conversationnels avec actions sur les données client) : 6 à 12 mois, sans obligation formelle mais avec utilité réelle en cas de réclamation.
Pour les systèmes à risque minimal (filtres antispam, suggestions internes, traduction automatique) : 3 à 6 mois suffit. C'est une bonne pratique, pas une contrainte réglementaire.
Point de vigilance : cohérence avec votre RGPD
Vos durées de conservation des logs doivent s'aligner sur votre registre des traitements RGPD. Si votre politique RGPD indique 12 mois pour les données candidat et que vos logs IA sont conservés 24 mois, vous avez une incohérence : les logs contiennent indirectement les données du candidat (décision prise, résultat du scoring, heure d'interaction).
La règle : aligner sur la durée la plus longue compatible avec vos finalités. Un audit de cohérence logs/RGPD prend une heure. C'est exactement ce qu'un contrôleur vérifiera en premier.
Le registre des systèmes IA : la colonne vertébrale
Le terme « registre IA » n'apparaît pas littéralement dans l'IA Act. Mais la combinaison de l'Article 11 (documentation technique), de l'Article 17 (système de gestion de la qualité) et de l'Article 26 (obligations des déployeurs) le rend incontournable. C'est l'équivalent de votre registre des traitements RGPD : un document central qui structure toute votre conformité.
Un registre IA, c'est un tableau. Une ligne par système. Voici les colonnes à prévoir :
| Champ | Exemple concret | |---|---| | Nom du système | ATS Welcome Kit (recrutement) | | Fournisseur | Welcome to the Jungle | | Finalité | Tri et scoring de candidatures | | Niveau de risque | Haut (Annexe III §4) | | Données traitées | CV, lettres de motivation, profils | | Personnes concernées | Candidats à l'embauche | | Référent interne | Responsable RH (nom + email) | | Niveau de supervision | Validation humaine systématique | | Logs activés | Oui, conservation 12 mois | | Documentation fournisseur | Lien vers la fiche Annexe IV | | Date de mise en service | 15 janvier 2026 | | Date de prochaine revue | 15 juillet 2026 |
Ce document est ce que vous présentez en premier lors d'un contrôle. C'est aussi votre outil de visibilité interne : des dirigeants ont découvert 12 systèmes IA actifs dans leur PME alors qu'ils en estimaient 4. Le registre révèle l'existant.
En pratique
Comptez deux heures pour créer le registre initialement, puis 30 minutes par mois pour le maintenir. Excel ou Notion suffisent pour moins de 50 salariés. Pas besoin de plateforme dédiée à ce stade.
L'essentiel : que le registre existe, qu'il soit à jour, et que quelqu'un en soit responsable. Un fichier Excel ouvert chaque mois vaut mieux qu'une plateforme à 30 000 euros jamais mise à jour.
La documentation Annexe IV : l'obligation du fournisseur, pas la vôtre
L'Annexe IV du règlement décrit la documentation technique complète que les fournisseurs de systèmes à haut risque doivent produire : description du système, processus de développement, données d'entraînement, performances et limites connues, mesures de gestion des risques. Dix à cinquante pages selon la complexité du système.
Si vous achetez un outil IA (cas le plus fréquent en PME) : cette documentation est l'obligation du fournisseur, pas la vôtre.
Votre rôle en tant que déployeur se limite à trois actions :
- Demander la documentation Annexe IV à chaque fournisseur dont vous utilisez un système haut risque. C'est une question contractuelle non négociable avant le 2 août 2026. Si le fournisseur ne peut pas la fournir, il n'est pas conforme.
- L'archiver dans votre registre (champ « documentation fournisseur »).
- En connaître les grandes lignes : sur quelles données le système a été entraîné, quelles sont ses limites déclarées. Cette connaissance est ce qui permet à votre superviseur humain d'exercer une supervision réelle (Article 14 §4).
Si vous développez vous-même un système IA à haut risque (fine-tuning d'un modèle open-source pour un scoring interne, par exemple), vous devenez fournisseur au sens du règlement et l'Annexe IV devient votre obligation. Dans ce cas, une première rédaction avec un cabinet spécialisé (8 000 à 15 000 euros) est la voie raisonnable : vous payez une fois pour un document que vous maintenez ensuite en interne.
Erreur fréquente
Considérer que la fiche produit du fournisseur (souvent une page marketing) équivaut à la documentation Annexe IV. Ce n'est pas le cas. L'Annexe IV est un document technique structuré, pas une brochure commerciale. Demandez explicitement : « Pouvez-vous nous transmettre votre documentation conforme à l'Annexe IV du Règlement (UE) 2024/1689 ? »
Les fournisseurs structurés répondent en quelques jours. Ceux qui ne savent pas de quoi vous parlez vous donnent l'information dont vous avez besoin.
Ce que vous devez retenir
L'Article 12 impose des logs sur les systèmes à haut risque, conservés au moins 6 mois (12 à 24 mois recommandé selon l'usage). Pour les autres systèmes, les logs restent une bonne pratique défensive : sans trace, pas de défense possible en cas de réclamation.
Le registre IA est votre document central de conformité. Une ligne par système, mis à jour mensuellement. Excel suffit pour démarrer.
L'Annexe IV est l'obligation du fournisseur. Votre travail : la demander, l'archiver, en connaître les limites.
Pour aller plus loin sur la mise en oeuvre des 60 jours de conformité, le plan détaillé pas à pas est dans le livre IA Act : le guide de conformité pour les PME françaises.