--- title: "Logs et registre IA : ce que l'Article 12 exige vraiment" slug: "logs-registre-article-12" description: "Pour un système IA à haut risque, l'IA Act impose des logs techniques conservés au moins 6 mois. Sans eux, pas de défense possible en cas de contrôle ou de plainte." articles: ["Article 12", "Article 26", "Article 19", "Article 11", "Annexe III"] updated: "2026-06-09" reading_minutes: 6 faq: - q: "L'Article 12 s'applique-t-il à toutes les PME ?" a: "Non. L'obligation formelle de l'Article 12 vise les systèmes d'IA à haut risque (Annexe III). Si vos seuls usages IA sont un chatbot ou un outil de génération de contenu (risque limité), l'Article 12 ne s'applique pas strictement. En revanche, tenir des logs reste une bonne pratique défensive : sans trace, vous ne pouvez pas vous défendre en cas de réclamation client." - q: "Combien de temps faut-il conserver les logs d'un système haut risque ?" a: "L'Article 19 (fournisseurs) et l'Article 26 §6 (déployeurs) imposent tous deux un minimum de 6 mois. En pratique, 12 mois sont recommandés pour les usages recrutement ou scoring, car un candidat évincé peut contester son rejet pendant ce délai. Alignez toujours vos durées de logs sur votre registre des traitements RGPD pour éviter les incohérences." - q: "Le registre des systèmes IA est-il obligatoire ?" a: "Le terme 'registre IA' n'apparaît pas tel quel dans le règlement. Mais la combinaison des Articles 11 (documentation technique), 17 (gestion de la qualité) et 26 (obligations des déployeurs) le rend incontournable en pratique. C'est votre premier document à présenter en cas de contrôle." - q: "En tant que déployeur, dois-je produire la documentation Annexe IV ?" a: "Non. L'Annexe IV (documentation technique) est une obligation du fournisseur, pas du déployeur. Si vous utilisez un ATS avec scoring IA, c'est le prestataire qui doit la produire. Votre rôle : la demander, l'archiver dans votre registre, et en connaître les grandes lignes pour superviser correctement (Article 14 §4)." - q: "Quels événements faut-il journaliser exactement ?" a: "L'Article 12 §1 impose l'enregistrement automatique d'événements tout au long du cycle de vie du système. Pour la biométrie (Annexe III §1), l'Article 12 §3 précise : période de chaque utilisation (début/fin), bases de données consultées, données ayant donné lieu à un match, identité du vérificateur humain. Pour les autres usages haut risque, la liste dépend de la finalité du système : décisions prises, données en entrée, résultats produits, interventions humaines." - q: "Quel outil utiliser pour tenir le registre IA ?" a: "Pour une PME de moins de 50 salariés : Excel suffit. Pour 50 à 150 salariés : Notion ou Airtable avec champs structurés. Les plateformes dédiées (Credo AI, Holistic AI) ne se justifient qu'au-delà de 30 systèmes IA actifs. La rigueur de mise à jour compte plus que la sophistication de l'outil." sources: - label: "Règlement (UE) 2024/1689, Article 12, Tenue de registres, EUR-Lex" url: "https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689" - label: "Règlement (UE) 2024/1689, Article 26, Obligations des déployeurs, EUR-Lex" url: "https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689" - label: "Règlement (UE) 2024/1689, Annexe III, Systèmes d'IA à haut risque, EUR-Lex" url: "https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689#d1e7766-1-1" - label: "CNIL, Intelligence artificielle et conformité" url: "https://www.cnil.fr/fr/intelligence-artificielle" - label: "AI Office, Documentation et ressources IA Act" url: "https://digital-strategy.ec.europa.eu/fr/policies/ai-office" related: ["supervision-humaine-article-14", "usages-haut-risque"] applies_to: risk: "haut" sectors: ["rh", "finance", "sante", "juridique", "industrie"] triggers: ["scoring-cv", "biometrie", "scoring-credit", "ats-recrutement", "supervision-automatisee"] actions: - "Vérifier que chaque système IA haut risque produit bien des logs (demande écrite au fournisseur)" - "Configurer la conservation des logs : 6 mois minimum, 12 mois recommandé (Article 26 §6)" - "Créer ou mettre à jour le registre des systèmes IA (une ligne par outil)" - "Archiver la documentation Annexe IV de chaque fournisseur haut risque" - "Aligner les durées de conservation logs avec votre registre des traitements RGPD" --- Une décision prise par votre IA sans trace ne vous appartient plus. En cas de plainte d'un candidat évincé par votre ATS, d'un client refusé par votre scoring, la première question d'un contrôleur ne sera pas « pourquoi ». Ce sera : « Montrez-moi les logs. » Pas de logs, pas de défense. L'Article 12 de l'IA Act a précisément été rédigé pour éviter ce scénario. Voici ce qu'il impose, à qui, et comment s'y conformer sans infrastructure complexe. > **Outil gratuit** : recensez vos systèmes d'IA et téléchargez votre registre avec notre [registre des systèmes IA](/outils/registre-systemes-ia). ## Ce que dit exactement l'Article 12 L'Article 12 §1 est direct : « Les systèmes d'IA à haut risque permettent techniquement l'enregistrement automatique d'événements (logs) tout au long du cycle de vie du système. » Deux mots clés : **automatique** et **tout au long du cycle de vie**. Pas un export manuel trimestriel. Pas une conservation uniquement en phase de test. Les logs doivent être produits en continu, pendant toute l'utilisation du système en production. L'Article 12 §2 précise la finalité : faciliter la surveillance post-marché du système, et permettre les enquêtes en cas d'incident grave. En clair, les logs ne servent pas à vous surveiller. Ils servent à vous protéger, et à protéger vos utilisateurs si quelque chose se passe mal. > **Article 12 §3, cas biométrie** > > Pour les systèmes à haut risque listés à l'Annexe III §1 (identification biométrique, catégorisation biométrique non interdite), le règlement impose des logs spécifiques : date et heure de début et de fin de chaque utilisation, bases de données de référence consultées, données ayant donné lieu à un résultat positif, identité des personnes chargées de vérifier les résultats. > > Si vous opérez un système de contrôle d'accès biométrique ou d'authentification client par reconnaissance faciale, ces quatre informations doivent être journalisées pour chaque interaction. ## Qui est obligé : fournisseur et déployeur, les deux L'obligation Article 12 pèse sur les deux parties, mais pas pour la même chose. Le **fournisseur** (celui qui développe et vend le système IA) doit concevoir le système pour qu'il produise des logs. Si l'outil que vous achetez n'a pas de fonction de journalisation native, son fournisseur n'est pas conforme au 2 août 2026. Vous, en tant que **déployeur** PME, vous devez : vérifier que votre outil produit effectivement des logs, configurer leur conservation à la bonne durée, et savoir où ils sont stockés si vous recevez une demande de contrôle. > **En pratique** > > Pour chaque outil IA à haut risque que vous utilisez, posez trois questions par écrit à votre fournisseur : > > 1. Quels événements sont journalisés, et sous quel format ? > 2. Où les logs sont-ils stockés (votre infrastructure ou la leur) ? > 3. Quelle est la durée de conservation par défaut, et puis-je la modifier ? > > Un fournisseur qui ne sait pas répondre à ces trois questions n'est pas conforme. Vous avez le droit de l'exiger contractuellement avant le 2 août 2026. ## Durées de conservation : le minimum légal et le minimum raisonnable L'Article 19 (obligations du fournisseur) et l'Article 26 §6 (obligations du déployeur) fixent tous deux le plancher à **6 mois**. C'est le minimum légal. En pratique, 6 mois est souvent insuffisant. Un candidat évincé par un ATS avec scoring IA peut contester son rejet plusieurs mois après la décision. Un client refusé par un scoring crédit peut déposer une réclamation dans des délais similaires. Pour les usages recrutement, scoring financier et supervision RH, **12 mois constituent le minimum raisonnable, 24 mois l'objectif**. Les logs courts vous laissent sans défense au moment précis où vous en auriez besoin. Pour les systèmes à **risque limité** (chatbots, agents conversationnels avec actions sur les données client) : 6 à 12 mois, sans obligation formelle mais avec utilité réelle en cas de réclamation. Pour les systèmes à **risque minimal** (filtres antispam, suggestions internes, traduction automatique) : 3 à 6 mois suffit. C'est une bonne pratique, pas une contrainte réglementaire. > **Point de vigilance : cohérence avec votre RGPD** > > Vos durées de conservation des logs doivent s'aligner sur votre registre des traitements RGPD. Si votre politique RGPD indique 12 mois pour les données candidat et que vos logs IA sont conservés 24 mois, vous avez une incohérence : les logs contiennent indirectement les données du candidat (décision prise, résultat du scoring, heure d'interaction). > > La règle : aligner sur la durée la plus longue compatible avec vos finalités. Un audit de cohérence logs/RGPD prend une heure. C'est exactement ce qu'un contrôleur vérifiera en premier. ## Le registre des systèmes IA : la colonne vertébrale Le terme « registre IA » n'apparaît pas littéralement dans l'IA Act. Mais la combinaison de l'Article 11 (documentation technique), de l'Article 17 (système de gestion de la qualité) et de l'Article 26 (obligations des déployeurs) le rend incontournable. C'est l'équivalent de votre registre des traitements RGPD : un document central qui structure toute votre conformité. Un registre IA, c'est un tableau. Une ligne par système. Voici les colonnes à prévoir : | Champ | Exemple concret | |---|---| | Nom du système | ATS Welcome Kit (recrutement) | | Fournisseur | Welcome to the Jungle | | Finalité | Tri et scoring de candidatures | | Niveau de risque | Haut (Annexe III §4) | | Données traitées | CV, lettres de motivation, profils | | Personnes concernées | Candidats à l'embauche | | Référent interne | Responsable RH (nom + email) | | Niveau de supervision | Validation humaine systématique | | Logs activés | Oui, conservation 12 mois | | Documentation fournisseur | Lien vers la fiche Annexe IV | | Date de mise en service | 15 janvier 2026 | | Date de prochaine revue | 15 juillet 2026 | Ce document est ce que vous présentez en premier lors d'un contrôle. C'est aussi votre outil de visibilité interne : des dirigeants ont découvert 12 systèmes IA actifs dans leur PME alors qu'ils en estimaient 4. Le registre révèle l'existant. > **En pratique** > > Comptez deux heures pour créer le registre initialement, puis 30 minutes par mois pour le maintenir. Excel ou Notion suffisent pour moins de 50 salariés. Pas besoin de plateforme dédiée à ce stade. > > L'essentiel : que le registre existe, qu'il soit à jour, et que quelqu'un en soit responsable. Un fichier Excel ouvert chaque mois vaut mieux qu'une plateforme à 30 000 euros jamais mise à jour. ## La documentation Annexe IV : l'obligation du fournisseur, pas la vôtre L'Annexe IV du règlement décrit la documentation technique complète que les fournisseurs de systèmes à haut risque doivent produire : description du système, processus de développement, données d'entraînement, performances et limites connues, mesures de gestion des risques. Dix à cinquante pages selon la complexité du système. **Si vous achetez un outil IA (cas le plus fréquent en PME) : cette documentation est l'obligation du fournisseur, pas la vôtre.** Votre rôle en tant que déployeur se limite à trois actions : 1. **Demander la documentation Annexe IV** à chaque fournisseur dont vous utilisez un système haut risque. C'est une question contractuelle non négociable avant le 2 août 2026. Si le fournisseur ne peut pas la fournir, il n'est pas conforme. 2. **L'archiver dans votre registre** (champ « documentation fournisseur »). 3. **En connaître les grandes lignes** : sur quelles données le système a été entraîné, quelles sont ses limites déclarées. Cette connaissance est ce qui permet à votre superviseur humain d'exercer une supervision réelle (Article 14 §4). Si vous développez vous-même un système IA à haut risque (fine-tuning d'un modèle open-source pour un scoring interne, par exemple), vous devenez fournisseur au sens du règlement et l'Annexe IV devient votre obligation. Dans ce cas, une première rédaction avec un cabinet spécialisé (8 000 à 15 000 euros) est la voie raisonnable : vous payez une fois pour un document que vous maintenez ensuite en interne. > **Erreur fréquente** > > Considérer que la fiche produit du fournisseur (souvent une page marketing) équivaut à la documentation Annexe IV. Ce n'est pas le cas. L'Annexe IV est un document technique structuré, pas une brochure commerciale. Demandez explicitement : « Pouvez-vous nous transmettre votre documentation conforme à l'Annexe IV du Règlement (UE) 2024/1689 ? » > > Les fournisseurs structurés répondent en quelques jours. Ceux qui ne savent pas de quoi vous parlez vous donnent l'information dont vous avez besoin. ## Ce que vous devez retenir L'Article 12 impose des logs sur les systèmes à haut risque, conservés au moins 6 mois (12 à 24 mois recommandé selon l'usage). Pour les autres systèmes, les logs restent une bonne pratique défensive : sans trace, pas de défense possible en cas de réclamation. Le registre IA est votre document central de conformité. Une ligne par système, mis à jour mensuellement. Excel suffit pour démarrer. L'Annexe IV est l'obligation du fournisseur. Votre travail : la demander, l'archiver, en connaître les limites. Pour aller plus loin sur la mise en oeuvre des 60 jours de conformité, le plan détaillé pas à pas est dans le livre *IA Act : le guide de conformité pour les PME françaises*.