Article 12 — Tenue de registres (règlement IA de l'UE)

Article 12 du règlement (UE) 2024/1689 — Tenue de registres. Texte officiel, interprétation pratique, obligations clés et implications pour la mise en conformité.

Résumé du texte officiel

L'Article 12 du règlement (UE) 2024/1689 établit des exigences obligatoires en matière de tenue de registres pour les systèmes d'IA à haut risque. L'article s'inscrit dans le Titre III, Chapitre 2, qui énonce les exigences techniques et de gouvernance que les systèmes d'IA à haut risque doivent satisfaire avant d'être mis sur le marché de l'UE ou mis en service.

L'obligation fondamentale est que les systèmes d'IA à haut risque doivent être conçus et développés avec des capacités de journalisation permettant l'enregistrement automatique d'événements — communément appelés journaux — tout au long de la durée de vie opérationnelle du système. Ces journaux ont un double objectif : soutenir la surveillance post-commercialisation par le fournisseur au titre de l'Article 72, et permettre aux autorités nationales compétentes d'exercer leurs fonctions de surveillance et d'investigation.

L'Article 12(2) précise que les capacités de journalisation doivent enregistrer, au minimum, la période de chaque utilisation du système (date et heure de début et de fin), la base de données de référence par rapport à laquelle les données d'entrée ont été vérifiées, le cas échéant, les données d'entrée ayant conduit à un résultat ou une décision donnés, et — pour les systèmes d'identification biométrique — l'identité des personnes physiques impliquées dans la vérification des résultats.

L'article place l'obligation de conception fermement sur les fournisseurs. La journalisation doit être intégrée dans le système par construction, et non ajoutée rétrospectivement. Cela reflète la philosophie plus large de conception dès la conception du règlement. Les opérateurs qui déploient ces systèmes ont des obligations complémentaires au titre de l'Article 26 pour préserver les journaux générés lors de leur utilisation du système, dans la mesure où ces journaux sont sous leur contrôle.

Ce que cela signifie en pratique

Pour les fournisseurs développant ou mettant sur le marché de l'UE des systèmes d'IA à haut risque, l'Article 12 exige que des décisions de niveau technique soient prises pendant la phase de conception, et non après le déploiement. La journalisation doit être une caractéristique architecturale du produit.

Parties concernées. Toute organisation qui développe, met sur le marché ou met en service un système d'IA à haut risque tel que défini à l'Article 6 et à l'Annex III est soumise à l'Article 12. Cela comprend les systèmes utilisés dans la présélection pour l'emploi, la notation de crédit, l'identification biométrique, la gestion des infrastructures critiques, l'évaluation éducative, l'application de la loi, le contrôle aux frontières et l'administration de la justice, entre autres. Les opérateurs — organisations qui déploient le système d'IA à haut risque d'un fournisseur dans leur propre contexte — ont des obligations secondaires en matière de maintenance des journaux qu'ils contrôlent.

Actions concrètes requises. Un fournisseur doit mettre en œuvre une journalisation automatisée qui capture les points de données requis sans intervention manuelle. Par exemple, un fournisseur d'un outil de présélection de CV assisté par IA doit s'assurer que le système journalise chaque session de recrutement, la version de l'ensemble de données utilisé pour entraîner ou calibrer le modèle, et les entrées (profils de candidats) ayant généré chaque résultat (classement ou recommandation). Un opérateur déployant cet outil doit conserver ces journaux et les mettre à la disposition des autorités sur demande.

Utilité investigatrice. Les journaux existent principalement pour permettre une analyse rétrospective. Si un système produit un résultat discriminatoire ou cause un préjudice, les régulateurs doivent être en mesure de reconstituer ce qui s'est passé. Des journaux incomplets, écrasés ou inaccessibles compromettent cet objectif et exposent le fournisseur et l'opérateur à des risques d'exécution.

Proportionnalité. La portée spécifique de ce qui doit être journalisé est calibrée en fonction du type de système. Les systèmes biométriques font face aux exigences les plus granulaires. Les fournisseurs doivent documenter leurs décisions de conception en matière de journalisation dans la documentation technique telle que requise par l'Article 11.

Obligations clés

• Journalisation dès la conception. Les systèmes d'IA à haut risque doivent être conçus et développés avec des capacités automatiques de journalisation des événements intégrées dans l'architecture du système avant la mise sur le marché ou le déploiement.
• Contenu minimal des journaux. Les journaux doivent capturer, au minimum : la période opérationnelle de chaque session d'utilisation, la base de données de référence utilisée pour la vérification des entrées, le cas échéant, les données d'entrée ayant produit chaque résultat ou décision, et — pour les systèmes d'identification biométrique — les identités des personnes physiques ayant vérifié les résultats.
• Conservation des journaux par les opérateurs. Les opérateurs doivent conserver les journaux générés lors de leur utilisation d'un système d'IA à haut risque pendant la période requise par le droit applicable et, au minimum, pendant la durée nécessaire pour soutenir la surveillance post-commercialisation et les investigations réglementaires.
• Accessibilité aux autorités. Les journaux doivent être disponibles sur demande des autorités nationales compétentes pour faciliter la surveillance prudentielle, l'investigation des incidents et les activités de surveillance du marché.
• Traçabilité des résultats. Le système de journalisation doit permettre la reconstruction d'une chaîne causale d'une entrée spécifique à un résultat spécifique, soutenant la responsabilité et le droit à l'explication là où il s'applique.
• Alignement avec la documentation technique. L'architecture de journalisation et sa portée doivent être décrites dans la documentation technique maintenue au titre de l'Article 11, garantissant la cohérence entre le système tel que conçu et le système tel que surveillé.

Relation avec d'autres articles

L'Article 12 ne peut être lu de manière isolée. Il fonctionne comme partie d'un réseau d'exigences interconnectées au Titre III, Chapitre 2.

L'Article 9 (Système de gestion des risques) établit le cadre général dans lequel s'inscrit la journalisation — les journaux génèrent les données opérationnelles nécessaires pour identifier et évaluer les risques dans le déploiement en situation réelle.

L'Article 11 (Documentation technique) exige des fournisseurs qu'ils documentent l'architecture et les capacités de journalisation dans le cadre du dossier technique plus large soumis aux organismes notifiés ou conservé pour l'inspection réglementaire.

L'Article 17 (Système de management de la qualité) exige des fournisseurs qu'ils maintiennent un système de management de la qualité qui intègre la journalisation dans des contrôles opérationnels plus larges et des procédures d'actions correctives.

L'Article 26 (Obligations des déployeurs) attribue aux opérateurs l'obligation de conserver les journaux sous leur contrôle et de coopérer avec les fournisseurs et les autorités, faisant de l'Article 12 une responsabilité partagée tout au long de la chaîne d'approvisionnement.

L'Article 72 (Surveillance post-commercialisation) est le consommateur en aval des journaux de l'Article 12 — le système de surveillance s'appuie sur les journaux opérationnels pour détecter la dégradation des performances, les résultats inattendus et les risques émergents après le déploiement.

L'Article 73 (Signalement des incidents graves) utilise les données de journaux comme preuve principale lorsque les fournisseurs sont tenus de signaler des dysfonctionnements ou incidents graves aux autorités de surveillance du marché.

Calendrier de conformité

Le règlement IA de l'UE (règlement 2024/1689) est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel de l'Union européenne.

L'application du règlement est progressive :

• 2 février 2025 — Les interdictions relatives aux pratiques d'IA présentant des risques inacceptables (Titre II, Article 5) sont devenues applicables.
• 2 août 2025 — Les règles relatives aux modèles d'IA à usage général (Titre VIII) et les obligations de gouvernance (Titre III, Chapitre 4 sur les organismes notifiés ; Titre VI sur la gouvernance) sont devenues applicables.
• 2 décembre 2027 — Les obligations pour les systèmes d'IA à haut risque figurant à l'Annex III commencent à s'appliquer pour la plupart des catégories. L'Article 12 relève de cette phase. Les fournisseurs et opérateurs de systèmes d'IA à haut risque doivent disposer de capacités de journalisation conformes à cette date.
• 2 août 2028 — Délai prolongé pour les systèmes d'IA à haut risque couverts par la législation d'harmonisation sectorielle de l'Union figurant à l'Annex I (p. ex. machines, dispositifs médicaux), donnant à ces secteurs un délai supplémentaire pour adapter les cadres d'évaluation de la conformité existants.

Les organisations développant des systèmes d'IA à haut risque doivent traiter le 2 août 2026 comme la date limite ferme de conformité pour les exigences de journalisation de l'Article 12, la conception et les tests de l'infrastructure de journalisation devant être achevés bien à l'avance pour permettre les procédures d'évaluation de la conformité au titre de l'Article 43.