Conservation des journaux du règlement sur l’IA : la règle des 6 mois (en pratique)

L’essentiel

Au titre du règlement sur l’IA (règlement (UE) 2024/1689), les journaux générés automatiquement par un système d’IA à haut risque sont conservés pendant une période d’au moins six mois. Cela s’applique aux fournisseurs au titre de l’article 19 et aux déployeurs au titre de l’article 26, paragraphe 6, chacun « dans la mesure où ces journaux se trouvent sous leur contrôle ». Le système doit aussi être conçu pour permettre l’enregistrement automatique de ces journaux (article 12, intitulé « Enregistrement »). Six mois est le plancher : le droit de l’Union ou le droit national, en particulier la protection des données et les règles sectorielles, peut imposer une autre durée, et les établissements financiers soumis à la législation de l’Union sur les services financiers tiennent ces journaux dans le cadre de la documentation déjà conservée au titre de cette législation.

C’est l’une des questions les plus cherchées, et les moins clairement tranchées, du règlement sur l’IA : combien de temps dois-je conserver les journaux, et qui en est réellement responsable ? Le texte y répond en trois articles courts que la plupart des synthèses sautent. Voici la version opérationnelle : quoi journaliser, qui tient les journaux, combien de temps, et les exceptions qui changent le chiffre.

Qui doit tenir les journaux, fournisseur ou déployeur ?

Les deux. Le règlement scinde le devoir, et la scission compte parce que la plupart des entreprises sont déployeurs, pas fournisseurs.

La formule qui fait le travail est « dans la mesure où ces journaux se trouvent sous leur contrôle ». Si votre éditeur SaaS héberge le modèle et détient les journaux, cette part est sous son contrôle (devoir du fournisseur). Si les journaux sont générés dans votre environnement lorsque vous faites tourner le système, ils sont sous votre contrôle (devoir du déployeur). En pratique, beaucoup de déploiements produisent des journaux des deux côtés, donc chaque partie porte une obligation de six mois sur sa tranche.

Pas sûr du rôle que vous tenez ? Cette seule question change l’essentiel de vos obligations : lancez le vérificateur d’applicabilité ou lisez dois-je me conformer au règlement sur l’IA ?.

Ce que l’article 12 exige réellement (capacités, pas conservation)

Avant même la conservation, le système doit produire les journaux. L’article 12 (intitulé « Enregistrement ») exige que les systèmes d’IA à haut risque permettent, techniquement, l’enregistrement automatique des événements (journaux) tout au long de la durée de vie du système, avec des fonctionnalités de journalisation qui garantissent un degré de traçabilité du fonctionnement adapté à la destination du système.

Concrètement, les fonctionnalités de journalisation permettent l’enregistrement des événements pertinents pour :

• repérer les situations susceptibles d’avoir pour effet que le système présente un risque au sens de l’article 79, paragraphe 1, ou d’entraîner une modification substantielle ;
• faciliter la surveillance après commercialisation visée à l’article 72 ; et
• surveiller le fonctionnement du système comme prévu à l’article 26, paragraphe 5.

Ce sont des finalités, pas une liste de champs. Le seul schéma itemisé dans tout le règlement est l’article 12, paragraphe 3, et il ne s’applique qu’aux systèmes visés à l’annexe III, point 1 a) (identification biométrique à distance) : période de chaque utilisation, base de données de référence, données d’entrée ayant abouti à une correspondance, et identification des personnes physiques participant à la vérification des résultats (article 14, paragraphe 5).

La journalisation est une exigence de conception (article 12) ; la conservation est une exigence opérationnelle (articles 19 et 26, paragraphe 6). Il vous faut les deux : un système qui enregistre les bons événements, et un processus qui tient ces enregistrements au moins six mois.

Combien de temps, « au moins six mois », et quand c’est plus long ?

Six mois est le plancher, pas une durée fixe. Le libellé de l’article 19 comme de l’article 26, paragraphe 6, est : les journaux sont conservés « pendant une période adaptée à la destination du système d’IA à haut risque, d’au moins six mois, sauf disposition contraire dans le droit de l’Union ou le droit national applicable, en particulier dans le droit de l’Union sur la protection des données à caractère personnel ».

Trois conséquences :

1. « Adaptée à la destination » peut vouloir dire plus de six mois. Un système dont les décisions ont des effets durables (modèle de crédit, outil de recrutement) peut exiger une conservation plus longue pour rester défendable. Six mois est le plancher juridique ; le bon chiffre est guidé par le risque.
2. D’autres règles peuvent écarter le plancher. Les principes de limitation de la conservation et de minimisation des données du RGPD, les règles sectorielles de tenue de dossiers, et les obligations de conservation à des fins de contentieux interagissent avec les journaux du règlement sur l’IA. Lorsque les journaux contiennent des données à caractère personnel, il faut concilier le minimum de six mois avec « pas plus longtemps que nécessaire » du RGPD : assez longtemps pour l’article 19 / l’article 26, paragraphe 6, et toute règle sectorielle, mais pas indéfiniment sans base juridique.
3. Les établissements financiers suivent leur propre horloge. L’article 19, paragraphe 2 (fournisseurs) et l’article 26, paragraphe 6, second alinéa (déployeurs) le disent : s’ils sont soumis à des exigences de gouvernance interne prévues par la législation de l’Union sur les services financiers, ils tiennent à jour les journaux dans le cadre de la documentation conservée en vertu de cette législation, c’est-à-dire que le régime de conservation déjà applicable s’applique, pas une règle de six mois à part.

Ce que cela veut dire en pratique

Une posture tenable pour l’obligation de conservation des journaux :

1. Confirmez d’abord que vous êtes à haut risque. Les devoirs de journalisation et de conservation des articles 12, 19 et 26, paragraphe 6, s’appliquent aux systèmes à haut risque (annexe III ou annexe I). Si votre système n’est pas à haut risque, cette obligation précise ne vous lie pas : classez-le avec l’évaluation gratuite avant de construire une infrastructure dont vous n’avez peut-être pas besoin.
2. Assurez-vous que le système génère les journaux (article 12). Si vous êtes fournisseur, c’est votre exigence de conception. Si vous êtes déployeur d’un système de tiers, confirmez que la journalisation du vendeur est adéquate et que vous pouvez accéder à votre part et la conserver.
3. Fixez la conservation à ≥ 6 mois, puis ajustez à la hausse selon la destination. Partez de six mois ; allongez lorsque les décisions du système ont des conséquences durables, ou lorsque le droit sectoriel ou la protection des données l’exige.
4. Conciliez avec le RGPD. Si les journaux contiennent des données à caractère personnel, documentez la base juridique et la justification de la conservation, pour satisfaire à la fois le plancher du règlement sur l’IA et le principe de limitation de la conservation du RGPD.
5. Cartographiez les frontières de contrôle. Consignez quels journaux sont sous votre contrôle et lesquels sous celui du vendeur, pour que le devoir de six mois soit clairement porté de chaque côté.

Le calendrier : après le Digital Omnibus (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026), les obligations à haut risque, y compris ces devoirs de journalisation et de conservation, s’appliquent aux systèmes autonomes de l’annexe III à compter du 2 décembre 2027, et aux systèmes intégrés de l’annexe I (IA à haut risque dans des produits réglementés) à compter du 2 août 2028 (avant l’Omnibus : 2 août 2026 et 2 août 2027). Dans les deux cas, c’est du temps pour construire la journalisation correctement, pas une raison de la reporter : voir les échéances après le Digital Omnibus.

Se tromper sur la tenue des dossiers n’est pas une note de bas de page : le manquement aux obligations à haut risque peut entraîner des amendes jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial au titre de l’article 99 (pour les PME, le montant le plus faible est retenu). Modélisez votre exposition avec le calculateur de sanctions.

Questions fréquentes

Combien de temps les journaux du règlement sur l’IA doivent-ils être conservés ?

Au moins six mois. Les fournisseurs (article 19) comme les déployeurs (article 26, paragraphe 6) de systèmes d’IA à haut risque assurent la tenue des journaux générés automatiquement, dans la mesure où ils se trouvent sous leur contrôle, « pendant une période adaptée à la destination, d’au moins six mois », sauf disposition contraire du droit de l’Union ou du droit national (en particulier le droit de la protection des données). Six mois est le plancher, pas un plafond.

Les déployeurs doivent-ils tenir les journaux, ou seulement les fournisseurs ?

Les deux. Beaucoup d’équipes supposent que seul le constructeur (fournisseur) est responsable, mais l’article 26, paragraphe 6, place un devoir autonome de conservation de six mois sur les déployeurs, les entreprises qui utilisent un système d’IA à haut risque dans leur activité professionnelle, pour les journaux sous leur contrôle. Les fournisseurs portent le devoir parallèle au titre de l’article 19.

Quels journaux le règlement sur l’IA exige-t-il ?

L’article 12 exige que les systèmes d’IA à haut risque enregistrent automatiquement les événements (journaux) tout au long de leur durée de vie, à un degré de traçabilité adapté à la destination, suffisant pour repérer les situations de risque, faciliter la surveillance après commercialisation (article 72), et permettre la surveillance du fonctionnement par le déployeur (article 26, paragraphe 5). Les systèmes d’identification biométrique à distance visés à l’annexe III, point 1 a), ont des exigences de journalisation supplémentaires précises (période d’utilisation, base de données de référence, données d’entrée ayant abouti à une correspondance, personnes vérifiant les résultats).

La période de six mois peut-elle être plus longue ?

Oui. « Au moins six mois » est un minimum. Une période « adaptée à la destination » peut être plus longue pour les systèmes à effets durables, et d’autres règles peuvent l’allonger : RGPD, règles sectorielles de tenue de dossiers, conservation à des fins de contentieux. Les établissements financiers tiennent les journaux sous leur régime de conservation déjà applicable au titre de la législation sur les services financiers, plutôt que sous une règle de six mois séparée.

Quand l’obligation de conservation des journaux commence-t-elle à s’appliquer ?

Elle s’applique lorsque les obligations à haut risque s’appliquent. Après le Digital Omnibus (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026), les systèmes autonomes à haut risque (annexe III) sont liés à compter du 2 décembre 2027, et l’IA à haut risque intégrée dans des produits réglementés (annexe I) à compter du 2 août 2028 (auparavant le 2 août 2026 et le 2 août 2027). Les devoirs relatifs aux pratiques interdites et à la maîtrise de l’IA sont déjà en vigueur (depuis le 2 février 2025), mais la journalisation et la conservation relèvent du régime à haut risque, aux dates à haut risque.

La journalisation et la conservation ne sont qu’une tranche du régime à haut risque. Pour voir votre liste complète d’obligations, classe de risque, documentation, contrôle humain et tenue des dossiers, lancez l’évaluation gratuite au titre du règlement sur l’IA. Elle fait correspondre votre système aux articles pertinents en quelques minutes.