Le piège classique
L'article 12 parait anodin : il suffit de générer des logs. Le piège réel est ailleurs. Les fournisseurs activent une journalisation technique générique (logs applicatifs, erreurs système) qui ne capture pas les événements exiges : la période exacte de chaque utilisation, la base de référence interrogée, les correspondances et l'identité des personnes ayant vérifie les résultats. Lors d'un contrôle, l'EU AI Office ou l'autorité de surveillance du marché reconstruisent l'historique d'un incident : si vos journaux ne permettent ni de tracer une modification substantielle ni d'alimenter la surveillance post-commercialisation de l'article 72, votre traceabilite est reputée inexistante. La CNPD intervient en parallèle des que ces journaux contiennent des données personnelles, car la conservation et la finalité des logs deviennent un traitement a part entière.
Le test 'adapte a la destination' : ce que les autorités vérifient vraiment
La clé de l'article 12(2) est l'adverbe : la journalisation doit être adaptée a la destination du système. Ni trop pauvre (non-conformité), ni trop intrusive (violation de minimisation RGPD). Voici les points de défaillance les plus fréquents :
- Logs purement techniques qui n'identifient pas les situations a risque au sens de l'article 79(1), donc inexploitables en cas d'incident.
- Absence d'horodatage debut/fin pour chaque utilisation (exige a l'annexe III, point 1 a), notamment l'identification biométrique a distance).
- Aucun enregistrement de la base de référence utilisée ni des correspondances ayant déclenche un résultat positif.
- Vérification humaine de l'article 14(5) non tracée : impossible de prouver qui a valide un résultat.
- Durée de conservation des journaux non definie, ou definie sans base légale RGPD coherente.
- Logs stockes sans intégrité garantie : modifiables, donc non opposables en cas de litige.
Comment Luxgap automatise ce risque
Notre Luxgap AI Logging Sentinel rend impossible le scénario du journal incomplet : il vérifie en continu que vos systèmes d'IA a haut risque produisent exactement les événements exiges par l'article 12, et scelle ces journaux pour les rendre opposables. L'outil se branche sur vos pipelines (Azure ML, AWS SageMaker, vos API d'inférence, Azure Sentinel, Microsoft Defender) et compare le flux de logs réel aux exigences article 12(2) et 12(3) annexe III, sans demander a vos équipes de documenter quoi que ce soit manuellement.
- Détecte automatiquement les événements manquants (horodatage debut/fin, base de référence, correspondances, identité du verificateur article 14(5)) et alerte sur Teams en temps réel.
- Mappe chaque type de log a son exigence légale via une grille article 12 / annexe III, et signale les systèmes a haut risque sous-journalises.
- Calcule un score de traceabilite par système, croise avec la surveillance post-commercialisation de l'article 72.
- Scelle cryptographiquement chaque journal (horodatage et hash) pour garantir l'intégrité et l'opposabilite en cas de contrôle.
- Vérifie la cohérence RGPD des logs contenant des données personnelles : durée de conservation, finalité, minimisation, en lien avec la CNPD.
- Produit un rapport PDF horodate démontrant la conformité article 12, prêt pour l'EU AI Office ou l'autorité de surveillance du marché.
Disponible en complément d'un mandat DPO ou CISO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent une démonstration sur vos systèmes réels, avec un audit blanc gratuit sous 48h pour mesurer votre exposition avant tout engagement.
