Journaux générés automatiquement
Règlement établissant des règles harmonisées sur l'intelligence artificielle · UE 2024/1689
Journaux générés automatiquement
1. Les fournisseurs de systèmes d’IA à haut risque assurent la tenue des journaux générés automatiquement par leurs systèmes d’IA à haut risque, visés à l’article 12, paragraphe 1, dans la mesure où ces journaux se trouvent sous leur contrôle. Sans préjudice du droit de l’Union ou du droit national applicable, les journaux sont conservés pendant une période adaptée à la destination du système d’IA à haut risque, d’au moins six mois, sauf disposition contraire dans le droit de l’Union ou le droit national applicable, en particulier dans le droit de l’Union sur la protection des données à caractère personnel.
2. Si les fournisseurs sont des établissements financiers soumis à des exigences relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues par la législation de l’Union sur les services financiers, ils tiennent à jour les journaux générés automatiquement par leurs systèmes d’IA à haut risque dans le cadre de la documentation conservée en vertu de la législation pertinente sur les services financiers.
Au Luxembourg, deux régulateurs sectoriels se superposent a l'EU AI Office sur les logs IA. La CSSF applique l'article 19§2 a tous les établissements financiers de la place et attend que les logs IA soient intégrés au dispositif de gouvernance interne au sens de la circulaire CSSF 20/750 (gestion des risques TIC) et de la circulaire CSSF 22/806 (outsourcing IT et cloud). La CNPD reste compétente sur la durée de conservation des logs contenant des données personnelles : toute durée supérieure a 6 mois doit être justifiée par une analyse de proportionnalité documentée. Pour les organismes de santé, l'horodatage qualifié LuxTrust est l'option pragmatique reconnue eIDAS.
Pratique Luxgap : nous configurons par défaut une durée de conservation différenciée par finalité (6 mois pour les usages opérationnels, 10 ans pour les décisions de crédit relevant de la CSSF, alignée sur la prescription) et nous branchons l'horodatage qualifié LuxTrust en sortie de chaque sceau cryptographique.
