Journal d'audit de l'IA
Un journal d'audit de l'IA est un registre de qui a modifié les réglages d'IA et de la manière dont l'IA a été utilisée : les modifications d'administrateurs sur les personnes, les clés et les règles, et, pour chaque requête, le modèle et le fournisseur qui l'ont servie et la règle qui s'appliquait.
Pourquoi c'est important pour les entreprises
Les revues de sécurité, la gestion des incidents et les régulateurs demandent tous des preuves de la manière dont l'usage de l'IA est contrôlé, et un journal constitue cette preuve.
Un journal de métadonnées, sans le contenu des prompts, apporte la preuve sans créer un nouveau stock de textes confidentiels.
Exemple
Lors de l'analyse d'un incident, le RSSI exporte l'enregistrement des requêtes d'une clé : chaque appel sur la période, le modèle, le fournisseur qui l'a servi et la règle de région appliquée.
Ce que cela change pour une entreprise qui utilise des API d'IA
Déterminez ce que vous devrez prouver plus tard et journalisez exactement cela : en général, qui a modifié quel réglage et, pour chaque requête, la personne ou la clé, le modèle, le fournisseur, la région et le résultat. Laissez les prompts hors du journal sauf raison de les conserver ; un journal rempli de prompts devient lui-même un stock de données sensibles. Si vous utilisez un système d'IA à haut risque au sens de l'AI Act, par exemple une IA qui trie des candidatures, les déployeurs doivent conserver au moins six mois les journaux générés automatiquement qui se trouvent sous leur contrôle.
Où le terme est défini : Pour les systèmes d'IA à haut risque, c'est l'AI Act qui fixe les règles : l'article 12 exige que ces systèmes permettent l'enregistrement automatique des événements (journaux), et l'article 26, paragraphe 6, impose aux déployeurs de conserver ces journaux au moins six mois. Pour les autres usages de l'IA, aucune loi n'impose de format.
Ce que fait Standard Compute
Chaque modification d'un administrateur est enregistrée avec l'ancienne et la nouvelle valeur, et vous pouvez exporter un enregistrement de chaque requête indiquant le modèle, le fournisseur qui l'a servie et la règle de région appliquée, conservé 12 mois.
Questions fréquentes des entreprises
- L'AI Act impose-t-il de journaliser chaque prompt ?
- Non. Les obligations de journalisation des articles 12 et 26 concernent les systèmes d'IA à haut risque et portent sur les événements que ces systèmes enregistrent. Depuis l'omnibus numérique (règlement (UE) 2026/1744), les règles applicables aux systèmes à haut risque de l'annexe III s'appliquent à partir du 2 décembre 2027.
- Un journal d'audit de l'IA doit-il contenir les prompts ?
- En général, non. Des métadonnées comme la personne, la clé, le modèle, le fournisseur, les tokens et le résultat répondent à la plupart des questions de sécurité et de coût. Stocker le texte des prompts crée une copie de plus de données confidentielles, à protéger et à purger.
- Combien de temps conserver les journaux de l'IA ?
- Aussi longtemps que l'exigent la gestion des incidents, les audits et vos obligations légales. Pour les systèmes d'IA à haut risque, l'AI Act prévoit au moins six mois pour les déployeurs, sauf disposition contraire du droit de l'Union ou du droit national, notamment en matière de protection des données.