DéfinitionEU AI Act · Articles 12, 19, 26Version 1.023 octobre 2026

Piste d’audit de l’IA : définition, champs et correspondance avec l’AI Act

Une piste d’audit de l’IA est l’enregistrement en ajout seul, écrit par le système au moment de chaque action, de qui ou quoi a agi, avec quel modèle et quelle version, sous quelle politique, sur quelles entrées, avec quelle vérification humaine et quand, de sorte que toute décision puisse être reconstituée et contrôlée sans assembler des journaux après coup. Cette page expose ses 9 champs et les rattache aux obligations d’enregistrement de l’AI Act, lues dans le texte consolidé le 23 octobre 2026.

Réserver un appel de 30 min Lire la correspondance avec l’AI Act
Chaîne de preuve : chaque enregistrement porte l’empreinte du précédent, si bien que le rapport au conseil et l’export pour le régulateur lisent la même chaîne.
Enregistrement
9 champs par action, chaînés par empreinte
AI Act
Articles 12, 19 et 26, § 6
Conservation minimale dans le règlement
6 mois, fournisseurs et déployeurs
Statut vérifié
23 octobre 2026, dans les sources primaires
Sur cette page
  1. Définition et conventions
  2. 1. Les 9 champs de l’enregistrement
  3. 2. La correspondance avec l’AI Act
  4. 3. Combien de temps le conserver
  5. 4. Les exigences d’une piste d’audit d’entreprise
  6. 5. Les questions des acheteurs
  7. 6. Références et sources
  8. 7. Versions et citation
0 · Définition et conventions

Un journal est ce qu’un système émet. Une piste d’audit est ce qu’un régulateur peut lire.

Dans cette page, « nous » désigne Hikari Blue, qui construit et exploite la couche d’exploitation de l’IA qui écrit cet enregistrement. Les 9 champs sont ceux de notre architecture de référence v1.0 publiée ; la correspondance avec l’AI Act est la nôtre, lue dans le texte consolidé du règlement (UE) 2024/1689 modifié par le règlement (UE) 2026/1744.

3 choses sont souvent confondues. Les journaux applicatifs disent ce qu’a fait un logiciel, pour ses ingénieurs. La documentation technique décrit comment un système a été construit, pour un évaluateur. La piste d’audit enregistre chaque décision au moment où elle est prise, avec son acteur, sa règle et son contrôle humain, pour qui devra la reconstituer plus tard : un auditeur, un régulateur, un tribunal.

1 · Les 9 champs

Un enregistrement par action, 9 champs, chaîné au précédent.

Chaque action produit un enregistrement. Les enregistrements sont en ajout seul et chaînés par empreinte : une suppression ou une modification rompt la chaîne de façon visible. La dernière colonne nomme la disposition de l’AI Act à laquelle répond chaque champ.

Champ Contenu Pourquoi il compte AI Act
Identité de l’acteur L’identité de l’agent ou de l’opérateur délivrée par le fournisseur d’identité de l’entreprise, jamais un compte de service partagé. Chaque action a une identité responsable. Art. 12, § 2, c), et art. 26, § 5 : surveillance du fonctionnement
Modèle et version Le fournisseur, le nom du modèle et la version ou l’instantané exact utilisé pour cette action. La reproductibilité après qu’un fournisseur a mis à jour ou retiré un modèle. Art. 12, § 2, a) : modification substantielle
Politique appliquée L’identifiant et la version de la politique évaluée, avec la décision rendue. La preuve que l’action s’est déroulée sous la règle en vigueur à ce moment. Art. 26, § 1 : usage conforme à la notice d’utilisation
Couloir de résidence La région déclarée pour le calcul, le stockage et l’inférence, et la référence de garde des clés. La souveraineté passe d’une déclaration à un fait, action par action. Art. 19, § 1, et art. 26, § 6, renvoient au droit de la protection des données
Référence des entrées Des pointeurs vers les données d’entrée et les sources consultées, conservés par référence ou par empreinte, pas en clair. Reconstituer ce que le système a vu sans copier de données sensibles dans la piste. Art. 12, § 3, b) et c) : base de référence, données d’entrée
Action Le résultat produit ou l’appel d’outil effectué, avec son système cible et son issue. Relier le résultat du modèle à sa conséquence dans le processus. Art. 12, § 1 : enregistrement automatique des événements
Vérification humaine L’identité du vérificateur, la décision prise (approuver, rejeter, passer outre) et le motif quand il est donné. Prouver le contrôle humain comme un événement, pas comme une intention. Art. 14, § 4, d), et art. 12, § 3, d) : personnes ayant vérifié
Horodatage Les heures de début et de fin, depuis une horloge synchronisée, en UTC. Établir la période d’utilisation et l’ordre des événements. Art. 12, § 3, a) : période de chaque utilisation
Chaîne d’empreintes L’empreinte de cet enregistrement combinée à celle de l’enregistrement précédent. Rendre toute altération détectable par quiconque détient l’export. Aucun article ne la nomme ; elle rend l’enregistrement utilisable comme preuve

Les champs, leur contenu et leur utilité sont ceux de l’architecture de référence v1.0, section 4, publiée le 25 septembre 2026 sous licence CC BY 4.0. L’article 12, paragraphe 3, fixe ses 4 éléments minimaux pour les seuls systèmes d’identification biométrique à distance ; pour les autres systèmes à haut risque, l’article 12, paragraphe 2, fixe les finalités et laisse les champs au fournisseur.

2 · La correspondance avec l’AI Act

4 dispositions décident de ce qu’un système à haut risque doit laisser derrière lui.

L’article 12 est une obligation de conception qui pèse sur le fournisseur : le système enregistre lui-même les événements tout au long de sa vie. Les articles 19 et 26 sont des obligations de conservation et d’usage, pour le fournisseur et pour le déployeur. Le règlement (UE) 2026/1744 n’a modifié aucun de leurs mots ; il a déplacé leur date d’application.

Disposition Qui Ce qu’elle exige S’applique à partir du
Article 12, § 1 et 2 Fournisseur, à la conception L’enregistrement automatique des événements tout au long de la vie du système, pour 3 usages : repérer les situations de risque ou les modifications substantielles, la surveillance après commercialisation de l’article 72 et la surveillance par le déployeur de l’article 26, paragraphe 5. 2 décembre 2027 (annexe III) · 2 août 2028 (annexe I)
Article 12, § 3 Fournisseur de systèmes d’identification biométrique à distance Au minimum : la période de chaque utilisation, la base de référence, les données d’entrée qui ont conduit à une correspondance et les personnes qui ont vérifié les résultats. 2 décembre 2027
Article 19 Fournisseur Conserver les journaux sous son contrôle pendant une durée adaptée à la destination du système, d’au moins 6 mois. Les établissements financiers les conservent dans leur documentation au titre du droit des services financiers. 2 décembre 2027 (annexe III) · 2 août 2028 (annexe I)
Article 26, § 5 Déployeur Surveiller le fonctionnement sur la base de la notice d’utilisation ; informer le fournisseur et l’autorité de surveillance du marché d’un risque et suspendre l’usage ; signaler un incident grave. 2 décembre 2027 (annexe III) · 2 août 2028 (annexe I)
Article 26, § 6 Déployeur Conserver les journaux sous son contrôle pendant une durée adaptée à la destination du système, d’au moins 6 mois, sauf disposition contraire du droit de l’Union ou du droit national. 2 décembre 2027 (annexe III) · 2 août 2028 (annexe I)

Les articles qui lisent la piste.

3 autres dispositions ne créent pas l’enregistrement mais en dépendent. Quand l’une d’elles est invoquée, la réponse vient de la piste, ou elle ne vient pas.

  • Article 73 · Incidents graves

    Un incident grave est signalé au plus tard 15 jours après que le fournisseur ou le déployeur en a connaissance, 2 jours en cas d’infraction de grande ampleur ou d’incident touchant une infrastructure critique, 10 jours en cas de décès. La chronologie de l’incident se lit dans les horodatages.

  • Article 86 · Droit à l’explication

    Une personne visée par une décision d’un déployeur fondée sur un système à haut risque de l’annexe III peut obtenir des explications claires et pertinentes sur le rôle du système d’IA et les principaux éléments de la décision. Les champs action et vérification humaine les contiennent.

  • Article 72 · Surveillance après commercialisation

    Les fournisseurs mettent en place et documentent un système de surveillance après commercialisation. C’est l’une des 3 finalités que l’article 12 assigne à l’enregistrement ; le modèle et la version rattachent chaque événement à la version qui l’a produit.

Dates. Le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, a remplacé l’article 113, point c) : les sections 1 à 3 du chapitre III, qui contiennent les articles 12, 14, 19 et 26, s’appliquent à partir du 2 décembre 2027 pour les systèmes de l’annexe III et du 2 août 2028 pour ceux de l’annexe I. Avant cette modification, les systèmes de l’annexe III étaient attendus au 2 août 2026.

Normes. Au 23 octobre 2026, aucune norme harmonisée sur la journalisation n’est citée au Journal officiel. ISO/IEC 24970, sur la journalisation des systèmes d’IA, et prEN 18229-1, volet journalisation du cadre de fiabilité du CEN-CENELEC, en sont l’une et l’autre au stade de l’approbation.

Ceci n’est pas un avis juridique. Savoir si un système est à haut risque, et quel rôle une organisation tient à son égard, relève d’un conseil juridique.

3 · Conservation

6 mois sont le plancher du règlement, pas l’objectif de conception.

Le règlement fixe des minimums et renvoie aux autres droits, à commencer par la protection des données. Les journaux et la documentation suivent des horloges différentes.

Quoi Qui le conserve Minimum Source
Journaux générés automatiquement Fournisseur Au moins 6 mois, selon la destination du système AI Act, article 19, § 1
Journaux générés automatiquement Déployeur Au moins 6 mois, selon la destination du système AI Act, article 26, § 6
Journaux des établissements financiers Fournisseur ou déployeur Dans la documentation exigée par le droit des services financiers AI Act, articles 19, § 2, et 26, § 6
Documentation technique et qualité Fournisseur 10 ans après la mise sur le marché ou la mise en service AI Act, article 18, § 1
La piste d’audit que nous exploitons Selon le contrat 12 mois minimum Notre centre de confiance

Une donnée personnelle dans une piste reste une donnée personnelle. Conserver les entrées par référence ou par empreinte garde l’enregistrement complet, tandis que la donnée elle-même reste là où s’appliquent ses règles de conservation.

4 · Exigences

6 propriétés qu’un acheteur peut tester, et le test qui tranche.

  • Écrite au moment de l’action

    Le système écrit l’enregistrement au moment où il agit. Une piste reconstituée à partir de journaux épars la semaine précédant une inspection est de la documentation, pas de l’audit.

  • Une identité par acteur

    Chaque agent et chaque opérateur agissent sous une identité du fournisseur d’identité de l’entreprise. Un compte de service partagé rend l’attribution impossible.

  • En ajout seul et chaînée

    Aucun enregistrement n’est modifié ni supprimé ; chacun porte l’empreinte du précédent, de sorte qu’un trou ou une altération se voit.

  • Entrées par référence

    La piste pointe vers ce que le système a lu sans y copier de données sensibles en clair.

  • Une seule horloge

    Les heures de début et de fin viennent d’une horloge synchronisée, en UTC, pour que les événements de plusieurs systèmes s’alignent.

  • Exportable telle quelle

    Un extrait limité à un système et une période part avec ses empreintes, si bien que le destinataire vérifie l’intégrité sans faire confiance à l’expéditeur.

Le test. Nommez une décision passée et une période, puis demandez l’export pour le régulateur. Vérifiez les 9 champs et recalculez vous-même la chaîne d’empreintes. Réussite : chaque champ est présent, la chaîne se vérifie et personne n’assemble le fichier à la main.

5 · Réponses directes

Les questions posées sur la piste d’audit de l’IA.

Qu’est-ce qu’une piste d’audit de l’IA ?

L’enregistrement en ajout seul, écrit par le système au moment de chaque action, de qui ou quoi a agi, avec quel modèle et quelle version, sous quelle politique, sur quelles entrées, avec quelle vérification humaine et quand. Il permet de reconstituer et de contrôler une décision sans assembler de journaux après coup.

L’AI Act exige-t-il une piste d’audit ?

Pour les systèmes à haut risque, oui sur le fond. L’article 12 impose l’enregistrement automatique des événements tout au long de la vie du système, et les articles 19 et 26, paragraphe 6, imposent aux fournisseurs et aux déployeurs de conserver ces journaux au moins 6 mois. Le règlement n’emploie pas le terme piste d’audit et ne liste pas de champs, sauf pour l’identification biométrique à distance.

Quand les obligations de journalisation s’appliquent-elles ?

À partir du 2 décembre 2027 pour les systèmes à haut risque de l’annexe III et du 2 août 2028 pour ceux de l’annexe I, depuis le règlement (UE) 2026/1744. La rédaction des articles 12, 19 et 26 n’a pas changé : un système construit aujourd’hui sans enregistrement est un système à reconstruire plus tard.

Combien de temps faut-il conserver les journaux de l’IA ?

Au moins 6 mois selon les articles 19 et 26, paragraphe 6, pour une durée adaptée à la destination du système, sauf disposition contraire du droit de l’Union ou du droit national, en particulier sur la protection des données. Les établissements financiers les conservent dans leur documentation au titre du droit des services financiers. Notre référence contractuelle est de 12 mois minimum.

Qui conserve les journaux, le fournisseur ou le déployeur ?

L’un et l’autre, chacun pour les journaux sous son contrôle. Le fournisseur intègre l’enregistrement au système et conserve ses journaux au titre de l’article 19 ; l’entreprise qui exploite le système conserve les siens au titre de l’article 26, paragraphe 6. Une entreprise qui construit et exploite son propre système porte l’une et l’autre obligation.

Une piste d’audit conserve-t-elle des données personnelles ?

Elle conserve des identités et des décisions, et doit pointer vers les entrées plutôt que les copier. Des entrées conservées par référence ou par empreinte laissent la donnée là où s’appliquent ses propres règles de conservation, que les articles 19 et 26, paragraphe 6, réservent.

6 · Références

Documents de référence et sources primaires.

Chaque article, chaque date et chaque durée de cette page proviennent des sources ci-dessous, consultées le 23 octobre 2026.

Documents de référence

Sources primaires, consultées le 23 octobre 2026

7 · Versions et citation

Comment citer ce document.

Cette URL est permanente et sert toujours la version en vigueur. Chaque modification de fond incrémente la version et figure dans l’historique ci-dessous, afin qu’une citation reste rattachable au texte qu’elle cite.

  • Citation recommandée

    Hikari Blue, « AI audit trail : definition, fields and EU AI Act mapping v1.0 », 23 octobre 2026, https://hikariblue.com/glossary/ai-audit-trail

    Les ancres de section sont stables : #status, #fields, #mapping, #retention, #requirements, #faq, #references, #cite.

  • Historique des versions

    v1.0 · 23 octobre 2026. Première version publique.

    Correction éditoriale · 25 octobre 2026 : licence étendue à cette page (CC BY 4.0).

    Licence. Publié sous licence CC BY 4.0 : citation, reprise et réutilisation libres, avec attribution à Hikari Blue et lien vers cette page. La licence couvre les textes, tableaux et schémas de Hikari Blue sur cette page ; elle ne couvre ni les données, citations et textes juridiques de tiers, qui gardent leurs propres conditions, ni le nom et le logo Hikari Blue, marques de UNITED4 LLC.

Pour les directions des risques, de la sécurité, juridiques et de l’audit interne

Exportez une décision passée. Voyez ce qui manque.

30 minutes avec un associé désigné. Nous prenons une décision prise le mois dernier avec l’IA dans votre organisation et la confrontons aux 9 champs : ceux qui existent aujourd’hui, ceux qui se reconstituent à la main, et ceux qui manquent. Vous repartez avec la liste des écarts, que nous travaillions ensemble ou non.

  • Une décision passée, vérifiée champ par champ
  • Ce qui est enregistré, reconstitué ou manquant
  • Qui doit porter chaque écart
Réserver un appel de 30 min Ou lire le modèle de preuve de l’architecture de référence Vérifier Hikari Blue avec un modèle que nous ne contrôlons pas