TL;DR
Le fournisseur d'un système à haut risque conserve la documentation technique, celle du système de gestion de la qualité, les documents des organismes notifiés et la déclaration UE de conformité pendant dix ans à compter de la mise sur le marché ou de la mise en service (art. 18). Le déployeur conserve la documentation reçue pendant dix ans à compter du retrait du système : un autre point de départ sur le même système. Les journaux générés automatiquement sont conservés pendant une durée adaptée à la destination prévue et, en tout état de cause, au moins six mois (art. 19 et art. 26, § 6). Les incidents graves se signalent sous quinze jours, dix en cas de décès, deux en cas d'infraction de grande ampleur (art. 73).
La capacité d'enregistrement n'est pas une durée de conservation
L'art. 12 impose que les systèmes à haut risque permettent techniquement l'enregistrement automatique des événements pendant toute la durée de vie du système. C'est une exigence de conception : la capacité doit exister. Combien de temps les enregistrements sont réellement conservés est une autre question, à laquelle répond l'art. 19 — une durée adaptée à la destination prévue et, en tout état de cause, au moins six mois.
Confondre les deux produit l'erreur la plus coûteuse disponible ici : conserver tous les journaux pendant toute la vie du système parce que l'art. 12 mentionne la durée de vie. C'est disproportionné, ce n'est pas exigé, et sur les systèmes traitant des données personnelles c'est une violation de la limitation de conservation sur le fonds le plus volumineux de l'organisation.
Deux horloges sur le même système
Les dix ans du fournisseur courent à compter de la mise sur le marché ou de la mise en service. Les dix ans du déployeur courent à compter du retrait. Sur un système en service depuis huit ans, ce sont deux dates séparées de près d'une décennie, et une organisation à la fois fournisseur et déployeur — cas courant des systèmes développés en interne — relève des deux.
L'obligation du fournisseur est en outre cumulative et non glissante : un système mis à jour chaque trimestre pendant huit ans porte toute son histoire documentaire, car la documentation doit montrer ce qu'était le système à chaque moment, non ce qu'il est aujourd'hui.
- Les journaux d'un système à haut risque contiennent presque toujours des données personnelles des personnes sur lesquelles le système a statué. Deux régimes s'appliquent alors au même fichier — celui du règlement sur l'IA et celui du RGPD — et les deux finalités doivent figurer au registre.
- L'art. 73 pose trois délais de signalement, non un seul : quinze jours en règle générale, dix jours en cas de décès, deux jours en cas d'infraction de grande ampleur ou d'incident grave au sens de l'art. 3, point 49, b). Le délai court à compter de la connaissance, non de la clôture de l'enquête interne.
- Un modèle réentraîné chaque mois ne peut expliquer une décision de l'an dernier que si la version alors en usage a été conservée. Conserver le modèle — ou au moins ses paramètres et sa description — devient donc une durée de conservation à part entière, et c'est celle que personne n'écrit.
- La documentation est tenue à la disposition des autorités nationales compétentes. C'est une disponibilité sur demande, non un archivage : une sauvegarde que personne ne sait lire dans un délai raisonnable ne satisfait pas l'obligation.
Une ligne pour « système d'IA » n'est pas un registre
La documentation technique, les journaux automatiques, les données de la surveillance après commercialisation et les signalements d'incident ont quatre finalités différentes, quatre durées différentes et, pour les journaux, deux régimes juridiques à la fois. Un registre avec une seule ligne pour le système n'en décrit aucun. La ligne qui manque le plus souvent est la version du modèle, parce que personne ne voit un jeu de poids comme un document — jusqu'à ce que quelqu'un demande pourquoi une décision a été prise.
Le test est le même que pour la comptabilité : la colonne de conservation contient-elle un chiffre, ou indique-t-elle quel artefact relève de quelle disposition ? S'il n'y a qu'un chiffre, le registre décrit une simplification. Ici la simplification est plus récente que les autres, ce qui signifie que personne n'y a encore trébuché — non qu'elle soit sûre.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
