Piste d'audit

Une piste d'audit dans le contexte des systèmes d'IA est un enregistrement complet et chronologique de tous les événements, décisions et interactions significatifs qui surviennent pendant l'exploitation du système. Contrairement à une journalisation applicative de base conçue pour le débogage et la surveillance de performance, les pistes d'audit sont construites pour répondre à des questions de redevabilité : qui a pris quelle décision, quand s'est-elle produite, quelles informations étaient disponibles, et quelle supervision ou intervention humaine a eu lieu. Elles transforment des opérations IA opaques en séquences transparentes et vérifiables.

L'article 12 du EU AI Act impose des capacités de journalisation automatique pour les systèmes d'IA à haut risque. Ces journaux doivent permettre la surveillance du fonctionnement, faciliter la surveillance après commercialisation et soutenir la traçabilité du fonctionnement tout au long du cycle de vie. Mais le règlement ne se contente pas d'exiger l'existence de journaux ; il exige des journaux adaptés à l'usage. Les auditeurs qui évaluent la conformité poseront des questions directes : pouvez-vous me montrer ce qui s'est passé lorsque cette décision a été prise ? Pouvez-vous prouver qui a approuvé cette action, et quand ? Pouvez-vous démontrer que les contrôles de supervision que vous revendiquez ont effectivement été appliqués ? Sans pistes d'audit de niveau audit, ces questions ne peuvent pas recevoir de réponses satisfaisantes.

Toute journalisation ne constitue pas une piste d'audit adaptée aux besoins réglementaires. Les pistes d'audit de qualité audit doivent présenter plusieurs caractéristiques. Intégrité : les enregistrements doivent être à altération détectable ou inviolables. Les auditeurs doivent avoir confiance dans le fait que les journaux n'ont pas été modifiés a posteriori pour présenter une image plus favorable. Le stockage en ajout uniquement, le hachage cryptographique et des mécanismes de vérification d'intégrité apportent cette assurance. Exhaustivité : la piste doit capturer tous les événements pertinents, pas seulement les erreurs ou exceptions. Cela inclut les décisions routinières, les approbations humaines, les dérogations, les escalades et le comportement en fonctionnement normal. Accessibilité : les enregistrements doivent être consultables et exportables dans des formats exploitables par les auditeurs. Des journaux enfouis dans des systèmes distribués sans mécanismes de récupération clairs échouent à cette exigence. Conservation : les secteurs réglementés exigent souvent une conservation de sept ans ou plus. L'infrastructure doit donc supporter un stockage long terme avec une accessibilité continue. Contexte : chaque entrée doit inclure suffisamment de contexte pour être interprétable : horodatages, identités des acteurs, entrées de décision, état du système et lien avec des workflows plus larges.

Les organisations devraient distinguer les journaux d'audit au niveau plateforme (qui a accédé au système, modifications de configuration, actions administratives) et les enregistrements décisionnels au niveau workflow (ce que l'IA a recommandé, ce que les humains ont approuvé, quelles actions ont été menées). Les deux sont nécessaires. L'architecture technique doit supporter des écritures en ajout uniquement afin d'empêcher la modification rétroactive. Réfléchissez à la manière dont les pistes seront exportées et présentées lors d'une revue réglementaire, pas seulement à la manière dont elles sont stockées en interne. Planifiez aussi les exigences de conservation propres à votre secteur et aux juridictions dans lesquelles vous opérez.