Conformité contre preuve en droit des données

Une obligation de conformité et une obligation de preuve ne se préparent pas au même moment. Les praticiens du droit des données connaissent cette distinction mieux que quiconque, car un règlement la leur a déjà imposée.

Le règlement sur la conformité en droit des données

L'article 5, paragraphe 2, du règlement (UE) 2016/679 prévoit que « le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté ». Le texte n'exige pas seulement que le traitement soit licite : il exige que sa licéité puisse être établie.

Le règlement sur l'IA ajoute un délai

Le règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle reprend ce mécanisme pour le déployeur d'un système à haut risque. Il ajoute ce que le règlement de 2016 ne contenait pas : une durée chiffrée. C'est ce nombre qui décale le calendrier, et c'est lui qui devrait structurer les conseils donnés aujourd'hui.

Obligations des déployeurs de systèmes d'IA

L'article 26 du règlement énumère les obligations du déployeur. On le lit habituellement comme un programme de conformité. Relu une seconde fois, en se demandant simplement « par quoi cette obligation serait-elle établie devant un tiers ? », il ressemble à une liste de documents.

Mesures techniques et organisationnelles

Le paragraphe 1 exige du déployeur qu'il prenne « des mesures techniques et organisationnelles appropriées pour garantir qu'il utilise ces systèmes conformément aux instructions d'utilisation qui les accompagnent ». Une mesure organisationnelle ne s'observe pas : elle est écrite, datée et attribuée.

Exigences de contrôle humain

Le paragraphe 2 prévoit que les déployeurs « confient le contrôle humain à des personnes physiques qui possèdent les compétences, la formation et l'autorité nécessaires, ainsi que le soutien nécessaire ». La formule est un acte de désignation : elle exige une personne nommée, et trois qualités distinctes chez elle.

Données d'entrée et pertinence

Le paragraphe 4 prévoit que, « dans la mesure où le déployeur exerce un contrôle sur les données d'entrée, il veille à ce que ces données soient pertinentes et suffisamment représentatives au regard de la finalité du système d'IA à haut risque ». La diligence exigée porte ici sur une opération technique dont, après coup, il ne subsistera que ce qui a été consigné.

Surveillance et signalement des incidents

Le paragraphe 5 exige des déployeurs qu'ils surveillent le fonctionnement du système et, lorsqu'ils ont des raisons de considérer qu'une utilisation conforme aux instructions pourrait présenter un risque au sens de l'article 79, paragraphe 1, qu'ils informent « sans retard injustifié » le fournisseur ou le distributeur ainsi que l'autorité de surveillance du marché compétente, et qu'ils « suspendent l'utilisation de ce système ».

Obligations de conservation des journaux

Le paragraphe 6 est le plus concret de l'article, et le plus souvent négligé : les déployeurs « veillent à conserver les journaux générés automatiquement par ce système d'IA à haut risque, dans la mesure où ces journaux relèvent de leur contrôle, pendant une durée adaptée à la finalité du système d'IA à haut risque, d'au moins six mois ».

Coopération avec les autorités

Le paragraphe 12 exige enfin des déployeurs qu'ils coopèrent « avec les autorités compétentes concernées pour toute mesure prise par ces autorités à l'égard du système d'IA à haut risque afin de mettre en œuvre le présent règlement ». Une obligation de coopération se mesure à ce que l'on est capable de fournir.

Date d'application et ses conséquences

Le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet 2026, indique dans son considérant 40 qu'« il convient donc de fixer la date d'entrée en application des sections 1, 2 et 3 du chapitre III au 2 décembre 2027 ». L'article 26 figure dans la section 3 de ce chapitre.

La fenêtre de conservation des journaux

Si une organisation est interrogée le 2 décembre 2027 sur l'utilisation d'un système relevant de l'article 26, la fenêtre de journaux qu'elle doit pouvoir conserver ne commence pas ce jour-là : six mois de conservation, comptés à partir de cette date, remontent au début de juin 2027.

Objections juridiques et risques pratiques

Un avocat objectera, et il aura raison sur le plan formel : l'obligation du paragraphe 6 est une obligation de conservation, non une obligation de production rétroactive. Une organisation qui commence à conserver ses journaux le matin du 2 décembre 2027 ne viole aucune disposition ce jour-là.

Exigences des clients et des régulateurs

Le client passe en premier, et il ne connaît pas la date d'entrée en application. Un questionnaire de sécurité fournisseur, une annexe contractuelle, un appel d'offres public ou privé peuvent exiger dès aujourd'hui l'inventaire des systèmes d'IA utilisés dans l'exécution de la prestation, le nom du superviseur et la durée de conservation des journaux.

Considérations judiciaires et assurantielles

Le juge vient en dernier, et il statue sur pièces. Son rôle n'est pas de vérifier la conformité : il est d'apprécier la diligence, à une date donnée, au regard de ce qui est produit. L'assureur, pour sa part, pose les mêmes questions au stade de la déclaration du risque, puis à nouveau au stade du sinistre.

Contrôle humain et pouvoir organisationnel

Le paragraphe 2 mérite un arrêt, car un mot y accomplit un travail juridique que les traductions opérationnelles perdent presque toujours. Le déployeur doit confier le contrôle humain à des personnes physiques qui possèdent « les compétences, la formation et l'autorité nécessaires, ainsi que le soutien nécessaire ».

Ce que doit contenir le dossier de conformité

Un dossier qui répond à l'article 26 contient, au minimum : l'inventaire daté des systèmes d'IA effectivement en service, et non la liste de ceux qui ont été autorisés, qui est un tout autre document et presque toujours plus court.

La bonne question à poser

« Êtes-vous conforme ? » est une question à laquelle une organisation répond toujours oui, de bonne foi, et dont la réponse n'a aucune valeur probante. La question utile est tout autre : que pouvez-vous produire aujourd'hui, pour quelle période, et devant qui ?