Le Article 12 de la loi européenne sur l'IA exige que les systèmes d’IA à haut risque enregistrent automatiquement les événements, mais un journal pouvant être modifié en silence a posteriori n’a guère de valeur probante aux yeux des autorités de régulation. En ce qui concerne plus particulièrement l’IA agentique, Article 14'l'exigence d'une supervision humaine et Article 3Le concept de ' modification substantielle " évoqué au point (23) crée un charge de la preuve que l'exploitation forestière ordinaire ne permet pas de satisfaire.
Si vous exploitez une IA agentique en production, vous disposez déjà de journaux : l’article 12 est considéré comme respecté s’ils sont conformes aux exigences. La difficulté apparaît dès la première fois qu’un régulateur, un auditeur ou votre propre équipe de gestion des incidents doit reconstituer exactement ce qu’un agent a fait, et vérifier si l’enregistrement qui le prouve n’a pas été modifié discrètement, sans être détecté, depuis lors. La plupart des organisations ne se rendent compte de l'écart entre " nous enregistrons tout " et " nous pouvons prouver que rien n'a été altéré " qu'après qu'un incident a forcé la question. Cet article aborde ce que la loi européenne sur l'IA exige des systèmes agentiques en matière de preuves, pourquoi la date butoir sur laquelle la plupart des équipes se basent est désormais erronée, et ce qu'un niveau de preuves défendables à quoi ça ressemble.
Le piège de l'article 12 : les registres ne constituent pas des preuves
Article 12 exige que les systèmes d'IA à haut risque permettent techniquement l'enregistrement automatique des événements tout au long de leur cycle de vie, de manière à identifier les risques émergents, à faciliter la surveillance post-commercialisation et à permettre le contrôle du fonctionnement du système. Cette disposition est précis quant à l'intention et, d'un point de vue technique, il n'impose aucune méthode spécifique de protection contre la falsification, ce qui signifie qu'un journal qu'un administrateur peut modifier discrètement a posteriori satisfait techniquement à la lettre de l'article 12, tout en n'offrant qu'une valeur minimale dès lors qu'il faut le défendre.
Le présent L'absence de contrôle de la gouvernance n'est pas une hypothèse.. Rapport « L'état de l'IA en 2026 » de Deloitte L'enquête Enterprise — menée auprès de 3 235 dirigeants dans 24 pays — a révélé que seule une organisation sur cinq dispose d'un modèle de gouvernance abouti pour l'IA agentique, alors même que les trois quarts d'entre elles prévoient une utilisation modérée à intensive des agents d'ici un an. Enquête « AI Pulse » de KPMG pour le quatrième trimestre Les dirigeants interrogés considèrent désormais la sécurité, la conformité et la traçabilité comme les principales exigences en matière de déploiement d'agents, avant même la rapidité. Le segment du marché soumis à une réglementation stricte a estimé que la traçabilité primait sur la rapidité., tandis que le niveau de maturité en matière de gouvernance se situe aux alentours de 21%. Considérer le simple fait de " disposer d’un SIEM " comme une preuve de conformité est un piège : un journal complet stocké dans une base de données modifiable témoigne de l’intention, mais pas de l’intégrité.
Ce que les agents apportent à la charge de la preuve
Un modèle autonome qui répond à une requête constitue un événement bien délimité. Ce n’est pas le cas d’un agent qui planifie, utilise des outils sur différents systèmes et s’adapte en cours d’exécution : chacune de ces propriétés creuse l’écart entre ce qui a été enregistré et ce qui s’est réellement passé. L’approche la plus rigoureuse à l’heure actuelle cartographie académique des systèmes agents Un article critiquant la loi sur l’IA, publié en avril 2026 par des chercheurs, parmi lesquels des contributeurs de ForHumanity Europe et de SaferAI, formule une remarque pertinente : étant donné que les modèles sont entraînés à partir de données contenant des exemples de contournement des contrôles, la possibilité que un agent échappe au contrôle humain ne peut être écartée par la seule instruction - même lorsque cela est expressément interdit.
Cette même étude désigne la dérive comportementale en cours d’exécution comme le problème ouvert le plus difficile à résoudre au regard du critère de ' modification substantielle " prévu à l’article 3, paragraphe 23. L’adaptation anticipée – c’est-à-dire la sélection d’un outil à partir d’un catalogue documenté – ne la déclenche pas. En revanche, un agent qui découvre de nouveaux modes d’utilisation des outils ou élabore des stratégies n’ayant jamais été évaluées le déclenche. La conclusion de l’article est sans appel : si un fournisseur ne peut pas démontrer que le comportement d’un agent reste dans les limites évaluées, et s’il ne peut pas détecter de dérive en dehors de celles-ci, les exigences essentielles en matière de surveillance et de journalisation ne sont pas respectées – il s’agit là d’une situation juridique actuelle, et non d’un risque futur.
Où en est réellement la conformité ? Et quelles preuves faut-il fournir ?
À la suite de la Accord politique sur le « Digital Omnibus » de l'UE, la Commission européenne a confirmé que les règles relatives aux domaines à haut risque énumérés — biométrie, infrastructures critiques, éducation, emploi, migration et contrôle des frontières — s'appliquent désormais à compter du 2 décembre 2027. Il convient de noter que la date du 2 août 2026 reste importante, mais uniquement au regard des obligations de transparence prévues par Article 50 et modèle d'IA à usage général obligations.
Cette approche ne résout pas le problème des preuves : elle modifie simplement la définition de ce que signifie " prêt ". L'autorité espagnole chargée de la protection des données a publié les premières lignes directrices de l'UE considérant l'architecture des agents elle-même comme l'objet de l'analyse, en signalant que la mémoire persistante des agents constitue une surface à haut risque nécessitant une compartimentation et un soutien technique pour l'effacement — la même approche délimitée, une conception vérifiable : une approche axée sur l'intégrité des données besoins, en tout cas. Concrètement : considérez chaque élément de gouvernance – évaluation des risques, dossier d’approbation, configuration de déploiement – comme un élément auquel vous attribuez une empreinte cryptographique et un horodatage au moment de l’approbation, de sorte que toute modification ultérieure soit détectable, même si cet élément n’est jamais exposé à l’extérieur. L’objectif n’est pas de figer la gouvernance ; les politiques évoluent. L’objectif est que, lorsqu’elles changent, cela soit prouvable, et pas seulement affirmé. Cela prend rapidement une importance commerciale : Prévisions de Gartner Litiges liés à l'IA dépassera les 2 000 d'ici fin 2026, en grande partie en raison de mesures de sécurité insuffisantes et de l'absence de pistes d'audit.
Défendre la décision auprès de la hiérarchie
Rien de tout cela ne suffit à clore le débat sur le retour sur investissement — Sondage mondial 2026 de l'ISACA parmi plus de 3 400 professionnels de la confiance numérique interrogés Seuls 221 TP57T estiment que le retour sur investissement de l'IA a répondu aux attentes. Ce qui fera la différence, c’est de présenter l’intégrité des données comme le facteur déterminant de tout autre investissement dans l’IA justifiable a posteriori - une reconstitution plus rapide des incidents, moins de conclusions d'audit contestées, une réponse documentée lorsqu'on vous demande si ce qui est en cours d'exécution correspond bien à ce qui a été approuvé. C'est un argument plus facile à faire valoir auprès de la hiérarchie que " faites confiance à notre agent ", et c'est précisément celui que votre auditeur vérifiera.
Si la piste d'audit de votre agent ne résiste pas à un examen approfondi de la part des autorités de régulation dès demain, il vaut mieux y remédier avant décembre 2027, et non après.
.
Vous souhaitez découvrir à quoi ressemble concrètement une vérification indépendante de l'intégrité ?
Essayez-le gratuitement, sans engagement :
Vérificateur de vérité pour les créateurs de propriété intellectuelle : https://truth-verifier.com/landing
Vérificateur de vérité pour les journalistes : https://truthverifier.news/landing
Contactez-nous pour discuter du déploiement de Truth Enforcer en entreprise : https://www.connecting-software.com/truth-enforcer-sign-up/
Par Francisco RodriguesChef de produit
"J'écris sur la façon dont les intégrations logicielles peuvent s'adapter aux environnements commerciaux et répondre aux demandes spécifiques de l'industrie. Je veux montrer aux entreprises la voie à suivre pour rationaliser les processus, éliminer les goulets d'étranglement et garantir la conformité en dotant les équipes et les dirigeants des bons outils."