Combien de temps un déployeur doit-il conserver les journaux d'un système à haut risque ?

Au moins six mois, pour les journaux générés automatiquement qui sont sous son contrôle, sauf disposition contraire du droit de l'Union ou du droit national, notamment en matière de protection des données (article 26, paragraphe 6).

Les obligations de l'article 26 s'appliquent-elles déjà ?

Pour les systèmes à haut risque de l'annexe III, elles s'appliquent à partir du 02/12/2027, date fixée par l'omnibus numérique sur l'IA.

Obligations du déployeur dans l'AI Act : la liste complète

Le déployeur, au sens de l'AI Act, est l'entreprise ou l'organisme qui utilise un système d'IA sous sa propre autorité. Ses obligations se rangent en trois étages : celles qui valent pour tout usage professionnel de l'IA (maîtrise de l'IA, pratiques interdites), celles qui valent pour certains systèmes (transparence de l'article 50), et celles de l'article 26 pour les systèmes à haut risque, applicables à partir du 02/12/2027 pour l'annexe III.

Étage 1 : pour tout déployeur

Ne pas utiliser de pratique interdite (article 5), depuis le 02/02/2025. Exemple qui concerne directement l'entreprise : déduire les émotions des salariés sur le lieu de travail est interdit, sauf raisons médicales ou de sécurité. Voir les pratiques interdites.
Soutenir la maîtrise de l'IA de son personnel et des personnes qui utilisent les systèmes pour son compte (article 4, réécrit en 2026). La Commission précise qu'aucun certificat n'est exigé et qu'aucun niveau précis n'est imposé. Voir l'article 4.

Étage 2 : la transparence, pour certains systèmes

Depuis le 02/08/2026, l'article 50 impose au déployeur :

Situation	Obligation du déployeur	Paragraphe
Système de reconnaissance des émotions ou de catégorisation biométrique	Informer les personnes exposées de son fonctionnement, et traiter les données dans le respect du RGPD (règlement général sur la protection des données)	50(3)
Image, son ou vidéo constituant un hypertrucage	Indiquer que le contenu a été généré ou manipulé par IA (obligation allégée pour une œuvre manifestement artistique, satirique ou fictive)	50(4)
Texte publié pour informer le public sur des questions d'intérêt public	Indiquer qu'il a été généré ou manipulé par IA, sauf relecture humaine et responsabilité éditoriale	50(4)

L'information doit être claire, intervenir au plus tard lors de la première interaction ou exposition, et respecter les exigences d'accessibilité (paragraphe 5). L'obligation d'annoncer qu'on parle à une IA (paragraphe 1) pèse, elle, sur le fournisseur du système : voir la transparence des chatbots.

Étage 3 : l'article 26 pour les systèmes à haut risque

Si vous utilisez un système de l'annexe III (recrutement, crédit, éducation, biométrie…), voici les douze paragraphes de l'article 26, résumés d'après le texte consolidé publié par la Commission.

§	Obligation
1	Prendre les mesures techniques et organisationnelles pour utiliser le système conformément à sa notice d'utilisation
2	Confier la surveillance humaine à des personnes qui ont la compétence, la formation, l'autorité et le soutien nécessaires
3	Ces obligations s'ajoutent aux autres obligations du droit de l'Union ou national
4	Si vous contrôlez les données d'entrée, veiller à ce qu'elles soient pertinentes et suffisamment représentatives de la destination du système
5	Surveiller le fonctionnement ; en cas de risque, informer le fournisseur ou le distributeur et l'autorité de surveillance du marché et suspendre l'usage ; signaler sans délai un incident grave
6	Conserver les journaux générés automatiquement sous votre contrôle pendant au moins six mois, sauf autre disposition légale
7	Employeur : informer les représentants du personnel et les salariés concernés avant la mise en service sur le lieu de travail
8	Autorités publiques : respecter l'enregistrement dans la base de données de l'Union, et ne pas utiliser un système non enregistré
9	Utiliser les informations du fournisseur pour réaliser, le cas échéant, l'analyse d'impact relative à la protection des données (article 35 du RGPD)
10	Règles spécifiques à l'identification biométrique à distance a posteriori par les services répressifs
11	Informer les personnes qu'elles font l'objet d'un système de l'annexe III qui prend ou aide à prendre des décisions les concernant
12	Coopérer avec les autorités compétentes

Certains déployeurs doivent en plus réaliser une analyse d'impact sur les droits fondamentaux avant la première utilisation (article 27) : organismes de droit public, entités privées qui fournissent des services publics, et déployeurs de systèmes d'évaluation de la solvabilité ou de tarification en assurance vie et santé. Voir l'analyse d'impact sur les droits fondamentaux.

Ce que cela donne dans une équipe technique

Pour un DSI (directeur des systèmes d'information) ou un développeur, l'article 26 se traduit par des tâches concrètes :

Journalisation : vérifier que les journaux du système sont accessibles, exportables et conservés au moins six mois, en cohérence avec votre durée de conservation RGPD.
Notice d'utilisation : l'obtenir du fournisseur, la lire, et paramétrer l'outil dans les limites qu'elle fixe.
Surveillance humaine : désigner nommément qui valide ou corrige les sorties, et le former.
Chaîne d'alerte : prévoir qui prévient le fournisseur et l'autorité en cas d'incident, et comment suspendre l'outil.
Information : préparer les messages aux représentants du personnel et aux personnes concernées.

Attention au changement de rôle

Si vous modifiez substantiellement un système à haut risque, si vous y mettez votre marque, ou si vous détournez un outil généraliste vers un usage de l'annexe III, vous risquez de devenir fournisseur, avec des obligations bien plus lourdes (article 25). Voir fournisseur ou déployeur.

Cette page résume le texte ; elle ne vaut pas conseil juridique. Pour qualifier un projet précis, appuyez-vous sur le texte officiel et sur un professionnel du droit.