Traçabilité des décisions d'IA : le maillon manquant dans la conformité de l'IA en entreprise

La demande arrive un mardi, de l'équipe d'audit, et elle est poliment spécifique : pour le client signalé le 11 mars, montrez les entrées utilisées par le système, la version du modèle qui a été exécutée, les alternatives qu'il a évaluées, et le nom de la personne qui a examiné le résultat. Vos ingénieurs peuvent relancer le pipeline — avec les données d'aujourd'hui, à travers le modèle d'aujourd'hui, produisant la réponse d'aujourd'hui. Ce qu'ils ne peuvent pas faire, c'est montrer ce qui s'est passé en mars, car le modèle a été réentraîné deux fois depuis, l'instantané des entrées n'a jamais été conservé, et "l'examen humain" était un pouce levé sur Slack que personne n'a archivé.

L'équipe produira quelque chose — une reconstruction plausible, accompagnée d'une excuse pour le retard. Et c'est précisément ce que l'audit existe pour distinguer des preuves. Une reconstruction est une histoire sur ce qui s'est probablement passé. Une trace est un enregistrement de ce qui s'est réellement passé.

Ce post est la moitié technique d'une série en trois parties — après le fossé de responsabilité (pourquoi des décisions automatisées non responsables se terminent en désastre) et la traçabilité des décisions d'IA (les cinq domaines de l'enregistrement lui-même). Ici : ce que signifie la traçabilité des décisions en pratique, la carte réglementaire avec les dates telles qu'elles se présentent réellement après les changements de 2026, les quatre piliers d'une mise en œuvre, et comment le faire même lorsque le modèle appartient à quelqu'un d'autre.

Ce que signifie réellement "le suivi des décisions"

Chaque système de production enregistre des journaux. Le traçage est une discipline différente avec une question différente. Un journal conventionnel répond à ce qui s'est passé : demande reçue, modèle invoqué, réponse renvoyée, 200 OK. Un traçage de décision répond à pourquoi le résultat était ce qu'il était — et pour cela, quatre choses doivent être capturées que l'enregistrement ordinaire ne conserve presque jamais : le raisonnement derrière la sortie (les facteurs, arguments ou chaîne qui l'ont produite), les alternatives qui ont été considérées et notées, la véritable identité du décideur (version du modèle et entrées telles qu'elles étaient à ce moment-là, pas telles qu'elles sont aujourd'hui), et les points de contrôle humains — qui a examiné, ce qu'ils ont changé, ce qu'ils ont annulé.

La relation avec la piste de vérification de la deuxième partie de cette série est simple : la piste de vérification est le registre qu'une seule décision influencée par l'IA laisse derrière elle ; le traçage est la capacité qui garantit que de tels registres existent pour chaque décision conséquente, ne peuvent pas être silencieusement modifiés et peuvent être produits sur demande des mois plus tard. L'un est un document ; l'autre est la plomberie qui rend le document fiable.

La carte réglementaire — avec les dates telles qu'elles se présentent réellement

La loi sur l'IA de l'UE est le texte législatif le plus explicite jamais écrit sur la traçabilité des décisions, et son calendrier a changé en 2026, il est donc important de le préciser. Pour les systèmes à haut risque (les domaines de l'annexe III : emploi, crédit, éducation, services essentiels, application de la loi et autres), la loi exige un enregistrement automatique des événements tout au long de la durée de vie du système (article 12), une conservation des journaux d'au moins six mois par les fournisseurs et les déployeurs (articles 19 et 26), une documentation technique conservée pendant dix ans (article 18), une supervision humaine significative avec le pouvoir d'intervenir ou de remplacer (article 14), un rapport sur les incidents graves — immédiatement, et au plus tard dans les 15 jours, réduit à aussi peu que deux jours pour les incidents généralisés (article 73) — et un droit à l'explication : les personnes concernées peuvent demander un compte rendu clair du rôle de l'IA dans une décision les concernant (article 86). Les pénalités peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial.

La date : le Digital Omnibus 2026 (Règlement (UE) 2026/1744, en vigueur en juillet 2026) a déplacé les obligations à haut risque d'août 2026 au 2 décembre 2027 — août 2028 pour l'IA intégrée dans des produits selon la législation européenne sur la sécurité existante. Ce qui n'a pas été déplacé : les interdictions (en vigueur depuis février 2025), les obligations relatives à l'IA à usage général (août 2025), les obligations de transparence et d'étiquetage du contenu (août 2026) — et l'article 22 du RGPD, qui a restreint les décisions entièrement automatisées depuis 2018 et, selon le jugement SCHUFA de la CJUE, couvre même un score produit par un tiers lorsque l'organisation décisionnelle s'y fie fortement. Si vous attendez décembre 2027 pour commencer à tenir des dossiers de décision, vous êtes déjà en retard par rapport à la loi qui s'applique aujourd'hui.

Les États-Unis régulent la même substance secteur par secteur. Les banques vivent sous les directives de risque de modèle SR 11-7 de la Réserve fédérale depuis 2011 — inventaires de modèles, validation indépendante, documentation suffisante pour qu'un tiers comprenne comment le modèle fonctionne ; c'est la chose la plus proche d'un manuel de traçage en production n'importe où. Le Circular 2022-03 du CFPB oblige les créanciers à respecter l'exigence de raisons spécifiques de l'ECOA, quelle que soit la complexité algorithmique. La Loi locale 144 de la ville de New York exige des audits annuels de biais et un avis aux candidats pour les outils de recrutement automatisés. Et le Colorado — qu'il convient de citer avec précaution, car la plupart des résumés décrivent une loi qui n'existe plus — a abrogé et réadopté sa loi sur l'IA en mai 2026 (SB 26-189, remplaçant le SB 24-205 jamais effectif) : à partir du 1er janvier 2027, les déployeurs d'IA dans des décisions conséquentes doivent fournir aux consommateurs un avis avant utilisation, une révision humaine et une explication écrite dans les 30 jours suivant un résultat défavorable, les développeurs devant fournir aux déployeurs une documentation technique ; l'application est exclusive au procureur général de l'État.

Autour des statuts se trouve un échafaudage volontaire que les auditeurs considèrent de plus en plus comme la référence : le NIST AI Risk Management Framework (gouverner, cartographier, mesurer, gérer) et ISO/IEC 42001, la norme de système de gestion de l'IA certifiable. Aucun des deux n'est une loi ; tous deux transforment "nous prenons la gouvernance de l'IA au sérieux" en une structure vérifiable — et tous deux supposent que les enregistrements de décision dont il est question dans ce post existent déjà.

Les quatre piliers de la traçabilité des décisions

Dépouiller les acronymes et chaque cadre ci-dessus demande les mêmes quatre capacités :

Nous utilisons des modèles tiers — pouvons-nous même nous conformer ?

Oui — et l'objection renverse l'architecture. Vous ne pouvez pas retracer les détails internes du modèle d'un fournisseur, mais les obligations qui vous lient en tant que déployeur ne vous demandent généralement pas de le faire. Ce qu'elles demandent, c'est votre côté de la décision : les entrées que vous avez envoyées, la sortie que vous avez reçue, le contexte dans lequel vous l'avez utilisée, la personne qui l'a examinée, et les raisons que vous pouvez donner à la personne concernée. Tout cela se trouve dans une couche de traçabilité que vous possédez, enveloppée autour de l'API qui se trouve derrière.

La relation avec le fournisseur ajoute trois devoirs plutôt que d'en supprimer : documenter pourquoi ce modèle a été sélectionné et comment il a été validé pour votre utilisation ; épingler et enregistrer la version du modèle par décision, de sorte que "quel modèle a été utilisé en mars" ait une réponse même après que le fournisseur ait expédié une mise à jour ; et contracter pour un support d'audit et une conservation, afin que la moitié des preuves du fournisseur soit accessible lorsqu'un régulateur demande. La concession honnête : pour les modèles de fond véritablement opaques, la capture du raisonnement au niveau du modèle est limitée — ce qui est exactement pourquoi le raisonnement qui compte le plus à capturer est celui de l'humain, au point de contrôle où la sortie est devenue une décision.

Où commencer — maintenant que la date limite a été déplacée

Le report de 16 mois n'est pas une raison d'attendre ; c'est la période pendant laquelle la construction l'emporte sur la rénovation. Une trace, par définition, ne peut être créée qu'au moment de la décision — tout ce qui n'est pas capturé entre maintenant et décembre 2027 sera une reconstruction pour toujours. Et les deux régimes qui s'appliquent déjà, l'article 22 et l'auditabilité ordinaire, ne tiennent pas compte du report.

La séquence pragmatique comporte trois étapes, aucune d'entre elles ne nécessitant un département de conformité. Inventoriez les points où les résultats de l'IA influencent des décisions conséquentes — concernant des personnes, de l'argent ou de la stratégie — peu importe s'ils touchent ou non la liste de l'Annexe III. Enveloppez chaque point dans un jugement humain enregistré : ce que le système a recommandé, qui a décidé et pourquoi, écrit au moment de la décision. Centralisez les enregistrements quelque part de consultable, de sorte que "montrez-moi la décision du 11 mars" soit une requête, pas un projet. C'est 80 % de la traçabilité, et cela vaut la peine d'être fait même si aucun régulateur ne demande jamais — car vos propres analyses post-mortem le feront. (Pour les déploiements de traçabilité en entreprise — exigences d'audit, conservation, contrôles d'accès — parlez à notre équipe.)

Où Argumentree s'intègre — la couche de décision humaine

Argumentree met en œuvre les piliers pour les décisions que les gens prennent avec l'assistance de l'IA. L'IA structure les arguments et les preuves autour d'une question sous la forme d'un arbre pro/con (capture de raisonnement, en structure plutôt qu'en prose) ; les gens pèsent, réfutent et évaluent les arguments, et un décideur nommé enregistre le résultat (humain dans la boucle, avec la révision elle-même consignée) ; et la discussion terminée persiste en tant qu'enregistrement de décision consultable avec son historique complet d'arguments (la trace, avec une révision des modèles à travers les décisions disponible parce que les enregistrements sont structurés, pas en texte libre).

Construisez la plomberie avant d'avoir besoin de la preuve.

Retournez à la demande de mardi. Dans une organisation avec traçabilité, cela est répondu dans l'après-midi : voici l'instantané d'entrée, voici la version du modèle, voici les alternatives qu'il a notées, voici le jugement enregistré du réviseur et l'explication à laquelle le client avait droit. Rien de héroïque — juste de la plomberie qui a été construite avant d'être nécessaire, capturant au moment de la décision ce que personne ne peut honnêtement recréer plus tard.

C'est le véritable contenu de la "conformité en matière d'IA", une fois que les acronymes sont écartés : des décisions qui laissent des preuves. Les lois convergent vers cela, les cadres l'assument, et — la partie qui en vaut la peine indépendamment du calendrier — votre propre organisation fonctionne mieux avec cela, car la même trace qui satisfait un auditeur est le dossier qui empêche une question réglée d'être relitigée de mémoire. La date limite a changé. La direction est restée la même.