Gouvernance IA : l'obligation déjà opposable n'est pas de conserver les journaux, c'est de les lire

Detailed summary

Le 9 novembre, la Cnil a prononcé dix sanctions pour manquements de sécurité. L'un des manquements retenus déplace le calendrier que la plupart des programmes de gouvernance IA…

Le 9 novembre, la Cnil a prononcé dix sanctions pour manquements de sécurité. L'un des manquements retenus déplace le calendrier que la plupart des programmes de gouvernance IA ont adopté.

Le 9 novembre 2026, la Cnil a frappé direct : dix sanctions simplifiées coup sur coup visant des collectivités territoriales et un établissement public. Les amendes grimpent de 3 000 € à 20 000 € (le plafond légal sur ce type de procédure). Au cœur des dossiers ? Des manquements bruts à l’article 32 du RGPD sur la sécurité des traitements, doublés de l’absence d’analyse d’impact (article 35) pour deux d'entre eux.

Sur le papier, le catalogue des failles ressemble à un inventaire classique :

Mais au milieu de tout ça, une ligne mérite un arrêt net pour n'importe quelle boîte qui déploie de l'IA aujourd'hui : "les mesures déployées afin de détecter les comportements anormaux étaient inefficaces". La Cnil enfonce le clou en pointant une journalisation lacunaire et des logs laissés à l'abandon, jamais exploités en temps réel ou à court terme.

L'enseignement est brutal. Ce qui prend une praline ici, ce n'est pas le fait de ne pas avoir gardé de traces : c'est de ne jamais les avoir regardées.

Quand j'observe la construction des programmes de gouvernance IA en entreprise, le réflexe quasi systématique consiste à tout verrouiller autour de la conservation des données. L'AI Act européen impose d'ailleurs au fournisseur puis au déployeur d'archiver les journaux générés par les systèmes à haut risque pendant au moins six mois (si les logs sont sous leur contrôle). Bref, une obligation de stockage documentaire : la trace existe, elle a une date, un proprio identifié.

Sauf que ce volet n'est absolument pas applicable aujourd'hui. Les exigences du chapitre III ne tomberont que le 2 décembre 2027 pour les systèmes de l'annexe III, et le 2 août 2028 pour ceux de l'annexe I — selon le calendrier calé par l'article 113 suite au règlement omnibus (UE) 2026/1744.

En revanche, l'obligation qui s'impose dès…

Opening of the article, excerpted from Journal du Net Économie. To read the rest, open the article on the publisher's site.