MESURE 4.10 · DOSSIER CANONIQUE JUSTICE

Traçabilité des décisions assistées et archivage : conserver assez pour prouver, jamais tout par réflexe

Le dossier de preuve enregistre la version du système, les sources, la sortie et la validation humaine ; la durée de dix ans est traitée comme une garantie politique à concilier avec la minimisation et le droit des données.

Décision humaineLa technologie assiste ; la responsabilité demeure attribuée.

Preuve au point d’usageDroit, données et chiffres rattachés à leurs sources.

Plan de repliLa mesure doit rester exécutable si une voie échoue.

Pourquoi une décision assistée doit laisser une trace vérifiable

Lorsqu’un agent utilise une IA pour préparer une décision, un recours ultérieur doit permettre de reconstituer ce qui s’est passé. Sans trace, on ne sait pas quelle version du modèle a été utilisée, quelles données ont été présentées, quelle sortie a été proposée ni qui l’a validée. La mesure 4.10 crée donc une chaîne de traçabilité opposable à l’organisation.

Le principe ne consiste pas à conserver indéfiniment toutes les données possibles. Il consiste à définir, par type d’usage, les éléments nécessaires pour expliquer la décision et auditer le système. La traçabilité est une fonction juridique et technique ; l’archivage est une politique de conservation qui doit respecter la protection des données et les règles propres aux dossiers concernés.

La proposition du Plan retient un horizon de dix ans comme garantie forte. la présente édition le qualifie explicitement de choix Delta-Sierra, pas de durée générale imposée par le règlement IA à tous les usages judiciaires.

Entrée, version du modèle, sortie, validation humaine et archive : la chaîne minimale de preuve.

Que faut-il journaliser ?

Le journal technique comprend l’identifiant du dossier ou un identifiant pseudonymisé adapté, la date et l’heure, la fonction appelée, la version du modèle, la version de l’application, les documents ou références utilisés, la sortie fournie et les événements de validation ou de correction. Il enregistre aussi les erreurs techniques et les changements de configuration susceptibles d’affecter le résultat.

Pour les systèmes utilisant une recherche documentaire, la liste des documents réellement transmis au modèle est importante. Une réponse peut changer non parce que le modèle a changé mais parce que le corpus retrouvé n’était pas le même.

Le journal doit être conçu dès l’architecture. Ajouter a posteriori une traçabilité à un système déjà déployé produit souvent des données partielles et difficiles à interpréter.

Finalité, durée, accès, intégrité et journal des consultations : les garde-fous de l’archive.

Dix ans : garantie politique, pas prétexte à la conservation illimitée

La durée de dix ans proposée par le Plan vise à permettre l’audit et le recours sur une période longue. Mais toutes les données n’ont pas nécessairement la même durée légitime. Une donnée personnelle sensible, un log purement technique et un document juridictionnel obéissent à des finalités différentes.

La page impose donc une matrice de conservation : catégorie de donnée, finalité, base juridique, durée, accès, règle d’effacement ou d’archivage définitif. Si dix ans excèdent ce qui est nécessaire pour une catégorie, cette catégorie est minimisée, pseudonymisée ou supprimée plus tôt tout en conservant les éléments de preuve suffisants.

La doctrine évite ainsi deux extrêmes : un système impossible à auditer parce qu’il ne conserve rien, et un entrepôt permanent de données personnelles constitué au nom de la transparence.

Droit applicable au 12 août 2026

Le RGPD impose des principes de limitation des finalités, minimisation, sécurité et durée de conservation adaptée. Le règlement européen sur l’intelligence artificielle prévoit des exigences de documentation et de journalisation pour certaines catégories, avec un calendrier modifié en juillet 2026 par le règlement (UE) 2026/1744.

Le report au 2 décembre 2027 de certaines obligations high-risk de l’annexe III ne supprime ni le RGPD ni la nécessité de concevoir un système audit-able. Delta-Sierra applique donc la journalisation et la gouvernance de conservation dès le pilote comme garanties internes.

Chaque page opérationnelle précise ce qui relève du droit déjà applicable, du calendrier européen futur et du standard volontaire du Plan.

Sécurité : un journal de preuve est aussi une cible sensible

Les logs peuvent révéler des données sur les parties, les agents, les décisions et les vulnérabilités du système. Ils doivent donc être protégés avec une rigueur au moins équivalente au système qu’ils documentent. L’accès est fondé sur le besoin d’en connaître, journalisé lui-même et régulièrement revu.

L’intégrité est essentielle : un log modifiable par l’administrateur ordinaire ne constitue pas une preuve robuste. Les mécanismes d’horodatage, signatures, stockage append-only ou contrôles d’intégrité sont adaptés au niveau de risque. Les sauvegardes et restaurations font l’objet de tests.

Une fuite de journaux doit déclencher le même dispositif d’incident que les autres données judiciaires, avec analyse des personnes concernées et obligations réglementaires applicables.

Effet financier : le coût de la preuve doit être budgété

La traçabilité consomme du stockage, de la sécurité, du temps d’administration et de l’audit. Ces dépenses doivent être incluses dans le coût complet des projets d’IA. Une économie calculée uniquement sur la licence ou le temps agent, sans coût de journalisation et de conformité, est artificiellement gonflée.

La formule de coût total comprend infrastructure de logs + stockage + sauvegarde + contrôle d’accès + audit + opérations de conservation/effacement. Les éventuels gains liés à une résolution plus rapide des incidents ou des recours sont publiés séparément lorsqu’ils sont mesurés.

4.10 ne revendique donc pas une économie autonome. C’est une garantie nécessaire qui modifie le coût net des mesures technologiques du Plan.

Architecture de conservation et rôles

Le responsable fonctionnel définit ce qui doit être conservé pour expliquer une décision. Le responsable de traitement définit les règles de protection des données. L’équipe de sécurité garantit l’intégrité et les accès. Les archives et services juridiques participent à la définition des durées lorsqu’un dossier relève de règles spécifiques.

Un catalogue décrit chaque journal : propriétaire, schéma, date de création, durée, localisation, niveau de sensibilité et procédure de restitution en cas de recours. Cette documentation évite les archives « fantômes » que personne n’ose supprimer parce que personne ne sait à quoi elles servent.

Les contrats avec les fournisseurs garantissent l’export complet des journaux dans un format exploitable. La réversibilité doit inclure la preuve, pas uniquement les données métier.

Plan A / Plan B / Plan C

Plan A. Journalisation native et matrice de conservation dès le pilote, avec accès auditable.

Plan B. Si le système ne permet pas une traçabilité suffisante, le limiter à des tâches sans effet sur une décision jusqu’à correction de l’architecture.

Plan C. Si un fournisseur refuse la portabilité ou l’accès aux logs nécessaires, sortir ce fournisseur de la chaîne de décision et migrer vers une solution réversible.

Le recours : restituer une explication intelligible

Une trace technique brute n’est pas une explication. En cas de contestation, l’administration doit pouvoir produire un dossier compréhensible : fonction de l’IA, données déterminantes, références utilisées, sortie proposée, intervention humaine et décision finale.

La restitution distingue ce qui a été généré par le système de ce qui a été décidé par l’agent. Elle ne prétend pas reconstruire une « pensée » du modèle inaccessible ; elle documente les entrées, sorties et contrôles effectivement observables.

Cette discipline favorise également l’apprentissage : les recours permettent d’identifier les types d’erreurs et d’améliorer les modèles ou les procédures.

Indicateurs et audits

Le tableau de bord suit la proportion de décisions assistées disposant d’un dossier de traçabilité complet, les erreurs de journalisation, les accès non conformes, les délais de restitution lors d’un audit, les incidents de conservation et la part des données effacées conformément au calendrier.

Un échantillon est reconstitué régulièrement de bout en bout. L’auditeur doit pouvoir passer de la décision finale aux logs, au modèle, aux documents de contexte et à la validation humaine sans rencontrer de trou documentaire.

Si le taux de complétude baisse, le système peut continuer à produire des brouillons mais ne doit plus être utilisé dans les flux défavorables jusqu’au rétablissement de la preuve.

Ce qu’il ne faut surtout pas archiver par réflexe

La traçabilité ne justifie pas de dupliquer chaque pièce dans plusieurs bases ni de conserver des données non utilisées « au cas où ». La minimisation réduit le risque de fuite et facilite l’audit. Les logs ne doivent pas contenir des secrets ou données sensibles qui peuvent être référencés autrement de façon sûre.

Les environnements de test sont particulièrement surveillés : copier des dossiers réels complets pour tester une nouvelle version est souvent inutile. Des jeux synthétiques ou pseudonymisés doivent être privilégiés lorsque la finalité le permet.

Enfin, les journaux ne doivent pas devenir un outil de surveillance permanente des agents. Leur finalité est la preuve du fonctionnement et de la décision, avec des accès encadrés.

Synthèse : rendre l’assistance contestable et auditable

La mesure 4.10 complète la validation humaine de 4.09. Une décision est humainement attribuée ; la chaîne technique qui l’a assistée est documentée. Le public dispose ainsi d’un système qui peut être audité au lieu d’une boîte noire dont personne ne peut reconstituer le fonctionnement après coup.

L’horizon de dix ans reste une exigence politique à adapter par catégorie de données aux règles de conservation et de protection applicables. Cette nuance rend la proposition plus robuste qu’une conservation uniforme et aveugle.

La règle finale est : aucune décision assistée importante ne doit devenir inexplicable parce que le système ou sa version a changé. La mémoire technique fait partie de l’État de droit numérique.

Cas pratique : reconstituer une décision trois ans après

Trois ans après une décision, un recours ou un audit interroge le rôle exact d’un outil d’intelligence artificielle. Le fournisseur a depuis mis à jour son modèle plusieurs fois. Sans journalisation, l’administration ne peut qu’expliquer le fonctionnement actuel, qui n’est pas forcément celui du jour de la décision. Avec la mesure 4.10, elle retrouve la version du logiciel, la fonction appelée, les documents utilisés, la sortie proposée et l’événement de validation humaine.

La restitution ne doit pas nécessiter de réinstaller un modèle ancien sur une infrastructure abandonnée. Les éléments de preuve nécessaires sont conservés dans des formats documentés et exportables. Lorsque la sortie complète contient des données sensibles dont la conservation n’est plus justifiée, une empreinte, un identifiant ou une représentation minimisée peut contribuer à prouver l’intégrité tout en respectant la politique de conservation.

Ce cas pratique montre la différence entre sauvegarder « beaucoup » et conserver « utile ». La qualité d’une archive se mesure à sa capacité à répondre à une question juridique précise, pas au volume de données accumulées.

Politique d’accès : qui peut consulter la trace et pourquoi

Un journal n’est pas un fichier librement consultable. Les rôles sont séparés : l’agent métier peut voir ce qui est nécessaire au dossier ; l’équipe technique accède aux événements de fonctionnement ; l’auditeur dispose d’un accès encadré ; le fournisseur n’obtient que les informations indispensables à la maintenance. Toute consultation sensible laisse elle-même une trace.

Les droits sont réexaminés lors des changements de poste. Les comptes de service et accès d’urgence sont inventoriés. Une personne ne doit pas conserver pendant des années la possibilité de consulter des logs judiciaires au motif qu’elle a participé au projet initial.

Le rapport annuel publie des statistiques sur les accès anormaux, incidents et délais de correction sans révéler de données de dossier. La sécurité devient ainsi un indicateur gouvernable plutôt qu’une promesse abstraite.

Approfondissement : conserver une preuve utile sans fabriquer un entrepôt illimité

La traçabilité d’une décision assistée doit répondre à une question simple : plusieurs années plus tard, peut-on reconstituer ce qui s’est passé ? Cela ne signifie pas conserver toutes les données possibles. Il faut conserver les éléments nécessaires à l’audit, au recours et à la sécurité, avec une durée justifiée pour chaque catégorie.

Distinguer les objets à conserver

Il faut séparer au moins : identité de l’utilisateur, date et heure, version de l’outil, données d’entrée pertinentes, résultat proposé, action humaine, modification éventuelle et référence au dossier. Les journaux techniques bruts peuvent avoir une durée différente des pièces du dossier. La règle « dix ans pour tout » serait juridiquement et techniquement paresseuse.

La durée doit être reliée à la finalité. Une trace nécessaire à un recours doit rester disponible pendant la période où le recours est possible et, si nécessaire, pendant le contentieux. Une donnée de cybersécurité peut suivre un calendrier différent. Le schéma d’archivage doit donc être une matrice, pas un chiffre unique.

Garantir l’intégrité de la preuve

Une trace modifiable après coup n’est pas une preuve fiable. Les journaux doivent donc disposer de mécanismes d’intégrité : contrôle d’accès, horodatage, empreinte cryptographique ou autre dispositif adapté. L’objectif n’est pas nécessairement d’utiliser une technologie complexe ; il est de pouvoir détecter une modification non autorisée.

On peut représenter un contrôle par H = hash(données). H est une empreinte numérique calculée à partir d’un ensemble de données. Le terme hash désigne une fonction qui produit une valeur de contrôle ; il ne chiffre pas à lui seul le contenu. Si les données changent, l’empreinte change, ce qui permet de détecter une altération.

Limiter l’accès aux journaux

Un journal contient souvent des informations particulièrement sensibles : identifiants d’agents, heures de connexion, références de dossiers et actions effectuées. Il devient donc lui-même une cible. Les droits doivent être plus stricts que sur un outil ordinaire. Une séparation des fonctions est utile : l’administrateur technique ne doit pas forcément pouvoir lire le contenu métier ; l’auditeur ne doit pas pouvoir modifier les traces.

Toute consultation du journal doit elle-même laisser une trace. Cette logique crée une chaîne de responsabilité : on sait qui a accédé à la preuve et pourquoi.

Prévoir la restitution au justiciable

L’archive technique n’est utile au droit que si elle peut être traduite en explication intelligible. Il faut donc prévoir un format de restitution : quelles données ont été utilisées, quel outil est intervenu, quelle suggestion a été produite, qui l’a validée et quelles modifications ont été apportées. Cette restitution ne doit pas exiger que le citoyen lise des milliers de lignes de journal.

Le coût complet comprend stockage, sauvegarde, redondance, chiffrement, contrôle d’accès, migrations de format et procédures de destruction. Une politique de conservation proportionnée peut réduire ce coût tout en améliorant la conformité. La mesure doit donc viser « assez pour prouver, pas davantage par réflexe ».

Prévoir la fin de vie des archives

Une politique d’archivage n’est complète que si elle décrit aussi la destruction. À l’échéance d’une durée, le système doit identifier les données qui doivent être supprimées, celles dont la conservation est prolongée pour un contentieux et celles qui relèvent des archives publiques. La destruction doit être journalisée sans conserver paradoxalement une copie complète du contenu détruit. Les migrations technologiques doivent également être planifiées : une preuve conservée dix ans n’est utile que si le format, les clés, les logiciels et les métadonnées nécessaires à sa lecture restent disponibles. Le budget d’archivage doit donc intégrer cette réversibilité dans le temps.

La traçabilité doit aussi survivre à un changement de prestataire. Les marchés publics doivent donc prévoir un format d’export documenté, des schémas de données lisibles, les règles de reprise des empreintes et la conservation des informations de version nécessaires à l’interprétation. Sans clause de réversibilité, l’administration peut se retrouver avec des archives juridiquement obligatoires mais techniquement prisonnières d’un logiciel abandonné. Un test de restauration périodique est indispensable : sélectionner un dossier ancien, reconstituer la chronologie, ouvrir les pièces, vérifier les empreintes et produire une restitution intelligible. Ce test mesure la réalité de l’archivage, alors qu’un simple contrôle de présence des fichiers ne prouve rien. La politique de conservation doit enfin documenter les incidents de migration, car une conversion de format peut modifier certaines métadonnées ou signatures.

La politique doit également distinguer disponibilité, intégrité et confidentialité. Une archive peut être intacte mais inaccessible le jour où un juge ou un auditeur en a besoin ; elle peut être disponible mais avoir été altérée ; elle peut enfin être correcte tout en étant trop largement accessible. Ces trois propriétés doivent être testées séparément. Le tableau de bord d’archivage peut suivre les restaurations réussies, les contrôles d’intégrité, les incidents d’accès, les destructions réalisées à échéance et les dossiers placés en conservation prolongée. Une preuve numérique ne vaut pas seulement parce qu’elle existe sur un serveur : elle vaut parce que l’organisation sait démontrer qui l’a créée, comment elle a été protégée, quand elle a été consultée et pourquoi elle reste lisible plusieurs années plus tard. C’est cette chaîne complète qui transforme une masse de logs en véritable garantie procédurale.

Enfin, la destruction en fin de durée doit être vérifiable par échantillonnage. Le responsable du traitement doit pouvoir démontrer qu’une donnée arrivée à échéance n’est plus présente dans les espaces actifs, les sauvegardes ordinaires et les copies de travail non justifiées. Cette étape évite que la règle de conservation reste théorique alors que des duplications techniques prolongent indéfiniment l’existence des données.

Analyse opérationnelle : Une durée différente pour chaque type de trace

Les durées de conservation doivent être justifiées par la finalité, les obligations de procédure, l’archivage public et la protection des données. C’est le cadre dans lequel doit être évalué la traçabilité des décisions assistées et leur archivage. L’objectif reste de conserver les éléments nécessaires à la preuve et à l’audit sans accumuler indéfiniment des données sensibles qui augmentent elles-mêmes le risque.

Prouver sans constituer une nouvelle base de risque

Il faut distinguer journal technique, version du modèle, données d’entrée, sortie proposée, action humaine et pièce de procédure, chacun avec une durée et un niveau d’accès propres.

Conserver trop peu empêche de prouver ce qui s’est passé ; conserver trop crée une base sensible exploitable en cas de compromission.

La traçabilité utile n’est pas la copie intégrale de tout ce que l’outil a vu ; elle consiste à conserver ce qui permet de reconstituer une décision et d’exercer un recours.

Conserver ce qui explique la décision, pas tout par défaut

le stockage, la sécurisation et l’exploitation des journaux ont un coût qui augmente avec la durée ; dix ans ne doit donc pas devenir une durée uniforme par réflexe.

Le registre doit documenter pour chaque type de trace sa finalité, sa durée, ses habilitations, les consultations et la procédure d’effacement.

La matrice de conservation doit être validée avant mise en service et réévaluée lorsque les usages ou les risques changent.

En clair — ce que change la mesure

Cette mesure se lit en trois questions simples : quel problème concret « Traçabilité des décisions assistées et archivage : conserver assez pour prouver, jamais tout par réflexe » cherche-t-elle à corriger, quelle règle ou organisation doit changer, et comment vérifier ensuite que le résultat annoncé est réellement obtenu ?

Le lecteur doit distinguer l’objectif politique du mécanisme d’exécution : une réforme peut être pertinente dans son intention tout en nécessitant un calendrier, des responsables et des garde-fous précis pour produire l’effet attendu.

Coûts de transition à documenter

Avant consolidation, il faut identifier les dépenses nécessaires au passage de l’organisation actuelle à la cible : systèmes d’information, formation, mobilité, accompagnement, indemnités éventuelles, contrats à terminer et fonctionnement temporaire en double.

L’absence de chiffrage n’est pas assimilée à zéro. Tant que ces coûts ne sont pas documentés, l’impact budgétaire net complet reste ouvert.

Interactions avec les autres mesures

Cette mesure doit être rapprochée des réformes qui touchent les mêmes effectifs, crédits, systèmes ou compétences. Une économie ne peut être comptée deux fois parce que deux mesures contribuent au même résultat.

Le grand livre financier attribue donc chaque flux à un propriétaire unique ; les autres mesures peuvent mentionner l’interaction sans revendiquer une seconde fois le même montant.

Règle anti-double-compte

Un même poste supprimé, une même recette ou un même achat évité ne peut apparaître que sur une seule ligne de consolidation. Si plusieurs réformes concourent au résultat, l’une porte le montant et les autres enregistrent une interaction non additive.

Cette règle vaut également pour les coûts : un coût de transition mutualisé doit être attribué une seule fois et référencé par les autres lignes concernées.

Statut financier de la mesure

Le grand livre des économies et la réalité budgétaire ne sont pas la même chose. Une mesure peut ne revendiquer aucune économie autonome tout en créant une dépense, une perte de recettes, un transfert ou un coût de transition. Le tableau ci-dessous sépare explicitement ces notions.

Économie autonome: aucune économie autonome revendiquée
Type d’impact budgétaire: dépense ou coût de mise en œuvre
Propriétaire budgétaire: État — mission Justice / ministère de la Justice
Ligne financière liée: Aucune ligne financière autonome attribuée à ce stade
Mesures liées: Aucune relation anti-double-compte codée à ce stade
Quantification de l’impact: À chiffrer / documenter
Coûts de transition: À documenter
Impact budgétaire net: ouvert — le coût, la recette, les transferts ou les interactions ne sont pas complètement fermés
Statut de consolidation: Hors addition autonome tant que la ligne porteuse, le propriétaire et les interactions ne sont pas fermés.

Classification prudente : aucun effet budgétaire n’est déclaré non applicable par défaut.

Pourquoi cette classification ?