Tracer les décisions prises avec l'aide d'une IA

La question arrive toujours à retardement. Un client conteste un refus, un salarié demande pourquoi sa demande a été rejetée, un auditeur veut comprendre comment un montant a été calculé. Le dossier date de sept mois. Sans traçabilité IA organisée à l'avance, la réponse honnête est : nous ne savons pas.

Ce n'est pas une faute de négligence, c'est une conséquence directe de la façon dont ces systèmes fonctionnent. Le modèle a changé de version entre temps. La consigne a été retouchée trois fois. Les documents utilisés comme contexte ont été mis à jour. Rejouer la même demande aujourd'hui produira un autre résultat, et cette nouvelle exécution ne prouve strictement rien sur ce qui s'est passé en novembre.

Cet article détaille ce qu'il faut conserver pour pouvoir expliquer une décision longtemps après, comment le stocker sans construire une base de surveillance, et comment traiter le conflit frontal entre cette exigence de conservation et le principe de minimisation des données personnelles.

Ce qu'il faut journaliser pour reconstituer une décision

Une trace utile permet de répondre à une seule question : qu'est ce qui a été soumis au système, avec quelle configuration, et qu'a t il répondu ? Cela demande sept éléments, pas un de plus.

1. Un identifiant de décision, rattaché à l'objet métier concerné (dossier, ticket, commande). C'est la clé qui rend la trace retrouvable.
2. L'identifiant exact du modèle et de sa version. Pas « le modèle de notre fournisseur », mais la référence précise renvoyée par l'interface, y compris le suffixe de version.
3. La version de l'invite système. Numérotée, avec un renvoi vers un dépôt où le texte complet est archivé.
4. Le contexte injecté. Pour un système documentaire, les identifiants et les versions des extraits retenus, pas les extraits eux mêmes si le corpus est archivé par ailleurs.
5. Les paramètres d'appel : température, longueur maximale, outils autorisés.
6. La sortie brute du modèle, avant tout post traitement, ainsi que la sortie finale si elle diffère.
7. L'arbitrage humain. Qui a validé, modifié ou rejeté la proposition, à quelle heure, et le cas échéant le motif choisi dans une liste fermée.

Le septième point est le plus souvent oublié et le plus décisif. Dans la quasi totalité des usages en entreprise, la décision n'est pas prise par le modèle mais par une personne qui suit ou non sa proposition. Tracer uniquement la sortie du modèle laisse croire à une automatisation qui n'existe pas, et prive l'organisation de sa meilleure défense : la preuve qu'un humain a statué.

Le taux de suivi, indicateur sous estimé

Journaliser l'arbitrage humain donne accès à une métrique très parlante : la proportion de propositions suivies sans modification. Si elle dépasse 97 %, la validation humaine est devenue un clic réflexe et la supervision est fictive. Si elle descend sous 60 %, le système fait perdre du temps. Entre les deux, la boucle fonctionne. Cette mesure vaut tous les tableaux de bord de qualité.

Combien de temps conserver, et le conflit avec la minimisation

C'est ici que les deux exigences se heurtent frontalement. Le principe de minimisation impose de ne collecter que les données nécessaires et de ne pas les garder au delà de la finalité. La traçabilité, elle, exige de garder une photographie complète, souvent gorgée de données personnelles, pendant des mois ou des années.

Le conflit n'est pas insoluble, mais il ne se règle pas en gardant tout par précaution. Trois leviers, dans cet ordre.

• Séparer la trace technique de la trace métier. La trace technique (version, paramètres, latences, coûts) ne contient aucune donnée personnelle et peut se conserver longtemps sans difficulté. La trace métier, qui contient le contenu, obéit à une durée courte.
• Conserver des empreintes plutôt que des contenus. Pour prouver quel document a servi de contexte, une empreinte cryptographique et un identifiant de version suffisent, à condition que le document soit archivé ailleurs avec sa propre politique de conservation.
• Pseudonymiser au moment de l'écriture du journal. Remplacer les identités par un identifiant interne, avec une table de correspondance à part et à accès restreint, réduit fortement l'exposition sans détruire la valeur d'audit.

Sur les durées, la règle pratique consiste à aligner la conservation de la trace sur celle du dossier métier qu'elle documente, jamais sur une durée inventée pour la circonstance. Si un dossier de candidature se conserve deux ans, la trace de l'aide à la décision se conserve deux ans. Cette logique d'alignement est celle que retient l'autorité de contrôle française sur les durées de conservation, et elle a l'avantage d'être défendable sans discussion. Les autres questions de conformité liées à ces traitements sont abordées dans notre article sur le RGPD appliqué à l'IA en entreprise.

Ce que la traçabilité ne donne pas : l'explicabilité

Une confusion revient constamment. Tracer, c'est pouvoir dire ce qui a été soumis et ce qui est sorti. Expliquer, c'est pouvoir dire pourquoi. Un grand modèle de langage ne fournit pas la seconde : la justification qu'il produit à la demande est une reconstruction plausible, pas un compte rendu de son calcul interne.

Deux conséquences pratiques :

• Ne présentez jamais une justification générée comme la raison de la décision. Elle peut être conservée comme élément de contexte, à condition d'être étiquetée pour ce qu'elle est.
• Pour les décisions qui doivent être motivées, gardez la motivation du côté humain ou du côté des règles. Un motif choisi dans une liste fermée par la personne qui valide vaut infiniment mieux qu'un paragraphe généré.

Cette distinction devient structurante dès lors qu'un usage est classé comme sensible au regard du cadre européen sur l'intelligence artificielle : les obligations portent alors sur la journalisation, la documentation technique et la supervision humaine effective, c'est à dire précisément sur ce qui est traçable, et non sur une explication du fonctionnement interne du modèle.

Comment le mettre en place sans construire une usine

La mise en œuvre échoue le plus souvent parce qu'elle démarre par le choix d'un outil. Un ordre plus sûr, applicable en quelques semaines :

1. Listez les décisions à tracer. Toutes ne le méritent pas. Les critères : la décision engage l'entreprise vis à vis d'un tiers, elle est contestable, ou elle est soumise à contrôle. Une reformulation de courriel interne ne rentre dans aucune de ces cases.
2. Écrivez le schéma de trace, avec les sept champs, avant tout développement. Un schéma stable vaut mieux qu'un journal riche et incohérent.
3. Journalisez de façon structurée, pas en texte libre. Un enregistrement par décision, en format exploitable, avec des noms de champs figés. Les standards d'instrumentation applicative font très bien l'affaire et évitent d'inventer un format maison.
4. Testez la restitution. Prenez une décision vieille de trois mois au hasard et demandez à quelqu'un de reconstituer le dossier complet. Si cela prend plus d'une heure, la traçabilité n'existe pas.
5. Fixez et automatisez la purge. Une trace qui ne s'efface jamais devient un risque à elle seule.

Le point 4 est le seul test qui compte. Beaucoup d'organisations journalisent abondamment et sont pourtant incapables de reconstituer un cas, parce que les informations sont éparpillées entre trois systèmes sans clé commune. L'identifiant de décision partagé résout ce problème à lui seul.

Faire de la trace un outil de travail, pas une archive morte

La traçabilité coûte du temps de développement et de l'espace de stockage. Elle ne sera maintenue dans la durée que si elle sert aussi au quotidien. Trois usages la rendent immédiatement rentable : mesurer le taux de suivi des propositions, retrouver les cas où le système a été corrigé pour alimenter le jeu de tests, et suivre le coût réel par décision.

Ce cadre s'inscrit naturellement dans les règles internes d'usage que beaucoup d'organisations formalisent, et que nous détaillons dans notre article sur la charte d'usage de l'IA en entreprise. Il se combine aussi avec les techniques de réduction d'exposition décrites dans anonymiser ses données avant de les envoyer à une IA.

Retenez la règle de départ : si vous ne pouvez pas reconstituer une décision vieille de six mois en moins d'une heure, votre traçabilité IA est à refaire. Ce test se passe en une demi journée, il ne coûte rien, et il vaut mieux le rater maintenant que devant un auditeur.