Dix-huit mois après la décision, la lettre arrive. Le régulateur veut savoir pourquoi la ligne a été coupée, sur quels chiffres, et qui a signé. L’analyste est parti. Le modèle a été retiré par son fournisseur. Le log contient la réponse que le système a donnée ce matin-là, et rien d’autre. La banque sait ce qui a été décidé. Elle ne peut pas montrer comment.
Ce que demande un régulateur
Un régulateur ne demande pas si la réponse était probable. Il demande qui a posé l’acte, sur quoi, et si cela peut être montré. La probabilité est une propriété des énoncés. L’imputabilité est une propriété des actes.[1] Chaque déploiement qui a rangé ses logs parmi les fonctionnalités de conformité a confondu les deux, et découvert la différence dans l’exception, au moment d’être interrogé.
La question vient tard. Une institution décide sur quarante ans et répond sur cinq.[2] Le mandat qui a pris la décision s’achève avant que la conséquence n’arrive, et la personne qui hérite de la question n’hérite d’aucune mémoire. La traçabilité est le seul pont entre les deux horizons. Une institution qui ne peut pas reconstituer pourquoi elle a fait ce qu’elle a fait n’a pas d’horizon long. Elle a un long passé qu’elle ne sait pas lire.
Les entités financières portent cette exigence dans la loi. DORA leur impose de détecter, gérer, enregistrer et notifier les incidents liés aux TIC, et de gérer le risque des tiers TIC dont elles dépendent.[3] Un système qui propose ou prend une décision sur le grand livre est un système TIC. La société qui l’exploite pour vous est un tiers TIC. La trace est l’endroit où les deux obligations se rejoignent.
On a beaucoup écrit sur les raisons de tracer une décision d’IA.[4] Nous nous en tenons à ce qu’une trace doit permettre à un régulateur de faire.
Ce qu’une trace doit permettre
Quatre verbes, et une trace à laquelle il en manque un est un journal intime.
Nommer. Qui a validé l’acte, et à quelle heure. Une décision sans nom au bas de la page, c’est de la météo.[5]
Situer. Quelles données, telles qu’elles étaient à cet instant, et quelle règle. Pas la valeur actuelle du champ. La valeur qui a été lue.
Rejouer. Poser la même question, avec les mêmes entrées, et obtenir la même réponse, aujourd’hui. Une décision qu’on ne peut pas rejouer est une coïncidence horodatée.
Ordonner. La séquence des événements, fixée, sous une forme que personne ne peut réécrire après coup. Ni le fournisseur, ni l’administrateur, ni la personne dont le nom y figure.
Notre page entreprise le dit en une ligne : qui a validé quoi, sur quelles données, dans un ordre que personne ne peut réécrire après coup.[6] Une promesse au client ; le standard du régulateur.
Trois logs que Galahad refuse
Un log que le fournisseur garde. Quand le contrat s’arrête, la trace s’arrête avec lui. Quand le régulateur demande, vous demandez au fournisseur, et le fournisseur répond au rythme qui l’arrange. Une trace qu’il faut réclamer est une dépendance à un tiers, et DORA la traite comme telle.[3:1] Nous nous installons dans votre infrastructure et n’opérons aucun hébergement de vos données : la trace est à vous avant d’être quoi que ce soit d’autre.[6:1]
Un log qui enregistre la réponse et pas le chemin. La plupart des logs sont une liste de sorties. Ils disent ce que le système a dit, et se taisent sur quelle donnée, quelle règle et quel chemin à travers quel modèle du monde l’ont produit.[5:1] Une réponse sans sa lignée ne peut être suivie par personne qui devra plus tard justifier l’action. Un log de telles réponses est une liste de choses que vous avez crues un jour.
Un log que personne ne peut rejouer. Si la même question peut rendre une réponse différente, le log enregistre ce qui s’est passé une fois. Il n’enregistre pas ce que le système fait. Un régulateur qui examine un système échantillonné examine une humeur. Nous tenons que la même question, posée deux fois, rend la même réponse, au caractère près, et qu’une trace vaut exactement ce que vaut son replay.[5:2]
La lisibilité est une défense
Une organisation que l’on ne peut pas lire ne peut pas être défendue.[7] Le fournisseur qui vous a capturé, la fraude qui court depuis des années, l’exposition logée entre deux systèmes qu’on n’a jamais fait parler : chacun vit dans l’espace qu’aucune trace ne couvre. Une trace qui tient n’est pas de la paperasse posée sur le métier. C’est le métier, rendu lisible, d’abord à lui-même, puis à quiconque est en droit de demander.
L’Europe a écrit les règles. Ce que le monde exigera d’ici cinq ans, un fournisseur européen peut le vendre aujourd’hui, et la seule façon de dilapider la position est de continuer à la traiter comme de la conformité.[8] L’auditabilité est une arme, et la trace en est le tranchant.
Les questions à poser au fournisseur
Posez-les par écrit, avant la démonstration.
- Où vit la trace, et qui la détient le lendemain de la fin du contrat ?
- Pour toute décision passée, puis-je voir les données telles qu’elles étaient à cet instant et la règle appliquée ?
- Puis-je rejouer cette décision aujourd’hui, avec les mêmes entrées, et obtenir la même réponse ?
- Quel nom figure sur la validation, et à quelle heure ?
- Quelqu’un, vous compris, peut-il modifier ou supprimer une entrée après coup ?
- Que voit le régulateur, et ai-je besoin de vous dans la pièce pour le lui montrer ?
Un fournisseur qui répond aux six depuis votre réseau a construit une trace. Un fournisseur qui répond par un dashboard a construit un journal intime.
Monarch s’installe dans votre infrastructure et laisse une trace qui tient : qui a validé quoi, sur quelles données, dans un ordre que personne ne peut réécrire après coup. Voyez-le sur vos données.
Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA), applicable depuis le 17 janvier 2025 : gestion, classification et notification des incidents liés aux TIC ; gestion du risque lié aux prestataires tiers de services TIC. Source ↩︎ ↩︎
Algos AI, « Comprendre la traçabilité des décisions d’une IA : pourquoi et comment ? » : la traçabilité comme condition de la conformité, du contrôle humain et de l’explicabilité. Source ↩︎
Machines de conséquence, thèse 11 : provenance, déterminisme, réversibilité, imputation. Le lire ↩︎ ↩︎ ↩︎