What is the AI Evidence Chain™?

The AI Evidence Chain™ is RaaSify.AI's seven-stage framework for producing audit-ready evidence of AI governance. The stages are Business Intent, Data, Build, Validation, Deployment, Monitoring and Incident Response. It was created by Ma Cherie Cortez, PhD, and is a registered trademark (BOIP Reg. No. 1551399).

What is the difference between an AI audit trail and AI logging?

Logging records what happened inside a system. An audit trail also records the decisions people made around it: why the system was adopted, who approved it, how it was tested and what was done after an incident. Logs are one input to the Monitoring stage. They are not the whole trail.

Does a small business need an AI audit trail?

Yes, if AI influences decisions about people, such as hiring, lending or customer service, or if a customer, investor, partner or board member asks how you govern AI. Legal duties under the EU AI Act depend on the risk tier of each system and on whether you are its provider or deployer. A basic trail is still worth keeping for lower-risk tools, because it is what you show when someone asks.

How long should AI records be kept?

For high-risk systems under the EU AI Act, automatically generated logs must be kept for at least six months (Article 19 for providers, Article 26(6) for deployers). Providers must keep technical documentation for 10 years (Article 18). Other laws, contracts and sector rules can require longer. Logs often contain personal data, so the retention period also has to respect data protection law.

Do I need software to build an AI audit trail?

No. A spreadsheet and a shared folder are enough for a company with a handful of AI tools. Governance platforms earn their cost when you have many systems, several teams, or systems you build yourself. Decide after the inventory, when you know what you have.

Do I need a consultant to build an AI audit trail?

Not always. If you use a handful of low-risk AI tools and someone inside the company has time to own the work, you can start on your own. Outside help is worth it when AI influences decisions about people, when a customer, auditor or regulator has asked for evidence, when you face a deadline, or when nobody in-house can judge what counts as sufficient evidence. A fixed-scope assessment is usually enough to find out which case you are in.

Should I map to the EU AI Act, ISO/IEC 42001 or the NIST AI RMF?

They do different jobs. The EU AI Act is law for organizations that provide or use AI systems in the EU. ISO/IEC 42001 is a certifiable management system standard. The NIST AI RMF is a voluntary framework from the US National Institute of Standards and Technology. The AI Evidence Chain™ maps to all three, so one set of evidence can serve whichever applies to you.

When do the EU AI Act high-risk obligations apply?

Stand-alone high-risk systems listed in Annex III must comply by 2 December 2027. High-risk AI embedded in regulated products under Annex I must comply by 2 August 2028. Both dates were moved by the Digital Omnibus on AI in 2026. The delay does not cover prohibited practices, general-purpose AI model obligations or the general transparency rules.

Gouvernance de l'IA

Comment construire une piste d'audit d'IA : la chaîne de preuves d'IA en 7 étapes™

Ma CherieCortez
6 octobre 2026

Comment créer une piste d'audit IA | Chaîne de preuves IA™

Comment créer une piste d'audit IA : la chaîne de preuves IA en 7 étapes™ pour les petites entreprises

Une politique d'IA définit ce qui devrait se produire. Un historique des opérations prouve ce qui s'est produit.

Réponse courte : La piste d'audit d'une IA est l'ensemble des enregistrements permettant à une personne extérieure à votre équipe de reconstituer le processus d'approbation d'un système d'IA, les données utilisées, les tests effectués, les personnes ayant mis en service et son comportement depuis. La chaîne de preuves d'IA™ est le cadre en sept étapes de RaaSify.AI pour la création de cette piste : intention métier, données, développement, validation, déploiement, surveillance et gestion des incidents.

La plupart des guides sur les pistes d'audit de l'IA sont destinés aux entreprises disposant d'une équipe plateforme. Ils abordent les thèmes des journaux immuables, des hachages cryptographiques et des identifiants de corrélation. Ces techniques sont utiles pour le développement de produits d'IA, mais pas pour une PME de 40 personnes qui utilise Microsoft Copilot, ChatGPT et les fonctionnalités d'IA intégrées à ses logiciels RH et CRM.

Ce guide s'adresse à cette entreprise. Il aborde les questions qu'un auditeur, un organisme de réglementation ou un client pourrait poser, les sept étapes de leur audit, les points faibles habituels des pistes d'audit et comment vérifier leur conformité en cas de contrôle.

Qu’est-ce qu’une piste d’audit d’IA ?

Une piste d'audit d'IA est une preuve documentée, conservée tout au long du cycle de vie d'un système d'IA, qui répond à cinq questions :

À quoi sert ce système, et pourquoi l'utilisons-nous ?
Quelles sont les données saisies, et avons-nous le droit de les utiliser ?
Comment a-t-il été configuré et testé avant que les utilisateurs ne s'y fient ?
Qui l'a approuvé, et qui est responsable de vérifier ses résultats ?
Que s'est-il passé depuis, notamment quand les choses ont mal tourné ?

Une piste d'audit est plus complète qu'un journal. Un journal enregistre les événements internes au système. Une piste d'audit enregistre également les décisions humaines qui les entourent : l'approbation, la validation des tests, la revue mensuelle, le suivi des incidents.

Une entreprise peut disposer de journaux d'activité complets et pourtant ne pas avoir de piste d'audit, car personne ne peut démontrer qui a décidé que le système était apte à l'emploi.

Pourquoi une politique en matière d'IA ne suffit-elle pas ?

Une politique est une déclaration d'intention. Les organismes de réglementation, les auditeurs et les clients vérifient que la politique a bien été respectée.

La question se présente généralement ainsi : « Montrez-moi comment ce système d'IA prend des décisions et prouvez que vous le surveillez. » Un document de politique ne peut y répondre. Une approbation datée, un compte rendu d'essai et trois mois de notes d'examen, si.

Trois groupes se posent cette question :

Organismes de réglementation. La loi européenne sur l'IA exige une documentation technique, la tenue de registres, une supervision humaine et un suivi pour les systèmes d'IA à haut risque. Pour les systèmes autonomes à haut risque, ces obligations s'appliquent à compter du 2 décembre 2027, suite au report de cette date du 2 août 2026 par la loi Digital Omnibus sur l'IA.
Auditeurs. La norme ISO/IEC 42001 est une norme de système de management. La certification repose sur des informations documentées, un audit interne et une revue de direction, et non sur la seule politique de management.
Clients. Les grands clients et partenaires commencent à s'interroger sur votre gouvernance de l'IA avant de signer. Une réponse convaincante doit s'appuyer sur des exemples concrets.

Ce délai supplémentaire n'est pas une pause. C'est l'occasion de rassembler les preuves avant qu'on vous les demande.

Qu’est-ce que la chaîne de preuves IA™ ?

La chaîne de preuves en matière d'IA™ est un cadre de gouvernance de l'IA en sept étapes créé par Ma Cherie Cortez, PhD, fondatrice de RaaSify.AI. Elle crée un historique traçable tout au long du cycle de vie d'un système d'IA, permettant ainsi de justifier chaque décision prise grâce à l'IA auprès d'un organisme de réglementation, d'un auditeur ou d'un conseil d'administration.

On parle de chaîne car chaque étape dépend de la précédente. Un rapport de suivi est inutile si personne ne peut démontrer les fonctionnalités pour lesquelles le système a été autorisé. Un seul maillon manquant suffit à rompre le lien.

Les sept étapes sont :

Intention commerciale. Pourquoi chaque système d'IA existe-t-il ? À quoi sert-il ? Qui en est le propriétaire ? Qui l'a approuvé ? Ceci concerne tous les systèmes en service, y compris l'IA parallèle et les fonctionnalités d'IA intégrées aux logiciels que vous utilisez déjà.
Données. Quelles données alimentent chaque système, d'où elles proviennent (leur provenance) et si leur utilisation est légale et appropriée.
Construire. Comment le système a été construit ou configuré, et la trace écrite de cette configuration.
Validation. Comment le système a été testé en termes de précision, de fiabilité et de sécurité avant sa mise en service, avec des résultats que vous pouvez présenter.
Déploiement. Qui a approuvé la mise en service, dans quelles conditions, et quelles garde-fous et quel contrôle humain étaient en place ?
Surveillance. Comment les comportements réels sont-ils suivis après le lancement, et qui les examine ?
Intervention en cas d'incident. Que se passe-t-il lorsque le système pose problème : qui intervient, qui est informé et qu’est-ce qui est enregistré ?

La plupart des organisations peuvent décrire quelques-unes de ces étapes lors d'une conversation. Très peu peuvent fournir des preuves pour les sept. C'est précisément ce fossé entre la connaissance de la gouvernance et la capacité de la prouver que comble une piste d'audit.

Où les pistes d'audit de l'IA présentent-elles généralement des dysfonctionnements ?

Chaque étape répond à une question qu'un auditeur, un organisme de réglementation ou un client peut se poser. Le tableau présente la question et illustre ce à quoi ressemble généralement un écart dans une petite entreprise.

La chaîne de preuves AI Evidence Chain™ associe chaque étape aux articles pertinents de la loi européenne sur l'IA, aux clauses de la norme ISO/IEC 42001 et aux fonctions du cadre de gestion des risques liés à l'IA du NIST, permettant ainsi à un seul ensemble de preuves de répondre aux besoins des trois instances. Cette correspondance, article par article, appliquée à vos propres systèmes, constitue le résultat de l'audit AI Evidence Chain™.

Comment construire une piste d'audit pour l'IA ?

Vous constituez une piste d'audit d'IA système par système, en produisant des preuves pour chacune des sept étapes, dans l'ordre. En résumé :

Choisissez un système. Commencez par le système d'IA qui affecte le plus vos clients ou votre personnel.
Consignez l'intention commerciale. Pourquoi ce système existe-t-il, à qui il appartient et qui l'a approuvé ?
Suivre les données. Ce qui entre dedans, d'où ça vient et si vous pouvez l'utiliser.
Documentez la construction. Configuration du système et évolution depuis son lancement.
Conservez la preuve de validation. Comment cela a été testé avant que les gens ne s'y fient.
Consignez la décision de déploiement. Qui a approuvé la mise en production, à quelles conditions et qui supervise le résultat ?
Surveiller et répondre. Analysez le comportement du système à un rythme fixe et notez ce qui se passe lorsqu'un problème survient.

Répétez ensuite l'opération pour le système suivant. Ce qui constitue une preuve suffisante à chaque étape dépend du niveau de risque du système et des règles qui vous sont applicables. C'est là que réside l'essentiel du jugement.

Une petite entreprise peut-elle mettre en place un système d'audit IA sans équipe de conformité ?

Oui. Une petite entreprise n'a pas besoin d'un service de conformité ni d'une plateforme de journalisation pour démarrer. Elle a besoin de trois choses : un responsable désigné pour chaque système d'IA, un emplacement unique pour la documentation et un audit mensuel effectif. Ces indicateurs clés de performance (KPI) de gouvernance de l'IA permettent d'évaluer cet audit.

Avant toute chose, faites le point sur votre situation actuelle. Prenez le système d'IA qui a le plus d'impact sur vos clients ou votre personnel et répondez à sept questions, une par étape :

Pouvez-vous indiquer qui l'a approuvé et pourquoi l'entreprise l'utilise ?
Savez-vous quelles données y sont intégrées et si vous êtes autorisé à les utiliser de cette manière ?
Pourriez-vous montrer comment il est configuré aujourd'hui et ce qui a changé depuis son lancement ?
Existe-t-il un compte rendu des tests effectués avant que les gens ne s'y fient ?
Une personne nommément désignée est-elle chargée de vérifier son résultat ?
Quelqu'un a-t-il analysé son comportement au cours des trois derniers mois ?
Si cela posait problème demain, tout le monde sait-il quoi faire et où cela est consigné ?

Chaque refus représente un maillon brisé dans la chaîne. La plupart des entreprises en trouvent plusieurs. Nombre d'entre elles découvrent également plus d'IA que prévu : en général, les organisations recensent 30 à 40 % de systèmes d'IA supplémentaires par rapport à ce qu'elles pensaient posséder après un inventaire complet.

Comment savoir si votre journal d'audit d'IA fonctionne correctement ?

Effectuez le test sur six mois. Choisissez une décision prise avec l'aide de l'IA il y a six mois et essayez de la reconstituer à partir des seuls enregistrements, sans interroger personne sur ses souvenirs.

Vous devriez pouvoir indiquer quel système a été utilisé, sa configuration d'origine, les données qu'il contenait, la personne qui a autorisé son utilisation, celle qui a examiné les résultats et si des problèmes sont survenus par la suite. Toute question à laquelle vous ne pouvez répondre à partir d'un enregistrement est une information manquante.

Cinq erreurs courantes peuvent compromettre la plupart des sentiers :

Acheter un outil avant de faire l'inventaire. Une plateforme de journalisation ne peut pas enregistrer des systèmes dont personne n'a connaissance.
Conserver les preuves dans les boîtes de réception et dans les esprits. Si l'approbation se trouve dans la boîte mail d'une personne, elle disparaît avec elle.
Seuls les tests réussis sont conservés. Les tests infructueux et les correctifs qui ont suivi constituent la preuve la plus convaincante que la validation était réelle.
Considérer l'IA du fournisseur comme un problème relevant de la responsabilité du fournisseur. En vertu de la loi européenne sur l'IA, une entreprise qui utilise un système à haut risque a ses propres obligations en tant que déployeur, notamment en matière de supervision humaine, de surveillance et de tenue de registres.
Je le fais une seule fois. Une piste qui s'arrête le jour du lancement prouve que le système était gouverné le jour du lancement.

Foire aux questions

Qu’est-ce que la chaîne de preuves IA™ ?

La chaîne de preuves AI Evidence Chain™ est le cadre en sept étapes de RaaSify.AI permettant de produire des preuves conformes aux exigences d'audit en matière de gouvernance de l'IA. Ces étapes sont : intention métier, données, conception, validation, déploiement, surveillance et gestion des incidents. Créée par Ma Cherie Cortez, PhD, cette chaîne est une marque déposée (BOIP Reg. No. 1551399).

Quelle est la différence entre une piste d'audit IA et une journalisation IA ?

La journalisation enregistre les événements survenus au sein d'un système. Une piste d'audit consigne également les décisions prises à son sujet : les raisons de son adoption, les personnes qui l'ont approuvé, la manière dont il a été testé et les mesures prises après un incident. Les journaux constituent un élément d'entrée de la phase de surveillance. Ils ne représentent pas l'intégralité de la piste d'audit.

Une petite entreprise a-t-elle besoin d'une piste d'audit IA ?

Oui, si l'IA influence les décisions concernant les personnes, comme le recrutement, l'octroi de prêts ou le service client, ou si un client, un investisseur, un partenaire ou un membre du conseil d'administration vous interroge sur votre gouvernance de l'IA. Les obligations légales au titre de la réglementation européenne sur l'IA dépendent du niveau de risque de chaque système et de votre rôle (fournisseur ou déployeur). Il est toutefois conseillé de conserver une trace écrite de base pour les outils à faible risque, car c'est ce que vous pourrez fournir en cas de question.

Combien de temps faut-il conserver les enregistrements d'IA ?

Pour les systèmes à haut risque relevant de la loi européenne sur l'IA, les journaux générés automatiquement doivent être conservés pendant au moins six mois (article 19 pour les fournisseurs, article 26, paragraphe 6, pour les déployeurs). Les fournisseurs doivent conserver la documentation technique pendant 10 ans (article 18). D'autres lois, contrats et réglementations sectorielles peuvent imposer des durées de conservation plus longues. Les journaux contenant souvent des données personnelles, leur durée de conservation doit également respecter la législation sur la protection des données.

Ai-je besoin d'un logiciel pour créer une piste d'audit d'IA ?

Non. Une feuille de calcul et un dossier partagé suffisent pour une entreprise qui utilise quelques outils d'IA. Les plateformes de gouvernance se justifient lorsqu'on gère de nombreux systèmes, plusieurs équipes ou des systèmes développés en interne. Prenez votre décision après avoir dressé l'inventaire de vos ressources.

Ai-je besoin d'un consultant pour créer une piste d'audit d'IA ?

Pas toujours. Si vous utilisez quelques outils d'IA à faible risque et qu'une personne en interne a le temps de s'en charger, vous pouvez vous en occuper vous-même. Faire appel à un expert externe est judicieux lorsque l'IA influence les décisions concernant les personnes, lorsqu'un client, un auditeur ou un organisme de réglementation demande des preuves, lorsque vous êtes confronté à une échéance, ou lorsque personne en interne n'est en mesure de déterminer ce qui constitue une preuve suffisante. Une évaluation à périmètre défini suffit généralement à identifier votre situation.

Dois-je me conformer à la loi européenne sur l'IA, à la norme ISO/IEC 42001 ou au référentiel de compétences en IA du NIST ?

Leurs rôles diffèrent. La loi européenne sur l'IA s'applique aux organisations qui fournissent ou utilisent des systèmes d'IA au sein de l'UE. La norme ISO/IEC 42001 est une norme de système de management certifiable. Le cadre de référence NIST AI RMF est un cadre volontaire de l'Institut national américain des normes et de la technologie (NIST). La chaîne de preuves AI Evidence Chain™ est compatible avec ces trois cadres ; un seul ensemble de preuves peut donc être utilisé quel que soit votre cas.

Quand les obligations à haut risque prévues par la loi européenne sur l'IA s'appliquent-elles ?

Les systèmes autonomes à haut risque énumérés à l'annexe III doivent être conformes d'ici le 2 décembre 2027. Les IA à haut risque intégrées aux produits réglementés en vertu de l'annexe I doivent être conformes d'ici le 2 août 2028. Ces deux dates ont été reportées par le Digital Omnibus sur l'IA en 2026. Ce report ne concerne pas les pratiques interdites, les obligations relatives aux modèles d'IA à usage général ni les règles générales de transparence.

Par où commencer ?

Commencez par l'auto-évaluation en sept questions et le test de six mois sur un système. Si des lacunes sont constatées, ou si vous préférez que ces lacunes soient identifiées pour vous, c'est précisément le rôle de l'audit AI Evidence Chain™.

Il s'agit d'une évaluation à périmètre fixe de vos systèmes d'IA, d'une durée de 4 semaines, couvrant les sept étapes et alignée sur la réglementation européenne en matière d'IA, la norme ISO/IEC 42001 et le cadre de gestion des risques liés à l'IA du NIST. Vous recevez un inventaire complet de vos systèmes d'IA, un rapport d'écart détaillé pour chaque étape et une feuille de route priorisée pour la remédiation. Aucun engagement supplémentaire n'est requis par la suite.

Si vous savez déjà que le sentier doit être construit dans les délais impartis, le Le sprint de gouvernance de 90 jours permet de la mettre en place. Si elle existe et doit être maintenue à jour chaque mois, il s'agit de gouvernance de l'IA en tant que service.

Réservez votre appel d'évaluation d'audit AI Evidence Chain™

À propos de l'auteur

Cherie Cortez, docteure en philosophie, est la fondatrice de RaaSify.AI et la créatrice de la chaîne de preuves en matière d'IA™. Forte de 27 ans d'expérience en leadership informatique à l'échelle internationale, notamment en gouvernance de l'IA au sein d'entreprises telles que Philips, AB InBev, DLL et Lloyds Banking Group, elle met aujourd'hui son expertise au service des PME qui se préparent à la réglementation européenne sur l'IA et à la norme ISO/IEC 42001. RaaSify.AI est un partenaire de formation certifié EXIN.

AI Evidence Chain™ est une marque déposée de Ma Cherie Cortez, PhD. Numéro d'enregistrement BOIP : 1551399, enregistré le 25 août 2026.

Sources