Combien de temps faut-il conserver les journaux de requêtes d'IA ?

Les journaux de requêtes ne devraient être conservés qu'aussi longtemps qu'ils servent une finalité que vous pouvez nommer, ce qui signifie pour la plupart des entreprises de trente à quatre-vingt-dix jours pour les journaux opérationnels, et davantage seulement pour les systèmes précis où une piste d'audit des décisions est nécessaire. Dans la plupart des organisations, la valeur par défaut est « indéfiniment », parce qu'aucune décision n'a été prise.

Cette valeur par défaut pose problème. Un journal de requêtes est le relevé mot à mot de ce que le personnel a tapé, ce qui comprend couramment des noms de clients, des clauses contractuelles, des détails médicaux et tout ce que contenait le document résumé. C'est souvent l'ensemble de données le plus sensible créé par l'entreprise l'an dernier, et il échappe à tous les calendriers de conservation rédigés avant son existence.

Que conservez-vous, et pourquoi ?

Distinguez les finalités, car elles justifient des durées très différentes.

L'enseignement de ce tableau, c'est qu'une seule ligne exige le contenu complet des requêtes sur une longue période, et c'est la ligne étroite des systèmes qui prennent ou influencent des décisions visant des personnes. Tout le reste se satisfait de métadonnées, d'échantillons ou de fenêtres plus courtes.

La plupart des entreprises conservent tout au nom de la troisième ligne, appliquée à des systèmes qui n'en relèvent pas.

Les journaux de requêtes sont-ils des renseignements personnels ?

Souvent oui, et dans deux directions à la fois.

Ils contiennent des renseignements sur les personnes mentionnées dans la requête, qui n'ont jamais consenti à y figurer et ignorent souvent l'existence du système. Ils contiennent aussi des renseignements sur l'employé qui les a rédigés, ce qui met en jeu les attentes en matière de vie privée au travail, particulièrement au Québec et chez les employeurs de compétence fédérale.

Les deux directions ont des conséquences. Une demande d'accès d'un client peut atteindre les journaux si le client y est identifiable. Une analyse de surveillance au travail s'applique au volet employé, car le relevé complet de tout ce qu'une personne a demandé à un assistant constitue un riche ensemble comportemental. Ce ne sont pas des raisons de ne rien journaliser. Ce sont des raisons de décider délibérément.

Comment fixer une durée défendable ?

Partez de la dernière utilisation légitime, puis soustrayez.

Demandez quelle est la finalité authentique la plus longue pour ce système précis. Pour un assistant de rédaction, la réponse honnête est habituellement opérationnelle : il vous faut le mois écoulé pour instruire une plainte, et rien au-delà. Pour un outil de tri des réclamations, la réponse honnête inclut le délai d'appel, car vous devrez peut-être montrer ce que le système a vu lorsqu'une décision est contestée.

Appliquez ensuite trois réductions. Retirez le contenu dont vous n'avez pas besoin, en gardant les métadonnées lorsqu'elles suffisent. Échantillonnez au lieu de tout conserver pour le travail de qualité. Et séparez la conservation du dossier de décision de celle de la requête brute, car la première exige souvent des années et la seconde rarement.

Inscrivez le résultat dans votre calendrier de conservation comme catégorie nommée, plutôt que de le laisser hériter d'une règle générique de journaux applicatifs écrite pour tout autre chose.

Et la copie du fournisseur ?

C'est ce que les équipes oublient. Votre décision de conservation régit vos journaux. Le fournisseur de modèle et tout intermédiaire conservent les leurs, selon leur propre calendrier, souvent trente jours et parfois bien davantage pour la détection des abus.

Trois éléments à établir et à consigner avec l'entrée de votre inventaire des fournisseurs : la durée de conservation du fournisseur, la possibilité de la raccourcir ou de l'annuler selon votre forfait, et l'accès éventuel de son personnel au contenu pendant cette fenêtre. Un fournisseur incapable de répondre clairement ne devrait pas recevoir de renseignements personnels.

Supprimer votre copie pendant que le fournisseur en garde une plus longtemps ne produit pas le résultat que vous avez annoncé, et cet écart tend à se révéler lors d'une demande d'accès plutôt que lors d'une revue.

Où vivent réellement ces journaux ?

En plus d'endroits que l'évidence ne suggère. Le journal applicatif, le compte du fournisseur de modèle, une plateforme d'observabilité, un traqueur d'erreurs ayant capturé une charge de requête complète, et l'export analytique. Chacun constitue une décision de conservation distincte, et le traqueur d'erreurs est celui qui piège, car il capture régulièrement plus de contexte que prévu.

Ajoutez les journaux de requêtes à votre cartographie des flux comme flux à part entière. Ils se comportent comme tel, et ils sont invisibles sur la plupart des cartes existantes parce que la carte est antérieure à la fonction.

Pour la discipline générale, bâtir un calendrier de conservation défendable explique comment le reste du calendrier devrait fonctionner.

Ceci est de l'information générale et non un avis juridique.

Valdra traite les journaux d'IA comme une catégorie de conservation distincte, rattachée au système qui les produit et au fournisseur qui les reçoit, pour que la durée fixée soit celle qui s'applique réellement.