Peut-on journaliser le texte des conversations sans base légale ?

Cette page ne traite pas de la base légale. Ce point se décide avec votre délégué à la protection des données, qui apprécie la finalité de chaque traitement et les obligations qui s'y rattachent.

Faut-il garder les conversations indéfiniment ?

Non. La CNIL rappelle que les données personnelles ne peuvent pas être conservées indéfiniment : la durée se fixe au regard de la finalité du traitement.

Journaliser les conversations d'une IA : RGPD et durée

Journaliser une conversation avec une IA, c'est garder une trace de ce qui a été demandé et de ce qui a été répondu, pour déboguer, mesurer la qualité ou répondre à un litige. Le texte d'une conversation est souvent la partie la plus sensible : il peut contenir un nom, une adresse, un numéro de dossier ou un détail de santé tapé par un utilisateur sans y penser. Ce guide décrit les choix à faire. Il ne donne pas d'avis juridique : la décision revient à votre organisation, avec votre délégué à la protection des données.

Ce qu'une trace contient, et ce qu'on peut retirer

Une trace d'observabilité garde en général trois familles d'éléments : les entrées (le prompt, les documents injectés, les paramètres), les sorties (la réponse du modèle) et les métadonnées (modèle utilisé, durée, nombre de tokens, coût, identifiant de session). Les métadonnées servent presque toujours au suivi technique. Les entrées et sorties servent à comprendre une erreur, mais ce sont elles qui contiennent les données personnelles.

Trois questions aident à trier :

Faut-il le texte complet ? Pour un diagnostic technique, un extrait suffit parfois. Pour une évaluation de qualité, un jeu de cas anonymisé peut remplacer les vraies conversations.
Qui en a besoin, et quand ? Un développeur qui corrige un bug n'a pas besoin de lire tous les échanges d'un mois.
Que devient la donnée après la phase utile ? Une donnée n'a pas à rester dans l'outil plus longtemps que nécessaire.

Combien de temps garder

La CNIL pose le principe dans sa page sur la limitation de la conservation : les données ne peuvent pas être conservées indéfiniment, et la durée se fixe au regard de la finalité du traitement. La même page distingue trois phases. La base active couvre la durée utile à la finalité. L'archivage intermédiaire conserve des données qui ne servent plus à la finalité mais restent utiles, par exemple en cas de litige ; l'accès y est ponctuel et réservé aux personnes habilitées, et il doit être séparé de la base active. L'archivage définitif ne concerne que les informations ayant une valeur durable.

La page de la CNIL ne donne aucune durée chiffrée pour les journaux de connexion. Il n'existe donc pas de durée universelle à reprendre pour les conversations d'une IA. La durée se justifie par votre finalité, et se documente.

Les outils eux-mêmes proposent des durées d'accès aux données, qui ne sont pas des durées de conservation légales mais qui fixent ce que l'outil garde pour vous. Relevées le 15/11/2026 :

Langfuse Cloud : accès aux données de 30 jours (Hobby), 90 jours (Core) ou 3 ans (Pro).
LangSmith : traces de base conservées 14 jours, traces étendues 180 jours.
Helicone : rétention de 7 jours (Hobby), un mois (Pro), trois mois (Team), illimitée sur l'offre Enterprise.

Une durée d'outil plus courte que votre durée de conservation peut faire disparaître un élément dont vous avez besoin. Une durée plus longue que votre finalité est une donnée conservée sans raison. Il faut les comparer.

Qui accède aux traces

Les traces doivent suivre le principe du moindre accès : un nombre réduit de personnes, nommées, avec un journal de leurs consultations si l'outil le permet. La page de CNIL sur l'archivage intermédiaire demande justement une séparation et un accès ponctuel. Dans la pratique, cela veut dire : pas de copie des traces dans un tableur partagé, pas de lecture en masse sans motif, et des droits distincts entre les développeurs, les personnes qui évaluent la qualité et les administrateurs.

Pseudonymiser avant d'envoyer

Pseudonymiser, c'est remplacer un identifiant direct, comme un nom ou une adresse de courriel, par un code qui ne parle pas à quelqu'un sans une table de correspondance. Le code de session ou de client suffit souvent à relier les traces entre elles sans révéler l'identité. La table de correspondance doit être gardée à part, avec ses propres droits d'accès.

La pseudonymisation ne rend pas une donnée anonyme : le texte libre peut encore révéler une personne. Les pages de la CNIL sur ce sujet n'ont pas été relues dans cette session ; votre délégué à la protection des données doit valider la méthode.

Ce qu'on peut faire simplement

Décider, par type d'application, si le texte complet est tracé ou seulement sa longueur et son modèle.
Écrire la durée de conservation dans le registre des traitements, avec sa justification.
Vérifier, pour chaque outil, la région d'hébergement et la durée de rétention de l'offre choisie.
Purger ou archiver les traces à échéance, et tester la purge.

Pour les outils et leurs offres, voir le comparatif d'outils d'observabilité LLM. Pour les coûts de l'observabilité elle-même, voir suivre ses dépenses d'API d'IA et poser des alertes.