Skip to main content

Documentation technique de l’annexe IV : les neuf points

Les neuf points de l’annexe IV du règlement sur l’IA pour la documentation technique des systèmes d’IA à haut risque, avec les règles qui les entourent : échéances, conservation, formulaire pour les PME et champ d’application.

L’annexe IV énumère neuf points que la documentation technique d’un système d’IA à haut risque doit au minimum contenir, selon le système.

Les fournisseurs doivent l’établir avant de mettre le système sur le marché de l’UE ou de le mettre en service (article 11, paragraphe 1). L’obligation s’applique à partir du 2 décembre 2027 (systèmes de l’annexe III) ou du 2 août 2028 (annexe I). L’absence de documentation enfreint l’article 16. Les amendes atteignent 15 millions d’EUR ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99, paragraphe 4). Première étape : comparez votre système aux neuf points ci-dessous.

Nous regroupons six règles autour de la documentation

Avant la mise sur le marché ou en service

Établissez la documentation avant que le système soit mis sur le marché ou mis en service, et tenez-la à jour (article 11(1)).

Conserver dix ans

Tenez la documentation à la disposition des autorités nationales pendant dix ans après la mise sur le marché ou la mise en service du système (article 18(1)).

Formulaire simplifié pour les petites entreprises

Les PME, y compris les jeunes pousses, et les petites ETI (« petites entreprises à moyenne capitalisation » dans le règlement) peuvent fournir les éléments de l'annexe IV sous une forme simplifiée. La Commission doit établir le formulaire, et les organismes notifiés doivent l'accepter (article 11(1)). Pour les PME et les petites ETI, l’amende est plafonnée au montant le plus faible (article 99, paragraphes 6 et 6 bis).

Un seul jeu pour le droit des produits

Si le système se rapporte à un produit couvert par les actes de l'annexe I, section A, établissez un seul jeu de documentation qui couvre aussi ces actes (article 11(2)).

Quelques limites du champ d’application

L’annexe IV s’applique aux systèmes d’IA à haut risque relevant du champ d’application du règlement. Le règlement n’affecte pas les domaines hors du droit de l’Union et ne s’applique pas aux systèmes d’IA lorsque et dans la mesure où ils sont utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale (article 2, paragraphe 3), ni aux systèmes de recherche scientifique et à la recherche ou aux essais avant la mise sur le marché (article 2, paragraphes 6 et 8). Pour les systèmes d’IA classés à haut risque au titre de l’article 6, paragraphe 1, qui se rapportent à des produits de l’annexe I, section B, seuls l’article 6, paragraphe 1, l’article 60 bis et les articles 102 à 112 s’appliquent. Les articles 57 à 59 ne s’appliquent que dans la mesure où les exigences relatives aux systèmes d’IA à haut risque ont été intégrées dans cette législation sur les produits (article 2, paragraphe 2).

Systèmes déjà sur le marché

Un système à haut risque mis sur le marché ou mis en service avant la date d’application n’est couvert que si sa conception subit ensuite des changements importants. En tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111, paragraphe 2). Les systèmes d’IA qui sont des composants des systèmes d’information à grande échelle de l’annexe X, mis sur le marché avant le 2 août 2027, doivent être conformes d’ici le 31 décembre 2030 (article 111, paragraphe 1).

L’annexe IV compte neuf points

Description générale

1

Le point 1 identifie le système : sa finalité, sa version, l’environnement où il fonctionne et la manière dont il est fourni.

Ce que l’annexe exige

  • Finalité prévue, nom du fournisseur et version du système, y compris son lien avec les versions précédentes
  • Comment le système interagit avec du matériel ou des logiciels qui n’en font pas partie, le cas échéant
  • Versions des logiciels ou micrologiciels pertinents et exigences relatives aux mises à jour de version
  • Toutes les formes sous lesquelles le système est mis sur le marché ou mis en service, comme des logiciels intégrés à du matériel, des téléchargements ou des API
  • Le matériel sur lequel le système est destiné à fonctionner
  • Pour un composant de produit : photographies ou illustrations montrant les caractéristiques externes, le marquage et la disposition interne
  • Une description de base de l’interface utilisateur fournie au déployeur
  • Le mode d’emploi destiné au déployeur

Conseil pratique (non exigé par le règlement)

Tenez ce point dans un fichier versionné à côté du code et mettez-le à jour à chaque version publiée.

Éléments et processus de développement

2

Le point 2 est le plus long : il couvre la manière dont le système a été conçu, entraîné, testé et sécurisé.

Ce que l’annexe exige

  • Méthodes et étapes de développement, y compris les systèmes ou outils préentraînés de tiers et la manière dont ils ont été utilisés, intégrés ou modifiés
  • Spécifications de conception : logique générale et algorithmes, choix de conception clés avec justification et hypothèses (y compris sur les personnes ou groupes visés), principaux choix de classification, ce que le système optimise et la pertinence des différents paramètres, sortie attendue et sa qualité, et arbitrages faits pour satisfaire au chapitre III, section 2
  • Architecture du système et ressources de calcul utilisées pour développer, entraîner, tester et valider le système
  • Le cas échéant, exigences relatives aux données sous forme de fiches : méthodes d’entraînement, jeux de données, provenance, portée, caractéristiques principales, manière dont les données ont été obtenues et sélectionnées, étiquetage et nettoyage
  • Évaluation des mesures de surveillance humaine nécessaires (article 14), y compris les mesures techniques qui aident les déployeurs à interpréter les sorties (article 13, paragraphe 3, point d)
  • Le cas échéant, modifications prédéterminées du système et de sa performance, avec les solutions techniques qui maintiennent la conformité
  • Validation et tests : procédures, données utilisées, indicateurs d’exactitude, de robustesse et d’autres exigences, effets potentiellement discriminatoires, et journaux et rapports de test datés et signés
  • Mesures de cybersécurité mises en place

Conseil pratique (non exigé par le règlement)

Tirez l’architecture et les listes de dépendances du dépôt, et ajoutez la justification que seule votre équipe connaît.

Suivi, fonctionnement et contrôle

3

Le point 3 indique ce que le système peut et ne peut pas faire, et les risques et mesures de surveillance qui en découlent.

Ce que l’annexe exige

  • Capacités et limites de performance, y compris l’exactitude pour des personnes ou groupes précis et l’exactitude globale attendue au regard de la finalité prévue
  • Résultats involontaires prévisibles et sources de risques pour la santé et la sécurité, les droits fondamentaux et la discrimination
  • Mesures de surveillance humaine (article 14), y compris les mesures techniques qui aident les déployeurs à interpréter les sorties
  • Spécifications des données d’entrée, selon le cas

Conseil pratique (non exigé par le règlement)

Consignez l’exactitude mesurée par groupe avec le test qui l’a produite.

Indicateurs de performance

4

Le point 4 demande une description de la raison pour laquelle les indicateurs de performance conviennent. Les indicateurs eux-mêmes relèvent du point 2.

Ce que l’annexe exige

  • Une description de la raison pour laquelle les indicateurs de performance conviennent à ce système d’IA précis

Système de gestion des risques

5

Le point 5 renvoie au système de gestion des risques de l’article 9.

Ce que l’annexe exige

  • Une description détaillée du système de gestion des risques conformément à l’article 9

Modifications au fil du cycle de vie

6

Le point 6 maintient la documentation à jour : il consigne ce qui a changé après la première version.

Ce que l’annexe exige

  • Une description des modifications pertinentes apportées par le fournisseur au système tout au long de son cycle de vie

Conseil pratique (non exigé par le règlement)

Utilisez les notes de version et l’historique git, et indiquez quelles modifications étaient prédéterminées (point 2, f).

Normes et autres solutions

7

Le point 7 nomme les normes sur lesquelles vous vous êtes appuyé ou explique vos propres solutions.

Ce que l’annexe exige

  • Une liste des normes harmonisées appliquées en tout ou en partie dont les références ont été publiées au Journal officiel de l’Union européenne
  • Si aucune de ces normes n’a été appliquée : une description détaillée des solutions adoptées pour satisfaire au chapitre III, section 2, avec une liste des autres normes et spécifications techniques appliquées

Déclaration UE de conformité

8

Le point 8 joint la déclaration de conformité.

Ce que l’annexe exige

  • Une copie de la déclaration UE de conformité (article 47)

Évaluation après commercialisation

9

Le point 9 relie la documentation à la surveillance après commercialisation.

Ce que l’annexe exige

  • Une description détaillée du système d’évaluation de la performance après commercialisation (article 72)
  • Le plan de surveillance après commercialisation (article 72, paragraphe 3)

Ce que Scanara fait pour la documentation de l’annexe IV

Scanara vérifie que vos documents de conformité contiennent le contenu requis. Il ne vérifie pas que ce contenu est exact.

Projets de documentation de l'annexe IV

Scanara génère des documents de l'annexe IV à partir de vos données et des réponses aux évaluations. Vous les relisez et les complétez. Un projet n'est pas exact ni complet automatiquement.

Preuves versionnées

Scanara conserve les versions et les horodatages des documents et des réponses aux évaluations sur lesquelles ils reposent.

Questions fréquentes sur l’annexe IV

Combien de temps dois-je conserver la documentation technique ?

Dix ans après la mise sur le marché ou la mise en service du système d'IA, à la disposition des autorités nationales compétentes (article 18(1)).

Les PME peuvent-elles utiliser une documentation simplifiée ?

Oui. Les PME, y compris les jeunes pousses, et les petites ETI peuvent fournir les éléments de l'annexe IV sous une forme simplifiée. La Commission doit établir le formulaire, et les organismes notifiés doivent l'accepter pour l'évaluation de la conformité (article 11(1)).

Qu’est-ce qui impose une mise à jour de la documentation ?

La documentation doit être tenue à jour (article 11, paragraphe 1). Une modification substantielle, c’est-à-dire un changement non prévu ni planifié dans l’évaluation de la conformité initiale qui affecte la conformité ou la finalité prévue (article 3, point 23), impose une nouvelle évaluation de la conformité (article 43, paragraphe 4). Les changements d’un système qui continue d’apprendre, prédéterminés et documentés selon le point 2, f, de l’annexe IV, ne sont pas des modifications substantielles.

À lire ensuite : article 11, annexe III et inventaire de l’IA

Scanara prépare des preuves à partir de vos dépôts

Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.