Modèle de documentation technique Annexe IV

L'article 11 du règlement IA UE impose aux fournisseurs de systèmes d'IA à haut risque d'établir une documentation technique. Ils doivent le faire avant la mise sur le marché ou la mise en service du système. La documentation doit rester à jour. Les fournisseurs doivent la mettre à disposition des autorités compétentes sur demande.

L'annexe IV énumère les informations que la documentation doit contenir au minimum, selon ce qui s'applique au système. Chacun de ses neuf points est résumé ci-dessous, avec des conseils. Le modèle complet est le DOCX ci-dessus.

Aller à l'exemple concret

Annexe IV ou annexe 4 ?

Il s'agit de la même annexe. Le texte officiel du règlement (UE) 2024/1689 utilise le chiffre romain : « annexe IV ». « Annexe 4 » désigne la même annexe en chiffres arabes. Son titre est « Documentation technique visée à l'article 11, paragraphe 1 ». D'autres actes de l'UE ont aussi une annexe IV, sur un autre sujet. Dans le règlement (UE) 2024/2847 (règlement sur la cyberrésilience), l'annexe IV énumère les produits critiques comportant des éléments numériques. La documentation technique des modèles d'IA à usage général relève, elle, des annexes XI et XII.

Section 1 : Description générale du système d'IA

Cette section établit l'identité et la portée du système. Incluez :

• Finalité prévue — Ce que fait le système, à qui il s'adresse et le contexte d'utilisation spécifique
• Nom du fournisseur — Le nom du fournisseur. L'annexe IV ne demande que le nom. L'adresse de contact figure sur le système ou son emballage, selon l'article 16, point b). Elle figure aussi dans la déclaration UE de conformité (annexe V, point 2)
• Version du système — Version actuelle et relation avec les versions précédentes
• Interactions matériel et logiciel — Comment le système interagit avec d'autres matériels, logiciels ou systèmes d'IA qui ne font pas partie du système lui-même
• Versions logicielles et firmware — Tous les numéros de version pertinents et exigences de mise à jour
• Formes de distribution — Comment le système est livré (package logiciel, intégré au matériel, API, téléchargement, etc.)
• Exigences matérielles — Le matériel sur lequel le système est destiné à fonctionner
• Interface utilisateur — Description de base de l'interface fournie au déployeur
• Instructions d'utilisation — Notice d'utilisation à l'intention du déployeur et description de base de l'interface utilisateur, le cas échéant

Section 2 : Description détaillée des éléments du système et du processus de développement

La section la plus substantielle. Documentez :

• Méthodes de développement — Étapes effectuées, y compris l'utilisation de systèmes pré-entraînés ou d'outils tiers et la manière dont ils ont été intégrés ou modifiés
• Spécifications de conception — Logique générale, choix de conception clés avec justification, hypothèses retenues, choix de classification, objectifs d'optimisation et qualité de sortie attendue
• Architecture du système — Comment les composants logiciels s'appuient les uns sur les autres, intégration dans le traitement global et ressources de calcul utilisées
• Exigences relatives aux données — Méthodologies d'entraînement, descriptions des jeux de données, provenance, portée, caractéristiques, méthodes d'acquisition, procédures d'étiquetage et méthodes de nettoyage des données
• Évaluation de la surveillance humaine — Mesures requises au titre de l'Article 14 et mesures techniques pour l'interprétation de la sortie
• Modifications prédéterminées — Le cas échéant, décrivez les modifications prévues du système et comment la conformité continue sera maintenue
• Validation et tests — Procédures, données de validation et d'essai, et indicateurs, y compris pour les éventuelles incidences discriminatoires. Journaux de test et tous les rapports de test, datés et signés par les personnes responsables
• Mesures de cybersécurité — Les mesures de cybersécurité qui ont été prises

Section 3 : Surveillance, fonctionnement et contrôle

Détaillez les caractéristiques opérationnelles du système :

• Capacités et limites de performance
• Degrés d'exactitude pour les personnes ou groupes spécifiques auxquels le système est destiné, et exactitude globale attendue
• Résultats indésirables prévisibles et sources de risque pour la santé, la sécurité, les droits fondamentaux et la discrimination
• Mesures de surveillance humaine au titre de l'Article 14
• Mesures techniques permettant aux déployeurs d'interpréter la sortie
• Spécifications des données d'entrée le cas échéant

Section 4 : Pertinence des métriques de performance

Décrivez pourquoi les métriques de performance choisies sont appropriées pour le système d'IA spécifique. Cela doit expliquer la justification du choix de certaines métriques plutôt que d'alternatives et comment elles reflètent de manière significative la performance du système dans son contexte prévu.

Section 5 : Système de gestion des risques

Fournissez une description détaillée du système de gestion des risques établi conformément à l'Article 9. Il s'agit d'un processus continu et itératif qui s'étend sur tout le cycle de vie et doit comprendre :

• Identification et analyse des risques connus et raisonnablement prévisibles
• Estimation et évaluation des risques liés à l'utilisation prévue et à la mauvaise utilisation raisonnablement prévisible
• Évaluation des risques à partir de l'analyse des données collectées par la surveillance post-commercialisation
• Adoption de mesures appropriées de gestion des risques

Section 6 : Modifications au cours du cycle de vie

Décrivez les modifications pertinentes apportées par le fournisseur au système tout au long de son cycle de vie. Les autorités disposent ainsi d'un historique traçable de l'évolution du système.

Section 7 : Normes et spécifications techniques

Énumérez toutes les normes harmonisées appliquées, intégralement ou partiellement, avec références à leur publication au Journal officiel de l'UE. Lorsqu'aucune norme harmonisée n'a été appliquée :

• Fournissez une description détaillée des solutions adoptées pour respecter les exigences du Chapitre III, Section 2
• Énumérez toutes les autres normes et spécifications techniques pertinentes appliquées

Section 8 : Déclaration UE de conformité

Incluez une copie de la déclaration UE de conformité visée à l'article 47. Le fournisseur tient la déclaration à jour, selon le cas. Elle reste à la disposition des autorités nationales compétentes pendant 10 ans après la mise sur le marché ou la mise en service du système.

Section 9 : Évaluation des performances post-commercialisation

Décrivez le système mis en place pour évaluer les performances du système d'IA en phase post-commercialisation, comme l'exige l'Article 72. Cela doit inclure :

• Le plan de surveillance après commercialisation visé à l'article 72, paragraphe 3, sur lequel repose le système de surveillance
• Comment le système de surveillance collecte, documente et analyse les données de performance du système sur tout son cycle de vie (article 72, paragraphe 2)

Exemple concret : un système de tri de CV relevant de l'annexe III, point 4 a)

Cet exemple est fictif et illustratif. Le système, le fournisseur et tous les chiffres sont inventés.

L'annexe III, point 4 a), couvre les « systèmes d'IA destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, en particulier pour publier des offres d'emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats ». Notre système fictif lit les candidatures et présente aux recruteurs une présélection classée. Les recruteurs prennent toutes les décisions. Le fournisseur traite le système comme étant à haut risque et le documente au regard de l'annexe IV.

Point 2 b) : spécifications de conception

les spécifications de conception du système, à savoir la logique générale du système d'IA et des algorithmes; les principaux choix de conception, y compris le raisonnement et les hypothèses retenues, y compris en ce qui concerne les personnes ou les groupes de personnes à l'égard desquels le système est destiné à être utilisé; les principaux choix de classification; ce que le système est conçu pour optimiser, ainsi que la pertinence des différents paramètres; la description des sorties attendues du système et de leur qualité; les décisions relatives aux compromis éventuels en ce qui concerne les solutions techniques adoptées pour se conformer aux exigences énoncées au chapitre III, section 2;

Ce que rédige le fournisseur fictif :

• Logique générale — La version 2.1 décompose chaque CV en compétences, qualifications, années d'expérience et langues. Un modèle de classement note chaque candidature selon les critères fixés par le recruteur pour le poste.
• Choix de conception et hypothèses — Le système est destiné aux candidats à des postes de bureau dans l'UE. Le nom, la photo, la date de naissance, l'adresse et la nationalité sont supprimés avant la notation. Nous supposons que les CV sont rédigés en anglais, en italien ou en allemand.
• Principaux choix de classification — Chaque candidature reçoit un score de 0 à 100 et l'une des trois catégories suivantes : correspondance forte, correspondance possible ou examen manuel. Le système n'a pas de catégorie de rejet.
• Ce qu'il optimise — Le modèle optimise la concordance avec les présélections passées des recruteurs. Les qualifications requises pèsent le plus. Les années d'expérience sont plafonnées à dix, pour limiter les effets liés à l'âge.
• Sorties attendues et compromis — La sortie est une présélection classée, avec les trois facteurs qui expliquent chaque score. Nous avons préféré un modèle simple et explicable à un modèle un peu plus exact. Les recruteurs peuvent ainsi vérifier chaque classement (articles 13 et 14).

Point 2 d) : exigences relatives aux données

le cas échéant, les exigences relatives aux données en ce qui concerne les fiches décrivant les méthodes et techniques d'entraînement et les jeux de données d'entraînement utilisés, y compris une description générale de ces jeux de données et des informations sur leur provenance, leur portée et leurs principales caractéristiques; la manière dont les données ont été obtenues et sélectionnées; les procédures d'étiquetage (par exemple pour l'apprentissage supervisé), les méthodes de nettoyage des données (par exemple la détection des valeurs aberrantes);

Ce que rédige le fournisseur fictif :

• Jeux de données d'entraînement — 120 000 candidatures pour 1 400 postes de bureau, de 2021 à 2024, en Italie, en Allemagne et en Irlande. Chaque enregistrement associe un CV analysé à la décision de présélection du recruteur.
• Provenance et sélection — Trois employeurs ont fourni les données en vertu d'accords écrits. Nous avons exclu les postes ayant moins de 20 candidats et les candidatures qu'aucun recruteur n'a examinées.
• Procédure d'étiquetage — L'étiquette est la décision de présélection initiale du recruteur. Deux évaluateurs formés ont revérifié un échantillon de 5 000 enregistrements. Un troisième évaluateur a tranché les désaccords.
• Nettoyage des données — Nous avons supprimé les candidatures en double et les fichiers illisibles. Les valeurs invraisemblables, comme 60 ans d'expérience, ont été signalées et vérifiées à la main. Les champs relatifs aux interruptions de carrière ont été supprimés, car ils peuvent servir d'indicateur indirect du genre.
• Lien avec la gouvernance des données — L'examen des éventuels biais prévu à l'article 10, paragraphe 2, point f), figure dans le dossier de gouvernance des données. Les résultats d'exactitude par sous-groupe relèvent des points 2 g) et 3.

Le reste du dossier s'appuie sur ces éléments. Le contrôle humain relève du point 2 e), les essais du point 2 g). Le système de gestion des risques relève du point 5, les modifications du point 6.

Pour les systèmes à haut risque visés à l'article 6, paragraphe 2, et à l'annexe III, ces exigences s'appliquent dès le 2 décembre 2027. Cette date est fixée à l'article 113, point c) i). Pour l'annexe III, points 2 à 8, le fournisseur applique le contrôle interne de l'annexe VI (article 43, paragraphe 2).

Cet exemple ne couvre que les points 2 b) et 2 d). Il ne constitue pas un dossier complet au titre de l'annexe IV et ne démontre la conformité d'aucun système. Contenu informatif, pas un conseil juridique.

Générateur annexe IV

LandingRed rédige la documentation technique de l'annexe IV à partir de la fiche du système d'IA que vous tenez déjà dans l'inventaire LandingRed. Il reprend aussi les fiches liées : évaluation des risques, gouvernance des données, contrôle humain, cybersécurité, plan de surveillance après commercialisation et déclaration UE de conformité.

Lorsqu'une information manque dans vos fiches, le générateur a pour consigne de laisser un espace réservé visible, que vous complétez. Vérifiez chaque brouillon avant de vous y fier. Chaque section rédigée par l'IA est marquée comme brouillon et indique quel modèle l'a produite, et quand.

Un brouillon rédigé par l'IA n'entre dans le calcul d'exhaustivité qu'après relecture et modification par une personne. Quelle que soit votre formule, vous pouvez rédiger chaque section vous-même dans l'éditeur intégré. Chaque approbation enregistre un instantané figé, scellé par une empreinte cryptographique.

Découvrez comment la documentation s'intègre au reste du processus sur la page de conformité au règlement européen sur l'IA.

Le générateur produit un brouillon que vous relisez. Le fournisseur reste responsable du contenu. Ce n'est ni un formulaire officiel ni un modèle officiel.

Questions fréquentes

Qu'est-ce que l'annexe IV du règlement sur l'IA ?

L'annexe IV énumère le contenu minimal de la documentation technique d'un système d'IA à haut risque. Le fournisseur l'établit avant la mise sur le marché ou la mise en service du système, et la tient à jour (article 11, paragraphe 1). L'annexe IV comprend neuf points, de la description générale du système au plan de surveillance après commercialisation.

Qui doit établir la documentation technique de l'annexe IV ?

Le fournisseur du système d'IA à haut risque l'établit (article 11, paragraphe 1). Les importateurs vérifient, au titre de l'article 23, paragraphe 1, point b), que le fournisseur l'a établie conformément à l'article 11 et à l'annexe IV. Pour l'annexe III, points 2 à 8, les fournisseurs appliquent le contrôle interne (annexe VI), sans organisme notifié (article 43, paragraphe 2). Un organisme notifié intervient dans la procédure de l'annexe VII (article 43, paragraphe 1). Il peut aussi intervenir dans la procédure sectorielle applicable aux produits couverts par l'annexe I, section A (article 43, paragraphe 3).

Quand la documentation technique doit-elle être prête ?

Avant que le système d'IA à haut risque ne soit mis sur le marché ou mis en service. Les fournisseurs doivent ensuite la tenir à jour tout au long du cycle de vie du système. Les obligations à haut risque de l'annexe III s'appliquent à partir du 2 décembre 2027. Les fournisseurs devraient donc traiter la documentation comme une activité de conception, pas comme une course de dernière minute.

Existe-t-il une version simplifiée pour les PME, les jeunes pousses et les petites entreprises à moyenne capitalisation ?

Oui. Selon l'article 11, paragraphe 1, les PME, y compris les jeunes pousses, peuvent fournir les éléments de l'annexe IV de manière simplifiée. Les petites entreprises à moyenne capitalisation le peuvent aussi. La Commission doit établir pour elles un formulaire de documentation technique simplifié. Une entreprise qui choisit la manière simplifiée doit utiliser ce formulaire, et les organismes notifiés doivent l'accepter. Notre DOCX gratuit n'est pas ce formulaire.

Le règlement sur l'IA impose-t-il un format pour la documentation de l'annexe IV ?

Le règlement impose un contenu, pas un format général. Il existe une exception, prévue à l'article 11, paragraphe 1. Les PME, jeunes pousses et petites entreprises à moyenne capitalisation optant pour la manière simplifiée doivent utiliser le formulaire de la Commission. Notre DOCX gratuit suit les neuf points de l'annexe IV. LandingRed peut aussi rédiger la documentation à partir de l'inventaire de vos systèmes d'IA. Vous la relisez et la modifiez ensuite.

Ressources associées

• Guide de classification à haut risque de l'annexe III — vérifiez si votre système est à haut risque
• Documentation des modèles et généalogie des données : ce qu'exige l'annexe IV, point 2 d)
• Autoévaluation gratuite des risques liés au règlement sur l'IA — obtenez un rapport de préparation partageable