Annexe III et annexe IV du règlement IA (RIA) : quels systèmes sont à haut risque, et quelle documentation technique ils exigent

Annexe III ou annexe IV du règlement IA : laquelle vous concerne ? Les deux, si votre système d'IA est à haut risque. L'annexe III du règlement (UE) 2024/1689, le règlement IA (souvent noté RIA), répertorie les systèmes d'IA à haut risque dans huit domaines. L'annexe IV fixe les neuf rubriques de la documentation technique que leur fournisseur établit avant la mise sur le marché. Cette page relie les deux : pour chaque domaine de l'annexe III, ce que l'annexe IV demande de prouver.

Ces règles s'appliquent à partir du 2 décembre 2027 pour les systèmes de l'annexe III. Pour les systèmes intégrés à un produit de l'annexe I, la date est le 2 août 2028 (article 113, modifié par le règlement (UE) 2026/1744).

Le texte cité est la version française consolidée du règlement au 27 juillet 2026 (CELEX 02024R1689-20260727). Les mots entre guillemets sont ceux du règlement.

Annexe III du RIA : les huit domaines, en une ligne chacun

L'annexe III s'ouvre ainsi : « Les systèmes d'IA à haut risque au sens de l'article 6, paragraphe 2, sont les systèmes d'IA répertoriés dans l'un des domaines suivants ». Voici les huit domaines, avec leurs points.

Trois domaines (1, 6 et 7) ne valent que « dans la mesure où leur utilisation est autorisée par le droit de l'Union ou le droit national applicable ». La vérification biométrique dont la seule finalité est de confirmer une identité n'entre pas dans le point 1 a).

Le détail de chaque point, avec les cas limites, est sur notre page Annexe III (annexe 3) : les 8 domaines à haut risque et dans notre guide de classification selon l'annexe III.

Article 6 : comment un système entre dans l'annexe III, et comment il en sort

L'article 6, paragraphe 2, pose la règle : « les systèmes d'IA visés à l'annexe III sont considérés comme étant à haut risque ».

Le paragraphe 3 ouvre une sortie. Un système de l'annexe III n'est pas à haut risque « lorsqu'il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques ». Il faut remplir une des quatre conditions :

• le système accomplit une tâche procédurale étroite (point a) ;
• « le système d'IA est destiné à améliorer le résultat d'une activité humaine préalablement réalisée » (point b) ;
• « le système d'IA est destiné à détecter les constantes en matière de prise de décision ou les écarts par rapport aux constantes habituelles antérieures », sans se substituer à l'évaluation humaine ni l'influencer « sans examen humain approprié » (point c) ;
• « le système d'IA est destiné à exécuter une tâche préparatoire en vue d'une évaluation pertinente aux fins des cas d'utilisation visés à l'annexe III » (point d).

Une limite ne se discute pas : un système de l'annexe III « est toujours considéré comme étant à haut risque lorsqu'il effectue un profilage de personnes physiques ».

Le paragraphe 4 fixe la preuve. Le fournisseur qui conclut qu'un système de l'annexe III n'est pas à haut risque « documente son évaluation avant que ce système ne soit mis sur le marché ou mis en service ». Il s'enregistre dans la base de données de l'UE (article 49, paragraphe 2) et remet cette évaluation aux autorités nationales compétentes à leur demande.

Les lignes directrices prévues au paragraphe 5 : la Commission européenne a publié un projet le 19 mai 2026. Il donne des exemples de systèmes qui sont ou ne sont pas à haut risque. Au 19 octobre 2026, la page de la Commission le présente encore comme un projet.

Annexe IV du règlement IA : les neuf rubriques de la documentation technique

L'article 11, paragraphe 1, impose la documentation technique « avant que ce système ne soit mis sur le marché ou mis en service » et veut qu'elle soit « tenue à jour ». Elle « contient, au minimum, les éléments énoncés à l'annexe IV ». Ces éléments sont neuf rubriques :

• une description générale du système d'IA : destination, fournisseur, versions, matériel, interface, notice d'utilisation pour le déployeur (point 1) ;
• une description détaillée du système et de son développement : méthodes, choix de conception, architecture, données d'entraînement, contrôle humain, essais, cybersécurité (point 2) ;
• des informations détaillées sur la surveillance, le fonctionnement et le contrôle du système : capacités, limites, degré d'exactitude par groupes de personnes, risques prévisibles (point 3) ;
• une description de l'adéquation des indicateurs de performance (point 4) ;
• une description détaillée du système de gestion des risques de l'article 9 (point 5) ;
• une description des modifications apportées au système tout au long de son cycle de vie (point 6) ;
• la liste des normes harmonisées appliquées, ou la description des solutions retenues à leur place (point 7) ;
• une copie de la déclaration UE de conformité de l'article 47 (point 8) ;
• une description détaillée du système d'évaluation des performances après la commercialisation, avec le plan de surveillance après commercialisation de l'article 72, paragraphe 3 (point 9).

Chaque rubrique est détaillée, avec un exemple rempli, sur notre page du modèle annexe IV. Le modèle est un fichier DOCX gratuit, dans la langue de cette page, sans inscription.

Télécharger le modèle annexe IV (DOCX)

De l'annexe III à l'annexe IV : ce que chaque domaine doit d'abord prouver

Le règlement n'attribue pas de rubrique à un domaine : la documentation complète est due pour tout système à haut risque. Mais les points de l'annexe III disent où le risque se loge, donc quelles rubriques de l'annexe IV une autorité lira en premier. Ce tableau est notre lecture des deux annexes, pas une règle du texte.

PME : la forme simplifiée de l'article 11

Le règlement (UE) 2026/1744 a ajouté une phrase à l'article 11, paragraphe 1 : « Les PME, y compris les jeunes pousses, et les petites entreprises à moyenne capitalisation peuvent fournir les éléments de la documentation technique spécifiée à l'annexe IV d'une manière simplifiée. » La Commission doit établir un formulaire simplifié à cet effet. Tant que ce formulaire n'est pas publié, les neuf rubriques restent la référence : les éléments restent dus, la forme est allégée.

Les dates : 2 décembre 2027, 2 août 2028, et ce qui s'applique déjà

L'article 113, point c), fixe deux dates pour les sections 1, 2 et 3 du chapitre III, dont l'article 11 et l'annexe IV. Pour les systèmes d'IA « classés comme étant à haut risque en vertu de l'article 6, paragraphe 2, et de l'annexe III » : le 2 décembre 2027. Pour les systèmes de l'article 6, paragraphe 1, et de l'annexe I : le 2 août 2028.

S'appliquent déjà : les pratiques interdites de l'article 5, depuis le 2 février 2025. S'appliquent aussi : les obligations de transparence de l'article 50, depuis le 2 août 2026, date d'application générale du règlement.

En France. La DGE et la DGCCRF ont publié le 9 septembre 2025 un projet de désignation des autorités nationales. Les deux directions coordonneraient les actions des autorités sectorielles, la DGCCRF au titre de la surveillance du marché. Le communiqué précise que « ce schéma doit être soumis au Parlement par le biais d'un projet de loi ». Cette page ne tient aucune désignation pour acquise.

Que faire maintenant, dans l'ordre

1. Inventoriez vos systèmes d'IA et rapprochez chacun des points de l'annexe III. Notre auto-évaluation gratuite prend cinq minutes.
2. Pour chaque système de l'annexe III que vous jugez hors du haut risque, écrivez l'évaluation de l'article 6, paragraphe 3. Prévoyez aussi l'enregistrement de l'article 49, paragraphe 2.
3. Pour les autres, ouvrez le dossier de l'annexe IV avec le modèle, rubrique par rubrique, en commençant par celles du tableau ci-dessus.
4. Reliez la rubrique 9 à un plan de surveillance après commercialisation réel (article 72). Notre page sur la surveillance continue des systèmes d'IA explique qui surveille quoi.

Comment LandingRed vous aide

Dans LandingRed, chaque système d'IA de votre inventaire est classé selon l'article 6 et l'annexe III. L'évaluation du paragraphe 3 reste enregistrée avec sa justification. La documentation technique de l'annexe IV se génère à partir de la fiche du système, rubrique par rubrique. Elle existe en version complète ou en version PME, et reste modifiable. Essai gratuit de sept jours.

La page sur le règlement IA résume les obligations. Notre auto-évaluation gratuite prend cinq minutes et estime votre exposition et vos obligations.

Questions fréquentes sur l'annexe III et l'annexe IV du règlement IA

Annexe III ou annexe 3 du règlement IA : est-ce la même chose ?

Oui. Le texte officiel écrit « annexe III », en chiffres romains. Beaucoup de recherches écrivent « annexe 3 ». Même liste, mêmes huit domaines. Il en va de même pour l'annexe IV, souvent écrite « annexe 4 ».

Quelle différence entre l'annexe III et l'annexe IV ?

L'annexe III dit quels systèmes autonomes sont à haut risque (article 6, paragraphe 2). L'annexe IV dit ce que leur documentation technique doit contenir (article 11, paragraphe 1). La première classe, la seconde documente.

Un système de l'annexe III peut-il ne pas être à haut risque ?

Oui, si une des quatre conditions de l'article 6, paragraphe 3, est remplie et s'il ne fait pas de profilage de personnes physiques. Le fournisseur documente cette évaluation avant la mise sur le marché et s'enregistre dans la base de données de l'UE (article 49, paragraphe 2).

Qui rédige la documentation de l'annexe IV : le fournisseur ou le déployeur ?

Le fournisseur (article 11, paragraphe 1). Le déployeur reçoit la notice d'utilisation et doit, de son côté, surveiller le fonctionnement du système et conserver les journaux (article 26). Un déployeur qui modifie substantiellement un système à haut risque peut devenir fournisseur (article 25, paragraphe 1).

À partir de quand la documentation de l'annexe IV est-elle obligatoire ?

Pour les systèmes de l'annexe III, à partir du 2 décembre 2027. Pour les systèmes intégrés à un produit de l'annexe I, à partir du 2 août 2028 (article 113, modifié par le règlement (UE) 2026/1744). Rien n'empêche de commencer le dossier aujourd'hui.

Ressources associées

• Annexe III (annexe 3) : les 8 domaines à haut risque
• La classification du risque selon l'annexe III expliquée
• Modèle de documentation technique annexe IV
• Surveillance continue des systèmes d'IA : article 72
• Conformité au règlement IA : ce que LandingRed vous aide à documenter

Cette page donne des informations, pas un conseil juridique. Le texte cité est le règlement (UE) 2024/1689 dans sa version française consolidée du 27 juillet 2026 (CELEX 02024R1689-20260727). Les informations sur la France sont à jour au 19 octobre 2026.

Revu et publié sous la responsabilité éditoriale d'AB Corporate Advisory S.R.L.