L'Annexe IV du Règlement européen sur l'IA définit la documentation technique exigée pour les systèmes d'IA à haut risque. Il ne s'agit pas d'un dépôt ponctuel — c'est une documentation évolutive qui doit être maintenue tout au long du cycle de vie du système. Voici comment l'aborder.
Vue d'ensemble des exigences de l'Annexe IV
La documentation de l'Annexe IV doit démontrer que votre système d'IA a été conçu et fonctionne en conformité avec le règlement. Elle couvre l'ensemble du périmètre, de l'architecture du système à la gestion des risques, en passant par la surveillance continue.
- Description générale du système d'IA
- Description détaillée des éléments du système et du processus de développement
- Informations sur la surveillance, le fonctionnement et le contrôle
- Description de la pertinence des indicateurs de performance
- Documentation du système de gestion des risques
- Modifications apportées au cours du cycle de vie du système
Section 1 : Description générale
Commencez par les fondamentaux : que fait votre système d'IA, à qui est-il destiné, et quelles décisions influence-t-il ?
- Finalité prévue et périmètre d'utilisation
- Catégories de personnes susceptibles d'être affectées
- Versions des logiciels et du matériel concernés
- Interactions du système avec d'autres systèmes
- Formes sous lesquelles le système est mis sur le marché ou mis en service
Section 2 : Éléments du système et développement
Documentez les composants constitutifs de votre système d'IA et la manière dont il a été développé.
- Méthodes et étapes utilisées pour le développement
- Spécifications de conception et choix effectués
- Architecture du système montrant les principaux composants
- Ressources de calcul et matérielles utilisées
- Méthodologies et techniques d'entraînement
Section 3 : Gouvernance des données
La documentation des données d'entraînement est essentielle et constitue souvent la partie la plus difficile à reconstituer a posteriori.
- Jeux de données d'entraînement, de validation et de test utilisés
- Processus de collecte des données et sources
- Évaluation de la pertinence et de la représentativité
- Procédures d'étiquetage des données (le cas échéant)
- Opérations de préparation des données (nettoyage, enrichissement)
- Examen des biais et mesures d'atténuation
Section 4 : Mesures de contrôle humain
Cette section doit démontrer que des personnes physiques peuvent effectivement superviser les décisions de l'IA et intervenir.
- Mesures techniques de contrôle humain
- Mesures permettant la compréhension humaine des résultats
- Mesures permettant l'intervention ou la neutralisation par l'humain
- Attribution des responsabilités de contrôle humain
- Exigences de formation et de qualification du personnel de surveillance
Section 5 : Gestion des risques
Documentez votre processus de gestion des risques et la manière dont les risques identifiés sont atténués.
- Description du processus de gestion des risques
- Identification des risques connus et raisonnablement prévisibles
- Estimation et évaluation des risques
- Mesures d'atténuation mises en œuvre
- Évaluation des risques résiduels et critères d'acceptation
Maintien de la documentation dans le temps
La documentation de l'Annexe IV n'est pas un exercice ponctuel. Vous devez la maintenir et la mettre à jour tout au long du cycle de vie du système.
- Documenter toutes les modifications apportées au système
- Mettre à jour les évaluations des risques en cas de changement de périmètre
- Consigner les résultats de la surveillance continue
- Suivre les retours post-commercialisation et les incidents
- Appliquer un contrôle de version à toutes les mises à jour de la documentation
Foire aux questions
Quel niveau de détail la documentation de l'Annexe IV doit-elle atteindre ?
Un niveau suffisant pour qu'un tiers compétent puisse comprendre le fonctionnement du système, les risques qu'il présente et la manière dont ces risques sont gérés. En cas de doute, privilégiez davantage de détails.
Puis-je m'appuyer sur une documentation existante ?
Oui, vous pouvez faire référence à une documentation existante (documents de conception, évaluations des risques, etc.) à condition qu'elle couvre les éléments requis et reste à jour.
Qui doit être responsable de la documentation de l'Annexe IV ?
En règle générale, une combinaison des équipes produit/ingénierie (détails techniques) et conformité/juridique (gestion des risques, procédures de surveillance). Définissez une responsabilité claire et des processus de revue.
Points clés à retenir
La documentation de l'Annexe IV constitue la preuve que votre système d'IA a été conçu et fonctionne de manière responsable. Intégrer les pratiques de documentation dans votre processus de développement dès le départ est bien plus simple que de les reconstituer après coup. Considérez l'Annexe IV comme une obligation permanente, et non comme un projet ponctuel.