L'Allegato III è l'elenco dell'AI Act dei casi d'uso che sono trattati come ad alto rischio perché possono influire sui diritti delle persone, sull'accesso ai servizi o sulla sicurezza. L'elenco non riguarda il marchio del fornitore; riguarda ciò che il sistema fa. Un chatbot, uno strumento di scoring, un sistema di telecamere o una piattaforma di gestione dei casi possono rientrare nell'Allegato III a seconda del loro scopo e del contesto di distribuzione, soprattutto quando un'autorità pubblica li usa per decisioni importanti.
Per la sicurezza informatica, l'Allegato III è importante perché i sistemi ad alto rischio necessitano di controlli più rigorosi: documentazione, registrazione dei log, gestione degli accessi, supervisione umana, test e, in alcuni casi, registrazione. Questi requisiti riducono la possibilità che un modello difettoso, un input manomesso o un account admin rubato possano influenzare in modo silenzioso i servizi pubblici. Nelle operazioni reali, i team di sicurezza usano l'Allegato III per classificare i progetti di IA, definire i controlli negli acquisti e decidere se uno strumento necessita di una revisione aggiuntiva prima della produzione. È un elenco di conformità, ma anche uno strumento pratico di difesa.