Article 27 · Haut risque · Droits · Analyse
AI Act : analyse d'impact sur les droits fondamentaux
FRIA est le sigle anglais de l'analyse d'impact sur les droits fondamentaux. L'article 27 impose à certains déployeurs d'évaluer, avant la première utilisation, les effets d'un système d'IA à haut risque sur les droits fondamentaux dans son contexte réel.
01Quand cette analyse est-elle requise ?
Elle n'est pas requise pour tout logiciel d'IA. Premier filtre : le haut risque au sens de l'article 6, paragraphe 2, et de l'annexe III, avec les exclusions de l'article 27. Second filtre : l'identité du déployeur.
- les déployeurs qui sont des organismes de droit public ;
- les entités privées fournissant des services publics ;
- les déployeurs de certains systèmes à haut risque évaluant la solvabilité ou les risques et tarifs en assurance vie ou maladie.
02Ce que décrit l'analyse
Elle porte sur l'usage concret. L'article 27 prévoit au minimum les éléments suivants :
| Processus | Où le système intervient dans le processus du déployeur, pour quelle finalité et dans quelle procédure. |
|---|---|
| Durée et fréquence | Combien de temps et à quelle fréquence le système doit être utilisé. |
| Personnes et groupes | Quelles catégories peuvent être affectées dans ce contexte, notamment en situation de vulnérabilité ou d'asymétrie. |
| Risques de préjudice | Quels droits peuvent être affectés et comment, compte tenu des informations du fournisseur. |
| Contrôle humain | Comment les mesures de contrôle sont appliquées et qui est habilité à intervenir. |
| Gouvernance et recours | Atténuation, responsabilités internes, réponse à la réalisation d'un risque et mécanismes de réclamation. |
03Quand la réaliser et l'actualiser
L'analyse précède la première utilisation. Pour des cas similaires, le déployeur peut s'appuyer sur une analyse antérieure ou du fournisseur, tout en restant responsable de la vérification de son contexte. Un changement de processus, de groupes concernés, de risques, de contrôle ou de mesures exige une mise à jour.
Ce n'est donc pas une annexe figée au moment de l'achat : elle doit être reliée au suivi, aux réclamations, aux incidents, aux mises à jour du système et aux pratiques organisationnelles.
04Analyse des droits fondamentaux et AIPD : deux objets
| Analyse des droits fondamentaux de l'AI Act | AIPD du RGPD |
|---|---|
| Examine les effets de l'usage d'un système d'IA à haut risque sur les droits fondamentaux dans son contexte. | Examine les risques d'un traitement de données personnelles pour les droits et libertés. |
| S'applique aux déployeurs et usages visés par l'article 27. | S'applique aux traitements susceptibles d'engendrer un risque élevé au sens du RGPD. |
| Couvre processus, personnes concernées, risques, contrôle, gouvernance et réclamations. | Couvre nécessité, proportionnalité, risques du traitement et mesures pour y répondre. |
L'article 27, paragraphe 4, réécrit par le Digital Omnibus (règlement (UE) 2026/1744), permet au déployeur de renvoyer aux sections pertinentes d'une AIPD (article 35 du RGPD ou article 27 de la directive 2016/680) lorsque celle-ci satisfait déjà une obligation, ou d'en intégrer les parties utiles. Le texte antérieur prévoyait que l'analyse des droits fondamentaux complète l'AIPD ; le nouveau précise comment. Le Bureau de l'IA doit fournir un modèle de questionnaire, y compris sous forme d'outil automatisé, permettant ces renvois. La page source indique ce modèle comme non encore publié : ce statut doit être revérifié avant utilisation. La coordination réduit les doublons, mais l'équivalence serait trompeuse : certains droits dépassent la protection des données, et le renvoi ne couvre que les obligations déjà satisfaites.
La comparaison des deux cadres, au-delà des analyses, figure dans l'AI Act et le RGPD.
05Des questions concrètes
- Qui risque d'être exclu, mal classé ou découragé d'accéder à un service ?
- Quel droit est concerné : non-discrimination, vie privée, dignité, défense, travail, santé, éducation ou accès aux prestations ?
- La personne sait-elle qu'une IA participe à la décision et à qui demander une explication ou une correction ?
- Les personnes chargées du contrôle voient-elles davantage qu'un score, et ont-elles le temps et l'autorité pour l'évaluer ?
- Comment repérer des erreurs réparties inégalement entre les groupes ?
- Que se passe-t-il lorsque le risque se réalise : suspension, réexamen, réclamation, réparation et communication ?
06Du formulaire au dossier
Dans « L'algorithme du soupçon », un système hiérarchise les contrôles de fraude aux prestations. Une analyse utile ne se limiterait pas à l'exactitude du modèle : elle examinerait les personnes signalées, l'accès aux prestations essentielles, les erreurs, la contestabilité et l'autorité réelle de l'opérateur humain.
07Sources officielles et limites
La source contraignante est le règlement (UE) 2024/1689 sur EUR-Lex, dans sa version consolidée applicable. Consultez aussi l'article 27 dans le service de la Commission et sa FAQ officielle.