L'analyse d'impact sur les droits fondamentaux, ou FRIA selon son sigle anglais, est l'évaluation que l'article 27 du règlement sur l'IA impose à certains déployeurs avant la première utilisation d'un système d'IA à haut risque. Elle décrit à quoi servira le système, qui il touche, quels préjudices il peut causer à leurs droits et comment il est surveillé. Elle sera obligatoire à partir du 2 décembre 2027, date retenue par l'omnibus numérique sur l'IA pour les obligations relatives aux systèmes à haut risque de l'annexe III.
Ce n'est pas celui qui développe le système qui la réalise, mais celui qui l'utilise dans son organisation. Et tous les utilisateurs d'un système à haut risque n'y sont pas tenus.
Qui doit réaliser la FRIA
L'article 27, paragraphe 1, du règlement (UE) 2024/1689 l'impose à trois catégories de déployeurs de systèmes à haut risque de l'annexe III :
- Les organismes de droit public, comme les ministères, les collectivités, les universités publiques ou le service de santé.
- Les entités privées qui fournissent des services publics, par exemple un concessionnaire de transport, une société de distribution d'eau ou un établissement d'enseignement privé sous contrat.
- Toute entreprise qui utilise l'IA pour évaluer la solvabilité de personnes physiques ou établir leur note de crédit (sauf pour détecter la fraude), ou pour évaluer les risques et fixer les prix en assurance vie et santé. Ce sont les points b) et c) du point 5 de l'annexe III.
Les systèmes du point 2 de l'annexe III, ceux des infrastructures critiques, en sont exclus, même s'ils sont à haut risque.
Un cas à bien avoir en tête : une entreprise privée qui utilise l'IA pour trier des CV dispose d'un système à haut risque (point 4 de l'annexe III), mais n'est pas tenue de réaliser une FRIA si elle ne fournit pas de service public. Nous la ferions quand même. Les questions de l'article 27 sont celles que posera un candidat qui conteste ou l'autorité lors d'un contrôle, et y répondre coûte à peine plus que l'inventaire.
Ce qu'elle doit contenir
L'article 27, paragraphe 1, énumère six éléments. En pratique :
- Dans quels processus de l'organisation le système est utilisé et pour quoi faire, conformément à sa destination.
- Pendant combien de temps et à quelle fréquence il sera utilisé.
- Quelles personnes et quels groupes peuvent être touchés par cet usage précis.
- Quels risques de préjudice il présente pour eux, compte tenu des informations du fournisseur dans la notice d'utilisation (article 13).
- Comment le contrôle humain est mis en œuvre.
- Ce qui sera fait si les risques se matérialisent, avec la gouvernance interne et les mécanismes de réclamation.
Notre conseil sur le cinquième point : il ne suffit pas d'écrire qu'« une personne revoit les décisions ». Il faut préciser qui, selon quels critères, et si elle peut les annuler. Si le contrôle humain n'a pas été conçu en amont, la FRIA le met en évidence.
FRIA et AIPD : ce que l'on peut réutiliser
Si le système traite des données personnelles, il existe très probablement déjà une analyse d'impact relative à la protection des données (AIPD) au titre de l'article 35 du RGPD. L'article 27, paragraphe 4, dans sa rédaction issue de l'omnibus, permet à la FRIA de renvoyer à cette AIPD ou d'en reprendre des parties. Inutile de refaire le travail, mais l'AIPD ne suffit pas non plus.
| AIPD (RGPD) | FRIA (AI Act) | |
|---|---|---|
| Ce qu'elle protège | Les droits des personnes à l'égard de leurs données personnelles | L'ensemble des droits fondamentaux : égalité, non-discrimination, accès aux services, recours effectif, en plus de la vie privée |
| Qui la réalise | Le responsable du traitement | Le déployeur appartenant aux catégories de l'article 27, paragraphe 1 |
| Quand | Avant un traitement susceptible d'engendrer un risque élevé | Avant la première utilisation du système à haut risque |
| À qui on la communique | À l'autorité de contrôle uniquement si le risque reste élevé (consultation préalable de l'article 36) | Le résultat est toujours notifié à l'autorité de surveillance du marché |
La différence de fond tient à la première ligne. Un système de scoring peut respecter le RGPD sans difficulté et pourtant refuser davantage les personnes au-delà d'un certain âge. Une AIPD ne le capte pas, et c'est précisément ce que cherche la FRIA.
Quand la réaliser et quand la mettre à jour
Elle se fait avant la première utilisation et se met à jour dès que l'un de ses éléments change : la finalité, les groupes concernés, le modèle ou les mesures de contrôle. L'article 27, paragraphe 2, permet de s'appuyer sur des analyses antérieures ou sur celles réalisées par le fournisseur pour des cas similaires, à condition de les revoir pour son propre usage.
Une fois réalisée, son résultat est notifié à l'autorité de surveillance du marché au moyen d'un questionnaire que doit publier le Bureau de l'IA (article 27, paragraphe 5). Lors de notre dernière revue de cet article, ce modèle officiel n'était pas encore publié sur le site de la Commission : mieux vaut donc préparer la FRIA avec les six éléments de l'article et la reporter dans le questionnaire dès sa sortie.
Notre approche
Nous la traitons comme une composante de la fiche de chaque système d'IA, et non comme un document à part, rédigé une fois puis oublié :
- Partir de l'inventaire des systèmes d'IA et repérer ceux qui en ont besoin grâce aux trois questions ci-dessus.
- Récupérer l'AIPD du même système et voir quelles sections peuvent être citées.
- Évaluer chaque droit concerné avec la même échelle de probabilité et d'impact que les autres risques de l'entreprise, pour que le comité IA puisse les comparer.
- Confier le contrôle humain à un responsable nommé et le mesurer avec un indicateur, par exemple le pourcentage de décisions revues par une personne.
- Planifier la revue lorsque le modèle ou son usage change.
Dans GlobalSuite® AI Governance, la FRIA prend la forme d'une enquête sur chaque système de l'inventaire : chaque droit concerné est évalué en probabilité et en impact, et l'agent IA compare avec des systèmes similaires et propose ceux qui manquent. Le rapport est généré à partir d'un modèle alimenté par les données de la fiche.
Si vous débutez avec le règlement, la page consacrée à l'AI Act présente le calendrier et l'organisation des autres obligations liées au haut risque.
