Skip to main content

Analyse d’impact sur les droits fondamentaux (FRIA) selon l’article 27

Quels déployeurs doivent réaliser une FRIA avant la première utilisation, ce qu’elle couvre et son lien avec l’AIPD du RGPD.

Certains déployeurs de systèmes d’IA à haut risque doivent évaluer l’impact sur les droits fondamentaux avant la première utilisation (article 27). Sont visés les organismes de droit public et les entités privées fournissant des services publics. Sont aussi visés les déployeurs de systèmes d’évaluation de la solvabilité et d’assurance vie et santé (annexe III, points 5 b) et c)). Les systèmes de l’annexe III, point 2, sont exclus.

L’obligation s’applique à partir du 2 décembre 2027. Le déployeur notifie ensuite les résultats à l’autorité de surveillance du marché. L’article 99(4) ne cite pas l’article 27 ; les sanctions relèvent donc des règles nationales (article 99(1)). Prochaine étape : vérifiez si l’article 27 vous concerne, puis lancez l’évaluation.

Trois groupes de déployeurs doivent réaliser une FRIA

L’article 27 couvre les systèmes à haut risque visés à l’article 6(2), c’est-à-dire la voie de l’annexe III, à l’exception de l’annexe III, point 2 (infrastructures critiques). Il ne couvre pas les systèmes de l’annexe I. Trois groupes de déployeurs doivent réaliser l’analyse.

  • Organismes de droit public

    Les déployeurs qui sont des organismes de droit public doivent réaliser une FRIA pour chaque système à haut risque de l’annexe III qu’ils déploient, sauf le point 2.

  • Entités privées fournissant des services publics

    Les entités privées fournissant des services publics doivent réaliser une FRIA pour les mêmes systèmes.

  • Déployeurs de systèmes de solvabilité et d’assurance

    Tout déployeur d’un système qui évalue la solvabilité de personnes physiques ou établit leur note de crédit (annexe III, point 5 b)), ou qui sert à l’évaluation des risques et à la tarification en assurance vie et santé (point 5 c)), doit réaliser une FRIA. Les systèmes utilisés uniquement pour détecter la fraude financière ne sont pas couverts par le point 5 b).

La FRIA couvre six éléments, puis vous notifiez l’autorité

  1. 1

    1. Vos processus

    Décrivez les processus dans lesquels vous utiliserez le système, conformément à sa finalité prévue (article 27(1), point a)).

  2. 2

    2. Durée et fréquence d’utilisation

    Décrivez la durée et la fréquence prévues d’utilisation de chaque système (point b)).

  3. 3

    3. Personnes concernées

    Identifiez les catégories de personnes physiques et les groupes susceptibles d’être concernés par l’utilisation dans le contexte spécifique (point c)).

  4. 4

    4. Risques de préjudice spécifiques

    Identifiez les risques de préjudice spécifiques pour ces catégories, en tenant compte des informations fournies par le fournisseur au titre de l’article 13 (point d)).

  5. 5

    5. Contrôle humain

    Décrivez la mise en œuvre du contrôle humain, conformément aux instructions d’utilisation (point e)).

  6. 6

    6. Mesures en cas de réalisation des risques

    Définissez les mesures à prendre si les risques se matérialisent, y compris les dispositifs de gouvernance interne et les mécanismes de plainte (point f)).

  7. 7

    7. Notifier l’autorité

    Notifiez les résultats à l’autorité de surveillance du marché et joignez le modèle rempli (article 27(3)). Dans le cas visé à l’article 46(1), les déployeurs peuvent être exemptés de cette notification.

La FRIA peut être réutilisée, mise à jour et reliée à une DPIA

  • Réutilisation et mises à jour

    L’obligation s’applique à la première utilisation du système. Dans des cas similaires, le déployeur peut s’appuyer sur des FRIA déjà réalisées ou sur des analyses d’impact existantes menées par le fournisseur. Si un élément change ou n’est plus à jour pendant l’utilisation, le déployeur doit prendre les mesures nécessaires pour le mettre à jour (article 27(2)).

  • Lien avec l’analyse d’impact relative à la protection des données

    Si une obligation de l’article 27 est déjà remplie par une analyse d’impact relative à la protection des données au titre de l’article 35 du règlement (UE) 2016/679 ou de l’article 27 de la directive (UE) 2016/680, la FRIA peut y renvoyer ou en reprendre les parties pertinentes (article 27(4), tel que modifié par le règlement (UE) 2026/1744). Le Bureau de l’IA élabore un modèle de questionnaire, y compris sous forme d’outil automatisé, pour aider les déployeurs à se conformer (article 27(5)).

  • Les autorités publiques enregistrent aussi les conclusions

    Les déployeurs qui sont des autorités publiques enregistrent leur utilisation du système dans la base de données de l’UE, avec un résumé des conclusions de la FRIA (article 49(3) et annexe VIII, section C, point 4). Pour les points 1, 6 et 7 de l’annexe III, dans les domaines des activités répressives, de la migration, de l’asile et de la gestion des contrôles aux frontières, l’enregistrement se trouve dans une section sécurisée non publique et omet ce résumé (article 49(4)).

Comment Scanara aide pour votre FRIA

Scanara ne décide pas si l’article 27 vous concerne et ne notifie pas l’autorité. Les deux vous appartiennent.

Évaluation FRIA guidée

Les questions suivent les six éléments de l’article 27(1). Scanara rédige le rapport FRIA à partir de vos réponses et crée une nouvelle version lorsqu’un élément change (article 27(2)).

Lien avec une DPIA

Vous pouvez relier à la FRIA une analyse d’impact relative à la protection des données (DPIA) approuvée du même système. La FRIA peut alors y renvoyer (article 27(4)).

Document de notification

Scanara exporte un document pour la notification à l’autorité de surveillance du marché (article 27(3)). Vous l’envoyez vous-même.

Ouvrir la démo de Scanara

En savoir plus sur les règles voisines

Questions fréquentes sur la FRIA

Une analyse d’impact RGPD remplace-t-elle la FRIA ?

Non. Une analyse d’impact relative à la protection des données peut fournir des parties de la FRIA, car l’article 27(4) permet au déployeur d’y renvoyer ou d’en reprendre les parties pertinentes, mais seulement pour les obligations de l’article 27 qu’elle remplit déjà. La FRIA doit toujours couvrir chaque élément de l’article 27(1).

À quelle fréquence faut-il mettre à jour une FRIA ?

L’article 27 ne fixe pas de cycle. L’obligation s’applique à la première utilisation d’un système, et le déployeur doit mettre à jour la FRIA s’il considère qu’un élément a changé ou n’est plus à jour (article 27(2)).

Que se passe-t-il si un déployeur omet la FRIA ?

Omettre une FRIA obligatoire enfreint le règlement. L’article 99(4) énumère les obligations des déployeurs de l’article 26, mais pas celles de l’article 27. Les États membres fixent les règles de sanction pour toute violation du règlement (article 99(1)) ; vérifiez donc les règles nationales de votre État membre. Lorsque le Bureau de l’IA est compétent en vertu de l’article 75(1), il peut infliger les amendes visées à l’article 99(4) pour la violation de toute disposition applicable, y compris celles qui ne figurent pas à l’article 99(4) (article 75 quater(4), point a).

La FRIA est-elle publiée ?

Le déployeur doit notifier les résultats à l’autorité de surveillance du marché (article 27(3)). Ceux qui sont des autorités publiques enregistrent en outre un résumé des conclusions dans la base de données de l’UE (article 49(3), annexe VIII, section C, point 4). Le règlement n’oblige pas les autres déployeurs à publier leur FRIA.

Scanara prépare des preuves à partir de vos dépôts

Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.