{"id":23334,"date":"2026-09-07T10:00:00","date_gmt":"2026-09-07T10:00:00","guid":{"rendered":"https:\/\/atiasavocats.com\/?p=23334"},"modified":"2026-09-04T10:28:41","modified_gmt":"2026-09-04T10:28:41","slug":"fria-ai-act-article-27-analyse-impact-droits-fondamentaux","status":"publish","type":"post","link":"https:\/\/atiasavocats.com\/en\/fria-ai-act-article-27-analyse-impact-droits-fondamentaux\/","title":{"rendered":"FRIA (article 27 AI Act) : l’analyse d’impact sur les droits fondamentaux"},"content":{"rendered":"

Par Ma\u00eetre Joseph David Atias \u2014 Avocat au Barreau de Paris | AI Act & Droits Fondamentaux<\/em><\/p>\n\n\n\n

\n

Votre AIPD ne suffit plus. En effet, la FRIA AI Act impose une analyse bien plus large. Elle porte sur tous les droits fondamentaux, pas seulement sur les donn\u00e9es. Or, peu d’entreprises savent qu’elles y sont soumises. Ce guide explique qui doit la r\u00e9aliser, comment, et \u00e0 quelle \u00e9ch\u00e9ance.<\/p>\n<\/blockquote>\n\n\n\n

SOMMAIRE<\/p>\n\n\n\n

    \n
  1. Pourquoi la FRIA est devenue strat\u00e9gique<\/a><\/li>\n\n\n\n
  2. Le cadre juridique : l’article 27 de l’AI Act<\/a><\/li>\n\n\n\n
  3. Qui est oblig\u00e9, et \u00e0 quelle \u00e9ch\u00e9ance<\/a><\/li>\n\n\n\n
  4. FRIA et AIPD : le tableau comparatif<\/a><\/li>\n\n\n\n
  5. La m\u00e9thode FRIA en 5 \u00e9tapes<\/a><\/li>\n\n\n\n
  6. Pourquoi faire appel \u00e0 Atias Avocats<\/a><\/li>\n\n\n\n
  7. Conclusion<\/a><\/li>\n\n\n\n
  8. FAQ \u2014 Questions fr\u00e9quentes<\/a><\/li>\n<\/ol>\n\n\n\n

    1. Pourquoi la FRIA est devenue strat\u00e9gique<\/h2>\n\n\n\n

    La FRIA (Fundamental Rights Impact Assessment, analyse d’impact sur les droits fondamentaux) reste peu connue. Pourtant, elle figure parmi les obligations phares de l’AI Act. En effet, elle concerne directement les utilisateurs d’IA \u00e0 haut risque. C’est pourquoi cette obligation m\u00e9rite aujourd’hui une attention imm\u00e9diate.<\/p>\n\n\n\n

    Beaucoup d’organisations la confondent encore avec un tout autre outil de conformit\u00e9. Elles pensent, \u00e0 tort, que leur seule analyse RGPD suffit. Or, c’est une erreur lourde de cons\u00e9quences. La FRIA AI Act poursuit en effet un objectif bien plus large. Elle prot\u00e8ge l’ensemble des droits de la personne, et pas seulement ses donn\u00e9es personnelles.<\/p>\n\n\n\n

    L’attention se porte souvent sur les fournisseurs de syst\u00e8mes. Pourtant, la FRIA p\u00e8se sur le d\u00e9ployeur, c’est-\u00e0-dire l’utilisateur. De ce fait, de nombreuses entreprises sont concern\u00e9es sans le savoir. Elles d\u00e9couvrent parfois l’obligation trop tard, lors d’un contr\u00f4le de l’autorit\u00e9. Ainsi, une banque ou un organisme public peut y \u00eatre soumis. De m\u00eame, un assureur utilisant un mod\u00e8le de tarification est vis\u00e9.<\/p>\n\n\n\n

    Cette obligation s’inscrit dans un cadre plus vaste. Elle compl\u00e8te les obligations AI Act des entreprises<\/strong><\/a>. De plus, elle prolonge le r\u00e9gime des syst\u00e8mes \u00e0 haut risque.<\/p>\n\n\n\n

    2. Le cadre juridique : l’article 27 de l’AI Act<\/h2>\n\n\n\n

    La FRIA repose sur un fondement pr\u00e9cis. L’article 27 du R\u00e8glement (UE) 2024\/1689 la d\u00e9finit. Comprendre ce texte fondateur est la toute premi\u00e8re \u00e9tape utile. En effet, la FRIA AI Act ne s’improvise pas sans base juridique.<\/p>\n\n\n\n

    Cet article impose une analyse avant toute mise en service. Elle vise les syst\u00e8mes d’IA \u00e0 haut risque de l’annexe III. Surtout, elle \u00e9value l’impact sur les droits fondamentaux. Elle couvre donc l’ensemble de la Charte des droits fondamentaux de l’Union. Cette port\u00e9e large d\u00e9passe nettement le seul champ des donn\u00e9es.<\/p>\n\n\n\n

    La FRIA est clairement une obligation du d\u00e9ployeur. Le fournisseur n’en est pas directement charg\u00e9. Toutefois, il doit fournir des \u00e9l\u00e9ments utiles. Par exemple, la documentation technique et la notice d’utilisation nourrissent l’analyse. Le d\u00e9ployeur les compl\u00e8te ensuite selon son propre contexte d’usage.<\/p>\n\n\n\n

    Le texte pr\u00e9cise aussi le contenu attendu. La FRIA d\u00e9crit les processus concern\u00e9s et la fr\u00e9quence d’usage. De plus, elle identifie les personnes affect\u00e9es et les risques de pr\u00e9judice. Enfin, elle pr\u00e9voit les mesures de supervision humaine et de r\u00e9action. Elle d\u00e9crit aussi la p\u00e9riode et la fr\u00e9quence d’utilisation du syst\u00e8me. Elle recense enfin les cat\u00e9gories de personnes physiques ou de groupes susceptibles d’\u00eatre affect\u00e9es.<\/p>\n\n\n\n

    3. Qui est oblig\u00e9, et \u00e0 quelle \u00e9ch\u00e9ance<\/h2>\n\n\n\n

    La FRIA ne concerne pas tous les d\u00e9ployeurs. Son p\u00e9rim\u00e8tre est cibl\u00e9, mais souvent mal compris.<\/p>\n\n\n\n

    3.1 Les d\u00e9ployeurs concern\u00e9s<\/h3>\n\n\n\n

    Trois cat\u00e9gories sont vis\u00e9es en priorit\u00e9. D’abord, les organismes de droit public. Ensuite, les entit\u00e9s priv\u00e9es fournissant des services publics. Enfin, certains acteurs priv\u00e9s de l’annexe III, comme le scoring de cr\u00e9dit bancaire et la tarification en assurance-vie et sant\u00e9. Ces usages touchent en effet des d\u00e9cisions particuli\u00e8rement lourdes pour les personnes concern\u00e9es.<\/p>\n\n\n\n

    3.2 L’\u00e9ch\u00e9ance report\u00e9e \u00e0 2027<\/h3>\n\n\n\n

    L’\u00e9ch\u00e9ance initiale \u00e9tait fix\u00e9e au 2 ao\u00fbt 2026. Toutefois, le Digital Omnibus a modifi\u00e9 le calendrier. Ce paquet, adopt\u00e9 en 2026, porte le num\u00e9ro de r\u00e8glement (UE) 2026\/1744. Ainsi, les obligations de l’annexe III passent au 2 d\u00e9cembre 2027. Ce report vaut donc aussi pour l’obligation de FRIA. Le calendrier de cette analyse suit exactement celui du r\u00e9gime des syst\u00e8mes \u00e0 haut risque.<\/p>\n\n\n\n

    3.3 La notification \u00e0 l’autorit\u00e9<\/h3>\n\n\n\n

    La FRIA ne reste pas un document interne. En effet, le d\u00e9ployeur doit notifier ses r\u00e9sultats. Cette notification s’adresse \u00e0 l’autorit\u00e9 de surveillance du march\u00e9. De plus, un mod\u00e8le officiel doit faciliter cette d\u00e9marche. Cette notification rend l’analyse opposable et v\u00e9rifiable. Elle marque aussi la bonne foi du d\u00e9ployeur en cas de contr\u00f4le ult\u00e9rieur de l’autorit\u00e9.<\/p>\n\n\n\n

    3.4 Les sanctions encourues<\/h3>\n\n\n\n

    Ignorer la FRIA expose \u00e0 un vrai risque. Les sanctions peuvent atteindre 15 millions d’euros. Elles peuvent aussi repr\u00e9senter 3 % du chiffre d’affaires mondial. Par cons\u00e9quent, le report ne justifie aucun rel\u00e2chement.<\/p>\n\n\n\n

    4. FRIA et AIPD : le tableau comparatif<\/h2>\n\n\n\n

    La confusion entre FRIA et AIPD est fr\u00e9quente. Or, ces deux analyses diff\u00e8rent nettement. Le tableau ci-dessous les compare point par point.<\/p>\n\n\n\n

    Crit\u00e8re<\/th>AIPD (art. 35 RGPD)<\/th>FRIA (art. 27 AI Act)<\/th><\/tr><\/thead>
    Objet<\/td>Protection des donn\u00e9es<\/td>Tous les droits fondamentaux<\/td><\/tr>
    D\u00e9clencheur<\/td>Traitement \u00e0 risque \u00e9lev\u00e9<\/td>D\u00e9ploiement d’IA \u00e0 haut risque<\/td><\/tr>
    Responsable<\/td>Responsable de traitement<\/td>D\u00e9ployeur<\/td><\/tr>
    Personal Data<\/td>Toujours en jeu<\/td>Pas n\u00e9cessairement<\/td><\/tr>
    Notification<\/td>CNIL si risque r\u00e9siduel<\/td>Autorit\u00e9 de surveillance<\/td><\/tr>
    Articulation<\/td>Base commune<\/td>Compl\u00e8te l’AIPD (art. 27.4)<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

    5. La m\u00e9thode FRIA en 5 \u00e9tapes<\/h2>\n\n\n\n

    Une FRIA AI Act s\u00e9rieuse suit une m\u00e9thode claire. Cinq \u00e9tapes structurent le travail du d\u00e9ployeur.<\/p>\n\n\n\n

    5.1 Qualifier son r\u00f4le et son syst\u00e8me<\/h3>\n\n\n\n

    Commencez par identifier votre r\u00f4le exact. \u00cates-vous d\u00e9ployeur, fournisseur, ou les deux ? Ensuite, v\u00e9rifiez si le syst\u00e8me rel\u00e8ve de l’annexe III. Cette qualification conditionne toute l’obligation de d\u00e9part. Ainsi, une FRIA AI Act ne s’impose que pour un syst\u00e8me \u00e0 haut risque av\u00e9r\u00e9. \u00c0 l’inverse, un syst\u00e8me \u00e0 risque limit\u00e9 en est clairement dispens\u00e9.<\/p>\n\n\n\n

    5.2 R\u00e9utiliser l’AIPD existante<\/h3>\n\n\n\n

    Ne repartez jamais de z\u00e9ro sans raison. En effet, l’article 27.4 permet de compl\u00e9ter une AIPD existante. Ainsi, vous mutualisez l’analyse des risques d\u00e9j\u00e0 men\u00e9e. De plus, vous \u00e9vitez un travail en double. En pratique, un rapport int\u00e9gr\u00e9 unique reste la solution la plus efficace.<\/p>\n\n\n\n

    5.3 Analyser les droits fondamentaux<\/h3>\n\n\n\n

    \u00c9largissez ensuite l’analyse au-del\u00e0 des donn\u00e9es. Examinez la non-discrimination, la dignit\u00e9 et l’acc\u00e8s \u00e0 la justice. Par exemple, un outil de scoring peut cr\u00e9er des biais. Cette \u00e9tape est le c\u0153ur de la FRIA AI Act. Par exemple, un biais algorithmique peut l\u00e9ser un candidat ou un emprunteur.<\/p>\n\n\n\n

    5.4 D\u00e9finir les mesures de ma\u00eetrise<\/h3>\n\n\n\n

    Chaque risque identifi\u00e9 appelle une r\u00e9ponse. Pr\u00e9voyez donc une supervision humaine effective. De plus, organisez un m\u00e9canisme de plainte et de correction. Ces mesures d\u00e9montrent une gouvernance s\u00e9rieuse. De plus, elles renforcent la valeur probante de la FRIA AI Act.<\/p>\n\n\n\n

    5.5 Documenter et notifier<\/h3>\n\n\n\n

    Consignez enfin toute l’analyse par \u00e9crit. Ce document \u00e9crit devient votre principale preuve de conformit\u00e9. Il doit rester clair, dat\u00e9 et facilement auditable. Ensuite, notifiez les r\u00e9sultats \u00e0 l’autorit\u00e9 comp\u00e9tente. Nos obligations des IA \u00e0 haut risque<\/strong><\/a> pr\u00e9cisent ce cadre. De plus, notre checklist de conformit\u00e9 pour le 2 ao\u00fbt 2026<\/strong><\/a> replace la FRIA dans l’ensemble des obligations.<\/p>\n\n\n\n

    6. Pourquoi faire appel \u00e0 Atias Avocats<\/h2>\n\n\n\n

    R\u00e9aliser une FRIA exige une double comp\u00e9tence rare. Il faut ma\u00eetriser l’AI Act et le droit des donn\u00e9es. Il faut aussi comprendre la logique des droits fondamentaux. Atias Avocats r\u00e9unit pr\u00e9cis\u00e9ment ces expertises. En effet, une FRIA b\u00e2cl\u00e9e n’offre aucune protection r\u00e9elle. De m\u00eame, une confusion avec l’AIPD laisse subsister des risques. Cet accompagnement transforme une obligation complexe en m\u00e9thode claire et ma\u00eetris\u00e9e. Par ailleurs, il s\u00e9curise l’articulation avec le RGPD et le calendrier de l’AI Act. Pour aller plus loin, consultez nos services en protection des donn\u00e9es et conformit\u00e9<\/strong><\/a>.<\/p>\n\n\n\n

    Conclusion<\/h2>\n\n\n\n

    La FRIA AI Act n’est pas une simple formalit\u00e9 administrative. C’est une analyse de fond sur les droits des personnes. Or, elle vise des acteurs souvent mal inform\u00e9s de leur obligation. C’est pourquoi la qualification du r\u00f4le reste la premi\u00e8re priorit\u00e9. De plus, le report \u00e0 2027 offre un d\u00e9lai pr\u00e9cieux mais limit\u00e9. En effet, cartographier ses syst\u00e8mes prend souvent plusieurs mois. Anticiper cette analyse reste, ainsi, la meilleure strat\u00e9gie. \u00c0 d\u00e9faut, une mise en conformit\u00e9 tardive exposera \u00e0 de lourdes sanctions.<\/p>\n\n\n\n

    FAQ \u2014 Questions fr\u00e9quentes<\/h2>\n\n\n\n

    Qu’est-ce que la FRIA de l’AI Act ?<\/h3>\n\n\n\n

    La FRIA (Fundamental Rights Impact Assessment) est l’analyse d’impact sur les droits fondamentaux. Elle est impos\u00e9e par l’article 27 du R\u00e8glement (UE) 2024\/1689, dit AI Act. Certains d\u00e9ployeurs de syst\u00e8mes d’IA \u00e0 haut risque doivent la r\u00e9aliser avant la mise en service. Elle \u00e9value les risques pour les droits fondamentaux des personnes affect\u00e9es. Elle couvre l’ensemble de la Charte des droits fondamentaux de l’Union.<\/p>\n\n\n\n

    Qui doit r\u00e9aliser une FRIA ?<\/h3>\n\n\n\n

    La FRIA est une obligation du d\u00e9ployeur, pas du fournisseur. Elle vise d’abord les organismes publics et les entit\u00e9s priv\u00e9es fournissant des services publics. Elle concerne aussi certains acteurs priv\u00e9s utilisant des syst\u00e8mes \u00e0 haut risque de l’annexe III. Sont notamment vis\u00e9s le scoring de cr\u00e9dit bancaire et la tarification en assurance-vie et sant\u00e9. Une entreprise doit donc d’abord v\u00e9rifier son r\u00f4le et son secteur.<\/p>\n\n\n\n

    Quelle diff\u00e9rence entre la FRIA et l’AIPD du RGPD ?<\/h3>\n\n\n\n

    L’AIPD de l’article 35 du RGPD porte sur la protection des donn\u00e9es personnelles. La FRIA de l’article 27 de l’AI Act a une port\u00e9e bien plus large. Elle couvre tous les droits fondamentaux de la Charte, comme la dignit\u00e9 ou la non-discrimination. La FRIA peut donc \u00eatre exig\u00e9e m\u00eame sans traitement de donn\u00e9es personnelles. Lorsqu’une AIPD existe d\u00e9j\u00e0, la FRIA la compl\u00e8te plut\u00f4t que de la refaire.<\/p>\n\n\n\n

    Quand la FRIA doit-elle \u00eatre r\u00e9alis\u00e9e ?<\/h3>\n\n\n\n

    La FRIA doit \u00eatre conduite avant la premi\u00e8re mise en service du syst\u00e8me \u00e0 haut risque. Son \u00e9ch\u00e9ance d’application \u00e9tait fix\u00e9e au 2 ao\u00fbt 2026. Toutefois, le Digital Omnibus a report\u00e9 les obligations de l’annexe III au 2 d\u00e9cembre 2027. Ce d\u00e9lai suppl\u00e9mentaire ne dispense pas d’anticiper. En effet, une FRIA s\u00e9rieuse demande du temps et une m\u00e9thode.<\/p>\n\n\n\n

    Que risque-t-on en l’absence de FRIA ?<\/h3>\n\n\n\n

    L’absence de FRIA constitue un manquement aux obligations du d\u00e9ployeur. Les sanctions peuvent atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial. De plus, le d\u00e9ployeur doit notifier les r\u00e9sultats de la FRIA \u00e0 l’autorit\u00e9 de surveillance du march\u00e9. Un d\u00e9faut de notification aggrave le risque. La FRIA devient donc une pi\u00e8ce cl\u00e9 de la conformit\u00e9 IA.<\/p>\n\n\n\n

    Contact : david@atiasavocats.com<\/a> | https:\/\/www.atiasavocats.com<\/a> | 42 rue de la Clef, 75005 Paris<\/p>\n\n\n\n

    Atias Avocats \u2014 AI Act, conformit\u00e9 IA, droits fondamentaux & protection des donn\u00e9es<\/em><\/p>","protected":false},"excerpt":{"rendered":"

    Par Ma\u00eetre Joseph David Atias \u2014 Avocat au Barreau de Paris | AI Act & Droits Fondamentaux Votre AIPD ne suffit plus. En effet, la FRIA AI Act impose une…<\/p>","protected":false},"author":1,"featured_media":23335,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"footnotes":""},"categories":[1],"tags":[],"class_list":["post-23334","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23334","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/comments?post=23334"}],"version-history":[{"count":1,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23334\/revisions"}],"predecessor-version":[{"id":23336,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23334\/revisions\/23336"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/media\/23335"}],"wp:attachment":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/media?parent=23334"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/categories?post=23334"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/tags?post=23334"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}