FRIA (article 27 AI Act) : l’analyse d’impact sur les droits fondamentaux

Par Maître Joseph David Atias — Avocat au Barreau de Paris | AI Act & Droits Fondamentaux

Votre AIPD ne suffit plus. En effet, la FRIA AI Act impose une analyse bien plus large. Elle porte sur tous les droits fondamentaux, pas seulement sur les données. Or, peu d’entreprises savent qu’elles y sont soumises. Ce guide explique qui doit la réaliser, comment, et à quelle échéance.

SOMMAIRE

1. Pourquoi la FRIA est devenue stratégique
2. Le cadre juridique : l’article 27 de l’AI Act
3. Qui est obligé, et à quelle échéance
4. FRIA et AIPD : le tableau comparatif
5. La méthode FRIA en 5 étapes
6. Pourquoi faire appel à Atias Avocats
7. Conclusion
8. FAQ — Questions fréquentes

1. Pourquoi la FRIA est devenue stratégique

La FRIA (Fundamental Rights Impact Assessment, analyse d’impact sur les droits fondamentaux) reste peu connue. Pourtant, elle figure parmi les obligations phares de l’AI Act. En effet, elle concerne directement les utilisateurs d’IA à haut risque. C’est pourquoi cette obligation mérite aujourd’hui une attention immédiate.

Beaucoup d’organisations la confondent encore avec un tout autre outil de conformité. Elles pensent, à tort, que leur seule analyse RGPD suffit. Or, c’est une erreur lourde de conséquences. La FRIA AI Act poursuit en effet un objectif bien plus large. Elle protège l’ensemble des droits de la personne, et pas seulement ses données personnelles.

L’attention se porte souvent sur les fournisseurs de systèmes. Pourtant, la FRIA pèse sur le déployeur, c’est-à-dire l’utilisateur. De ce fait, de nombreuses entreprises sont concernées sans le savoir. Elles découvrent parfois l’obligation trop tard, lors d’un contrôle de l’autorité. Ainsi, une banque ou un organisme public peut y être soumis. De même, un assureur utilisant un modèle de tarification est visé.

Cette obligation s’inscrit dans un cadre plus vaste. Elle complète les obligations AI Act des entreprises. De plus, elle prolonge le régime des systèmes à haut risque.

2. Le cadre juridique : l’article 27 de l’AI Act

La FRIA repose sur un fondement précis. L’article 27 du Règlement (UE) 2024/1689 la définit. Comprendre ce texte fondateur est la toute première étape utile. En effet, la FRIA AI Act ne s’improvise pas sans base juridique.

Cet article impose une analyse avant toute mise en service. Elle vise les systèmes d’IA à haut risque de l’annexe III. Surtout, elle évalue l’impact sur les droits fondamentaux. Elle couvre donc l’ensemble de la Charte des droits fondamentaux de l’Union. Cette portée large dépasse nettement le seul champ des données.

La FRIA est clairement une obligation du déployeur. Le fournisseur n’en est pas directement chargé. Toutefois, il doit fournir des éléments utiles. Par exemple, la documentation technique et la notice d’utilisation nourrissent l’analyse. Le déployeur les complète ensuite selon son propre contexte d’usage.

Le texte précise aussi le contenu attendu. La FRIA décrit les processus concernés et la fréquence d’usage. De plus, elle identifie les personnes affectées et les risques de préjudice. Enfin, elle prévoit les mesures de supervision humaine et de réaction. Elle décrit aussi la période et la fréquence d’utilisation du système. Elle recense enfin les catégories de personnes physiques ou de groupes susceptibles d’être affectées.

3. Qui est obligé, et à quelle échéance

La FRIA ne concerne pas tous les déployeurs. Son périmètre est ciblé, mais souvent mal compris.

3.1 Les déployeurs concernés

Trois catégories sont visées en priorité. D’abord, les organismes de droit public. Ensuite, les entités privées fournissant des services publics. Enfin, certains acteurs privés de l’annexe III, comme le scoring de crédit bancaire et la tarification en assurance-vie et santé. Ces usages touchent en effet des décisions particulièrement lourdes pour les personnes concernées.

3.2 L’échéance reportée à 2027

L’échéance initiale était fixée au 2 août 2026. Toutefois, le Digital Omnibus a modifié le calendrier. Ce paquet, adopté en 2026, porte le numéro de règlement (UE) 2026/1744. Ainsi, les obligations de l’annexe III passent au 2 décembre 2027. Ce report vaut donc aussi pour l’obligation de FRIA. Le calendrier de cette analyse suit exactement celui du régime des systèmes à haut risque.

3.3 La notification à l’autorité

La FRIA ne reste pas un document interne. En effet, le déployeur doit notifier ses résultats. Cette notification s’adresse à l’autorité de surveillance du marché. De plus, un modèle officiel doit faciliter cette démarche. Cette notification rend l’analyse opposable et vérifiable. Elle marque aussi la bonne foi du déployeur en cas de contrôle ultérieur de l’autorité.

3.4 Les sanctions encourues

Ignorer la FRIA expose à un vrai risque. Les sanctions peuvent atteindre 15 millions d’euros. Elles peuvent aussi représenter 3 % du chiffre d’affaires mondial. Par conséquent, le report ne justifie aucun relâchement.

4. FRIA et AIPD : le tableau comparatif

La confusion entre FRIA et AIPD est fréquente. Or, ces deux analyses diffèrent nettement. Le tableau ci-dessous les compare point par point.

5. La méthode FRIA en 5 étapes

Une FRIA AI Act sérieuse suit une méthode claire. Cinq étapes structurent le travail du déployeur.

5.1 Qualifier son rôle et son système

Commencez par identifier votre rôle exact. Êtes-vous déployeur, fournisseur, ou les deux ? Ensuite, vérifiez si le système relève de l’annexe III. Cette qualification conditionne toute l’obligation de départ. Ainsi, une FRIA AI Act ne s’impose que pour un système à haut risque avéré. À l’inverse, un système à risque limité en est clairement dispensé.

5.2 Réutiliser l’AIPD existante

Ne repartez jamais de zéro sans raison. En effet, l’article 27.4 permet de compléter une AIPD existante. Ainsi, vous mutualisez l’analyse des risques déjà menée. De plus, vous évitez un travail en double. En pratique, un rapport intégré unique reste la solution la plus efficace.

5.3 Analyser les droits fondamentaux

Élargissez ensuite l’analyse au-delà des données. Examinez la non-discrimination, la dignité et l’accès à la justice. Par exemple, un outil de scoring peut créer des biais. Cette étape est le cœur de la FRIA AI Act. Par exemple, un biais algorithmique peut léser un candidat ou un emprunteur.

5.4 Définir les mesures de maîtrise

Chaque risque identifié appelle une réponse. Prévoyez donc une supervision humaine effective. De plus, organisez un mécanisme de plainte et de correction. Ces mesures démontrent une gouvernance sérieuse. De plus, elles renforcent la valeur probante de la FRIA AI Act.

5.5 Documenter et notifier

Consignez enfin toute l’analyse par écrit. Ce document écrit devient votre principale preuve de conformité. Il doit rester clair, daté et facilement auditable. Ensuite, notifiez les résultats à l’autorité compétente. Nos obligations des IA à haut risque précisent ce cadre. De plus, notre checklist de conformité pour le 2 août 2026 replace la FRIA dans l’ensemble des obligations.

6. Pourquoi faire appel à Atias Avocats

Réaliser une FRIA exige une double compétence rare. Il faut maîtriser l’AI Act et le droit des données. Il faut aussi comprendre la logique des droits fondamentaux. Atias Avocats réunit précisément ces expertises. En effet, une FRIA bâclée n’offre aucune protection réelle. De même, une confusion avec l’AIPD laisse subsister des risques. Cet accompagnement transforme une obligation complexe en méthode claire et maîtrisée. Par ailleurs, il sécurise l’articulation avec le RGPD et le calendrier de l’AI Act. Pour aller plus loin, consultez nos services en protection des données et conformité.

Conclusion

La FRIA AI Act n’est pas une simple formalité administrative. C’est une analyse de fond sur les droits des personnes. Or, elle vise des acteurs souvent mal informés de leur obligation. C’est pourquoi la qualification du rôle reste la première priorité. De plus, le report à 2027 offre un délai précieux mais limité. En effet, cartographier ses systèmes prend souvent plusieurs mois. Anticiper cette analyse reste, ainsi, la meilleure stratégie. À défaut, une mise en conformité tardive exposera à de lourdes sanctions.

FAQ — Questions fréquentes

Qu’est-ce que la FRIA de l’AI Act ?

La FRIA (Fundamental Rights Impact Assessment) est l’analyse d’impact sur les droits fondamentaux. Elle est imposée par l’article 27 du Règlement (UE) 2024/1689, dit AI Act. Certains déployeurs de systèmes d’IA à haut risque doivent la réaliser avant la mise en service. Elle évalue les risques pour les droits fondamentaux des personnes affectées. Elle couvre l’ensemble de la Charte des droits fondamentaux de l’Union.

Qui doit réaliser une FRIA ?

La FRIA est une obligation du déployeur, pas du fournisseur. Elle vise d’abord les organismes publics et les entités privées fournissant des services publics. Elle concerne aussi certains acteurs privés utilisant des systèmes à haut risque de l’annexe III. Sont notamment visés le scoring de crédit bancaire et la tarification en assurance-vie et santé. Une entreprise doit donc d’abord vérifier son rôle et son secteur.

Quelle différence entre la FRIA et l’AIPD du RGPD ?

L’AIPD de l’article 35 du RGPD porte sur la protection des données personnelles. La FRIA de l’article 27 de l’AI Act a une portée bien plus large. Elle couvre tous les droits fondamentaux de la Charte, comme la dignité ou la non-discrimination. La FRIA peut donc être exigée même sans traitement de données personnelles. Lorsqu’une AIPD existe déjà, la FRIA la complète plutôt que de la refaire.

Quand la FRIA doit-elle être réalisée ?

La FRIA doit être conduite avant la première mise en service du système à haut risque. Son échéance d’application était fixée au 2 août 2026. Toutefois, le Digital Omnibus a reporté les obligations de l’annexe III au 2 décembre 2027. Ce délai supplémentaire ne dispense pas d’anticiper. En effet, une FRIA sérieuse demande du temps et une méthode.

Que risque-t-on en l’absence de FRIA ?

L’absence de FRIA constitue un manquement aux obligations du déployeur. Les sanctions peuvent atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial. De plus, le déployeur doit notifier les résultats de la FRIA à l’autorité de surveillance du marché. Un défaut de notification aggrave le risque. La FRIA devient donc une pièce clé de la conformité IA.

Contact : david@atiasavocats.com | https://www.atiasavocats.com | 42 rue de la Clef, 75005 Paris

Atias Avocats — AI Act, conformité IA, droits fondamentaux & protection des données