Aller au contenu principal
Audact
Explorer un workflow

Article 27 FRIA

L’analyse d’impact sur les droits fondamentaux : qui doit en réaliser une, et ce qu’elle contient.

S’applique aux déployeurs de systèmes à haut risque listés

Dernière révision : 5 octobre 2026

L’article 27 pose une autre question que l’analyse d’impact relative à la protection des données (AIPD). Il ne s’agit pas du risque pour les données, mais du risque pour les personnes sur lesquelles le système est utilisé : discrimination, dignité, accès à un service. Certains déployeurs de systèmes à haut risque listés à l’annexe III — à l’exception d’un domaine de cette liste, les systèmes d’infrastructure critique du point 2 — doivent réaliser cette analyse avant la première utilisation, en notifier le résultat à l’autorité de surveillance du marché, et la mettre à jour chaque fois que l’usage change.

Ce que la loi exige

Avant de mettre en service un système d’IA à haut risque visé à l’article 6, paragraphe 2, certains déployeurs doivent réaliser une analyse de son impact sur les droits fondamentaux. Les systèmes destinés à être utilisés dans le domaine énuméré au point 2 de l’annexe III — l’infrastructure critique — sont expressément exclus de cette obligation.
Règlement (UE) 2024/1689, art. 27, par. 1
L’analyse porte sur les processus du déployeur dans lesquels le système sera utilisé, la période et la fréquence d’utilisation prévues, les catégories de personnes physiques susceptibles d’être concernées, les risques spécifiques de préjudice pour ces personnes, les mesures de contrôle humain, et les mesures à prendre si ces risques se matérialisent.
Règlement (UE) 2024/1689, art. 27, par. 1, points a) à f)
L’obligation pèse sur les organismes de droit public et les entités privées qui fournissent des services publics, ainsi que sur les déployeurs des deux cas d’usage des points 5(b) et 5(c) de l’annexe III : l’évaluation de la solvabilité ou l’établissement d’une note de crédit, et l’évaluation des risques et la tarification en assurance vie et en assurance maladie.
Règlement (UE) 2024/1689, art. 27, par. 1
L’obligation s’applique à la première utilisation du système. Dans des cas similaires, le déployeur peut s’appuyer sur une analyse d’impact sur les droits fondamentaux déjà réalisée, ou sur celle réalisée par le fournisseur. Si l’un des éléments analysés a changé ou n’est plus à jour, le déployeur doit prendre les mesures nécessaires pour mettre à jour les informations.
Règlement (UE) 2024/1689, art. 27, par. 2
Une fois l’analyse réalisée, le déployeur en notifie les résultats à l’autorité de surveillance du marché, à l’aide du questionnaire que fournit le Bureau de l’IA.
Règlement (UE) 2024/1689, art. 27, par. 3 et par. 5
Lorsqu’une analyse d’impact relative à la protection des données au titre du RGPD couvre déjà une partie du terrain, l’analyse d’impact sur les droits fondamentaux la complète sans la remplacer.
Règlement (UE) 2024/1689, art. 27, par. 4

Ce que fait Audact

Les enregistrements sur lesquels une analyse d’impact sur les droits fondamentaux doit s’appuyer, comme l’information de la personne et le verdict de la politique pour chaque interaction encadrée, et le moment où ils ont eu lieu, sont produits au fil de l’interaction.
En tests contrôlés
Une analyse d’impact sur les droits fondamentaux, préremplie à partir de votre déploiement. Produite sur demande ; générateur : Prévu.
Produite sur demande
La section sur les risques renvoyant à de vrais enregistrements plutôt qu’à des intentions : les incidents survenus, les verdicts rendus, les informations données.
En développement
Export avec les sommes de contrôle des enregistrements sous-jacents, afin qu’une autorité puisse vérifier que les preuves référencées sont celles qui sont conservées.
En développement

Pas une AIPD

Deux analyses, deux questions, un seul système.

Une analyse d’impact relative à la protection des données demande ce qui pourrait mal tourner pour les données personnelles : un accès non autorisé, une conservation excessive, une base juridique illicite. Une analyse d’impact sur les droits fondamentaux demande ce qui pourrait mal tourner pour la personne : se voir refuser un service, être classée plus bas, être traitée différemment pour un motif qui n’aurait pas dû compter.

Un même déploiement a souvent besoin des deux, et l’article 27, paragraphe 4, le dit : lorsque l’analyse relative à la protection des données couvre une partie du terrain, celle sur les droits fondamentaux s’appuie dessus. Ce qu’elle ne peut pas faire, c’est en hériter les conclusions. Un système peut être irréprochable en matière de protection des données et produire tout de même un résultat que l’analyse d’impact sur les droits fondamentaux est écrite pour repérer.

Qui doit en réaliser une

C’est le cas d’usage, et non la technologie, qui vous y soumet.

L’article 27 ne vise pas tous les déployeurs de tous les systèmes d’IA. Il se rattache aux systèmes à haut risque de l’article 6, paragraphe 2 — la liste de l’annexe III — et en exclut aussitôt un domaine : les systèmes destinés à être utilisés dans le domaine du point 2 de cette annexe, l’infrastructure critique, sont exclus. Dans ce qui reste, il vise un ensemble défini de déployeurs : les organismes de droit public, les entités privées qui fournissent des services publics, et les déployeurs des deux cas d’usage des points 5(b) et 5(c), la notation de crédit et la tarification de l’assurance vie et de l’assurance maladie.

Pour la plupart des déploiements vocaux (réservation, assistance, qualification, suivi), ce n’est pas la situation. Elle le devient lorsque l’agent contribue à une décision sur l’accès, l’éligibilité ou le prix. Établissez lequel des deux vous construisez avant que l’analyse ne devienne urgente, et non après.

Remarque

De l’information, pas un conseil juridique.

Cette page expose les règles telles que nous les lisons, avec les numéros d’article pour que vous puissiez nous vérifier. Ce n’est pas un conseil juridique, et votre situation dépend de faits que cette page ne peut pas connaître. Demandez conseil à un juriste qualifié avant de vous y fier.

Questions

Qu’est-ce qu’une analyse d’impact sur les droits fondamentaux ?
Une analyse structurée qu’un déployeur réalise avant de mettre en service un système d’IA à haut risque listé. Elle porte sur les processus dans lesquels le système sera utilisé, la période et la fréquence d’utilisation, les catégories de personnes susceptibles d’être concernées, les risques spécifiques de préjudice pour elles, les dispositions de contrôle humain, et les mesures à prendre si les risques se matérialisent.
Qui doit en réaliser une ?
Les organismes de droit public et les entités privées qui fournissent des services publics, ainsi que les déployeurs des deux cas d’usage des points 5(b) et 5(c) de l’annexe III : la notation de crédit, et l’évaluation des risques et la tarification en assurance vie et en assurance maladie. Un domaine est exclu de l’obligation par l’article 27, paragraphe 1, lui-même : les systèmes d’infrastructure critique du point 2 de l’annexe III. L’autorité de surveillance du marché est informée des résultats.
Une AIPD la couvre-t-elle ?
Elle la complète, au titre de l’article 27, paragraphe 4, mais ne la remplace pas. Les deux analyses posent des questions différentes : l’une sur les données, l’autre sur la personne sur laquelle le système est utilisé.
À quelle fréquence faut-il la refaire ?
L’obligation se rattache à la première utilisation, puis, ensuite, à chaque fois que l’un des éléments analysés a changé ou n’est plus à jour. L’article 27, paragraphe 2, permet aussi à un déployeur de s’appuyer, dans des cas similaires, sur une analyse déjà réalisée ou sur celle réalisée par le fournisseur : un second déploiement comparable n’implique donc pas à lui seul une seconde analyse à partir de zéro. En pratique, cela revient à la traiter comme un document vivant lié à la configuration plutôt que comme un exercice ponctuel produit pour un lancement.

Une analyse ne vaut que par les enregistrements qui la sous-tendent

La page Proof montre ce que laisse derrière elle une interaction encadrée, et lesquelles de ces parties un tiers peut recalculer : la matière à laquelle une analyse d’impact sur les droits fondamentaux doit pouvoir renvoyer.

Voir un reçu

Pages associées