La FRIA (Fundamental Rights Impact Assessment), ou analyse d'impact sur les droits fondamentaux, est l'une des obligations phares du règlement européen sur l'intelligence artificielle (AI Act). Prévue à l'article 27, cette analyse d'impact IA impose à certains déployeurs de systèmes d'IA à haut risque d'évaluer, avant la mise en service, l'impact potentiel de ces systèmes sur les droits et libertés des personnes.
Cet article explique ce qu'est la FRIA AI Act, qui est concerné, quand la réaliser, ce qu'elle doit contenir, et comment elle s'articule avec l'AIPD du RGPD.
Qu'est-ce que la FRIA ?
La FRIA est une analyse d'impact documentée des risques qu'un système d'IA à haut risque fait peser sur les droits fondamentaux : non-discrimination, vie privée, dignité, accès à l'emploi ou à des services essentiels, etc. Elle ne porte pas sur la conception technique du système (à la charge du fournisseur), mais sur le contexte spécifique d'utilisation par le déployeur.
Son objectif : identifier les risques d'atteinte aux personnes affectées par un système d'intelligence artificielle à haut risque et définir les mesures pour les prévenir ou les atténuer, avant tout déploiement réel.
Qui doit réaliser une FRIA ?
L'obligation pèse sur les déployeurs de systèmes d'IA à haut risque, dans les cas suivants (article 27) :
- les organismes de droit public ;
- les entités privées fournissant des services publics (éducation, santé, services sociaux…) ;
- les déployeurs de systèmes destinés à être utilisés pour l'évaluation de la solvabilité et la notation de crédit (hors détection de fraude) ;
- les déployeurs de systèmes utilisés pour l'évaluation des risques et la tarification en assurance-vie et santé.
Ces cas correspondent notamment aux systèmes à haut risque listés à l'annexe III du règlement. Les fournisseurs, eux, ne réalisent pas la FRIA : ils restent tenus de leurs propres obligations (gestion des risques, documentation technique, et information du déployeur via la notice d'utilisation prévue à l'article 13).
Quand réaliser la FRIA ?
La FRIA doit être menée avant la première mise en service du système à haut risque. Si, au cours de l'utilisation, l'un des éléments de l'analyse évolue de façon significative, elle doit être mise à jour. Cette obligation devait entrer en application le 2 août 2026, mais a été reportée par l'Omnibus sur l'IA, avec l'ensemble des règles relatives aux systèmes à haut risque de l'annexe III, au mois de décembre 2027.
Que doit contenir une FRIA ?
L'article 27 précise les éléments obligatoires. L'analyse d'impact décrit :
- les processus du déployeur dans lesquels le système à haut risque sera utilisé, et son contexte spécifique ;
- la période et la fréquence d'utilisation prévues ;
- les catégories de personnes et de groupes susceptibles d'être affectés (les personnes identifiées, ou « persons identified », visées par le règlement) ;
- les risques spécifiques de préjudice pour ces personnes ;
- les mesures de surveillance humaine mises en place ;
- les mesures à prendre en cas de matérialisation des risques (gouvernance interne, mécanismes de réclamation).
Le déployeur doit ensuite notifier les résultats de la FRIA à l'autorité de surveillance du marché, à l'aide du questionnaire type fourni par le Bureau européen de l'IA (AI Office).
FRIA et AIPD : quelle différence ?
La FRIA est souvent confondue avec l'AIPD (analyse d'impact relative à la protection des données) du RGPD. Ce sont deux exercices distincts mais complémentaires :
| FRIA (AI Act, art. 27) | AIPD (RGPD, art. 35) | |
|---|---|---|
| Objet | Impact sur l'ensemble des droits fondamentaux | Impact sur la protection des données personnelles |
| Déclencheur | Déploiement d'un système d'IA à haut risque (cas ciblés) | Traitement susceptible d'engendrer un risque élevé |
| Qui | Le déployeur | Le responsable de traitement |
| Cadre | Règlement (UE) 2024/1689 | Règlement (UE) 2016/679 |
Bonne nouvelle : lorsqu'une AIPD a déjà été réalisée, la FRIA peut s'appuyer sur celle-ci et la compléter, plutôt que de repartir de zéro. Les deux analyses se nourrissent mutuellement dès lors qu'un système d'IA traite des données personnelles.
Comment réaliser une FRIA ? La méthode en 5 étapes
- Identifier les systèmes concernés : recenser vos systèmes d'IA à haut risque et déterminer si vous relevez des cas de l'article 27. Un registre des systèmes d'IA est indispensable.
- Décrire le contexte d'usage : processus concernés, fréquence, finalités, personnes affectées.
- Analyser les risques pour les droits fondamentaux (discrimination, exclusion, atteinte à la vie privée…).
- Définir les mesures de surveillance humaine et les mesures à prendre en cas d'incident.
- Documenter et notifier les résultats à l'autorité compétente, puis assurer le suivi et la mise en œuvre dans la durée (analyse mise à jour si besoin).
La solution AI Act de Dastra et son logiciel de gouvernance de l'IA permettent de mener la FRIA et de l'articuler avec vos AIPD existantes, au sein d'un même registre.
FAQ
Qu'est-ce que la FRIA ?
La FRIA (Fundamental Rights Impact Assessment) est l'analyse d'impact sur les droits fondamentaux prévue par l'article 27 de l'AI Act. Elle évalue, avant la mise en service, l'impact d'un système d'IA à haut risque sur les droits des personnes.
Qui doit réaliser une FRIA ?
Les déployeurs de systèmes d'IA à haut risque qui sont des organismes de droit public, des entités privées fournissant des services publics, ou qui utilisent des systèmes de notation de crédit ou de tarification en assurance-vie et santé.
Quelle différence entre la FRIA et l'AIPD ?
La FRIA (AI Act) porte sur l'ensemble des droits fondamentaux et incombe au déployeur d'un système d'IA à haut risque ; l'AIPD (RGPD) porte sur la protection des données personnelles et incombe au responsable de traitement. La FRIA peut s'appuyer sur une AIPD existante afin de la compléter.
Quand la FRIA est-elle obligatoire ?
Avant la première mise en service d'un système d'IA à haut risque concerné, et à mettre à jour en cas de changement significatif. L'obligation s'applique à partir de décembre 2027.
Faut-il notifier la FRIA à une autorité ?
Oui : le déployeur notifie les résultats de l'analyse d'impact à l'autorité de surveillance du marché, via le questionnaire type du Bureau européen de l'IA (AI Office).