FRIA AI Act : réaliser l’analyse d’impact sur les droits fondamentaux.
La FRIA examine l’effet concret d’un système d’IA à haut risque sur les droits fondamentaux dans son contexte de déploiement. Elle ne consiste pas à recopier la documentation du fournisseur. Elle oblige le déployeur concerné à décrire ses processus, les personnes affectées, les risques spécifiques, la supervision et les mesures prévues avant la première utilisation.
La FRIA de l’article 27 est requise avant la première utilisation pour certains déployeurs de systèmes à haut risque de l’annexe III. Elle décrit le processus, la durée d’usage, les personnes affectées, les risques pour leurs droits, la supervision humaine, les mesures correctrices et les mécanismes de plainte. Elle complète l’AIPD lorsqu’un traitement de données personnelles est concerné.
Cluster éditorial : AI Act, données et droits fondamentaux · Intention : Comprendre et réaliser une FRIA au titre de l’article 27
En bref
L’essentiel à retenir
01
Périmètre vérifié avant l’analyse
02
Personnes concernées associées aux risques
03
Mesures testées dans le processus réel
04
AIPD coordonnée sans confusion
01
Vérifier qui doit réaliser la FRIA
Commencez par confirmer que le système est à haut risque au titre de l’article 6, paragraphe 2, et de l’annexe III. Vérifiez ensuite la catégorie du déployeur et le cas d’usage. L’article 27 vise notamment des organismes de droit public, certaines entités privées fournissant des services publics et certains usages liés à l’accès au crédit ou à l’assurance. Le texte comporte des précisions et exceptions qui doivent être lues dans leur version en vigueur.
Documentez aussi l’entité qui utilise le système, pas seulement le groupe ou le fournisseur. Une filiale peut décider de la finalité, de la population et du processus. Si l’obligation ne s’applique pas, une analyse volontaire peut rester pertinente pour un usage sensible. Dans ce cas, indiquez clairement qu’il s’agit d’une mesure de maîtrise et non d’une notification obligatoire.
Cartographiez les étapes avant, pendant et après l’intervention du système. Qui prépare les données, qui reçoit la sortie, quelle décision est influencée, quels contrôles existent et comment une personne peut contester ? Indiquez la durée et la fréquence d’utilisation. Une description générique du produit ne révèle pas l’effet dans l’organisation.
Cas concret : un organisme utilise un système pour prioriser des dossiers. La FRIA doit expliquer les critères, les groupes concernés, la place du classement dans la décision, les délais, les cas traités manuellement et les conséquences d’une erreur. Elle examine aussi les interactions avec les agents, les prestataires et les autres systèmes. Cette cartographie sert de base aux tests.
Identifier les personnes, groupes et droits concernés
Décrivez les catégories de personnes susceptibles d’être affectées, y compris celles qui ne sont pas utilisatrices. Analysez les situations de handicap, de vulnérabilité, de faible maîtrise numérique ou de déséquilibre de pouvoir. Évitez les catégories si larges qu’elles empêchent de voir un effet différencié.
Reliez ensuite chaque dommage possible à un droit ou une liberté : non-discrimination, vie privée, protection des données, recours effectif, droits de l’enfant, accès à un service, liberté d’expression ou conditions de travail selon le contexte. L’objectif n’est pas de dresser une liste abstraite. Il faut expliquer comment le système et le processus peuvent produire l’atteinte.
Évaluer la supervision et les mesures correctrices
Décrivez les informations accessibles à la personne chargée du contrôle, ses compétences, son temps, son autorité et sa capacité à ignorer ou interrompre la sortie. Testez le biais d’automatisation avec des scénarios plausibles. Une signature apposée après la décision ne constitue pas une supervision effective.
Pour chaque risque, définissez une mesure préventive, un indicateur, un seuil et une action lorsque le risque se matérialise. Prévoyez les mécanismes de plainte, le réexamen humain et la correction des données ou décisions. Associez les personnes responsables. Une mesure inscrite dans la FRIA doit exister dans l’interface et dans le fonctionnement quotidien.
L’AIPD analyse un traitement de données personnelles susceptible d’engendrer un risque élevé. La FRIA couvre un ensemble plus large de droits fondamentaux et répond à des conditions propres à l’AI Act. Les deux travaux peuvent partager la description, les personnes, les scénarios et certaines mesures. Ils ne doivent pas être confondus.
Créez une base factuelle commune puis deux matrices de conformité identifiables. Le DPO pilote ou valide les éléments RGPD. Le propriétaire métier, le juridique, la conformité, la sécurité et les représentants des personnes contribuent selon le contexte. Si un élément de l’article 27 est déjà satisfait par l’AIPD, la FRIA le complète et le référence au lieu de le dupliquer sans contrôle.
Avant la première utilisation, faites approuver la FRIA et traitez les mesures indispensables. Lorsque la notification à l’autorité de surveillance du marché est requise, utilisez le modèle applicable et conservez la preuve de transmission. Protégez les secrets et données personnelles dans les versions diffusées. Une urgence opérationnelle ne doit pas conduire à envoyer un dossier non maîtrisé.
Définissez les changements qui déclenchent une mise à jour : nouvelle population, finalité, fréquence, version, donnée, interface, seuil ou incident. Conservez l’historique et les avis des parties prenantes. La FRIA devient alors un outil de pilotage capable de montrer comment les risques ont évolué et pourquoi le déploiement reste acceptable ou doit être suspendu.
Fundamental Rights Impact Assessment, ou analyse d’impact sur les droits fondamentaux.
Non. L’article 27 définit des systèmes et catégories de déployeurs précis. Le périmètre doit être vérifié.
Non. Elle la complète lorsque les deux obligations s’appliquent.
Avant la première utilisation du système concerné, puis la mettre à jour si les éléments changent.
Le règlement encourage une analyse ancrée dans les impacts réels. La méthode et les parties prenantes dépendent du contexte et des autres règles applicables.
