7 août 2026.
Présentation générale
L’évaluation d’impact sur les droits fondamentaux, également désignée par l’acronyme anglais FRIA (Fundamental Rights Impact Assessment), est un mécanisme prévu par l’article 27 du règlement (UE) 2024/1689 sur l’intelligence artificielle, dit RIA ou AI Act.
Elle impose à certains déployeurs de systèmes d’intelligence artificielle à haut risque d’évaluer, avant leur première utilisation, les conséquences que le système est susceptible de produire sur les droits fondamentaux des personnes et groupes concernés.
L’objectif est de compléter l’évaluation technique du système réalisée par son fournisseur par une analyse centrée sur son contexte concret d’utilisation.
Cette distinction est fondamentale. Un fournisseur peut concevoir un système présentant certaines caractéristiques générales de sécurité, d’exactitude et de supervision. Il ne connaît toutefois pas nécessairement :
- la population auprès de laquelle il sera utilisé ;
- les rapports de pouvoir existant dans l’organisation ;
- les conséquences concrètes d’une erreur ;
- les procédures administratives ou commerciales dans lesquelles le système sera intégré ;
- les vulnérabilités particulières des personnes concernées.
L’évaluation d’impact relève donc principalement du déployeur, c’est-à-dire de l’organisme qui utilise le système sous son autorité. (AI Act Service Desk)
Elle doit notamment examiner les risques pesant sur :
- la dignité humaine ;
- la vie privée ;
- la protection des données ;
- la non-discrimination ;
- l’égalité ;
- la liberté d’expression ;
- la liberté de réunion ;
- l’accès aux services essentiels ;
- les droits sociaux ;
- les droits des travailleurs ;
- les droits de l’enfant ;
- les droits des personnes handicapées ;
- le droit à un recours effectif ;
- le droit à une bonne administration ;
- le droit à un procès équitable.
L’analyse ne consiste donc pas en une simple vérification formelle de conformité au RIA. Elle vise à déterminer si l’usage concret d’un système techniquement conforme demeure acceptable au regard des droits fondamentaux.
Le considérant 96 du RIA souligne que cette évaluation est particulièrement nécessaire dans les situations caractérisées par une asymétrie de pouvoir, notamment lorsque l’IA intervient dans l’éducation, les soins de santé, les services sociaux, le logement, la justice, le crédit ou certaines assurances. (AI Act Service Desk)
Point d’actualité : application reportée au 2 décembre 2027
Le calendrier initial du RIA prévoyait l’application des principales dispositions relatives aux systèmes à haut risque de l’annexe III à compter du 2 août 2026.
Ce calendrier a été modifié par le règlement (UE) 2026/1744 du Parlement européen et du Conseil du 8 juillet 2026, dit « Digital Omnibus on AI ».
Ce règlement reporte l’application des sections 1 à 3 du chapitre III du RIA :
- au 2 décembre 2027 pour les systèmes à haut risque relevant de l’article 6, paragraphe 2, et de l’annexe III ;
- au 2 août 2028 pour les systèmes à haut risque relevant de l’article 6, paragraphe 1, liés aux produits réglementés de l’annexe I. (Eur-Lex)
L’article 27 appartient à la section 3 du chapitre III et concerne exclusivement des systèmes relevant de l’article 6, paragraphe 2.
Au 7 août 2026, l’obligation légale de réaliser la FRIA prévue par l’article 27 n’est donc pas encore applicable. Elle le deviendra le 2 décembre 2027, sauf nouvelle modification législative.
Cette modification récente du calendrier est importante car de nombreux documents et analyses antérieurs mentionnent encore le 2 août 2026.
Points essentiels
- La FRIA est prévue par l’article 27 du RIA.
- Elle porte sur l’usage concret d’un système à haut risque et non seulement sur sa conception.
- Elle incombe au déployeur, non au fournisseur, même si celui-ci doit lui fournir les informations nécessaires.
- Elle ne concerne pas tous les systèmes d’IA.
- Elle ne concerne même pas tous les systèmes d’IA à haut risque.
- Elle vise certains systèmes de l’annexe III.
- Les systèmes à haut risque liés aux infrastructures critiques visées au point 2 de l’annexe III sont expressément exclus de l’article 27.
- Les organismes de droit public font partie des principaux déployeurs concernés.
- Certaines entreprises privées fournissant des services publics sont également concernées.
- Les organismes utilisant des systèmes de notation de crédit ou certains systèmes d’assurance sont concernés indépendamment de leur nature publique ou privée.
- L’analyse doit identifier les personnes et groupes susceptibles d’être affectés.
- Elle doit identifier les risques de préjudice pour leurs droits fondamentaux.
- Elle doit décrire la supervision humaine.
- Elle doit prévoir des mesures lorsque les risques se matérialisent.
- Elle complète, lorsque cela est pertinent, l’analyse d’impact relative à la protection des données du RGPD.
- Le résultat doit être notifié à l’autorité de surveillance du marché.
- L’évaluation doit être actualisée lorsque le contexte ou les risques évoluent.
- La Commission prépare un modèle de questionnaire destiné à faciliter cette obligation.
- Depuis le Digital Omnibus on AI de juillet 2026, l’article 27 doit s’appliquer à compter du 2 décembre 2027. (AI Act Service Desk)
1. Fondement juridique
Article 27 du RIA
L’article 27 est intitulé :
« Analyse d’impact des systèmes d’IA à haut risque sur les droits fondamentaux ».
Il appartient au chapitre III consacré aux systèmes à haut risque et, plus précisément, à la section relative aux obligations des fournisseurs et déployeurs.
L’obligation complète le système général de gestion des risques imposé au fournisseur.
Le fournisseur doit notamment concevoir son système afin de réduire les risques pour :
- la santé ;
- la sécurité ;
- les droits fondamentaux.
Le déployeur doit ensuite examiner la manière dont ces risques se manifestent dans son propre environnement d’utilisation. (AI Act Service Desk)
Texte de l’article 27
Article 27 du RIA – AI Act Service Desk
Règlement (UE) 2024/1689
Règlement européen sur l’intelligence artificielle – EUR-Lex
2. Qui doit réaliser une évaluation ?
L’article 27 ne vise pas tous les déployeurs.
Trois grandes catégories doivent être distinguées.
2.1. Organismes de droit public
Les organismes de droit public qui déploient un système à haut risque relevant de l’article 6, paragraphe 2, doivent en principe réaliser une FRIA, sauf pour les systèmes relevant de l’annexe III, point 2.
Peuvent notamment être concernés :
- administrations ;
- collectivités territoriales ;
- établissements publics ;
- organismes publics sociaux ;
- établissements publics de santé ;
- certaines institutions de justice.
Exemples :
- système déterminant l’éligibilité à une prestation sociale ;
- système d’orientation éducative ;
- outil utilisé dans le recrutement public ;
- système assistant une autorité dans l’application du droit.
2.2. Entités privées fournissant des services publics
L’obligation s’applique également aux entités privées qui fournissent des services publics.
Le considérant 96 mentionne notamment des missions d’intérêt public dans les domaines :
- de l’éducation ;
- de la santé ;
- des services sociaux ;
- du logement ;
- de l’administration de la justice. (AI Act Service Desk)
La qualification doit être appréciée à partir de la fonction exercée et du droit applicable.
Une entreprise privée n’est donc pas automatiquement concernée du seul fait qu’elle fournit un service important au public.
2.3. Crédit et assurance
Deux catégories particulières sont soumises à la FRIA indépendamment du caractère public du déployeur.
Il s’agit des systèmes mentionnés aux points 5 b) et 5 c) de l’annexe III.
Évaluation de la solvabilité et notation de crédit
Sont visés les systèmes destinés à :
- évaluer la solvabilité des personnes physiques ;
- établir leur note de crédit.
La détection de fraude financière bénéficie de l’exception prévue par l’annexe III. (AI Act Service Desk)
Assurance vie et santé
Sont visés les systèmes destinés :
- à l’évaluation du risque ;
- à la tarification,
pour les personnes physiques en matière d’assurance vie ou d’assurance maladie. (AI Act Service Desk)
Une banque ou un assureur privé peut donc être directement soumis à l’article 27.
3. Systèmes exclus
3.1. Tous les systèmes d’IA ne sont pas concernés
Un chatbot interne, un système de traduction ou un assistant de rédaction n’est pas soumis à l’article 27 simplement parce qu’il utilise de l’intelligence artificielle.
Il faut d’abord vérifier que le système constitue un système à haut risque au sens de l’article 6, paragraphe 2.
La fiche Dabo Tibi Ius consacrée aux systèmes à haut risque détaille cette qualification. (Dabo Tibi Ius)
Ressource Dabo Tibi Ius
Systèmes d’IA à haut risque : définition et obligations
3.2. Systèmes intégrés à des produits réglementés
L’article 27 vise les systèmes relevant de l’article 6, paragraphe 2, c’est-à-dire principalement ceux de l’annexe III.
Il ne vise donc pas directement les systèmes qualifiés à haut risque au titre de l’article 6, paragraphe 1, parce qu’ils sont intégrés comme composants de sécurité à certains produits réglementés.
Cela peut notamment concerner certains systèmes intégrés à :
- des dispositifs médicaux ;
- des machines ;
- des véhicules ;
- des équipements réglementés.
D’autres évaluations de risques restent évidemment applicables.
3.3. Infrastructures critiques
L’article 27 exclut expressément les systèmes à haut risque du point 2 de l’annexe III, relatif aux infrastructures numériques critiques, à la circulation routière ou à l’approvisionnement en eau, gaz, chauffage ou électricité dans les conditions prévues par le règlement. (AI Act Service Desk)
4. Contenu obligatoire de l’évaluation
L’article 27 précise six éléments.
4.1. Description du processus
Le déployeur doit décrire les processus dans lesquels le système sera utilisé.
Il ne suffit donc pas d’indiquer :
« outil d’IA utilisé par notre administration ».
Il faut préciser :
- à quelle étape le système intervient ;
- quelles données il reçoit ;
- quel résultat il produit ;
- qui consulte le résultat ;
- comment celui-ci influence la décision finale.
4.2. Durée et fréquence d’utilisation
L’évaluation doit indiquer :
- pendant combien de temps le système sera utilisé ;
- avec quelle fréquence ;
- à quelle échelle.
Un outil utilisé exceptionnellement sur quelques dossiers ne présente pas nécessairement les mêmes risques qu’un système examinant quotidiennement des millions de personnes.
4.3. Personnes et groupes concernés
Le déployeur doit identifier les catégories de personnes susceptibles d’être touchées.
Exemples :
- demandeurs d’emploi ;
- étudiants ;
- allocataires sociaux ;
- candidats à un crédit ;
- assurés ;
- justiciables ;
- migrants ;
- salariés.
L’analyse doit également rechercher les groupes particulièrement vulnérables.
Il peut notamment s’agir :
- des mineurs ;
- des personnes handicapées ;
- des personnes âgées ;
- des personnes économiquement précaires ;
- des personnes ne maîtrisant pas la langue ;
- des groupes exposés à des discriminations historiques.
4.4. Risques spécifiques de préjudice
Le déployeur identifie ensuite les risques susceptibles d’affecter ces personnes.
Il doit notamment tenir compte des informations communiquées par le fournisseur au titre de l’article 13. (AI Act Service Desk)
5. Quels droits fondamentaux examiner ?
Le RIA ne fournit pas une liste limitative dans l’article 27.
L’analyse doit être construite à partir de la Charte des droits fondamentaux de l’Union européenne et, selon le contexte, de la Convention européenne des droits de l’homme et des droits nationaux.
Dignité humaine
Exemple : traitement déshumanisant de personnes vulnérables par un système automatisé.
Vie privée
Exemple : collecte excessive de données pour évaluer une demande de prestation.
Protection des données
Exemple : profilage à partir de données inexactes ou détournées de leur finalité.
Égalité et non-discrimination
Exemple : notation de crédit défavorable à certains groupes en raison de variables servant indirectement de proxy à l’origine ou au sexe.
Droits de l’enfant
Exemple : système d’orientation scolaire produisant des trajectoires défavorables difficilement réversibles.
Droits des personnes handicapées
Exemple : outil de recrutement incapable d’évaluer équitablement un candidat utilisant une technologie d’assistance.
Droits sociaux
Exemple : suppression automatique d’une aide sociale sur la base d’un risque de fraude.
Droit à une bonne administration
Exemple : impossibilité de comprendre ou de contester une décision administrative influencée par une IA.
Droit au recours effectif
Exemple : absence de mécanisme permettant à une personne de demander la révision humaine d’une décision.
Procès équitable
Exemple : utilisation d’une recommandation algorithmique par une juridiction sans possibilité effective de la discuter.
La base Dabo Tibi Ius souligne de manière générale que la protection des droits fondamentaux constitue l’une des justifications centrales du régime européen des systèmes à haut risque. (Dabo Tibi Ius)
6. Supervision humaine
L’évaluation doit décrire comment les mesures de supervision humaine prévues pour le système seront effectivement mises en œuvre.
Il faut notamment identifier :
- les personnes chargées du contrôle ;
- leur formation ;
- leurs compétences ;
- les informations auxquelles elles ont accès ;
- leur capacité à contester la sortie ;
- leur pouvoir d’arrêter ou d’ignorer le système ;
- les procédures d’escalade.
Une supervision purement formelle est insuffisante.
Un agent qui approuve systématiquement la recommandation de l’IA sans disposer :
- du temps ;
- des connaissances ;
- de l’autorité ;
- des données nécessaires
ne constitue pas nécessairement une supervision humaine effective.
7. Mesures en cas de matérialisation des risques
La FRIA doit préciser les mesures prévues lorsque les risques identifiés se réalisent.
L’article 27 mentionne expressément :
- la gouvernance interne ;
- les mécanismes de plainte internes. (AI Act Service Desk)
Les mesures peuvent comprendre :
- suspension du système ;
- retour à une procédure manuelle ;
- révision humaine du dossier ;
- correction des données ;
- modification du seuil de décision ;
- modification des instructions ;
- information du fournisseur ;
- audit ;
- indemnisation ou réparation ;
- mécanisme de recours ;
- formation supplémentaire ;
- suppression d’une fonctionnalité.
8. Participation des parties prenantes
L’article 27 n’impose pas formellement une consultation systématique des personnes concernées.
Le considérant 96 encourage toutefois les déployeurs, particulièrement dans le secteur public, à associer lorsque cela est pertinent :
- les représentants des groupes susceptibles d’être affectés ;
- des experts indépendants ;
- des organisations de la société civile. (AI Act Service Desk)
Cette consultation peut révéler des risques que l’organisation n’avait pas identifiés.
Exemple :
Une administration développant un système destiné aux personnes handicapées peut techniquement considérer son interface accessible. Les associations d’usagers peuvent néanmoins constater que certaines démarches restent matériellement impossibles.
La participation des personnes concernées constitue donc une bonne pratique importante, même lorsqu’elle ne constitue pas une obligation automatique de l’article 27.
9. Première utilisation et mise à jour
L’évaluation doit être réalisée avant la première utilisation du système à haut risque.
Dans des cas similaires, le déployeur peut s’appuyer sur :
- une FRIA qu’il a déjà réalisée ;
- une évaluation existante réalisée par le fournisseur.
Il doit cependant vérifier que cette analyse correspond réellement à son propre contexte.
Une évaluation réalisée pour une banque ne peut pas nécessairement être reprise telle quelle par :
- une administration ;
- une université ;
- un hôpital.
L’évaluation doit par ailleurs être actualisée si les éléments pertinents changent.
Exemples :
- nouvelle population ;
- extension du système ;
- changement de fournisseur ;
- nouvelle version du modèle ;
- nouvelles données ;
- nouvelles fonctions ;
- incident discriminatoire ;
- modification de la supervision humaine. (AI Act Service Desk)
10. Notification à l’autorité
Après avoir réalisé la FRIA, le déployeur doit notifier ses résultats à l’autorité de surveillance du marché.
Cette notification doit être effectuée au moyen du modèle prévu par l’article 27, paragraphe 5.
L’article 46 prévoit une exception possible dans certaines situations exceptionnelles justifiant la mise en service urgente d’un système à haut risque. (AI Act Service Desk)
L’analyse ne constitue donc pas uniquement un document interne de conformité.
Elle participe à la surveillance réglementaire du système.
11. Modèle européen
Le Bureau européen de l’IA doit élaborer un modèle de questionnaire, éventuellement accessible sous la forme d’un outil automatisé.
Son objectif est :
- d’harmoniser les pratiques ;
- de simplifier les évaluations ;
- de réduire les charges administratives ;
- de faciliter les notifications.
La Commission a confirmé en 2026 que des lignes directrices et un modèle spécifique de FRIA font partie des instruments destinés à accompagner l’application future des règles relatives aux systèmes à haut risque. (Stratégie Numérique Européenne)
Au 7 août 2026, ce cadre d’accompagnement continue donc d’être précisé avant la date d’application désormais fixée au 2 décembre 2027.
12. FRIA et AIPD du RGPD
12.1. Deux analyses différentes
La FRIA ne doit pas être confondue avec l’analyse d’impact relative à la protection des données, ou AIPD/DPIA, prévue par l’article 35 du RGPD.
AIPD
Elle porte principalement sur les risques qu’un traitement de données personnelles fait peser sur les droits et libertés.
FRIA
Elle examine plus largement les effets du système d’IA sur l’ensemble des droits fondamentaux.
Une IA peut donc nécessiter :
- une AIPD ;
- une FRIA ;
- les deux.
12.2. Coordination
L’article 27 prévoit expressément que lorsque certaines obligations sont déjà satisfaites dans le cadre d’une AIPD, la FRIA doit compléter cette analyse et non reproduire inutilement le même travail. (AI Act Service Desk)
Un dossier unique peut donc regrouper plusieurs évaluations, à condition que toutes les exigences de chacun des textes demeurent identifiables.
12.3. Exemple
Une banque utilise une IA de notation de crédit.
L’AIPD examine notamment :
- les données utilisées ;
- la base juridique ;
- le profilage ;
- la conservation ;
- la sécurité.
La FRIA ajoute notamment :
- le risque de discrimination économique ;
- l’exclusion de certains groupes ;
- l’accès à un service essentiel ;
- la capacité réelle de contester la décision ;
- la qualité de la supervision humaine.
La fiche Dabo Tibi Ius consacrée aux données personnelles souligne cette complémentarité entre le RGPD et le RIA. (Dabo Tibi Ius)
Ressource Dabo Tibi Ius
Données personnelles et intelligence artificielle
13. FRIA et gestion des risques du fournisseur
Il faut également distinguer la FRIA du système de gestion des risques prévu à l’article 9.
Fournisseur
Le fournisseur doit identifier et maîtriser les risques inhérents au système et raisonnablement prévisibles.
Déployeur
Le déployeur analyse les risques produits par l’usage concret du système dans son organisation.
Les deux analyses sont complémentaires.
Exemple :
Un fournisseur identifie un risque général de biais dans un système de sélection.
Le déployeur découvre que son entreprise :
- recrute presque exclusivement dans une zone géographique déterminée ;
- utilise des données historiques issues d’une période durant laquelle les femmes étaient sous-représentées ;
- applique le classement de l’IA comme seuil quasi automatique.
La FRIA permet d’identifier ces risques propres au contexte local.
14. Exemple : système d’attribution de prestations sociales
Une administration souhaite utiliser une IA pour détecter les demandes présentant un risque d’irrégularité.
Personnes concernées
- allocataires ;
- familles monoparentales ;
- personnes handicapées ;
- personnes précaires.
Droits concernés
- protection des données ;
- non-discrimination ;
- droit à une bonne administration ;
- droits sociaux ;
- droit au recours.
Risques
- faux positifs ;
- ciblage disproportionné de certains quartiers ;
- utilisation de variables servant de proxy à l’origine ;
- suspension excessive des prestations ;
- impossibilité de comprendre le score.
Mesures
- aucun retrait automatique ;
- contrôle humain renforcé ;
- examen des taux de faux positifs par groupe ;
- procédure rapide de contestation ;
- retour au traitement manuel en cas d’anomalie ;
- audit périodique.
15. Exemple : notation de crédit
Une banque utilise une IA pour établir un score influençant l’octroi d’un prêt immobilier.
La FRIA doit notamment examiner :
- les groupes affectés ;
- les variables utilisées ;
- les risques de discrimination indirecte ;
- les différences de taux de refus ;
- les effets de données incorrectes ;
- les possibilités d’intervention humaine ;
- les possibilités de recours ;
- le risque d’exclusion financière.
L’utilisation d’un système de notation de crédit constitue l’un des cas expressément visés par l’article 27. (AI Act Service Desk)
16. Exemple : justice
Une autorité judiciaire utilise un système à haut risque destiné à l’assister dans la recherche et l’interprétation des faits et du droit.
La FRIA peut notamment examiner :
- l’indépendance du juge ;
- la présomption d’innocence ;
- le contradictoire ;
- le droit à un procès équitable ;
- les biais de la jurisprudence historique ;
- le risque d’automatisation de l’appréciation ;
- la possibilité pour les parties de comprendre l’influence du système.
La base Dabo Tibi Ius insiste sur la nécessité de préserver la maîtrise humaine de la fonction de juger. (Dabo Tibi Ius)
Ressource Dabo Tibi Ius
La fonction de juger à l’ère de l’intelligence artificielle
17. Méthode pratique
Une FRIA opérationnelle peut être organisée autour de neuf étapes.
Étape 1 – Qualifier le système
Vérifier :
- qu’il s’agit d’un système d’IA ;
- qu’il relève de l’annexe III ;
- qu’aucune exclusion de l’article 6, paragraphe 3, ne s’applique ;
- que le déployeur appartient à une catégorie visée par l’article 27.
Étape 2 – Cartographier le processus
Décrire précisément :
- les entrées ;
- les sorties ;
- les décisions concernées ;
- les acteurs humains ;
- les dépendances.
Étape 3 – Identifier les populations
Recenser :
- personnes directement concernées ;
- groupes indirectement touchés ;
- populations vulnérables.
Étape 4 – Identifier les droits
Construire une matrice :
droit → scénario de risque → gravité → probabilité → mesure.
Étape 5 – Examiner la supervision
Vérifier que l’humain peut effectivement :
- comprendre ;
- intervenir ;
- désactiver ;
- corriger ;
- contester la sortie.
Étape 6 – Évaluer les risques résiduels
Distinguer :
- risque avant mesure ;
- mesure d’atténuation ;
- risque après mesure.
Étape 7 – Prévoir les recours
Définir :
- point de contact ;
- procédure de plainte ;
- délai ;
- autorité de décision ;
- procédure de réexamen humain.
Étape 8 – Consulter si nécessaire
Associer :
- représentants des personnes ;
- DPO ;
- juristes ;
- experts techniques ;
- associations ;
- représentants du personnel.
Étape 9 – Documenter et actualiser
Conserver :
- versions ;
- données ;
- décisions ;
- tests ;
- incidents ;
- mesures correctrices.
Jurisprudence
Au 7 août 2026, il n’existe naturellement pas encore de jurisprudence européenne consolidée relative à l’obligation de FRIA de l’article 27.
Le Digital Omnibus de juillet 2026 a en outre reporté son application au 2 décembre 2027. (Eur-Lex)
La jurisprudence existante relative :
- à la non-discrimination ;
- au profilage ;
- aux décisions automatisées ;
- à la protection des données ;
- au procès équitable ;
- aux droits sociaux
reste néanmoins essentielle pour déterminer concrètement les droits susceptibles d’être affectés.
La décision CJUE, 7 décembre 2023, SCHUFA Holding, C-634/21, relative à la notation automatisée de solvabilité, constitue par exemple un élément important pour apprécier les risques attachés aux systèmes de scoring financier.
Acteurs
Déployeur
Il est responsable de la FRIA lorsqu’il appartient aux catégories visées par l’article 27.
Fournisseur
Il fournit notamment les informations nécessaires concernant :
- le fonctionnement ;
- les risques ;
- les performances ;
- les limites ;
- la supervision.
Personnes concernées
Elles constituent le centre de l’analyse, puisque l’objectif est d’évaluer les risques pesant sur leurs droits.
Organisations de la société civile
Elles peuvent être associées à l’analyse, particulièrement lorsque des groupes vulnérables sont concernés.
DPO
Il joue un rôle important lorsque le système traite des données personnelles et qu’une AIPD est nécessaire.
Autorité de surveillance du marché
Elle reçoit la notification prévue par l’article 27.
Bureau de l’IA
Il doit notamment fournir un modèle de questionnaire destiné à faciliter les évaluations.
Débats actuels
Pourquoi la FRIA ne concerne-t-elle pas tous les systèmes à haut risque ?
Le champ de l’article 27 résulte d’un compromis législatif. Certains auteurs considèrent qu’une analyse d’impact sur les droits fondamentaux devrait accompagner tout usage à haut risque.
Le fournisseur peut-il réaliser la FRIA à la place du client ?
Non au sens strict lorsque l’obligation pèse sur le déployeur. Le fournisseur peut fournir une analyse utile, mais le contexte réel doit être évalué par celui qui utilise le système.
Faut-il publier la FRIA ?
L’article 27 impose une notification à l’autorité de surveillance, non une publication intégrale systématique.
D’autres règles relatives à la transparence administrative ou à l’accès aux documents peuvent toutefois s’appliquer.
Une AIPD suffit-elle ?
Non. Elle peut couvrir une partie importante de l’analyse, mais la FRIA doit compléter les aspects non couverts par le droit des données.
Faut-il consulter les personnes concernées ?
Ce n’est pas une obligation générale formulée dans l’article 27, mais le considérant 96 recommande cette démarche lorsque cela est pertinent. (AI Act Service Desk)
Une FRIA positive oblige-t-elle à utiliser le système ?
Non. Une évaluation peut au contraire conduire l’organisme à conclure que certains risques ne peuvent pas être suffisamment atténués et à renoncer au déploiement.
Actualité récente
Le principal développement récent est l’adoption du règlement (UE) 2026/1744 du 8 juillet 2026, publié le 24 juillet 2026.
Le texte a reporté l’application des exigences applicables aux systèmes de l’annexe III jusqu’au 2 décembre 2027, en raison notamment du retard pris dans l’élaboration des normes harmonisées, des lignes directrices et des structures nationales de contrôle. (Eur-Lex)
La Commission poursuit parallèlement l’élaboration :
- des lignes directrices sur les systèmes à haut risque ;
- des lignes directrices sur les obligations des fournisseurs et déployeurs ;
- du modèle de FRIA ;
- de recommandations relatives à l’articulation entre le RIA et le droit des données personnelles. (Stratégie Numérique Européenne)
La période allant jusqu’au 2 décembre 2027 constitue donc une phase de préparation opérationnelle particulièrement importante pour les organismes publics, banques, assureurs et autres déployeurs concernés.
Ressources essentielles
Base documentaire Dabo Tibi Ius
Systèmes d’IA à haut risque : définition et obligations
Consulter la fiche Dabo Tibi Ius
Données personnelles et intelligence artificielle
Consulter la fiche Dabo Tibi Ius
Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle
Consulter la fiche Dabo Tibi Ius
La fonction de juger à l’ère de l’intelligence artificielle
Consulter la fiche Dabo Tibi Ius
Droit bancaire et financier et intelligence artificielle
Consulter la fiche Dabo Tibi Ius
Textes européens
Article 27 du RIA
Article 27 – Analyse d’impact sur les droits fondamentaux
Considérant 96
Règlement (UE) 2024/1689
Règlement (UE) 2026/1744 – Digital Omnibus on AI
Texte modificatif du 8 juillet 2026 sur EUR-Lex
Commission européenne – obligations relatives aux systèmes à haut risque
Lignes directrices et calendrier actualisé
Commission européenne – présentation du RIA
FAQ
Qu’est-ce qu’une FRIA ?
Une analyse destinée à identifier et réduire les effets qu’un système d’IA à haut risque peut produire sur les droits fondamentaux dans son contexte concret d’utilisation.
Qui doit la réaliser ?
Principalement certains organismes publics, certaines entités privées fournissant des services publics ainsi que les déployeurs de systèmes de notation de crédit et de tarification ou d’évaluation des risques en assurance vie et santé.
Tous les systèmes à haut risque sont-ils concernés ?
Non.
Les dispositifs médicaux à haut risque sont-ils automatiquement soumis à l’article 27 ?
Non. Les systèmes qualifiés à haut risque uniquement au titre de l’article 6, paragraphe 1, ne relèvent pas directement de l’article 27.
Quand l’obligation devient-elle applicable ?
Le 2 décembre 2027 pour les systèmes de l’annexe III, après le report introduit par le règlement (UE) 2026/1744.
Quand doit-elle être réalisée ?
Avant la première utilisation du système.
Doit-elle être renouvelée chaque année ?
Pas nécessairement. Elle doit être mise à jour lorsque les éléments pertinents changent ou deviennent obsolètes.
Faut-il examiner tous les droits fondamentaux ?
Il faut identifier tous ceux qui peuvent raisonnablement être affectés par l’usage considéré. La liste n’est pas limitée à la vie privée ou à la non-discrimination.
Une AIPD du RGPD remplace-t-elle la FRIA ?
Non. La FRIA complète l’AIPD lorsque certaines analyses se recoupent.
Le fournisseur peut-il fournir une FRIA prête à l’emploi ?
Il peut fournir une analyse utile et l’article 27 permet de s’appuyer sur certaines évaluations existantes, mais le déployeur doit vérifier leur pertinence au regard de son contexte concret.
Faut-il notifier l’autorité ?
Oui. Après réalisation de l’évaluation, ses résultats doivent être notifiés à l’autorité de surveillance du marché dans les conditions de l’article 27.
Les personnes concernées doivent-elles participer ?
Ce n’est pas une obligation générale de l’article 27, mais le considérant 96 recommande d’associer les groupes concernés, experts et organisations de la société civile lorsque cela est pertinent.
Une FRIA peut-elle conduire à renoncer au système ?
Oui. Si les risques ne peuvent pas être réduits à un niveau acceptable, le déployeur peut conclure que l’utilisation ne doit pas avoir lieu.
Méthodologie : Cette fiche a été générée avec l’assistance de l’intelligence artificielle à partir de la base documentaire et de sources juridiques complémentaires lorsque cela était nécessaire. Elle constitue une synthèse documentaire et ne remplace pas un avis juridique.
Résumé pédagogique
Définition
L’évaluation d’impact sur les droits fondamentaux, ou FRIA, est l’analyse prévue par l’article 27 du règlement européen sur l’intelligence artificielle. Certains organismes utilisant des systèmes d’IA à haut risque devront examiner avant leur déploiement les conséquences possibles sur la vie privée, la non-discrimination, les droits sociaux, le recours effectif ou encore le procès équitable.
Exemple
Une banque souhaite utiliser une IA pour noter la solvabilité des candidats à un crédit. Elle doit identifier les populations concernées, rechercher d’éventuelles discriminations, mesurer le risque d’exclusion financière, organiser une supervision humaine et prévoir une procédure permettant de contester les résultats.
Problématique juridique
Un système peut être techniquement conforme tout en créant des risques spécifiques dans son contexte d’utilisation. Une erreur de notation n’a pas les mêmes conséquences dans un outil publicitaire et dans un système déterminant l’accès à un logement, à un crédit ou à une prestation sociale. La FRIA oblige donc le déployeur à examiner les effets humains concrets de l’IA.
Cadre légal
Le mécanisme repose sur l’article 27 du règlement (UE) 2024/1689 et son considérant 96. Il complète notamment l’AIPD prévue par le RGPD. Le règlement (UE) 2026/1744 du 8 juillet 2026 a reporté l’application des règles relatives aux systèmes à haut risque de l’annexe III, et donc de la FRIA, au 2 décembre 2027.
Fiche Dabo Tibi Ius associées :