Pour l’IA médicale, l’AIPD s’applique en général, la FRIA le plus souvent non : voir Avez-vous besoin d’une FRIA pour l’IA médicale ?.
Si votre organisation déploie dans l’Union un système d’IA qui traite des données à caractère personnel et entre dans une catégorie à haut risque de l’annexe III, vous aurez presque toujours deux analyses d’impact distinctes à mener : une analyse d’impact relative à la protection des données (AIPD) au titre du RGPD, et, lorsque l’article 27 s’applique, une analyse d’impact relative aux droits fondamentaux (FRIA) au titre du règlement sur l’IA. Achever l’une ne satisfait pas l’autre. Manquer l’une ou l’autre vous expose à des mesures d’exécution sous des régimes d’amendes distincts, en même temps.
Ce guide pose ce que chaque analyse exige, où elles se recoupent, où elles divergent, et comment construire une méthode combinée qui satisfait les deux dans un seul processus.
Les obligations à haut risque de l’annexe III, y compris la FRIA de l’article 27, s’appliquent à compter du 2 décembre 2027 (reportées du 2 août 2026 par le Digital Omnibus, règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026). Pour les systèmes de l’annexe I, l’échéance est le 2 août 2028. L’article 50 s’applique depuis le 2 août 2026.
L’essentiel, AIPD et FRIA : les écarts qui comptent
- Deux obligations distinctes : l’AIPD est exigée par l’article 35 du RGPD. La FRIA est exigée par l’article 27 du règlement sur l’IA. Deux règlements, deux autorités, deux étendues, deux plafonds d’amende.
- Deux focales : une AIPD évalue les risques pour la protection des données et la vie privée. Une FRIA évalue les risques pour l’ensemble des droits fondamentaux de la Charte, y compris la non-discrimination, la dignité, la liberté d’expression, l’accès à la justice, et d’autres encore.
- Deux déclencheurs : l’AIPD se déclenche lorsqu’un traitement de données à caractère personnel est susceptible d’engendrer un risque élevé (profilage, catégories particulières à grande échelle, surveillance systématique). La FRIA se déclenche lorsqu’un déployeur visé à l’article 27, paragraphe 1, met en service un système d’IA à haut risque de l’annexe III (sauf le point 2, infrastructures critiques).
- Deux responsables : l’AIPD pèse sur le responsable du traitement. La FRIA pèse sur le déployeur. Ce ne sont pas toujours les mêmes personnes morales.
- Deux régimes de notification : l’AIPD est un document interne, sans enregistrement (sauf consultation préalable de l’autorité de protection des données dans certains cas). La FRIA doit être notifiée à l’autorité de surveillance du marché (article 27, paragraphe 3). L’enregistrement dans la base de données de l’UE relève de l’article 49, distinct.
- On peut les combiner : l’article 27, paragraphe 4, prévoit que la FRIA complète une AIPD lorsque certaines obligations y sont déjà satisfaites. Le document unique doit pourtant couvrir les exigences des deux textes.
- Les deux avant le déploiement : ni l’une ni l’autre n’est un exercice après coup. L’AIPD avant le traitement, la FRIA avant la mise en service.
Deux analyses, deux bases juridiques, pourquoi les deux peuvent s’imposer
Lorsque vous déployez un système d’IA qui traite des données à caractère personnel et entre dans la classification à haut risque du règlement sur l’IA, deux textes distincts imposent deux analyses d’impact distinctes. Beaucoup d’organisations ne le voient qu’une fois le calendrier déjà serré.
L’obligation d’AIPD au titre du RGPD
L’analyse d’impact relative à la protection des données est obligatoire depuis mai 2018. Au titre de l’article 35 du RGPD, le responsable du traitement mène une AIPD avant un traitement « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques ». Pour un système d’IA, le déclenchement est presque constant : décision automatisée, profilage et traitement à grande échelle de données à caractère personnel figurent parmi les indicateurs de risque élevé.
L’AIPD se concentre sur la protection des données : quelles données sont collectées, pourquoi, comment elles sont traitées, quels risques pèsent sur les personnes concernées, et quelles garanties les atténuent.
L’obligation de FRIA au titre du règlement sur l’IA
L’analyse d’impact relative aux droits fondamentaux est plus récente. Elle est instituée par le règlement sur l’IA (règlement (UE) 2024/1689). Au titre de l’article 27, certains déployeurs de systèmes d’IA à haut risque visés à l’article 6, paragraphe 2, doivent mener une FRIA avant la mise en service : les organismes de droit public, les entités privées fournissant des services publics, et les déployeurs de systèmes visés à l’annexe III, points 5, b) et c) (solvabilité et assurance vie / maladie). Les systèmes du point 2 de l’annexe III (infrastructures critiques) sont expressément exclus.
La FRIA va au-delà de la protection des données. Elle exige d’évaluer les risques pour le spectre entier des droits fondamentaux reconnus par la Charte : dignité humaine, non-discrimination, liberté d’expression, droits de l’enfant, intégration des personnes handicapées, recours effectif, protection des consommateurs, sécurité sociale, parmi d’autres.
Achever l’une ne satisfait pas l’autre
C’est le point décisif. Une AIPD ne couvre pas l’ampleur de l’analyse des droits fondamentaux exigée par une FRIA. Une FRIA n’inclut pas la méthode propre à l’analyse des risques pour la protection des données exigée par une AIPD. Même si vous réunissez les deux dans un seul document (voie ouverte par l’article 27, paragraphe 4), chaque exigence des deux textes doit y figurer.
Les organisations qui tiennent leur pratique d’AIPD pour suffisante s’exposent à des amendes au titre du règlement sur l’IA, jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial pour un manquement aux obligations du déployeur, en plus des amendes du RGPD.
Pour l’articulation des deux régimes, voir : règlement sur l’IA et RGPD : écarts et recoupements.
Votre système d’IA est-il à haut risque ?
Découvrez-le en 2 minutes, gratuitement, sans inscription.
Faire l’évaluation gratuiteQu’est-ce qu’une AIPD ?
Une analyse d’impact relative à la protection des données est un processus structuré pour identifier, évaluer et atténuer les risques que le traitement de données à caractère personnel fait peser sur les personnes. C’est l’un des mécanismes centraux de responsabilisation du RGPD.
Base juridique : article 35 du RGPD
L’article 35, paragraphe 1, impose au responsable du traitement de mener une AIPD « préalablement au traitement » lorsqu’un type de traitement, « en particulier par le recours à de nouvelles technologies », est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques ».
Cette obligation est complétée par l’article 35, paragraphe 3 (déclencheurs impératifs), l’article 35, paragraphe 4 (listes nationales des traitements à risque élevé) et l’article 36 (consultation préalable de l’autorité de protection des données lorsque le risque résiduel demeure élevé). Les lignes directrices du G29 sur les AIPD (WP 248 rev.01, reprises par le CEPD) fournissent des orientations d’application.
Quand une AIPD est exigée
Une AIPD est obligatoire lorsque le traitement est susceptible d’engendrer un risque élevé. L’article 35, paragraphe 3, énumère trois situations où elle l’est toujours :
- Profilage systématique et approfondi avec effets juridiques ou significatifs. Cela couvre l’essentiel des décisions assistées par IA qui touchent des personnes : évaluation de la solvabilité, embauche, souscription d’assurance, éligibilité à une prestation, évaluations scolaires.
- Traitement à grande échelle de catégories particulières de données. Données de santé, données biométriques, données génétiques, origine raciale ou ethnique, opinions politiques, appartenance syndicale, convictions religieuses, vie sexuelle. Les systèmes d’IA en santé, en RH (données de diversité) ou dans les services répressifs traitent souvent ces catégories.
- Surveillance systématique d’une zone accessible au public. Vidéosurveillance avec reconnaissance faciale, analyse de foule, suivi comportemental dans l’espace public.
Au-delà de ces trois cas, le G29 a identifié neuf critères de risque élevé (évaluation ou notation, décision automatisée à effet significatif, surveillance systématique, données sensibles, traitement à grande échelle, rapprochement de fichiers, personnes vulnérables, usage d’une technologie innovante, et traitement qui restreint l’exercice de droits). Si une activité de traitement en réunit deux ou plus, une AIPD s’impose.
La plupart des systèmes d’IA qui traitent des données à caractère personnel réunissent au moins deux critères. En pratique, si vous déployez un système d’IA qui prend ou éclaire des décisions concernant des personnes, partez du principe qu’une AIPD est due.
Qui doit la mener
L’obligation pèse sur le responsable du traitement, l’entité qui détermine les finalités et les moyens du traitement (article 4, point 7, du RGPD). Dans le contexte de l’IA, c’est souvent l’organisation qui déploie le système, mais pas toujours. Si un employeur recourt à une IA de recrutement tierce tout en déterminant quels candidats évaluer et selon quels critères, l’employeur est responsable du traitement. Une responsabilité conjointe peut aussi naître lorsque plusieurs entités partagent ces déterminations.
Le responsable doit associer le délégué à la protection des données (s’il en a été désigné un) à la réalisation de l’AIPD (article 35, paragraphe 2) et recueillir, le cas échéant, le point de vue des personnes concernées (article 35, paragraphe 9).
Ce qu’une AIPD doit couvrir
L’article 35, paragraphe 7, fixe le contenu minimal :
- Description systématique des opérations de traitement. Quelles données sont collectées, auprès de qui, comment elles sont traitées, par quelle technologie, pour quelle finalité, et sur quelle base juridique.
- Évaluation de la nécessité et de la proportionnalité. Le traitement est-il nécessaire à la finalité déclarée ? Le même objectif peut-il être atteint avec moins de données, des moyens moins intrusifs, ou sans IA ? La base juridique est-elle valable et suffisante ?
- Évaluation des risques pour les droits et libertés des personnes concernées. Que peut-il arriver ? Quelle est la probabilité et la gravité du préjudice ? Discrimination, usurpation d’identité, perte financière, atteinte à la réputation, perte de confidentialité, réidentification de données pseudonymisées, impossibilité d’exercer ses droits.
- Mesures prévues pour faire face aux risques. Garanties techniques et organisationnelles : chiffrement, pseudonymisation, contrôles d’accès, minimisation, limitation des finalités, durées de conservation, contrôle humain, mesures de transparence, mécanismes d’exercice des droits.
AIPD pour les systèmes d’IA, points d’attention
Le traitement par IA ajoute des questions propres : provenance et biais des données d’entraînement (les données représentent-elles la population cible ?), opacité du modèle (la logique peut-elle être expliquée aux personnes concernées au titre des articles 13, 14 et 22 ?), exactitude et taux d’erreur différentiels selon les groupes démographiques, conservation pour l’entraînement et pour l’inférence (qui peuvent appeler des bases juridiques distinctes), garanties de la décision automatisée au titre de l’article 22, et risques liés aux sous-traitants et aux transferts lorsque l’entraînement ou l’inférence passent par une infrastructure infonuagique tierce.
Pour une vue plus large des tests de biais et d’équité, voir : Tests de biais et équité au titre du règlement sur l’IA.
Qu’est-ce qu’une FRIA ?
L’analyse d’impact relative aux droits fondamentaux est une évaluation obligatoire avant la mise en service, au titre du règlement sur l’IA. Elle impose à certaines catégories de déployeurs d’évaluer comment leur usage d’un système d’IA à haut risque peut affecter les droits fondamentaux, bien au-delà de la protection des données : dignité, non-discrimination, accès à la justice, et d’autres.
Pour un examen dédié, voir : FRIA du règlement sur l’IA : analyse d’impact sur les droits fondamentaux.
Base juridique : article 27 du règlement sur l’IA
L’article 27 institue l’obligation. Points clés : le paragraphe 1 impose l’analyse et en fixe le contenu minimal (points a) à f)) avant le déploiement ; le paragraphe 2 précise que l’obligation porte sur la première utilisation et que l’analyse doit être mise à jour si les éléments changent ; le paragraphe 3 impose de notifier les résultats à l’autorité de surveillance du marché, au moyen du modèle visé au paragraphe 5 ; le paragraphe 4 prévoit que la FRIA complète une AIPD lorsque certaines obligations y sont déjà satisfaites ; le paragraphe 5 charge la Commission d’élaborer un modèle de questionnaire.
Quand une FRIA est exigée
Une FRIA est exigée lorsque toutes les conditions suivantes sont réunies :
- Le système est classé à haut risque au titre de l’article 6, paragraphe 2 (annexe III), à l’exception du point 2 (infrastructures critiques).
- Le déployeur entre dans l’une des catégories de l’article 27, paragraphe 1 : organisme de droit public, entité privée fournissant des services publics, ou déployeur d’un système visé à l’annexe III, points 5, b) ou c).
- Le système est mis en service (premier déploiement, ou changement de contexte qui rend l’analyse caduque).
La FRIA doit être achevée avant la mise en service. C’est une condition du déploiement licite, pas un exercice rétroactif.
Pas sûr que votre système soit à haut risque ? Voir : Mon système d’IA est-il à haut risque ? Guide de classification.
Qui doit la mener
La FRIA pèse sur le déployeur, l’entité qui utilise le système d’IA sous sa propre autorité (article 3, point 4). L’article 27, paragraphe 1, vise :
- Les organismes de droit public : administrations, hôpitaux publics, universités publiques, caisses d’aide sociale, juridictions, services de l’immigration, et toute entité exerçant des fonctions de droit public.
- Les entités privées fournissant des services publics, au sens du droit de l’Union ou du droit national.
- Les déployeurs de systèmes visés à l’annexe III, points 5, b) et c) : évaluation de la solvabilité ou cote de crédit, et évaluation des risques et tarification en assurance vie et assurance maladie, y compris lorsqu’ils sont des acteurs privés.
Le déployeur peut différer du responsable du traitement au titre du RGPD. Un hôpital qui déploie un outil diagnostic tiers est à la fois déployeur et responsable du traitement : il mène l’AIPD ; la FRIA, elle, n’est en général pas due si le système est un dispositif médical à haut risque par la voie de l’annexe I (article 6, paragraphe 1), et non par l’annexe III. Le fournisseur a des obligations distinctes (évaluation de la conformité, documentation technique) et ne mène pas la FRIA.
Domaines dans lesquels une FRIA peut s’imposer
L’article 27 ne dresse pas une liste autonome de tous les points de l’annexe III. Il lie l’obligation au statut du déployeur (droit public ou service public) et, pour les acteurs privés, aux seuls points 5, b) et c). Le tableau ci-dessous aide à situer les cas d’usage ; il ne remplace pas le texte.
Pour des guides sectoriels :
- Règlement sur l’IA : RH et recrutement
- Règlement sur l’IA : services financiers
- Règlement sur l’IA : éducation et EdTech
Ce qu’une FRIA doit couvrir
L’article 27, paragraphe 1, points a) à f), fixe le contenu minimal. Le déployeur documente :
- Les processus du déployeur dans lesquels le système sera utilisé, conformément à sa destination, et les décisions qu’il éclaire ou automatise.
- La période et la fréquence d’utilisation prévue (continue, périodique, ou déclenchée par un événement).
- Les catégories de personnes physiques et de groupes susceptibles d’être concernés, y compris les populations vulnérables et l’ampleur de l’impact.
- Les risques spécifiques de préjudice pour ces groupes, au regard des informations fournies par le fournisseur au titre de l’article 13.
- Les mesures de contrôle humain, selon la notice d’utilisation.
- Les mesures à prendre si ces risques se matérialisent, y compris la gouvernance interne et les mécanismes de plainte.
Dans la pratique, les autorités s’attendront aussi à voir les risques rattachés à des articles précis de la Charte : dignité (art. 1), vie privée (art. 7), protection des données (art. 8), égalité (art. 20), non-discrimination (art. 21), droits de l’enfant (art. 24), intégration des personnes handicapées (art. 26), sécurité sociale (art. 34), protection de la santé (art. 35), accès aux services (art. 36), recours effectif (art. 47).
Obligations de notification
Contrairement à l’AIPD, document interne de responsabilisation, la FRIA emporte une notification obligatoire :
- Autorité de surveillance du marché : le déployeur notifie les résultats de la FRIA à l’autorité nationale compétente, au moyen du modèle visé à l’article 27, paragraphe 5 (article 27, paragraphe 3).
- Base de données de l’UE : l’enregistrement des systèmes à haut risque et, pour certaines autorités publiques, de leur usage, relève de l’article 49. Ce n’est pas un substitut à la FRIA, ni le véhicule de notification de l’article 27.
Le défaut de FRIA, lorsqu’elle est due, ou le défaut de notification, est un manquement aux obligations du déployeur, passible d’amendes administratives jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu (article 99, paragraphe 4).
Comparaison côte à côte : AIPD et FRIA
Où l’AIPD et la FRIA se recoupent
Malgré des bases et des étendues distinctes, l’AIPD et la FRIA partagent un socle commun. Le reconnaître est la clé d’une méthode combinée efficace.
Les deux évaluent des risques pour les personnes, avant le déploiement
Au fond, les deux posent la même question : quel préjudice ce système peut-il causer aux personnes qu’il touche ? L’AIPD le formule en risque pour la protection des données ; la FRIA, en risque pour les droits fondamentaux. L’exercice analytique, identifier les personnes concernées, cartographier les préjudices possibles, estimer probabilité et gravité, définir des atténuations, est structurellement le même. Les deux doivent être achevées avant la mise en service, ce qui crée une occasion naturelle d’un seul processus préalable au déploiement.
Un même socle factuel
Les deux analyses s’appuient sur les mêmes faits : description du système (ce qu’il fait, entrées, sorties), flux de données (collecte, stockage, accès), contexte de déploiement (processus, décisions, personnes chargées du contrôle), population concernée (y compris les groupes vulnérables), et dispositif de contrôle humain. Documenter ces faits une fois et les citer dans les deux volets évite la redondance.
Permission législative explicite de combiner
L’article 27, paragraphe 4, consacre une approche combinée : la FRIA complète une AIPD existante, à condition que le document couvre toutes les exigences des deux textes. Lorsque des obligations de la FRIA sont déjà satisfaites par l’AIPD, la FRIA complète au lieu de dupliquer.
Les écarts que vous ne pouvez pas lisser
Les recoupements créent des gains d’efficacité. Les écarts, eux, sont substantiels : une analyse générique unique ne les couvre pas.
Étendue : droits à la vie privée contre tous les droits fondamentaux
C’est la distinction la plus importante. Une AIPD est calée sur la protection des données, le droit au respect de la vie privée (article 7 de la Charte) et le droit à la protection des données à caractère personnel (article 8). Une FRIA doit évaluer l’impact du système sur le catalogue entier des droits fondamentaux reconnus par la Charte.
Prenez une IA de présélection à l’embauche. L’AIPD évaluerait : quelles données sont collectées auprès des candidats, si la base juridique est valable, s’ils sont informés, s’ils peuvent exercer leurs droits, si les données sont exactes, si elles sont conservées de façon appropriée.
La FRIA doit aller plus loin : le système discrimine-t-il en raison du sexe, de l’origine, de l’âge ou d’un handicap (article 21 de la Charte) ? Respecte-t-il la dignité humaine (article 1) ? Porte-t-il atteinte à la liberté d’expression, par exemple en pénalisant des candidats pour leur activité sur les réseaux (article 11) ? Respecte-t-il les droits des personnes handicapées (article 26), par exemple des candidats dont la voix ou l’apparence physique seraient systématiquement désavantagés par une analyse d’entretien vidéo ?
Une AIPD qui n’aborde ni la non-discrimination, ni la dignité, ni les autres droits de la Charte ne satisfera pas l’exigence de FRIA, quelle que soit la rigueur de son analyse de protection des données.
Responsable : responsable du traitement contre déployeur
Dans beaucoup de cas, le responsable du traitement et le déployeur sont la même entité : une banque qui déploie une IA d’évaluation de la solvabilité et maîtrise les données à caractère personnel est les deux. Ce n’est pas toujours vrai :
- Une agence d’intérim (déployeur) peut utiliser un outil de recrutement tandis que l’entreprise qui embauche (responsable du traitement) détermine les finalités du traitement.
- Une entreprise de services gérés (déployeur) peut faire fonctionner un système d’IA pour le compte d’une administration (responsable du traitement).
- Une coentreprise peut faire du déployeur et du responsable du traitement des personnes morales distinctes au sein du même groupe.
Lorsque le responsable du traitement et le déployeur sont distincts, chacun mène son analyse. Le responsable mène l’AIPD ; le déployeur mène la FRIA. La coordination est indispensable ; elle ne transfère pas l’obligation.
Notification : document interne contre notification à l’autorité
Une AIPD est un document privé de responsabilisation, sans publication ni enregistrement. La seule obligation externe est la consultation préalable de l’autorité de protection des données au titre de l’article 36 lorsque le risque résiduel demeure élevé.
Une FRIA emporte une notification obligatoire : le déployeur notifie l’autorité de surveillance du marché. Le document est donc exposé au regard des régulateurs, des personnes concernées, de la société civile et de la presse. Le niveau de documentation doit refléter cette visibilité.
Amendes : autorités distinctes, plafonds distincts
Le défaut d’AIPD est sanctionné par l’autorité de protection des données au titre de l’article 83, paragraphe 4, du RGPD, jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial.
Le défaut de FRIA, lorsqu’elle est due, est sanctionné par l’autorité de surveillance du marché au titre de l’article 99, paragraphe 4, jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial.
Ces amendes sont cumulatives, non alternatives. Une organisation qui déploie un système d’IA à haut risque sans mener ni l’une ni l’autre s’expose à deux régulateurs et à deux amendes. L’exposition potentielle totale atteint 25 millions d’euros ou 5 % du chiffre d’affaires mondial, avant même les sanctions liées aux manquements de fond que les analyses auraient permis d’identifier.
Vue d’ensemble : Sanctions et amendes du règlement sur l’IA.
Méthode combinée, en pratique
La méthode suivante permet de satisfaire l’AIPD et la FRIA par un seul processus coordonné, tout en conservant les volets d’analyse distincts que chaque texte exige.
Étape 1, déterminer quelles analyses s’appliquent
Avant toute analyse, fixez vos obligations :
Schéma : AIPD, FRIA, ou les deux ?
Le système d’IA traite-t-il des données à caractère personnel ?
├── OUI → Les déclencheurs de l’art. 35, § 3, du RGPD sont-ils réunis ?
│ ├── OUI → AIPD OBLIGATOIRE
│ └── NON → Examiner les neuf critères du G29
│ ├── 2 critères ou plus → AIPD OBLIGATOIRE
│ └── 0 ou 1 critère → AIPD non obligatoire (mais recommandée)
│
└── NON → AIPD non obligatoire
Le système est-il à haut risque au titre de l’annexe III (art. 6, § 2) ?
├── OUI → Êtes-vous un organisme de droit public, une entité
│ fournissant un service public, ou le déployeur d’un
│ système visé aux points 5, b) ou c) ? (hors point 2)
│ ├── OUI → FRIA OBLIGATOIRE
│ └── NON → FRIA non obligatoire
│
└── NON → FRIA non obligatoire
(voie annexe I / art. 6, § 1 : pas de FRIA de l’art. 27)
Si les deux sont dues, poursuivez avec la méthode combinée. Si une seule s’applique, menez-la seule, selon les exigences de son texte.
Étape 2, identification conjointe des risques
Construisez un socle factuel unique qui alimente les deux analyses :
- Inventaire du système : documenter le système d’IA, le fournisseur, le type de technologie, la destination, la classification du risque.
- Cartographie des données : flux, entrées, sorties, stockage, conservation, contrôles d’accès, transferts internationaux.
- Cartographie des processus : processus métier, déclencheurs, sorties, décisions humaines qui s’appuient sur le système.
- Cartographie des parties prenantes : personnes concernées (AIPD) et titulaires de droits (FRIA). Signaler les populations vulnérables.
- Atelier de risques : préjudices pour la protection des données (accès non autorisé, inexactitude, perte de maîtrise) et préjudices pour les droits fondamentaux (discrimination, atteintes à la dignité, refus de service, obstacles pour les personnes handicapées).
Étape 3, séparer les volets d’analyse
Le socle factuel posé, scindez l’analyse en deux flux parallèles :
Volet A : analyse AIPD
- Évaluer la base juridique au titre de l’article 6 du RGPD (et de l’article 9 pour les catégories particulières).
- Apprécier la nécessité et la proportionnalité.
- Pour chaque risque, estimer la probabilité et la gravité (perte financière, discrimination, usurpation d’identité, perte de confidentialité, impossibilité d’exercer ses droits).
- Définir les atténuations : chiffrement, pseudonymisation, minimisation, durées de conservation, contrôles d’accès, mentions d’information, procédures d’exercice des droits.
- Déterminer le risque résiduel. S’il est élevé, engager la consultation préalable de l’autorité de protection des données (article 36).
Volet B : analyse FRIA
- Rattacher chaque risque à des droits précis de la Charte, pour chaque groupe concerné.
- Documenter le contexte de déploiement : période d’usage, fréquence, ampleur, périmètre géographique.
- Évaluer les résultats discriminatoires (article 21 de la Charte) selon les caractéristiques protégées.
- Évaluer l’impact sur la dignité (article 1), le recours effectif (article 47), la sécurité sociale (article 34) et les autres dispositions pertinentes.
- Documenter le contrôle humain et les mesures de remédiation (mécanismes de plainte, voies de recours, suivi).
- Préparer la notification à l’autorité de surveillance du marché.
Étape 4, documenter et notifier
Produisez un document unique, aux sections clairement délimitées :
Actions de notification :
- AIPD : classer en interne. Consulter l’autorité de protection des données si le risque résiduel est élevé (article 36 du RGPD).
- FRIA : notifier l’autorité de surveillance du marché (article 27, paragraphe 3).
Pour planifier l’ensemble des obligations : Liste de contrôle 2026 du règlement sur l’IA.
Quand il faut seulement une AIPD, seulement une FRIA, ou les deux
Le cas le plus fréquent, pour les organismes publics et pour les acteurs du crédit et de l’assurance vie / maladie, est que les deux analyses sont dues. Le cas « FRIA seule » est rare : il suppose un système de l’annexe III, déployé par un acteur visé à l’article 27, qui ne traite aucune donnée à caractère personnel.
Erreurs fréquentes
Au vu des premiers signaux d’exécution et des orientations des autorités :
1. Supposer que l’AIPD couvre les droits fondamentaux. Une AIPD ne traite que la protection des données. Discrimination, dignité et accès aux services doivent être évalués dans une FRIA, lorsqu’elle est due.
2. Mener la FRIA après le déploiement. L’article 27, paragraphe 1, exige la FRIA avant la mise en service. Une analyse rétroactive ne satisfait pas l’obligation.
3. Traiter les analyses comme des exercices uniques. Les deux sont des documents vivants. Mises à jour du système, nouveaux groupes concernés et changements de contexte doivent déclencher une réévaluation.
4. Omettre de notifier la FRIA. Contrairement à l’AIPD, la FRIA doit être notifiée à l’autorité de surveillance du marché.
5. Recourir à des modèles génériques. Les deux analyses doivent être propres à votre système, votre contexte et votre population. Les autorités attendent une analyse concrète, fondée sur des éléments.
6. Ignorer les groupes vulnérables. Le RGPD (critères du G29) comme le règlement sur l’IA (considérant 96 et suivants, article 27, paragraphe 1, point c)) exigent d’évaluer les impacts différentiels sur les enfants, les personnes handicapées, les salariés et les bénéficiaires de prestations.
7. Analyses cloisonnées responsable du traitement / déployeur. Lorsque les deux entités sont distinctes, leurs analyses doivent être coordonnées. Le déployeur a besoin des détails du traitement ; le responsable du traitement a besoin du contexte de déploiement.
8. Sous-estimer le cumul des amendes. Un manquement aux deux analyses, c’est deux régulateurs et deux régimes d’amende, en même temps.
Questions fréquentes
Puis-je mener l’AIPD et la FRIA dans un seul document ?
Oui. L’article 27, paragraphe 4, prévoit que la FRIA complète l’AIPD. Le document combiné doit pourtant satisfaire toutes les exigences des deux textes : analyse propre au RGPD (base juridique, nécessité, proportionnalité, risques pour la protection des données) et analyse propre au règlement sur l’IA (tous les droits fondamentaux, contexte de déploiement, notification). Un document unique économise du travail ; il ne réduit pas les obligations de fond.
Qui est responsable si nous utilisons un outil d’IA tiers ?
L’AIPD pèse sur le responsable du traitement ; la FRIA, sur le déployeur. Dans la plupart des cas, l’organisation qui déploie un outil tiers est les deux et porte les deux obligations, sous réserve que l’article 27 s’applique. Le fournisseur a des obligations distinctes (documentation technique, évaluation de la conformité) et n’est pas responsable de votre AIPD ni de votre FRIA. Demandez-lui les informations techniques dont vous avez besoin : c’est son devoir au titre des articles 13 et 26, paragraphe 1.
Que se passe-t-il si l’AIPD révèle un risque résiduel élevé ?
Le responsable du traitement doit consulter l’autorité de protection des données avant de commencer le traitement (article 36 du RGPD). L’autorité dispose de huit semaines au plus (prorogeables de six) pour rendre un avis écrit, qui peut inclure une restriction du traitement. La FRIA n’a pas d’équivalent ; une FRIA qui indique des risques graves pour les droits fondamentaux devrait toutefois conduire le déployeur à reconsidérer la mise en service.
Le règlement sur l’IA impose-t-il une FRIA pour tous les systèmes d’IA à haut risque ?
Non. L’article 27 ne vise que certains déployeurs : organismes de droit public, entités privées fournissant des services publics, et déployeurs des systèmes visés à l’annexe III, points 5, b) et c). Un fabricant privé qui déploie une IA à haut risque pour un contrôle qualité interne n’a en général pas de FRIA à mener, même si une AIPD peut rester due s’il y a traitement de données à caractère personnel. Les dispositifs médicaux à haut risque par l’annexe I sont, en règle générale, hors champ. Voir : Mon système d’IA est-il à haut risque ?.
À quelle fréquence faut-il mettre à jour les analyses ?
Ni l’une ni l’autre n’est un événement unique. L’article 35, paragraphe 11, du RGPD impose de réexaminer l’AIPD lorsque les risques du traitement changent. La FRIA doit être mise à jour lorsque les circonstances de déploiement changent : nouvelles versions, nouveaux groupes concernés, ou nouveaux éléments sur l’impact pour les droits fondamentaux (article 27, paragraphe 2). Bonne pratique : intégrer des déclencheurs de réévaluation dans votre gouvernance de l’IA (mises à jour du système, incidents, changements de politique, revue annuelle).
Quelle est l’échéance de la première FRIA ?
Pour les systèmes de l’annexe III, l’obligation de FRIA devient opposable le 2 décembre 2027, reportée du 2 août 2026 par le Digital Omnibus (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026). Pour les nouveaux déploiements à compter de cette date, la FRIA doit être achevée avant la mise en service. Compte tenu de la complexité, commencer nettement plus tôt est prudent.
Calendrier complet : Calendrier du règlement sur l’IA : dates clés.
Prochaines étapes : préparer vos analyses d’impact
La double obligation AIPD / FRIA est l’une des exigences les plus lourdes à opérationnaliser du cadre européen sur l’IA. Les organisations qui s’y prennent tôt, avec une méthode combinée, des rôles clairs et une gouvernance intégrée, s’en sortiront nettement mieux que celles qui traitent chaque analyse comme un exercice de dernière minute.
Actions clés :
- Inventoriez vos systèmes d’IA. Identifiez le déployeur et le responsable du traitement pour chaque système. Voir : Comment construire un inventaire des systèmes d’IA.
- Déterminez les obligations. Servez-vous du schéma et du tableau de scénarios ci-dessus.
- Adoptez une méthode combinée. Identification conjointe des risques, volets d’analyse parallèles, documentation unifiée, notification adaptée.
- Sollicitez les fournisseurs. Demandez la documentation technique au titre des articles 13 et 26, paragraphe 1.
- Fixez des déclencheurs de gouvernance. Mises à jour du système, changements de contexte, incidents et revues annuelles doivent relancer l’analyse.
Prêt à classer vos systèmes ? Lancez l’évaluation gratuite au titre du règlement sur l’IA pour déterminer lesquels exigent une AIPD, une FRIA, ou les deux, et obtenir un plan d’action priorisé.
