Avez-vous besoin d’une FRIA pour votre IA médicale ? (article 27 du règlement sur l’IA)

L’essentiel

Réponse courte pour la plupart des IA médicales : probablement non, par la voie habituelle.

• L’analyse d’impact relative aux droits fondamentaux (FRIA) au titre de l’article 27 est liée aux systèmes à haut risque de la voie des cas d’utilisation de l’annexe III (article 6, paragraphe 2), et c’est une obligation de déployeur, pas de fournisseur.
• Les dispositifs médicaux sont à haut risque via l’article 6, paragraphe 1, la voie produit (annexe I), donc ils sont en général hors de l’exigence de FRIA de l’article 27.
• Ce dont vous avez vraiment besoin, le plus souvent, c’est d’une analyse d’impact relative à la protection des données (AIPD) au titre du RGPD, article 35, un instrument distinct, souvent déclenché par le traitement de données de santé.
• En tant que fournisseur de technologies médicales, la FRIA n’est de toute façon presque jamais à votre charge ; elle pèse sur certains déployeurs.

Ne confondez pas l’AIPD (vraisemblablement oui) et la FRIA (en général non). Ce guide trace la ligne.

Chaque affirmation juridique ci-dessous est citée. Voir Sources.

Qu’est-ce qu’une FRIA

Une FRIA est une analyse qu’un déployeur mène avant de mettre en service certains systèmes d’IA à haut risque, pour identifier les risques pour les droits fondamentaux et les mesures d’atténuation. Aux termes de l’article 27, elle décrit les processus du déployeur dans lesquels le système sera utilisé, la période et la fréquence d’utilisation, les catégories de personnes susceptibles d’être concernées, les risques spécifiques de préjudice pour elles, les mesures de contrôle humain, et les dispositifs de gouvernance et de plainte si ces risques se matérialisent.

Qui doit la mener (et qui ne le doit pas)

L’article 27, paragraphe 1, est précis sur le champ. Il ouvre : « Avant le déploiement d’un système d’IA à haut risque visé à l’article 6, paragraphe 2, à l’exception des systèmes d’IA à haut risque destinés à être utilisés dans le domaine visé à l’annexe III, point 2, les déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics et les déployeurs de systèmes d’IA à haut risque visés à l’annexe III, points 5, b) et c), effectuent une analyse de l’impact sur les droits fondamentaux que l’utilisation de ce système peut produire. »

Deux conséquences :

• Elle est déclenchée par l’article 6, paragraphe 2, la voie des cas d’utilisation de l’annexe III (emploi, éducation, services essentiels, services répressifs, et assimilés), pas par la voie produit de l’article 6, paragraphe 1.
• C’est une obligation de déployeurs dans des catégories précises (organismes de droit public, entités privées fournissant des services publics, et déployeurs de certains systèmes de crédit et d’assurance de l’annexe III), pas de fournisseurs.

Pourquoi les dispositifs médicaux sont en général hors FRIA

Un dispositif médical est à haut risque au titre de l’article 6, paragraphe 1 parce qu’il exige un organisme notifié (voir Mon IA médicale est-elle à haut risque ?). Il n’est pas rendu à haut risque par un cas d’utilisation de l’annexe III. Puisque l’article 27 est borné aux systèmes de l’article 6, paragraphe 2 / annexe III, une IA médicale à haut risque seulement par la voie produit n’est en général pas soumise à l’exigence de FRIA. C’est un point de confusion fréquent : « à haut risque » ne veut pas automatiquement dire « il faut une FRIA ».

Il reste un bord étroit à garder en tête : si un système se trouve à haut risque à la fois par la voie produit et par un cas d’utilisation de l’annexe III, et qu’il est déployé par un organisme de droit public ou une entité privée fournissant des services publics, la FRIA pourrait entrer en jeu pour ce déployeur. Mais pour un SaMD ou un dispositif doté d’IA typique, la FRIA n’est pas votre obligation.

Ce qu’il vous faut vraiment à la place : une AIPD

L’instrument qui, lui, s’applique couramment à l’IA médicale est l’AIPD du RGPD au titre de l’article 35, déclenchée par un traitement de données à caractère personnel susceptible d’engendrer un risque élevé, ce qui est fréquemment le cas des données de santé. L’AIPD et la FRIA sont des outils différents : l’AIPD porte sur le risque pour la protection des données, la FRIA sur le risque pour les droits fondamentaux lors du déploiement. Lorsque les deux se trouvent s’appliquer, l’article 27, paragraphe 4 dispose que la FRIA complète l’AIPD plutôt que de la remplacer. Pour l’IA médicale, prévoyez l’AIPD ; traitez la FRIA comme une question de déployeur, liée à l’annexe III. Voir RGPD × règlement sur l’IA × MDR pour les données de santé.

Si vous êtes fournisseur de technologies médicales, voici votre geste

Parce que la FRIA est une obligation de déployeur liée à l’annexe III, un fabricant de dispositif est rarement celui qui la mène. Ce qui est utile :

• Concentrez-vous sur vos obligations de fournisseur (article 16) et sur votre évaluation de la conformité MDR/IVDR intégrée, pas sur une FRIA que vous ne devez vraisemblablement pas.
• Soutenez vos clients déployeurs : les hôpitaux et les systèmes de santé peuvent devoir une AIPD (et, dans de rares recouvrements avec l’annexe III, une FRIA). Donnez-leur les informations dont ils ont besoin, ce qui fortifie aussi votre produit.
• Sachez la différence, pour répondre avec assurance quand les achats posent la question.

Erreurs fréquentes

• « À haut risque, donc nous devons une FRIA. » Non. La FRIA est bornée à l’annexe III (article 6, paragraphe 2) ; les dispositifs médicaux sont à haut risque via l’article 6, paragraphe 1.
• « C’est le fournisseur qui mène la FRIA. » C’est une obligation de déployeur, pour des déployeurs précis, pas une obligation de fournisseur.
• « Une FRIA remplace l’AIPD. » Ce sont des instruments distincts ; lorsque les deux s’appliquent, la FRIA complète l’AIPD (article 27, paragraphe 4).
• « Nous n’avons pas besoin d’AIPD, nous faisons déjà le règlement sur l’IA. » Le traitement de données de santé déclenche couramment une AIPD, quoi qu’il en soit.

Notre jeune pousse d’IA médicale doit-elle mener une FRIA ?

Presque certainement non. La FRIA de l’article 27 est liée aux systèmes à haut risque de l’annexe III (article 6, paragraphe 2) et c’est une obligation de déployeur. Les dispositifs médicaux sont à haut risque via l’article 6, paragraphe 1, la voie produit, donc ils sont en général hors de l’exigence de FRIA. Concentrez-vous sur vos obligations de fournisseur et sur votre AIPD.

Quelle est la différence entre une AIPD et une FRIA ?

Une AIPD (RGPD, article 35) évalue le risque pour la protection des données né du traitement de données à caractère personnel. Une FRIA (règlement sur l’IA, article 27) évalue le risque pour les droits fondamentaux né du déploiement de certains systèmes d’IA à haut risque. Ce sont des instruments différents ; lorsque les deux s’appliquent, la FRIA complète l’AIPD.

Une IA médicale pourrait-elle jamais exiger une FRIA ?

Dans des cas étroits, par exemple si un système est à haut risque à la fois par la voie produit et par un cas d’utilisation de l’annexe III, et qu’il est déployé par un organisme de droit public ou une entité privée fournissant des services publics. Pour un dispositif médical typique, à haut risque seulement via l’article 6, paragraphe 1, la FRIA ne s’applique pas.

Qui mène la FRIA, le fournisseur ou le déployeur ?

Le déployeur, et seulement des catégories précises de déployeurs (organismes de droit public, entités privées fournissant des services publics, et déployeurs de certains systèmes de crédit et d’assurance de l’annexe III). Les fournisseurs ne mènent pas la FRIA.

Sources (officiel)

• Règlement sur l’IA, règlement (UE) 2024/1689 : article par article sur l’AI Act Service Desk de la Commission européenne. Cités : article 27 (analyse d’impact relative aux droits fondamentaux, bornée à l’article 6, paragraphe 2 / annexe III, obligation de déployeur, complétant l’AIPD au titre de l’article 27, paragraphe 4), article 6 (classification ; voie produit du paragraphe 1 contre voie annexe III du paragraphe 2), article 26 (obligations des déployeurs) ; texte officiel sur EUR-Lex.
• RGPD, règlement (UE) 2016/679 : texte officiel sur EUR-Lex. Cité : article 35 (analyse d’impact relative à la protection des données).

Legalithm fournit des informations de conformité et des outils, pas un conseil juridique. L’application d’une FRIA ou d’une AIPD dépend de votre système et de votre déploiement précis ; confirmez-la auprès d’un conseil qualifié. Les références d’articles visent le règlement (UE) 2024/1689 (règlement sur l’intelligence artificielle) et le règlement (UE) 2016/679 (RGPD).