Le règlement européen sur l'IA (AI Act) introduit un nouvel outil de conformité puissant que de nombreuses organisations commencent seulement à appréhender : l'analyse d'impact sur les droits fondamentaux, ou FRIA (Fundamental Rights Impact Assessment). À la différence des évaluations techniques de la conformité, centrées sur les spécifications du système, la FRIA impose aux déployeurs d'examiner la manière dont leurs systèmes d'IA affectent les droits fondamentaux de personnes réelles, de la vie privée et de la non-discrimination à la dignité humaine et à l'accès à la justice. À mesure que les obligations relatives aux systèmes à haut risque entrent en application dans le calendrier échelonné de l'AI Act, les organisations qui déploient des systèmes d'IA à haut risque doivent comprendre ce qu'est une FRIA et comment la mener efficacement. Ce guide fournit un cadre complet, des modèles pratiques et des exemples sectoriels pour vous aider à respecter vos obligations au titre de l'article 27 de l'AI Act. Une précision de calendrier d'emblée : le Digital Omnibus sur l'IA, adopté le 29 juin 2026, a reporté la date d'application des obligations à haut risque dont dépend la FRIA du 2 août 2026 au 2 décembre 2027 pour les systèmes autonomes de l'annexe III. L'obligation de l'article 27 elle-même reste inchangée. Vous pouvez produire un projet d'analyse en quelques minutes avec notre générateur de FRIA gratuit. La FRIA s'inscrit dans un ensemble plus large de logiciels de conformité à l'AI Act, aux côtés de la documentation technique, des contrôles à l'exécution et des preuves d'audit.
Qu'est-ce qu'une analyse d'impact sur les droits fondamentaux (FRIA) ?
Une analyse d'impact sur les droits fondamentaux est un processus d'évaluation systématique conçu pour identifier, évaluer et atténuer les incidences négatives potentielles des systèmes d'IA à haut risque sur les droits fondamentaux des personnes. Imposée par l'article 27 de l'AI Act, la FRIA constitue la première analyse d'impact juridiquement contraignante au monde consacrée spécifiquement à l'IA et aux droits fondamentaux.
La FRIA examine les incidences potentielles sur l'ensemble des droits protégés par la Charte des droits fondamentaux de l'Union européenne, dont la dignité humaine (article 1), le droit à la vie et à l'intégrité (articles 2-3), le respect de la vie privée et familiale (article 7), la protection des données à caractère personnel (article 8), la non-discrimination (article 21), l'égalité entre femmes et hommes (article 23), les droits de l'enfant, des personnes âgées et des personnes handicapées (articles 24-26), la liberté d'expression (article 11) et le droit à un recours effectif et à accéder à un tribunal impartial (article 47).
L'analyse constitue une mesure proactive : elle aide les organisations à identifier et à traiter les préjudices potentiels avant qu'ils ne surviennent. Correctement menée, une FRIA garantit la conformité réglementaire et apporte en outre une assurance éthique ainsi qu'une position défendable devant les régulateurs et les tribunaux.
FRIA vs AIPD : comprendre les différences clés
De nombreuses organisations supposent à tort que la FRIA est simplement un nouveau nom pour l'analyse d'impact relative à la protection des données (AIPD, ou DPIA) déjà exigée par le RGPD. Si les deux analyses évaluent des risques et partagent des similitudes méthodologiques, elles diffèrent sensiblement par leur périmètre et leur objet.
L'AIPD prévue à l'article 35 du RGPD porte avant tout sur la protection des données et la vie privée (articles 7-8 de la Charte) ; elle est déclenchée par un traitement de données à caractère personnel à haut risque et relève du responsable du traitement. La FRIA prévue à l'article 27 de l'AI Act couvre tous les droits fondamentaux de la Charte de l'UE ; elle est déclenchée par le déploiement de systèmes d'IA à haut risque, relève du déployeur et s'applique que des données à caractère personnel soient ou non en jeu.
L'AI Act reconnaît explicitement cette relation de complémentarité. L'article 27, paragraphe 4, dispose que si les obligations de la FRIA sont déjà remplies par une AIPD réalisée au titre du RGPD, la FRIA doit compléter cette analyse. En pratique, les organisations mèneront souvent les deux analyses en parallèle et pourront les regrouper dans un seul rapport intégré, mais le périmètre de la FRIA est fondamentalement plus large.
Une différence méthodologique essentielle : la FRIA exige une évaluation droit par droit. Il n'est pas permis de compenser une incidence négative sur un droit (comme la non-discrimination) par une incidence positive sur un autre droit (comme l'efficacité opérationnelle). Chaque droit doit être évalué de manière indépendante.
| Dimension | AIPD (RGPD, article 35) | FRIA (AI Act, article 27) |
|---|---|---|
| Objet principal | Protection des données et vie privée (articles 7-8 de la Charte) | Tous les droits fondamentaux de la Charte de l'UE |
| Fait générateur | Traitement de données à caractère personnel à haut risque | Déploiement d'un système d'IA à haut risque entrant dans le champ d'application |
| Partie responsable | Responsable du traitement | Déployeur |
| Données personnelles requises ? | Oui : l'analyse porte sur les données à caractère personnel | Non : s'applique même en l'absence de traitement de données à caractère personnel |
| Méthode d'évaluation | Risque global pour les personnes concernées | Droit par droit ; aucune compensation d'un droit par un autre |
| Articulation | Peut être réutilisée comme donnée d'entrée d'une FRIA | Complète (sans remplacer) une AIPD (art. 27, par. 4) |
Quand la FRIA est-elle obligatoire au titre de l'AI Act ?
L'obligation de réaliser une FRIA ne s'applique pas à tous les déployeurs de systèmes d'IA à haut risque. L'article 27 définit des catégories précises de déployeurs tenus de mener cette analyse.
Les organismes publics régis par le droit public doivent réaliser une FRIA avant de déployer des systèmes d'IA à haut risque énumérés à l'annexe III. Ces organismes sont créés pour satisfaire des besoins d'intérêt général, dotés de la personnalité juridique, financés majoritairement par l'État ou des autorités publiques, ou soumis au contrôle de gestion d'autorités publiques.
Les entités privées fournissant des services publics entrent également dans le champ. Cela inclut les entités actives dans l'éducation, les soins de santé, les services sociaux, le logement et l'administration de la justice. L'emploi du terme large « services publics », sans critères de définition, traduit la volonté du législateur de couvrir tout déployeur dont les services touchent raisonnablement l'intérêt public.
Indépendamment de leur statut public ou privé, les déployeurs doivent réaliser une FRIA pour les systèmes d'IA destinés à évaluer la solvabilité ou à établir une note de crédit (à l'exception de ceux utilisés pour détecter la fraude financière), ainsi que pour les systèmes d'IA d'évaluation des risques et de tarification en assurance vie et santé.
- Organismes publics utilisant l'IA à haut risque pour des services publics
- Entités privées fournissant des services essentiels (éducation, santé, services sociaux, logement)
- Tous les déployeurs utilisant l'IA pour l'évaluation de la solvabilité ou la notation de crédit
- Tous les déployeurs utilisant l'IA pour l'évaluation des risques et la tarification en assurance vie et santé
Catégories d'IA à haut risque soumises à la FRIA
Pour les organismes publics et les entités privées fournissant des services publics, la FRIA est requise pour les systèmes d'IA relevant de la plupart des catégories de l'annexe III.
La catégorie 1 (biométrie) couvre les systèmes d'identification biométrique à distance, la catégorisation biométrique fondée sur des attributs sensibles et les systèmes de reconnaissance des émotions. La catégorie 3 (éducation) inclut les systèmes qui déterminent l'accès ou l'admission aux établissements d'enseignement, évaluent les acquis d'apprentissage, déterminent le niveau d'enseignement approprié et surveillent les comportements interdits pendant les examens.
La catégorie 4 (emploi) couvre les systèmes de recrutement et de sélection, les systèmes influant sur les décisions liées au travail (promotion, licenciement, attribution des tâches) et les systèmes de suivi et d'évaluation des performances. La catégorie 5 (services essentiels) inclut les systèmes évaluant l'éligibilité aux prestations d'assistance publique, l'évaluation de la solvabilité, l'évaluation des risques en assurance vie et santé, ainsi que la classification et la répartition des appels d'urgence.
La catégorie 6 (activités répressives) couvre l'évaluation du risque pour les victimes, les systèmes de type polygraphe, l'évaluation de la fiabilité des preuves, l'évaluation du risque d'infraction ou de récidive et les systèmes de profilage. La catégorie 7 (migration) inclut les systèmes d'évaluation des risques, l'examen des demandes d'asile et de visa, et les systèmes d'identification. La catégorie 8 (justice) couvre les systèmes assistant les autorités judiciaires et le règlement extrajudiciaire des litiges.
Une exemption notable : les systèmes d'IA utilisés comme composants de sécurité dans les infrastructures numériques critiques, la circulation routière ou la fourniture d'eau, de gaz, de chauffage ou d'électricité ne sont pas soumis à l'obligation de FRIA.
Modèle de FRIA : les sections clés
L'article 27, paragraphe 1, précise les éléments obligatoires que toute FRIA doit contenir. En vertu de l'article 27, paragraphe 5, le Bureau européen de l'IA doit élaborer un questionnaire type officiel (assorti d'un outil automatisé), mais en juillet 2026, il n'a toujours pas été publié, et son absence ne dispense pas de l'obligation. Dans l'intervalle, structurez votre analyse autour des six composantes obligatoires ci-dessous. L'European Center for Not-for-Profit Law (ECNL) et l'Institut danois des droits de l'homme ont également publié A Guide to Fundamental Rights Impact Assessments (décembre 2025), avec un modèle téléchargeable et une méthodologie en cinq phases construite directement sur les éléments de l'article 27, paragraphe 1 : un guide utile pour les praticiens en attendant l'outil officiel (il s'agit d'orientations émanant de la société civile, et non d'un modèle contraignant de l'UE). Pour produire rapidement un projet structuré, utilisez notre générateur de FRIA gratuit ou téléchargez le modèle.
La section 1 porte sur la description du système et sa destination. Documentez les processus du déployeur dans lesquels le système d'IA sera utilisé, en cohérence avec la destination définie par le fournisseur. Les informations requises comprennent le nom et la version du système d'IA, les coordonnées du fournisseur, une description claire de la destination, les cas d'usage précis au sein de votre organisation, le contexte et l'environnement opérationnels, ainsi que les spécifications techniques pertinentes pour les incidences sur les droits.
La section 2 porte sur la durée et la fréquence d'utilisation. Documentez la date de début de déploiement prévue, la durée attendue (indéterminée, durée fixe, pilote), la fréquence d'utilisation du système (continue, périodique, déclenchée par événement), les indicateurs de volume (nombre de décisions par jour/semaine/mois) et le périmètre géographique.
La section 3 porte sur les catégories de personnes concernées. Identifiez les utilisateurs directs, les personnes faisant l'objet de décisions fondées sur l'IA, les tiers indirectement affectés et les groupes démographiques spécifiques. Les populations vulnérables exigeant une attention particulière incluent les enfants, les personnes âgées, les personnes handicapées, les groupes socio-économiquement défavorisés, les minorités ethniques ou religieuses, les locuteurs non natifs et les personnes ayant une maîtrise limitée du numérique.
La section 4 porte sur les risques spécifiques pour les droits fondamentaux. Pour chaque droit potentiellement affecté, évaluez la probabilité (de rare à quasi certaine), la gravité (de négligeable à catastrophique), la réversibilité (de facilement réversible à irréversible) et l'ampleur de la population touchée (de l'individu à la société entière).
La section 5 porte sur les mesures de contrôle humain. Documentez les personnes désignées responsables du contrôle, les exigences de qualification et de formation, les capacités d'intervention, les procédures d'escalade, les protocoles de suivi et les exigences de documentation.
La section 6 porte sur les mesures d'atténuation des risques. Incluez les mesures techniques (tests de biais, seuils de précision, contrôles de qualité des données, journalisation), les mesures organisationnelles (structures de gouvernance, politiques, formation, cycles de revue) et les garanties procédurales (droit à un examen humain, mécanismes de réclamation, voies de recours accessibles, procédures de repli).
| Section | Éléments à documenter | Base juridique |
|---|---|---|
| 1. Description du système et destination | Processus du déployeur, destination, fournisseur, contexte opérationnel | Art. 27, par. 1, a) |
| 2. Durée et fréquence d'utilisation | Date de début, durée, fréquence, volume, périmètre géographique | Art. 27, par. 1, b) |
| 3. Catégories de personnes concernées | Personnes directement concernées, tiers et groupes vulnérables | Art. 27, par. 1, c) |
| 4. Risques spécifiques pour les droits fondamentaux | Registre des risques : chaque droit, scénario de préjudice, probabilité, gravité, atténuation, risque résiduel | Art. 27, par. 1, d) |
| 5. Mesures de contrôle humain | Rôles de contrôle, pouvoirs d'intervention, qualifications et formation | Art. 27, par. 1, e) |
| 6. Mesures en cas de matérialisation des risques | Mesures techniques et organisationnelles, réclamation/recours, notification de l'autorité | Art. 27, par. 1, f) |
Comment réaliser une FRIA : guide pas à pas
Étape 1 : déterminer l'applicabilité de la FRIA. Confirmez qu'une FRIA est requise en vérifiant si votre système d'IA est classé à haut risque au titre de l'article 6 et de l'annexe III, si votre organisation est un organisme public ou une entité privée fournissant des services publics, ou si le système d'IA relève de l'annexe III, point 5, b) ou c), pour l'évaluation du crédit ou de l'assurance.
Étape 2 : recueillir les informations auprès du fournisseur d'IA. Le processus de FRIA dépend largement des informations que les fournisseurs sont tenus de communiquer au titre des articles 11 à 13, notamment la documentation technique conforme à l'annexe IV, la notice d'utilisation, les capacités et limites du système, les risques connus et les mesures d'atténuation, ainsi que les données relatives aux jeux d'entraînement et aux biais potentiels.
Étape 3 : constituer votre équipe d'évaluation. La FRIA requiert des expertises variées : juristes et responsables conformité, délégués à la protection des données, experts techniques, experts métier (RH, santé, finance), représentants connaissant les communautés concernées et professionnels de la gestion des risques.
Étape 4 : cartographier les personnes et les droits concernés. Listez toutes les catégories de personnes qui interagissent avec le système ou en subissent les effets, identifiez pour chaque catégorie les droits fondamentaux susceptibles d'être affectés et prenez en compte les incidences directes et indirectes.
Étape 5 : réaliser l'évaluation des risques. Pour chaque droit à risque identifié, décrivez le scénario de préjudice potentiel, évaluez la probabilité et la gravité, attribuez un niveau de risque et documentez votre raisonnement et vos éléments de preuve.
Étape 6 : concevoir les mesures d'atténuation. Pour chaque risque identifié, proposez des mesures précises, évaluez leur faisabilité, estimez le risque résiduel après atténuation, documentez la responsabilité de leur mise en œuvre et établissez des mécanismes de suivi.
Étapes 7 à 9 : documentez les dispositifs de contrôle humain, mettez en place les mécanismes de réclamation et de recours, et obtenez la revue et l'approbation du conseil juridique et de la direction de l'organisation.
Étape 10 : notifier l'autorité de surveillance du marché. En vertu de l'article 27, paragraphe 3, une fois la FRIA réalisée, le déployeur doit notifier ses résultats à l'autorité de surveillance du marché compétente, en transmettant le modèle de l'article 27, paragraphe 5, dûment rempli dans le cadre de la notification (et, tant que ce modèle n'est pas publié, votre propre documentation au regard des critères de l'article 27, paragraphe 1). La notification informe l'autorité qu'un système à haut risque est en service et qu'une analyse d'impact sur les droits a été menée. La seule exemption est le cas étroit de l'article 46, paragraphe 1 (lorsqu'une autorité a autorisé la mise sur le marché d'un système pour des raisons exceptionnelles telles que la sécurité publique ou la protection de la vie et de la santé), et encore uniquement pour une durée limitée. Les déploiements courants ne sont pas exemptés ; il n'existe aucune dérogation générale au titre des « activités répressives » ou de la « confidentialité opérationnelle ».
Exemples de FRIA par secteur
Exemple de notation de crédit dans les services financiers : une banque déployant l'IA pour l'évaluation de la solvabilité doit identifier les groupes concernés (demandeurs de prêt, avec un risque accru pour les populations historiquement mal desservies), les principaux droits à risque (non-discrimination, droit de propriété, accès aux services essentiels), les facteurs de risque (les données d'entraînement peuvent refléter des biais historiques, des variables de substitution peuvent être corrélées à des caractéristiques protégées) et mettre en œuvre des mesures d'atténuation, dont des audits de biais réguliers, des parcours d'évaluation alternatifs, un examen humain des cas limites et des explications claires des facteurs de décision.
Exemple de triage par IA en santé : un service d'urgences hospitalier utilisant l'IA pour prioriser la prise en charge des patients doit traiter les groupes concernés (tous les patients des urgences, avec une vigilance accrue pour les personnes âgées, les personnes handicapées et les locuteurs non natifs), les principaux droits (droit à la vie, accès aux soins, dignité humaine, non-discrimination), les facteurs de risque (biais potentiel dans la reconnaissance des symptômes selon les groupes démographiques) et garantir que l'IA reste un simple outil d'aide à la décision, assorti d'une évaluation clinique humaine obligatoire.
Exemple de présélection de candidatures en RH : une entreprise utilisant l'IA pour trier les CV doit prendre en compte les groupes concernés (tous les candidats, en particulier ceux aux parcours atypiques, avec des interruptions de carrière ou des diplômes étrangers), les principaux droits (non-discrimination, droit de travailler, égalité entre femmes et hommes), les facteurs de risque (les données historiques de recrutement peuvent encoder des biais) et mettre en œuvre des mesures telles que l'anonymisation des caractéristiques protégées, des tests de biais réguliers et l'examen humain des candidatures rejetées issues de groupes sous-représentés.
Noter les risques d'une FRIA : probabilité x gravité
Pour chaque risque identifié, évaluez la probabilité que le préjudice survienne et sa gravité le cas échéant. Une matrice simple transforme ces deux jugements en un niveau de risque unique que vous pouvez prioriser et suivre. Utilisez une échelle cohérente sur l'ensemble de l'analyse et consignez le raisonnement derrière chaque notation : les régulateurs s'intéressent autant à votre méthode qu'à vos conclusions.
| Probabilité / Gravité | Négligeable | Mineure | Modérée | Majeure | Catastrophique |
|---|---|---|---|---|---|
| Rare | Faible | Faible | Faible | Moyen | Moyen |
| Peu probable | Faible | Faible | Moyen | Moyen | Élevé |
| Possible | Faible | Moyen | Moyen | Élevé | Élevé |
| Probable | Moyen | Moyen | Élevé | Élevé | Critique |
| Quasi certain | Moyen | Élevé | Élevé | Critique | Critique |
Exemple concret : un registre des risques FRIA complété
La section 4 est celle où la FRIA devient concrète. Le registre ci-dessous montre comment une banque déployant un système d'IA d'évaluation de la solvabilité pourrait documenter ses risques : chaque droit fondamental en jeu, le scénario de préjudice, une notation de probabilité et de gravité, l'atténuation et le risque résiduel qui subsiste ensuite. C'est le niveau de précision attendu par les régulateurs et les tribunaux, et exactement ce que produit le générateur de FRIA.
| Droit fondamental | Scénario de préjudice | Probabilité | Gravité | Risque | Atténuation | Résiduel |
|---|---|---|---|---|---|---|
| Non-discrimination (art. 21) | Les données d'entraînement reflètent des biais historiques ; des variables de substitution (p. ex. le code postal) sont corrélées à des caractéristiques protégées, produisant des taux de refus disparates. | Possible | Majeure | Élevé | Tests trimestriels d'impact disproportionné ; suppression ou transformation des variables de substitution ; examen humain de tous les refus concernant des groupes sous-représentés. | Moyen |
| Accès aux services essentiels / propriété | Un score erronément bas entraîne un refus de crédit injustifié, limitant l'accès au logement ou à des achats essentiels. | Peu probable | Majeure | Moyen | Parcours alternatif d'évaluation manuelle ; annulation possible de la décision par un opérateur humain ; explication claire de la décision défavorable au demandeur. | Faible |
| Protection des données à caractère personnel (art. 8) | Des données personnelles excessives ou inexactes dégradent l'équité et l'exactitude de la décision. | Possible | Modérée | Moyen | Revue de minimisation des données ; intégration avec l'AIPD RGPD ; contrôles de qualité des données alignés sur l'article 10. | Faible |
Articuler la FRIA avec les autres exigences de conformité
Alignement avec l'AIPD du RGPD : lorsqu'un système d'IA traite des données à caractère personnel, vous aurez probablement besoin à la fois d'une AIPD et d'une FRIA. Les stratégies possibles : mener les deux en parallèle, s'appuyer sur l'AIPD existante et l'étendre aux autres droits, utiliser des cadres d'évaluation des risques cohérents, regrouper la documentation et coordonner les mesures de contrôle.
Lien avec la documentation technique de l'annexe IV : les déployeurs qui réalisent une FRIA doivent demander la documentation de l'annexe IV aux fournisseurs, utiliser les évaluations des risques du fournisseur comme données d'entrée, vérifier que les mesures documentées par le fournisseur sont bien mises en œuvre dans votre contexte de déploiement, et documenter tout risque propre au déploiement non couvert par la documentation du fournisseur.
Relation avec l'évaluation de la conformité : si l'évaluation de la conformité incombe avant tout au fournisseur, les déployeurs doivent vérifier que le système d'IA a bien fait l'objet d'une évaluation de la conformité, comprendre ce qu'elle a couvert et garder à l'esprit que l'évaluation de la conformité traite les exigences techniques tandis que la FRIA traite les incidences sur les droits fondamentaux propres au déploiement.
Enregistrement dans la base de données de l'UE : les systèmes d'IA à haut risque doivent être enregistrés dans la base de données de l'UE au titre de l'article 71. Assurez-vous que votre système est correctement enregistré par le fournisseur et que les informations d'enregistrement sont cohérentes avec votre documentation FRIA.
Sanctions et contrôle de l'application
Le non-respect des obligations du déployeur expose les organisations au palier intermédiaire de sanctions de l'AI Act : des amendes pouvant atteindre 15 millions d'EUR ou 3 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu (article 99, paragraphe 4). Ce palier se situe en dessous du palier supérieur de 35 millions d'EUR ou 7 % réservé aux violations des interdictions de l'article 5 (article 99, paragraphe 3). Une nuance mérite d'être signalée par souci d'exactitude : l'article 99, paragraphe 4, énumère la disposition relative aux obligations des déployeurs (article 26) mais ne nomme pas expressément l'article 27 (la FRIA). La lecture dominante chez les praticiens est qu'un manquement à la FRIA constitue une violation des obligations du déployeur relevant de ce même palier de 15 M EUR / 3 %, mais la lacune textuelle est réelle, et les règles de sanction des États membres (article 99, paragraphes 1 et 2) s'appliquent également. Les PME et start-ups sont plafonnées au montant le plus bas entre le pourcentage et le montant fixe (article 99, paragraphe 6). Les autorités de surveillance du marché ont le pouvoir d'enquêter et d'exiger des mesures correctives.
Au-delà des sanctions formelles, l'absence de FRIA adéquate crée un risque réputationnel lié aux violations des droits fondamentaux, une responsabilité juridique si des préjudices se matérialisent et un risque opérationnel si les autorités exigent la modification ou l'arrêt du système.
Calendrier et prochaines étapes
L'AI Act s'applique par phases. Les interdictions de l'article 5 et les obligations de maîtrise de l'IA s'appliquent depuis le 2 février 2025 ; les obligations relatives aux modèles d'IA à usage général (GPAI), les règles de gouvernance et le cadre de sanctions depuis le 2 août 2025. Les obligations relatives aux systèmes à haut risque (dont la FRIA de l'article 27) devaient initialement s'appliquer à partir du 2 août 2026 pour les systèmes autonomes de l'annexe III, et du 2 août 2027 pour l'IA à haut risque intégrée dans des produits réglementés.
En novembre 2025, la Commission a proposé le paquet de simplification Digital Omnibus. Le Conseil et le Parlement européen sont parvenus à un accord politique vers le 7 mai 2026, le Parlement a approuvé le texte convenu le 16 juin 2026 et le Conseil l'a adopté le 29 juin 2026. Le règlement modificatif, le règlement (UE) 2026/1744, a été publié au Journal officiel le 24 juillet 2026 et entre en vigueur le 27 juillet 2026. Il fixe deux dates fermes pour les obligations à haut risque : le 2 décembre 2027 pour les systèmes autonomes de l'annexe III et le 2 août 2028 pour les systèmes intégrés dans des produits. La FRIA suit la date de l'annexe III : le 2 décembre 2027 est donc la date de référence pour votre planification. Le calendrier de l'Omnibus recense toutes les dates modifiées.
Notez ce que l'Omnibus ne reporte pas : les obligations de transparence de l'article 50 (informer les utilisateurs qu'ils interagissent avec une IA, et marquer les contenus générés par IA et les hypertrucages ou deepfakes) s'appliquent toujours à partir du 2 août 2026. La seule concession est un court délai de grâce pour le marquage lisible par machine des systèmes génératifs déjà sur le marché, prolongé jusqu'au 2 décembre 2026. L'Omnibus a également ajouté deux interdictions à l'article 5, visant l'IA qui génère du matériel relatif à des abus sexuels sur enfants et des images intimes non consenties, applicables à partir du 2 décembre 2026.
| Obligation | Date initiale | Après le Digital Omnibus |
|---|---|---|
| Pratiques interdites (art. 5) + maîtrise de l'IA | 2 févr. 2025 | Inchangée |
| Modèles GPAI, gouvernance, sanctions | 2 août 2025 | Inchangée |
| Transparence (art. 50) | 2 août 2026 | Inchangée (délai de grâce pour le marquage jusqu'au 2 déc. 2026) |
| FRIA + haut risque, systèmes autonomes (annexe III) | 2 août 2026 | 2 déc. 2027 |
| Enregistrement (art. 49) + base de données de l'UE (art. 71) | 2 août 2026 | 2 déc. 2027 |
| Bacs à sable réglementaires de l'IA opérationnels (art. 57) | 2 août 2026 | 2 août 2027 |
| Haut risque intégré dans des produits (annexe I) | 2 août 2027 | 2 août 2028 |
Feuille de route pratique pour préparer la FRIA
12 mois ou plus avant votre date d'application : inventoriez tous les systèmes d'IA, classez-les par niveau de risque, identifiez ceux qui requièrent une FRIA, commencez à recueillir les informations auprès des fournisseurs et mettez en place les structures de gouvernance.
6 à 12 mois avant : élaborez les modèles et procédures de FRIA, formez le personnel, menez des FRIA pilotes et mettez en œuvre les mesures techniques de contrôle humain.
3 à 6 mois avant : finalisez les FRIA de tous les systèmes concernés, documentez les mesures d'atténuation et vérifiez leur mise en œuvre, mettez en place les mécanismes de réclamation et de recours, et préparez vos notifications au titre de l'article 27, paragraphe 3.
En continu après la mise en conformité : surveillez les évolutions des systèmes d'IA nécessitant une mise à jour de la FRIA, suivez les orientations réglementaires du Bureau de l'IA (y compris le modèle officiel attendu), menez des revues périodiques et tenez à jour la documentation et les pistes d'audit.
Foire aux questions
Quelle est la différence entre FRIA et AIPD ?
L'AIPD prévue à l'article 35 du RGPD porte spécifiquement sur la protection des données et le droit à la vie privée lors du traitement de données à caractère personnel. La FRIA prévue à l'article 27 de l'AI Act a un périmètre plus large : elle évalue les incidences sur tous les droits fondamentaux de la Charte de l'UE, dont la non-discrimination, la dignité, la liberté d'expression, l'accès à la justice et bien d'autres. De plus, une FRIA peut être requise même en l'absence de traitement de données à caractère personnel. Si les organisations peuvent intégrer les deux analyses, la FRIA exigera généralement une analyse complémentaire au-delà de ce que couvre une AIPD.
Qui est responsable de la réalisation de la FRIA ?
L'obligation de FRIA incombe aux déployeurs de systèmes d'IA à haut risque, et non aux fournisseurs. Les fournisseurs jouent toutefois un rôle de soutien en communiquant les informations dont les déployeurs ont besoin pour mener leur analyse. En pratique, les déployeurs peuvent s'appuyer sur des FRIA ou analyses d'impact déjà réalisées par les fournisseurs si les circonstances sont suffisamment similaires, mais la responsabilité finale et l'obligation d'en rendre compte restent celles du déployeur.
À quelle fréquence la FRIA doit-elle être mise à jour ?
La FRIA doit être réalisée avant le premier déploiement du système d'IA à haut risque. Une mise à jour est requise dès que le déployeur constate qu'un des éléments évalués a changé ou n'est plus à jour. Cela inclut les modifications du système d'IA lui-même, les changements de contexte de déploiement, l'évolution des populations concernées ou de nouvelles informations sur les risques. Les organisations doivent instaurer des cycles de revue périodiques pour identifier de manière proactive les mises à jour nécessaires.
Le Bureau de l'IA fournit-il un modèle officiel de FRIA ?
L'article 27, paragraphe 5, impose au Bureau européen de l'IA d'élaborer un questionnaire type, assorti d'un outil automatisé, pour aider les déployeurs à se conformer. En juillet 2026, ce modèle officiel n'a toujours pas été publié, et aucune échéance ferme n'est fixée, mais son absence ne dispense pas de l'obligation de FRIA. Dans l'intervalle, construisez votre analyse autour des éléments de l'article 27, paragraphe 1. L'ECNL et l'Institut danois des droits de l'homme ont publié A Guide to Fundamental Rights Impact Assessments (décembre 2025) avec un modèle destiné aux praticiens, et vous pouvez dès maintenant générer un projet structuré avec notre générateur de FRIA gratuit. Lorsque le modèle officiel paraîtra, alignez vos analyses sur celui-ci.
Le Digital Omnibus a-t-il reporté l'échéance de la FRIA ?
Oui. Le Digital Omnibus sur l'IA, approuvé par le Parlement européen le 16 juin 2026 et adopté par le Conseil le 29 juin 2026, reporte la date d'application des obligations à haut risque dont dépend la FRIA du 2 août 2026 au 2 décembre 2027 pour les systèmes autonomes de l'annexe III. L'Omnibus modifie le calendrier de l'article 27. Son contenu reste inchangé, et l'analyse doit toujours être rédigée pendant la conception du déploiement.
Faut-il notifier quelqu'un après avoir réalisé une FRIA ?
Oui. En vertu de l'article 27, paragraphe 3, après avoir réalisé la FRIA, le déployeur doit notifier ses résultats à l'autorité de surveillance du marché compétente, en transmettant le modèle de l'article 27, paragraphe 5, dès qu'il existera (et votre propre documentation d'ici là). La seule exemption est le cas étroit de l'article 46, paragraphe 1, un système autorisé pour des raisons exceptionnelles telles que la sécurité publique ou la protection de la vie et de la santé, et uniquement pour une durée limitée. Les déploiements courants ne sont pas exemptés.
Peut-on utiliser une AIPD existante pour satisfaire aux exigences de la FRIA ?
Partiellement. L'article 27, paragraphe 4, permet aux déployeurs de s'appuyer sur les AIPD existantes pour réaliser leur FRIA. Si certaines obligations de la FRIA sont déjà remplies par une AIPD, la FRIA doit compléter cette analyse plutôt que la dupliquer. Toutefois, compte tenu du périmètre plus large de la FRIA, qui couvre tous les droits fondamentaux (et pas seulement la protection des données), une analyse complémentaire sera presque toujours nécessaire au-delà de ce que couvre une AIPD.
Que se passe-t-il si nous identifions des risques élevés impossibles à atténuer ?
À la différence de l'AIPD du RGPD, la FRIA est avant tout une exigence de documentation et n'a pas le pouvoir de bloquer le déploiement d'un système d'IA à haut risque, quels que soient les risques identifiés. Cependant, déployer des systèmes présentant des risques élevés non atténués pour les droits fondamentaux crée une exposition juridique, réputationnelle et opérationnelle importante. Les organisations doivent examiner avec soin si le déploiement est opportun lorsque des risques substantiels ne peuvent être traités de manière adéquate.
Points clés à retenir
La FRIA représente une nouvelle exigence de conformité importante, mais aussi une occasion de démontrer un déploiement responsable de l'IA et de bâtir la confiance des clients, des régulateurs et du public. Les organisations qui investissent dans des FRIA rigoureuses et réfléchies seront mieux placées pour identifier les risques tôt, mettre en œuvre des garanties efficaces et s'orienter dans un paysage réglementaire en évolution. Le Digital Omnibus sur l'IA a reporté la date des obligations à haut risque, et donc de la FRIA, au 2 décembre 2027. Le travail de préparation reste le même et la démarche utile aussi : commencez maintenant. Inventoriez vos systèmes d'IA, identifiez ceux qui requièrent une FRIA et construisez un premier projet avec le générateur de FRIA gratuit ou le modèle téléchargeable. Cet article est fourni à titre d'information générale et ne constitue pas un avis juridique ; confirmez vos obligations au titre de l'article 27 auprès d'un conseil qualifié et vérifiez à nouveau l'état de la réglementation avant de vous fier à une échéance.