Qu’est-ce qu’une FRIA (droits fondamentaux) ?

L’article 27 s’applique aux déployeurs de systèmes d’IA à haut risque de l’annexe III, sauf ceux destinés aux infrastructures critiques, lorsque le déployeur est :

• un organisme de droit public, ou une entité privée qui fournit des services publics, ou
• le déployeur d’un système qui évalue la solvabilité ou établit une note de crédit (hors détection de fraude), ou qui évalue les risques et fixe les prix en assurance vie et santé.

Les fournisseurs ne réalisent pas de FRIA : leurs propres obligations figurent dans les obligations des fournisseurs du règlement.

• Les processus du déployeur dans lesquels le système sera utilisé, conformément à sa destination.
• La période et la fréquence d’utilisation.
• Les catégories de personnes et de groupes susceptibles d’être concernés dans ce contexte.
• Les risques spécifiques de préjudice pour eux, à partir des informations fournies par le fournisseur.
• Les mesures de contrôle humain, selon la notice d’utilisation.
• Les mesures à prendre si les risques se réalisent, y compris la gouvernance interne et les mécanismes de plainte.

Le déployeur notifie les résultats à l’autorité de surveillance du marché, avec un modèle du Bureau de l’IA, et met l’analyse à jour quand l’un de ces éléments change.

La FRIA fait partie des obligations relatives au haut risque. Depuis le règlement (UE) 2026/1744, elles s’appliquent aux systèmes autonomes de l’annexe III à partir du 2 décembre 2027. Lorsqu’une analyse d’impact relative à la protection des données (AIPD) au sens de l’article 35 du RGPD couvre déjà certaines de ces obligations, la FRIA la complète au lieu de la répéter. Beaucoup de déployeurs mènent les deux sur la même fiche système. Voir quand une AIPD est obligatoire.

Dans le module Gouvernance de l’IA d’Acuna GRC, chaque système d’IA a sa propre analyse d’impact. Une étape de présélection enregistre d’abord si une analyse complète est due. L’assistant en cinq parties couvre la finalité et le contexte, les personnes concernées et les préjudices, le contrôle et la contestation, les mesures et le risque résiduel, et la revue. Cochez Analyse d’impact sur les droits fondamentaux et une section supplémentaire apparaît, pour qu’une seule fiche réponde aux deux. L’approbation la fige, et lier le système à ses activités de traitement dans Data Privacy garde l’AIPD sur la même fiche. Voir la Gouvernance de l’IA dans Acuna GRC.