Qu'est-ce que l'analyse d'impact sur les droits fondamentaux ?
L'AIDF est une évaluation préalable, structurée et documentée, des effets potentiels d'un système d'IA à haut risque sur les droits fondamentaux des personnes concernées : non-discrimination, vie privée, dignité, accès aux droits sociaux, etc. Elle est distincte de l'analyse d'impact relative à la protection des données (AIPD) du RGPD, même si les deux peuvent s'articuler.
Qui doit réaliser une AIDF ?
L'obligation ne pèse pas sur tous les déployeurs, mais sur trois catégories précises (article 27 § 1) :
- les organismes de droit public déployant un système à haut risque ;
- les opérateurs privés fournissant des services publics (éducation, santé, services sociaux, etc.) ;
- les déployeurs de systèmes à haut risque d'évaluation de la solvabilité ou d'établissement de la note de crédit, et de tarification et évaluation des risques en assurance vie et santé.
Que doit contenir l'analyse ?
L'article 27 § 1 énumère les éléments attendus. L'AIDF décrit :
- 01les processus du déployeur dans lesquels le système à haut risque sera utilisé ;
- 02la période et la fréquence d'utilisation prévues ;
- 03les catégories de personnes susceptibles d'être affectées ;
- 04les risques de préjudice spécifiques pour ces personnes ;
- 05les mesures de surveillance humaine mises en œuvre ;
- 06les mesures à prendre en cas de matérialisation des risques (gouvernance interne, mécanismes de plainte).
Quand et comment la réaliser ?
L'AIDF doit être réalisée avant la première utilisation du système à haut risque. Lorsqu'une AIPD (RGPD) est déjà requise, l'AIDF vient la compléter. Une fois établie, le déployeur notifie ses résultats à l'autorité de surveillance du marché. Si des éléments changent en cours d'exploitation, l'analyse doit être mise à jour.
Le Bureau de l'IA doit par ailleurs élaborer un modèle de questionnaire pour faciliter cette démarche et l'harmoniser entre déployeurs.
Comment l'articuler avec l'AIPD du RGPD ?
Lorsqu'un système traite des données personnelles et déclenche une AIPD (article 35 du RGPD), les deux analyses portent sur des objets voisins mais distincts : l'AIPD se concentre sur les risques pour les données, l'AIDF sur les risques pour l'ensemble des droits fondamentaux. En pratique, il est efficient de les mener conjointement, en réutilisant les éléments communs (description du traitement, catégories de personnes, mesures de sécurité) sans confondre leurs finalités.
Questions fréquentes
Une entreprise privée doit-elle réaliser une AIDF ?
Seulement dans deux cas : si elle fournit des services publics, ou si elle déploie un système à haut risque d'évaluation de solvabilité/crédit ou de tarification en assurance vie et santé. Les autres déployeurs privés n'y sont pas tenus, mais restent soumis aux obligations générales de l'article 26.
L'AIDF remplace-t-elle l'analyse d'impact RGPD ?
Non. Ce sont deux analyses distinctes, aux finalités différentes. Lorsqu'une AIPD existe déjà, l'AIDF la complète ; les deux peuvent être menées ensemble mais ne se substituent pas l'une à l'autre.
Que faire de l'analyse une fois réalisée ?
Le déployeur notifie ses résultats à l'autorité de surveillance du marché et conserve l'analyse comme élément de preuve. Elle doit être tenue à jour si les conditions d'utilisation évoluent.
À partir de quand cette obligation s'applique-t-elle ?
Elle est liée au régime des systèmes à haut risque de l'annexe III, applicable au 2 décembre 2027 depuis le report opéré par le règlement (UE) 2026/1744. Les déployeurs concernés gagnent du temps, pas une dispense : la démarche reste à construire.