Guide
Analyse d'impact sur les droits fondamentaux (article 27)
Qui doit réaliser l'analyse d'impact de l'article 27 de l'AI Act, son contenu en six points, le lien avec l'AIPD du RGPD et la date d'application.
Mis à jour le
L'analyse d'impact sur les droits fondamentaux est une évaluation que certains déployeurs de systèmes d'IA à haut risque doivent réaliser avant la première utilisation (article 27 de l'AI Act). Elle décrit l'usage prévu, les personnes concernées, les risques de préjudice et les mesures prévues, puis ses résultats sont notifiés à l'autorité de surveillance du marché. Elle suit le calendrier du haut risque : pour les systèmes de l'annexe III, à partir du 02/12/2027.
Qui est concerné
L'article 27 vise, pour les systèmes à haut risque de l'annexe III (sauf le point 2, infrastructures critiques) :
| Déployeur | Concerné |
|---|---|
| Organisme de droit public (collectivité, établissement public…) | Oui |
| Entité privée qui fournit un service public | Oui |
| Déployeur d'un système d'évaluation de la solvabilité ou de note de crédit (annexe III, 5 b) | Oui |
| Déployeur d'un système d'évaluation des risques et de tarification en assurance vie et santé (annexe III, 5 c) | Oui |
| Autre entreprise privée qui déploie un système à haut risque (par exemple un outil de recrutement) | Non au titre de l'article 27, mais elle reste soumise à l'article 26 |
Pour une entreprise privée ordinaire, l'article 27 concerne donc surtout les secteurs du crédit et de l'assurance, et les entités privées qui fournissent un service public. Voir l'IA à haut risque.
Le contenu en six points
L'analyse comporte :
- (a) la description des processus du déployeur dans lesquels le système sera utilisé, conformément à sa destination ;
- (b) la période et la fréquence d'utilisation prévues ;
- (c) les catégories de personnes et de groupes susceptibles d'être concernés ;
- (d) les risques spécifiques de préjudice pour ces personnes, en s'appuyant sur les informations que le fournisseur doit transmettre (article 13) ;
- (e) la mise en œuvre des mesures de surveillance humaine, selon la notice d'utilisation ;
- (f) les mesures prévues si ces risques se réalisent, y compris la gouvernance interne et les mécanismes de réclamation.
Quand et comment
- Avant la première utilisation du système. Le déployeur peut s'appuyer sur des analyses antérieures pour des cas similaires, ou sur celles du fournisseur.
- Mise à jour dès qu'un élément change ou n'est plus à jour.
- Notification des résultats à l'autorité de surveillance du marché, au moyen du questionnaire type (paragraphe modifié par l'omnibus de 2026).
- Modèle : le Bureau de l'IA de la Commission doit élaborer un questionnaire type simplifié, éventuellement automatisé, qui permet de renvoyer à une analyse déjà menée au titre du RGPD (règlement général sur la protection des données).
Le lien avec l'analyse d'impact RGPD
Si certaines exigences sont déjà remplies par l'analyse d'impact relative à la protection des données (AIPD) prévue à l'article 35 du RGPD, l'analyse de l'article 27 peut s'y référer ou en reprendre les éléments utiles (paragraphe modifié par l'omnibus). De son côté, l'article 26, paragraphe 9, demande au déployeur d'utiliser les informations du fournisseur pour réaliser son AIPD. Les deux analyses gagnent à être menées ensemble, par la même équipe et sur la même description du système : l'une regarde le traitement de données personnelles, l'autre l'usage du système et ses effets sur les personnes. Voir AI Act et RGPD.
Préparer l'analyse côté technique
Prenons un établissement de crédit qui prévoit un outil de note de crédit. L'équipe technique peut préparer dès maintenant :
- la cartographie du processus où l'outil intervient (point a) ;
- les volumes et la fréquence d'usage prévus (point b) ;
- la documentation du fournisseur sur les limites et les biais connus (point d) ;
- le schéma de surveillance humaine : qui valide, qui peut annuler une décision (point e) ;
- le circuit de réclamation des clients (point f).
Cette préparation est une aide à la lecture du texte, non un modèle officiel. Le questionnaire type de la Commission, quand il sera publié, fera référence ; pour sa rédaction, appuyez-vous sur votre délégué à la protection des données et sur un professionnel du droit.
Questions fréquentes
Une entreprise privée doit-elle faire une analyse d'impact sur les droits fondamentaux ?
Seulement dans certains cas : si elle fournit un service public, ou si elle déploie un système d'évaluation de la solvabilité ou de note de crédit, ou de tarification en assurance vie et santé (annexe III, points 5 b et 5 c).
Peut-on réutiliser son analyse d'impact RGPD ?
Oui, en partie. Si certaines exigences sont déjà couvertes par une analyse d'impact relative à la protection des données, l'analyse de l'article 27 peut s'y référer ou en reprendre des éléments.
Sources
Pages consultées pour écrire cet article :