Qu'est-ce qu'une FRIA, et devons-nous en faire une ?
En bref
Une FRIA (fundamental rights impact assessment, ou analyse d'impact sur les droits fondamentaux) évalue comment une IA à haut risque peut affecter les droits fondamentaux des personnes. Elle doit être réalisée avant l'usage par les organismes publics, les entités privées qui fournissent des services publics et les entreprises qui utilisent l'IA pour évaluer la solvabilité de personnes ou tarifer l'assurance vie et santé. Elle décrit l'usage, les personnes concernées, les risques, le contrôle humain et ce que vous faites si quelque chose tourne mal. Depuis l'omnibus numérique, elle peut s'appuyer sur votre AIPD.
Qui doit faire une FRIA ?
| Déployeur | FRIA ? |
|---|---|
| Organismes publics qui utilisent une IA à haut risque | Oui |
| Entités privées qui fournissent des services publics (par exemple pour le compte d'une commune) | Oui |
| Banques et prêteurs qui évaluent la solvabilité de personnes avec l'IA | Oui |
| Assureurs qui tarifent l'assurance vie et santé avec l'IA | Oui |
| Une entreprise privée qui utilise l'IA pour recruter | Non – mais en général une AIPD |
FRIA et AIPD dans un seul processus
Comme les deux analyses se recoupent, il est logique de les mener ensemble. GoalCube propose un projet d'AIPD, prérempli avec vos usages de l'IA issus du registre, qui peut servir de base à une FRIA.
Comment faire
- Décrivez l'usage.Quel processus, pendant combien de temps et à quelle fréquence l'IA est utilisée.
- Décrivez les personnes concernées.Quels groupes de personnes sont touchés.
- Identifiez les risques.Par exemple la discrimination, des décisions erronées, l'absence de recours.
- Décrivez le contrôle.Qui assure le contrôle humain, et comment.
- Décrivez les mesures en cas de problème.Voies de recours, gouvernance interne et ce qui se passe quand des risques se concrétisent.
- Informez l'autorité.Le résultat est notifié à l'autorité de surveillance du marché à l'aide de son modèle.
Ce que dit la loi
- Article 27 du RIA (AI Act) – analyse d'impact sur les droits fondamentaux
- S'applique avec les règles « haut risque », soit à partir du 2 décembre 2027 pour l'annexe III.
- Règlement (UE) 2026/1744 – omnibus numérique
- La FRIA peut renvoyer à une AIPD ou en reprendre des parties ; le Bureau de l'IA élabore un modèle.
- Article 35 du RGPD – AIPD
- Analyse d'impact relative à la protection des données.
Questions et réponses
Une entreprise privée doit-elle faire une FRIA pour le recrutement ?
Pas au titre de l'article 27, sauf si vous fournissez des services publics. Mais vous devez en général faire une AIPD au titre du RGPD.
Quelle différence entre FRIA et AIPD ?
L'AIPD porte sur les données personnelles. La FRIA porte sur tous les droits fondamentaux, par exemple la non-discrimination et l'accès aux prestations. Elles se recoupent, et la FRIA peut s'appuyer sur l'AIPD.
Quand la FRIA doit-elle être prête ?
Avant la mise en service de l'IA à haut risque – pour l'annexe III, à partir du 2 décembre 2027.
Sources
Rédigé par La rédaction GoalCube. Dernière mise à jour 11 octobre 2026. GoalCube vous aide à respecter l’AI Act et le RGPD. Ce n’est pas un conseil juridique.
Soyez parmi les premiers.
Le lancement est prévu en novembre 2026. Inscrivez-vous : nous vous contacterons dès que vous pourrez commencer.