Analyse d'impact sur les droits fondamentaux (art. 27 AI Act)
Une analyse d'impact sur les droits fondamentaux selon l'art. 27 du règlement sur l'IA est exigée des autorités publiques, des organismes de droit public et des entités privées fournissant des services publics avant d'utiliser un système d'IA à haut risque de l'annexe III, ainsi que des banques et assureurs pour le crédit et la tarification. Elle n'est pas exigée pour les assistants d'IA généralistes. L'obligation s'applique à partir du 2 décembre 2027. Une AIPD existante peut y être intégrée.
Qui doit réaliser une analyse d’impact sur les droits fondamentaux ?
L’article 27, paragraphe 1, du règlement sur l’IA impose cette obligation aux déployeurs d’un système d’IA à haut risque au sens de l’art. 6, paragraphe 2 (annexe III), à savoir :
- les organismes de droit public, par exemple les collectivités, les autorités régionales, les organismes publics comme les caisses d’assurance maladie ou les ordres professionnels,
- les entités privées fournissant des services publics, d’après les considérants par exemple dans l’éducation, la santé, les services sociaux ou le logement,
- les déployeurs de systèmes relevant du point 5, points b et c, de l’annexe III : solvabilité et tarification de l’assurance vie et de l’assurance maladie.
Les systèmes relevant des infrastructures critiques (annexe III, point 2) sont exclus. L’abréviation anglaise est FRIA (Fundamental Rights Impact Assessment).
À partir de quand l’obligation s’applique-t-elle ?
L’article 27 fait partie des obligations relatives aux systèmes à haut risque du chapitre III. Après la modification par le règlement (UE) 2026/1744, elles s’appliquent aux systèmes de l’annexe III à partir du 2 décembre 2027. Les autorités publiques qui utilisent déjà un tel système auparavant doivent le mettre en conformité avec le règlement au plus tard le 2 août 2030 (art. 111, par. 2).
Que doit-elle contenir ?
L’article 27, paragraphe 1, énumère six éléments :
| Élément | Contenu |
|---|---|
| a | Description des processus dans lesquels le système est utilisé conformément à sa destination |
| b | Période et fréquence d’utilisation |
| c | Catégories de personnes susceptibles d’être concernées |
| d | Risques spécifiques pour ces catégories, à partir des informations du fournisseur selon l’art. 13 |
| e | Mise en œuvre du contrôle humain selon la notice d’utilisation |
| f | Mesures à prendre si les risques se matérialisent, y compris la gouvernance interne et les mécanismes de plainte |
Vous communiquez le résultat à l’autorité de surveillance du marché (par. 3) ; en Allemagne, il s’agit en règle générale de l’Agence fédérale des réseaux (Bundesnetzagentur). Le Bureau de l’IA de la Commission met à disposition un questionnaire à cet effet, expressément aussi sous forme d’outil automatisé depuis l’omnibus numérique (par. 5).
Quel lien avec l’AIPD ?
L’analyse d’impact relative à la protection des données selon l’art. 35 du RGPD examine les risques du traitement des données ; l’analyse d’impact sur les droits fondamentaux examine l’ensemble des droits fondamentaux : égalité de traitement, accès aux services, dignité humaine, droit à un recours effectif. Les deux se recoupent. Depuis l’omnibus numérique, vous pouvez renvoyer à une AIPD existante dans l’analyse d’impact sur les droits fondamentaux ou en reprendre des parties (art. 27, par. 4). En pratique : un seul document en deux parties, tenu à jour conjointement par la protection des données et le service métier. Pour en savoir plus sur l’AIPD, voir le guide AIPD pour l’IA.
Comment vous préparer ?
- Trier les usages : quelles applications d’IA relèvent de l’annexe III, lesquelles non ? Aide : Identifier une IA à haut risque.
- Interroger le fournisseur : la notice d’utilisation selon l’art. 13 fournit la base des éléments d et e.
- Associer les personnes concernées : service métier, protection des données, égalité, CSE ou représentants du personnel et, le cas échéant, conseils consultatifs.
- Définir le contrôle et les voies de recours : qui vérifie les résultats, qui peut contester, comment ajuster ?
Comment cela fonctionne-t-il avec basebox ?
basebox est une plateforme, pas un système à haut risque. Pour des tâches générales comme les brouillons, les résumés et les questions sur des documents, aucune analyse d’impact sur les droits fondamentaux n’est donc exigée. Pour l’analyse d’impact relative à la protection des données, la page Sécurité propose des modèles pour le cloud et le serveur, structurés selon l’art. 35 du RGPD et le Standard-Datenschutzmodell (modèle standard de protection des données des autorités de contrôle allemandes) ; les informations concernant basebox sont déjà remplies.
Pas un conseil juridique : état au 11 octobre 2026. Le questionnaire de la Commission et les lignes directrices sur la classification des IA à haut risque peuvent encore préciser les exigences.
Questions fréquentes
Avons-nous besoin d'une analyse d'impact sur les droits fondamentaux pour un assistant d'IA qui rédige des textes ?
Non, tant que l'usage ne relève pas de l'annexe III. L'article 27 vise les systèmes à haut risque. Une analyse d'impact relative à la protection des données (AIPD) selon l'art. 35 du RGPD peut néanmoins être nécessaire, par exemple pour des données de santé ou des données sociales.
L'obligation s'applique-t-elle aussi aux infrastructures critiques ?
Non. Les systèmes relevant du point 2 de l'annexe III (infrastructures critiques) sont expressément exclus de l'article 27.
Faut-il refaire l'analyse à chaque utilisation ?
Non. Elle s'applique à la première utilisation. Dans des cas similaires, vous pouvez vous appuyer sur une analyse antérieure ou sur celle du fournisseur. Si un élément change, vous la mettez à jour.
Sources
Cet article a été créé avec l’aide de l’IA, sur la base des sources citées. Responsable du contenu : basebox GmbH. Ceci n’est pas un conseil juridique, aucune responsabilité. État de la recherche : 11 octobre 2026.