# FRIA AI Act : obligations, périmètre, méthode et échéances à connaître

> La FRIA, prévue par l'article 27 de l'AI Act, impose aux organismes publics, opérateurs de services essentiels et établissements d'enseignement utilisant des IA à haut risque d'évaluer l'impact sur les droits fondamentaux avant le 2 août 2026. Elle diffère de l'AIPD RGPD.

- Tags: fria ai act, fria déployeur, article 27 ai act, évaluation d'impact IA, conformité AI Act, droits fondamentaux IA, obligations déployeur IA
- Mot-cle principal: fria ai act

## Points cles

- La FRIA (Fundamental Rights Impact Assessment) est imposée par l'article 27 du règlement AI Act aux déployeurs de systèmes d'IA à haut risque dans certains secteurs (public, services essentiels, éducation).
- Distincte de l'AIPD RGPD, la FRIA évalue l'impact sur tous les droits fondamentaux, bien au-delà de la seule protection des données personnelles.
- L'obligation de réaliser la FRIA intervient impérativement avant la mise en service du système d'IA à haut risque, et non après.
- La FRIA doit comporter au moins 15 champs structurés, couvrant la description du système, les droits concernés, les mesures d'atténuation et le suivi.
- Les résultats de la FRIA doivent être consignés dans la base de données européenne dédiée aux systèmes d'IA à haut risque.
- La FRIA doit être finalisée avant le 2 août 2026 pour les entités concernées, sauf éventuel report lié au Digital Omnibus.

## Introduction

La conformité au règlement AI Act se focalise souvent sur la documentation technique des fournisseurs, mais les déployeurs de systèmes d’IA à haut risque sont soumis à des exigences propres, parmi lesquelles figure la FRIA (Fundamental Rights Impact Assessment). Cette évaluation d’impact sur les droits fondamentaux, imposée par l’**article 27 du Règlement (UE) 2024/1689**, doit être menée par certains déployeurs avant toute mise en service d’un système d’IA à haut risque.

Encore méconnue et régulièrement confondue avec l’AIPD du RGPD, la FRIA concerne pourtant un large éventail d’organismes publics et privés. Ce guide vous explique qui est concerné, comment procéder et à quelles échéances se préparer.

## Contenu

## Définition et origine de la FRIA

La FRIA est une démarche structurée d’évaluation que tout déployeur de système d’IA à haut risque doit réaliser pour anticiper et mesurer les effets potentiels de ce système sur les droits fondamentaux des personnes concernées. Inspirée des pratiques existantes dans l’Union européenne (notamment l’AIPD RGPD), la FRIA s’en distingue par un champ d’application bien plus étendu.

Alors que l’AIPD cible les risques liés au traitement de données à caractère personnel, la FRIA englobe l’ensemble des droits garantis par la **Charte des droits fondamentaux de l’Union européenne** :

- Dignité humaine et intégrité de la personne
- Droit à la non-discrimination (Article 21)
- Protection des données et respect de la vie privée
- Liberté d’expression et d’information
- Droit à un recours effectif et à un procès équitable
- Droits de l’enfant et des personnes vulnérables
- Égalité entre les femmes et les hommes
- Droits des travailleurs, notamment sur les conditions de travail

L’objectif central : anticiper si l’usage du système d’IA risque de porter atteinte à un ou plusieurs de ces droits fondamentaux.

## Qui doit réaliser une FRIA ?

La FRIA n’est pas requise pour tous les déployeurs de systèmes à haut risque. L’**article 27** la rend obligatoire pour des catégories précises :

### Organismes de droit public

Sont concernés :
- Administrations centrales et collectivités locales
- Établissements publics (hôpitaux, universités publiques, agences de l’emploi, etc.)
- Organismes de sécurité sociale
- Autorités judiciaires, de police ou de contrôle aux frontières

### Opérateurs de services essentiels

Les entreprises privées qui gèrent des infrastructures critiques ou assurent des services vitaux (énergie, transport, eau, santé numérique, systèmes bancaires systémiques) doivent conduire une FRIA si elles déploient un système d’IA à haut risque.

### Établissements d’enseignement et de formation professionnelle

Les écoles, universités et organismes de formation utilisant des systèmes d’IA pour l’évaluation, la gestion des admissions ou l’orientation – lorsque ces systèmes relèvent de l’Annexe III – sont également soumis à la FRIA.

> Les entreprises privées classiques qui utilisent un logiciel RH IA ou un outil de scoring commercial ne sont généralement pas concernées par la FRIA. Elles doivent cependant respecter les obligations de l’Article 26 (supervision humaine, conservation des logs, information des personnes), mais pas l’évaluation formelle de l’Article 27.

## FRIA et AIPD : quelles différences ?

La confusion entre FRIA et AIPD est fréquente. Voici comment les distinguer :

- **Fondement légal** : l’AIPD s’appuie sur l’Article 35 du RGPD, la FRIA sur l’Article 27 du règlement AI Act.
- **Champ d’application** : l’AIPD cible uniquement les risques liés à la protection des données personnelles. La FRIA couvre tous les droits fondamentaux, y compris ceux sans lien direct avec la vie privée (non-discrimination, égalité, accès à la justice, droits sociaux, etc.).
- **Déclencheur** : l’AIPD est exigée pour certains traitements de données à risque élevé. La FRIA s’impose lors du déploiement d’un système d’IA à haut risque par un déployeur relevant des catégories visées.
- **Articulation possible** : il est possible – et recommandé – de coordonner les deux évaluations, notamment sur les volets relatifs à la protection des données et à la non-discrimination, afin d’éviter les redondances.

## Comment mener une FRIA : étapes et contenu

L’Article 27 ne fournit pas de modèle unique, mais impose un contenu structuré. Voici les principales étapes recommandées :

### 1. Présentation du système et du contexte d’usage

Décrivez précisément le système d’IA : finalité, fonctionnement général, décisions automatisées ou assistées, contexte organisationnel, utilisateurs concernés et populations impactées.

### 2. Identification des personnes concernées

Recensez les individus directement ou indirectement affectés par le système. Accordez une attention particulière aux groupes vulnérables (mineurs, personnes âgées, personnes en situation de handicap, minorités).

### 3. Analyse des droits fondamentaux potentiellement touchés

Pour chaque droit fondamental de la Charte, déterminez :
- Si le système peut l’affecter dans le contexte d’utilisation
- Le niveau de probabilité et de gravité de l’impact
- Si l’atteinte serait directe ou indirecte

### 4. Évaluation des risques concrets

Transformez les impacts potentiels en risques concrets. Par exemple, un système de scoring peut générer une discrimination indirecte si ses données d’entraînement sont biaisées. Un outil d’évaluation scolaire peut porter atteinte au droit à l’éducation si ses résultats sont erronés et non contestables.

### 5. Mesures d’atténuation prévues

Pour chaque risque identifié, détaillez les mesures de réduction des risques :
- Supervision humaine des décisions critiques
- Voies de recours et de contestation accessibles
- Procédures de détection et de correction des biais
- Restrictions d’usage ou limitation du périmètre
- Formation des utilisateurs sur les limites et biais du système

### 6. Suivi et révision de la FRIA

La FRIA n’est pas figée. Définissez un calendrier de révision, les indicateurs à suivre et les circonstances qui justifieraient une nouvelle évaluation (évolution majeure du système, changement de contexte, incident signalé, etc.).

### 7. Enregistrement et publication des résultats

Les résultats de la FRIA doivent être consignés dans la **base de données européenne des systèmes d’IA à haut risque** (Article 71). Certaines données peuvent être exemptées de publication pour des raisons de confidentialité, mais la synthèse de l’évaluation doit être accessible.

## Les pièges à éviter lors de la FRIA

- **Réaliser la FRIA après le déploiement** : l’évaluation doit impérativement précéder la mise en service. Une FRIA a posteriori ne répond pas à l’obligation légale et expose à des sanctions.
- **Limiter l’analyse aux données personnelles** : la FRIA ne se réduit pas à une extension de l’AIPD. Les droits sociaux, l’égalité, l’accès à la justice doivent être pris en compte même sans traitement de données personnelles.
- **Oublier d’associer les parties concernées** : consulter des représentants des populations affectées améliore la qualité et la robustesse de l’évaluation.
- **Négliger les risques indirects** : certains systèmes affectent des personnes sans contact direct (ex : algorithme d’attribution de logements sociaux).
- **Omettre les révisions périodiques** : une FRIA faite en 2025 pour un système évolué en 2026 n’est plus valable. Prévoyez des mises à jour régulières.

Pour faciliter la démarche, le [module Déployeur de compaia](https://compaia.eu/diagnostic) propose un accompagnement étape par étape, couvrant l’ensemble des exigences de l’Article 27 et générant un document exportable prêt à être enregistré.

## Calendrier : échéance de la FRIA et sanctions

Les déployeurs concernés doivent avoir réalisé leur FRIA avant le **2 août 2026** (sauf report éventuel lié au Digital Omnibus). Le non-respect de cette obligation expose à des sanctions pouvant atteindre **15 millions d’euros** ou **3 %** du chiffre d’affaires mondial annuel. Les autorités nationales disposeront de pouvoirs d’enquête et de sanction à compter d’**août 2026**.

Pour planifier votre conformité, consultez l’[échéancier AI Act](https://compaia.eu/echeancier-ai-act).

## Pour aller plus loin

- [Diagnostic de conformité FRIA – compaia](https://compaia.eu/diagnostic)
- [Échéancier AI Act – compaia](https://compaia.eu/echeancier-ai-act)

La FRIA, bien que moins médiatisée que d’autres obligations du règlement AI Act, constitue un socle essentiel pour la gouvernance responsable des systèmes d’IA à haut risque dans les secteurs public, critique et éducatif. Sa réalisation sérieuse et anticipée est un gage à la fois de conformité et de respect effectif des droits fondamentaux.

## Source officielle
- [Source](https://www.aiacto.eu/fr/blog/fria-ai-act-evaluation-impact-droits-fondamentaux)