Article 27 de l’AI Act : guide pratique de l’évaluation d’impact sur les droits fondamentaux

Introduction : une obligation qui incombe au responsable du déploiement

L’article 27 du règlement (UE) 2024/1689, dit AI Act, impose une obligation particulière à certains responsables du déploiement de systèmes d’intelligence artificielle à haut risque. À la différence des obligations du fournisseur, centrées notamment sur la conception du système et la gestion de ses risques, celle-ci incombe à l’organisation qui utilise le système dans ses activités.

L’évaluation d’impact sur les droits fondamentaux — souvent désignée par l’acronyme anglais FRIA — n’est pas une simple formalité administrative. Elle vise à anticiper, avant la première utilisation, les effets possibles du système sur les personnes et les groupes, puis à prévoir des mesures de prévention, de supervision et de réaction adaptées au contexte réel du déploiement.

Cadre juridique et champ d’application

L’évaluation doit être réalisée avant le déploiement de certains systèmes d’IA à haut risque visés à l’article 6, paragraphe 2. Une exception importante concerne les systèmes destinés à être utilisés dans le domaine des infrastructures critiques indiqué à l’annexe III, point 2 : ils sont exclus de l’obligation prévue par l’article 27.

Sont concernés les responsables du déploiement qui sont des organismes de droit public, les entités privées fournissant des services publics, ainsi que les responsables du déploiement de systèmes utilisés pour l’évaluation de la solvabilité des personnes physiques ou l’évaluation du risque et la tarification en assurance vie et santé, visés à l’annexe III, point 5, lettres b) et c). L’obligation ne s’étend donc pas indistinctement à tous les utilisateurs de systèmes à haut risque : il faut vérifier à la fois la catégorie du système et le statut ou le domaine d’activité du responsable du déploiement.

Cette distinction a des conséquences pratiques. Une organisation privée n’est pas automatiquement soumise à l’article 27 au seul motif qu’elle utilise un système relevant de l’annexe III. Il faut déterminer si elle fournit un service public ou si le système appartient aux catégories spécifiquement mentionnées à l’annexe III, point 5, lettres b) et c). L’analyse du champ d’application doit être conservée avec les éléments qui justifient la décision.

Contenu minimal de l’évaluation d’impact

L’article 27, paragraphe 1, énumère six éléments que l’évaluation doit couvrir. Ils constituent le contenu réglementaire requis, et non une simple liste facultative de recommandations. La FRIA doit permettre de comprendre comment le système sera utilisé, quelles personnes peuvent être concernées, quels risques spécifiques sont prévisibles et comment l’organisation réagira si ces risques se concrétisent.

L’analyse doit être adaptée au contexte précis. Une description générale des fonctionnalités du système ne suffit pas : il faut expliquer les processus de l’organisation dans lesquels il sera utilisé conformément à sa finalité prévue, la période et la fréquence d’utilisation, ainsi que les catégories de personnes et de groupes susceptibles d’être touchés. Pour caractériser les risques, le responsable du déploiement tient compte des informations que le fournisseur doit lui communiquer au titre de l’article 13.

La supervision humaine et les mesures à prendre en cas de préjudice font expressément partie du contenu minimal. L’évaluation doit donc décrire comment les personnes chargées de la supervision exerceront leur rôle conformément aux instructions d’utilisation, et préciser les dispositions de gouvernance interne et les mécanismes de réclamation prévus. L’article 27 ne prescrit pas un format détaillé pour chaque élément : la documentation doit néanmoins apporter des réponses concrètes et vérifiables aux exigences énumérées.

FRIA et gestion des risques du fournisseur : deux responsabilités distinctes

La FRIA du responsable du déploiement ne doit pas être confondue avec le système de gestion des risques que le fournisseur doit mettre en place au titre de l’article 9. Cette gestion porte sur les risques liés au système et doit être menée de manière continue pendant son cycle de vie, conformément aux obligations applicables au fournisseur.

L’évaluation de l’article 27 porte, elle, sur les effets possibles de l’utilisation dans un contexte donné et sur les droits fondamentaux des personnes susceptibles d’être touchées. Elle s’effectue avant le premier usage et doit être actualisée si l’un des éléments évalués change ou n’est plus à jour. Le responsable du déploiement peut s’appuyer sur les informations transmises par le fournisseur, mais il lui revient d’examiner les effets de son propre usage : il ne peut pas simplement transférer cette analyse au fournisseur.

La FRIA se distingue également des obligations de supervision humaine applicables aux systèmes à haut risque, notamment celles de l’article 14. Elle doit décrire la manière dont la supervision prévue par les instructions d’utilisation sera effectivement appliquée dans l’organisation. Autrement dit, la documentation ne devrait pas s’arrêter à l’existence théorique d’un dispositif de contrôle : elle doit montrer comment celui-ci s’intègre aux processus concernés.

Mise en œuvre, actualisation et documentation

L’obligation s’applique à la première utilisation du système de haut risque concerné. Pour des cas similaires, le responsable du déploiement peut s’appuyer sur des évaluations d’impact sur les droits fondamentaux effectuées auparavant ou sur des évaluations d’impact existantes réalisées par les fournisseurs. Cette possibilité ne supprime pas la nécessité de vérifier que l’évaluation réutilisée correspond bien au contexte, aux processus et aux personnes concernés.

Si, pendant l’utilisation, le responsable du déploiement estime qu’un des éléments énumérés au paragraphe 1 a changé ou n’est plus à jour, il doit prendre les mesures nécessaires pour actualiser les informations. En pratique, il est utile de définir qui surveille ces changements, quels événements déclenchent une révision et comment les décisions de mise à jour sont consignées. Ces modalités de suivi constituent une recommandation de mise en œuvre, tandis que l’obligation de prendre les mesures nécessaires pour actualiser les informations figure expressément dans le texte.

Une fois l’évaluation effectuée, ses résultats doivent être notifiés à l’autorité de surveillance du marché au moyen du modèle prévu à l’article 27, paragraphe 5, sauf si l’exemption prévue à l’article 46, paragraphe 1, s’applique. L’article 27 prévoit que le Bureau de l’IA élaborera un modèle de questionnaire, y compris sous la forme d’un outil automatisé, pour faciliter cette démarche. Le texte indique aussi que, lorsque l’exception de l’article 46, paragraphe 1, s’applique, le responsable du déploiement peut être dispensé de l’obligation de notification.

L’évaluation d’impact relative à la protection des données prévue à l’article 35 du RGPD, ou celle prévue à l’article 27 de la directive (UE) 2016/680, peut être prise en compte lorsque certaines obligations de l’article 27 sont déjà satisfaites par cette évaluation. Dans sa version actuelle, le paragraphe 4 permet au responsable du déploiement d’inclure dans la FRIA des renvois aux sections pertinentes de l’évaluation relative à la protection des données, ou d’y intégrer les parties pertinentes. Cette articulation facilite la cohérence documentaire, mais ne signifie pas que les deux évaluations ont nécessairement le même objet ou couvrent toutes les mêmes obligations.

Sanctions et conséquences d’un manquement

Le régime de sanctions applicable dépend de la qualification de l’infraction et des dispositions pertinentes du règlement. L’article 99 prévoit un plafond pouvant atteindre 15 millions d’euros ou, pour une entreprise, 3 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu, pour les catégories de manquements visées par ses dispositions relatives aux opérateurs concernés.

Les petites et moyennes entreprises, y compris les jeunes pousses, ne sont pas soumises mécaniquement au même calcul au détriment du montant fixe : le règlement prévoit, pour les PME, le montant le moins élevé entre le plafond fixe et le pourcentage applicable. Le montant effectivement imposé n’est donc pas automatiquement égal au maximum. Il dépend du manquement, des circonstances et de l’application du régime prévu par le règlement.

Pour évaluer précisément les conséquences d’un défaut de FRIA, il faut distinguer l’absence d’évaluation, une évaluation incomplète, l’absence de notification lorsqu’elle est requise et le défaut d’actualisation après un changement. Il ne faut pas présenter le plafond maximal comme une sanction automatique ni confondre ce plafond avec le montant qu’une autorité déciderait d’imposer dans un cas donné.

Limites, points à surveiller et bonnes pratiques

L’article 27 fixe le champ d’application, le contenu minimal, l’actualisation et la notification de l’évaluation, mais ne décrit pas en détail une méthode d’analyse ni le niveau de preuve à produire pour chaque risque. Le modèle de questionnaire prévu au paragraphe 5 doit faciliter la mise en œuvre ; son existence ou sa disponibilité ne doit pas être présumée sur la seule base de l’obligation légale qui prévoit son élaboration. Les organisations doivent donc s’appuyer sur le texte applicable et vérifier les instructions institutionnelles à jour au moment de leur démarche.

Une méthode prudente consiste à tenir un dossier par système et par contexte de déploiement. Celui-ci peut consigner la décision sur l’applicabilité de l’article 27, la version et la finalité du système, les processus concernés, la période et la fréquence d’utilisation, les groupes potentiellement touchés, les risques recensés, les informations pertinentes du fournisseur, les dispositifs de supervision humaine et les mesures de réaction. Il est également utile de dater l’évaluation, de désigner un responsable de sa révision et de conserver les versions successives.

La checklist ci-dessous distingue les éléments expressément prévus par l’article 27 des pratiques organisationnelles recommandées pour rendre l’évaluation plus traçable. Elle ne remplace pas l’analyse juridique du statut de l’organisation, de la catégorie du système ni des exceptions applicables. En cas de doute sur le champ d’application ou la notification, il est préférable de faire vérifier la qualification avant le déploiement plutôt que de traiter l’obligation comme générale ou inexistante.

Pour assurer la cohérence avec la supervision humaine, les responsables devraient relier les risques recensés aux personnes chargées de superviser le système, à leur rôle dans les processus concernés et aux mesures prévues lorsqu’un risque se matérialise. Cette articulation facilite aussi l’examen ultérieur de l’évaluation si les conditions d’utilisation changent. Il s’agit d’une pratique de mise en œuvre, distincte des éléments précis que le règlement énumère comme contenu minimal.

Poursuivre l’exploration

Corrections et transparence

Si vous repérez une information incorrecte ou obsolète, envoyez-nous la page et la source à vérifier.