FRIA et AI Act : le guide complet de l'analyse d'impact sur les droits fondamentaux pour les collectivités et le secteur public (2026)

En résumé

La FRIA — Fundamental Rights Impact Assessment, en français analyse d'impact sur les droits fondamentaux — est l'évaluation qu'impose l'article 27 du règlement (UE) 2024/1689 (AI Act) avant le premier déploiement d'un système d'IA à haut risque. Elle ne concerne pas tout le monde : elle vise les organismes de droit public, les entités privées fournissant des services publics, et les déployeurs de systèmes d'IA relevant des points 5 b) et c) de l'annexe III — c'est-à-dire l'évaluation de solvabilité et la tarification en assurance vie et santé. Elle doit être réalisée avant la première utilisation, et ses résultats notifiés à l'autorité de surveillance du marché au moyen d'un modèle élaboré par le Bureau de l'IA. Sa date d'application est le 2 août 2026. Le « Digital Omnibus » décale ces obligations : le 7 mai 2026, le Conseil, le Parlement et la Commission sont parvenus à un accord provisoire repoussant l'annexe III au 2 décembre 2027 et l'annexe I au 2 août 2028. Cet accord doit encore être formellement adopté et publié au Journal officiel pour produire ses effets — adoption attendue avant le 2 août 2026. Tant que la publication n'a pas eu lieu, le calendrier de l'article 113 s'applique tel qu'il est écrit.

Le contresens du moment : « c'est reporté, on a jusqu'en 2027 »

Depuis la présentation du paquet « Digital Omnibus », une phrase circule dans les directions générales et les DSI de collectivités : les obligations haut risque sont repoussées à décembre 2027. Cette phrase est dangereuse pour trois raisons.

Premièrement, le report n'est pas encore du droit. Il ne s'agit plus d'une simple proposition — les co-législateurs se sont entendus le 7 mai 2026, ce qui est une étape très avancée. Mais un accord politique de trilogue n'est pas du droit applicable : il faut le vote formel puis la publication au Journal officiel. Tant que cette publication n'a pas eu lieu, le calendrier de l'article 113 continue de produire ses effets, et le 2 août 2026 reste la date d'entrée en application des obligations de l'annexe III, article 27 compris.

Deuxièmement, le report déplace l'échéance, il ne supprime rien. L'adoption formelle est attendue avant le 2 août 2026 ; si elle n'intervient pas à temps, les obligations s'appliquent à cette date comme prévu initialement. Et même une fois publié, un report de seize mois ne fait que décaler le même travail : les organisations qui suspendent leur préparation le reprendront en 2027, avec moins de marge.

Troisièmement, le report ne concerne pas tout. Les obligations de transparence de l'article 50 — informer les personnes qu'elles interagissent avec une IA, marquer les contenus générés — s'appliquent bien au 2 août 2026 et ne sont pas dans le périmètre du décalage haut risque. L'obligation de maîtrise de l'IA (article 4) est applicable depuis le 2 février 2025. Les pratiques interdites (article 5) le sont également depuis cette date, et elles visent frontalement des cas d'usage publics : notation sociale, police prédictive fondée sur le profilage, reconnaissance des émotions en milieu éducatif ou professionnel. Une collectivité qui utilise aujourd'hui un dispositif de reconnaissance des émotions dans un contexte scolaire n'est pas en situation de « report » : elle est en situation d'infraction.

Voir aussi : ce qui reste obligatoire le 2 août 2026.

La bonne posture n'est donc pas d'attendre. Elle est de produire la FRIA maintenant — parce que le travail préalable qu'elle exige (inventaire, classification, analyse d'usage) prend plusieurs mois, et parce que ce travail est nécessaire dans les deux scénarios, que la date finale soit 2026 ou 2027. Vérifiez la publication au Journal officiel avant de caler définitivement votre calendrier sur décembre 2027 : c'est la publication qui fait foi, pas l'accord.

Qu'est-ce que la FRIA, exactement

L'article 27 impose au déployeur d'évaluer, avant la première utilisation d'un système d'IA à haut risque, l'impact que cette utilisation peut avoir sur les droits fondamentaux des personnes. Le texte fixe six éléments obligatoires :

(a) La description des processus dans lesquels le système sera utilisé, conformément à sa destination. Il ne s'agit pas de décrire le logiciel, mais le processus métier réel : à quel moment de l'instruction d'un dossier d'aide sociale l'outil intervient-il, sur quelles pièces, avec quelle conséquence pour l'usager.

(b) La période et la fréquence d'utilisation prévues. Un usage expérimental sur trois mois et un usage permanent sur l'ensemble des dossiers ne présentent pas le même profil de risque.

(c) Les catégories de personnes physiques et de groupes susceptibles d'être affectés. C'est ici que la FRIA se distingue le plus nettement de l'AIPD : le texte vise explicitement les groupes, pas seulement les personnes concernées au sens du RGPD. Une collectivité doit se demander si un dispositif affecte différemment les allocataires de minima sociaux, les personnes en situation de handicap, les habitants d'un quartier prioritaire, les personnes âgées peu à l'aise avec le numérique.

(d) Les risques spécifiques de préjudice pour ces catégories, en tenant compte des informations fournies par le fournisseur au titre de l'article 13. Ce renvoi est capital : le déployeur n'est pas censé deviner. Il a le droit d'exiger du fournisseur la notice d'utilisation, les limites de performance connues, les conditions dans lesquelles le système peut produire des résultats erronés. S'il ne les obtient pas, il ne peut pas produire une FRIA sérieuse — et c'est un problème contractuel avant d'être un problème juridique.

(e) La description de la mise en œuvre de la surveillance humaine, conformément au mode d'emploi. Non pas « un agent relit », mais : quel agent, avec quelle formation, avec quel pouvoir réel d'infirmer la proposition du système, avec quel temps disponible pour le faire. Une surveillance humaine qui ne peut matériellement pas s'exercer n'est pas une surveillance humaine.

(f) Les mesures à prendre en cas de matérialisation des risques, y compris la gouvernance interne et les mécanismes de plainte. C'est le volet le plus souvent absent des travaux existants : par quel canal un usager conteste-t-il une décision assistée par IA, qui traite la contestation, dans quel délai, avec quelle traçabilité.

Le paragraphe 3 ajoute une obligation procédurale déterminante : une fois l'évaluation réalisée, le déployeur notifie ses résultats à l'autorité de surveillance du marché et joint le modèle rempli prévu au paragraphe 5. La FRIA n'est donc pas un document interne : c'est une pièce qui sort de l'organisation et qui devient opposable.

Qui est concerné — et pourquoi le périmètre est plus large qu'on ne le croit

Les organismes de droit public. Communes, intercommunalités, départements, régions, établissements publics, CCAS, agences de l'État, établissements publics de santé, universités. Sans seuil de taille. Une commune de 4 000 habitants qui déploie un système relevant de l'annexe III est concernée au même titre qu'une métropole.

Les entités privées fournissant des services publics. C'est la catégorie que presque personne n'anticipe. Elle attrape des acteurs qui ne se pensent pas comme publics : délégataires de service public de l'eau, des transports, des déchets ; bailleurs sociaux ; établissements de santé privés participant au service public hospitalier ; organismes de sécurité sociale ; opérateurs de formation professionnelle financés sur fonds publics ; crèches associatives sous délégation. Si votre organisation exécute une mission de service public, l'article 27 vous vise même si votre statut est privé.

Les déployeurs des points 5 b) et c) de l'annexe III. Évaluation de la solvabilité et établissement du score de crédit des personnes physiques ; évaluation des risques et tarification en assurance vie et santé. Banques, établissements de crédit, assureurs, mutuelles : entièrement privés, entièrement soumis à la FRIA.

Une exclusion notable : les systèmes d'IA à haut risque du point 2 de l'annexe III — les infrastructures critiques — sont exclus de l'obligation de FRIA.

FRIA ou AIPD : la question que tout le monde pose mal

La question n'est pas « laquelle des deux dois-je faire ». Le paragraphe 4 de l'article 27 y répond : si une obligation de l'article 27 est déjà satisfaite par l'analyse d'impact relative à la protection des données réalisée au titre de l'article 35 du RGPD, la FRIA complète cette analyse. Elle ne la remplace pas, et l'AIPD ne l'absorbe pas.

L'objet protégé. L'AIPD protège les droits et libertés des personnes concernées au regard du traitement de leurs données personnelles. La FRIA protège l'ensemble des droits fondamentaux de la Charte : non-discrimination, dignité, accès à un recours effectif, liberté d'expression, droit à une bonne administration.

Le déclencheur. L'AIPD se déclenche par un risque élevé pour les personnes. La FRIA se déclenche par une qualité de déployeur croisée avec une classification annexe III. Le déclencheur est structurel, pas discrétionnaire.

Le champ des données. L'AIPD suppose un traitement de données à caractère personnel. La FRIA n'a pas cette condition.

La destination du document. L'AIPD reste en principe interne. La FRIA fait l'objet d'une notification systématique à l'autorité de surveillance du marché, sauf dérogation de l'article 46 §1.

En pratique : partir de l'AIPD si elle existe, la conserver, et lui adjoindre un module FRIA qui traite les trois questions qu'elle n'aborde pas — les groupes affectés, les droits fondamentaux non liés aux données, et les mécanismes de plainte. Voir réaliser une AIPD sur un système d'IA.

Les cas d'usage publics qui basculent en haut risque

• Accès aux services publics essentiels et aux prestations sociales — instruction assistée des demandes d'aide sociale, de logement social, d'aide alimentaire, de bourses ; détection de fraude aux prestations ; priorisation des dossiers.
• Emploi et gestion des ressources humaines — tri automatisé de candidatures, aide à la décision sur les promotions ou les affectations.
• Éducation et formation professionnelle — orientation, affectation des élèves, évaluation automatisée.
• Services d'urgence — triage et priorisation des appels ou des interventions.
• Application de la loi et migration — dispositifs de police municipale assistés par IA, analyse de flux vidéo à visée de détection.
• Administration de la justice et processus démocratiques.

À cela s'ajoute une couche que les collectivités découvrent tard : les fonctions d'IA ajoutées par mise à jour dans des progiciels de gestion de l'action sociale, des systèmes de vidéoprotection ou des outils de GRH. Le système n'a pas été acheté comme un système d'IA. Il en est devenu un.

Méthode : produire une FRIA en 7 étapes

Étape 1 — Constituer l'inventaire des systèmes d'IA déployés. Rien ne commence sans cela. L'inventaire couvre les outils achetés, les outils gratuits utilisés par les agents, les fonctions d'IA embarquées dans les progiciels métier, et les développements internes. C'est le préalable dont dépend tout le reste. Voir construire votre inventaire des systèmes d'IA et détecter les usages d'IA non déclarés.

Étape 2 — Classifier chaque système au regard de l'annexe III. Pratique interdite (article 5) ? haut risque (annexe III, en précisant le point) ? soumis à l'article 50 ? hors périmètre ? Documenter le raisonnement, y compris pour les systèmes écartés — c'est cette documentation qui vous protégera en cas de contrôle.

Étape 3 — Vérifier votre qualité de déployeur. Organisme de droit public ou entité privée assurant un service public + système annexe III (hors point 2) = FRIA obligatoire. Le tableau est binaire.

Étape 4 — Réunir les informations du fournisseur (article 13). Demander formellement la notice d'utilisation, les performances, les limites connues, les mesures de surveillance humaine recommandées. Fixer un délai. Consigner l'absence de réponse : c'est un élément de risque et un levier contractuel.

Étape 5 — Conduire l'analyse des six points (a) à (f). En atelier, avec les métiers — pas en chambre par le DPO seul. La FRIA est un exercice pluridisciplinaire : DPO, DSI/RSSI, référent métier, direction juridique.

Étape 6 — Définir la surveillance humaine et les mécanismes de plainte. Nommer les personnes, décrire le pouvoir réel d'infirmation, prévoir le canal de contestation, le délai et la traçabilité. Vérifier la cohérence avec l'article 86 et, pour les décisions produisant des effets juridiques, avec l'article 22 du RGPD.

Étape 7 — Notifier, dater, archiver, réviser. Notifier les résultats avec le modèle rempli. Horodater et sceller la version. Définir le fait générateur de révision. L'article 27 §2 impose la mise à jour lorsqu'un élément a changé.

Ce qui se joue au moment de l'achat public

La FRIA se prépare dans le CCTP, pas après la notification du marché. Quatre exigences à inscrire systématiquement :

1. Déclaration de présence d'IA et classification — le titulaire déclare si la solution comporte un ou plusieurs systèmes d'IA au sens du règlement 2024/1689, indique la classification retenue et la justifie.

2. Fourniture des éléments de l'article 13 — notice, performances, limites, conditions d'usage, surveillance humaine recommandée, remis à la livraison et à chaque évolution majeure.

3. Obligation d'information sur les évolutions — le titulaire informe l'acheteur de toute adjonction de fonctionnalité d'IA, avec un préavis permettant la mise à jour de la FRIA.

4. Coopération à la FRIA et à la notification — engagement à fournir, dans un délai déterminé, les éléments nécessaires à l'analyse d'impact et à sa mise à jour.

Pensez aussi à vérifier la localisation des données de votre fournisseur. Ces clauses coûtent quelques lignes. Leur absence coûte un projet de conformité entier.

Sanctions et exposition réelle

Le régime de l'article 99 prévoit, pour le non-respect des obligations applicables aux déployeurs, des amendes administratives pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial. Pour les pratiques interdites de l'article 5, le plafond monte à 35 millions d'euros ou 7 %. Les États membres fixent le régime applicable aux autorités et organismes publics.

Mais pour une collectivité, l'exposition financière n'est pas le risque dominant. Le risque dominant est contentieux et réputationnel : un usager qui conteste une décision d'attribution assistée par IA, une association qui demande communication de l'analyse d'impact, un article de presse locale sur un algorithme de détection de fraude. L'article 85 ouvre un droit de plainte, l'article 86 un droit à l'explication des décisions individuelles. La FRIA est, dans ce contexte, moins un document de conformité qu'une pièce de défense. Voir aussi sécuriser vos systèmes d'IA générative.

Les cinq erreurs qui reviennent systématiquement

Faire la FRIA après le déploiement. Le texte dit « avant de déployer ». Une FRIA produite après la mise en service ne régularise pas rétroactivement ; elle documente l'infraction.

Confier la FRIA au seul DPO. Sans portage par la direction générale et sans participation des métiers, la FRIA produit un document, pas une décision. Voir mettre en place une gouvernance de l'IA.

Recopier la FRIA du fournisseur. L'article 27 §2 autorise à s'appuyer sur des analyses existantes dans des cas similaires. Il n'autorise pas à substituer l'analyse du fournisseur à la sienne : les points (c), (e) et (f) ne peuvent structurellement pas venir de lui.

Oublier la notification. Une FRIA produite et jamais notifiée ne satisfait pas le paragraphe 3.

Traiter la FRIA comme un document figé. Sans fait générateur de révision défini et sans traçabilité des versions, la FRIA est périmée l'année suivante.

Comment SiyadAI intervient

La difficulté d'une FRIA n'est pas juridique. Elle est documentaire. Sur les sept étapes de la méthode, cinq sont des problèmes d'inventaire, de classification et de traçabilité.

Le scan Shadow AI révèle les outils réellement utilisés par les agents, y compris ceux qui n'ont jamais fait l'objet d'un achat. Le registre des systèmes d'IA structure l'inventaire avec la classification annexe III et le scoring de risque. L'assistant DPIA produit la trame d'analyse et couvre les six points de l'article 27. L'Evidence Pack scelle et horodate la version notifiée, avec l'historique des décisions et de leurs justifications.

Sources

• Règlement (UE) 2024/1689 (AI Act) — articles 4, 5, 6, 13, 26, 27, 46, 49, 50, 71, 85, 86, 99, 113 ; annexe III ; considérants 93 et 96.
• Commission européenne — AI Act Service Desk et AI Act Explorer, texte consolidé de l'article 27.
• Commission européenne — paquet « Digital Omnibus », proposition de décalage conditionnel des obligations haut risque de l'annexe III.
• CNIL — recommandations IA et RGPD ; programme de travail 2026 ; qualité d'autorité de surveillance du marché pour le champ « travail ».
• CEPD (EDPB) — lignes directrices sur l'analyse d'impact relative à la protection des données.
• ANSSI — recommandations de sécurité pour les systèmes d'IA générative.
• ENISA — travaux sur la sécurité et la fiabilité des systèmes d'IA.
• NIST — AI Risk Management Framework (AI RMF 1.0).
• Agence des droits fondamentaux de l'Union européenne (FRA) — analyses d'impact sur les droits fondamentaux.
• Règlement (UE) 2016/679 (RGPD) — articles 22, 30, 35, 36.