L'AI Act introduit une obligation spécifique pour certains déployeurs de systèmes à risque élevé : réaliser une évaluation d'impact sur les droits fondamentaux avant le déploiement. Cette évaluation, inspirée de la DPIA du RGPD, va plus loin en couvrant l'ensemble des droits protégés par la Charte de l'UE.
Qui est obligé de réaliser cette évaluation ?
L'évaluation d'impact sur les droits fondamentaux (article 27 de l'AI Act) est obligatoire pour les organismes publics et entités privées fournissant des services publics qui déploient des systèmes d'IA à risque élevé, ainsi que pour les déployeurs de systèmes de notation de crédit ou d'évaluation des risques en assurance (annexe III, point 5 b et c), publics ou privés. Elle doit identifier les droits potentiellement affectés, les groupes vulnérables concernés, et les mesures de mitigation.
L'article 27 de l'AI Act impose cette évaluation aux déployeurs qui sont des «organismes de droit public» ou des «entités privées fournissant des services publics». En pratique : administrations publiques, organismes de sécurité sociale, établissements d'enseignement publics, hôpitaux publics, opérateurs de services essentiels. L'obligation s'étend aussi, quel que soit leur statut public ou privé, aux déployeurs de systèmes utilisés pour la solvabilité/notation de crédit et pour l'évaluation des risques en assurance-vie et assurance maladie (annexe III, point 5, b) et c)) — article 27, paragraphe 1.
Les entreprises privées qui n'entrent pas dans ces catégories ne sont pas obligées, mais sont fortement encouragées à réaliser cette évaluation comme bonne pratique.
Le contenu de l'évaluation
L'évaluation doit couvrir :
1. Description du déploiement : comment le système est utilisé, dans quel contexte, pour quelles décisions 2. Période de déploiement : dates de début et fin prévues 3. Catégories de personnes affectées : qui est concerné par les décisions du système 4. Droits fondamentaux potentiellement affectés : liste des droits pouvant être impactés 5. Risques identifiés : probabilité et sévérité des impacts sur les droits 6. Mesures de mitigation : comment les risques sont réduits 7. Mécanismes de recours : comment les personnes affectées peuvent contester
- Description du déploiement et du contexte
- Identification des personnes affectées
- Cartographie des droits fondamentaux concernés
- Évaluation des risques d'atteinte à ces droits
- Mesures de mitigation et supervision humaine
- Mécanismes de recours disponibles
La relation avec la DPIA du RGPD
L'évaluation d'impact sur les droits fondamentaux et la DPIA (Data Protection Impact Assessment) du RGPD sont deux documents distincts mais complémentaires.
La DPIA porte spécifiquement sur les risques pour les données personnelles. L'évaluation AI Act porte sur l'ensemble des droits fondamentaux (non-discrimination, dignité, liberté, droit à un recours effectif, etc.).
Dans la pratique, les deux évaluations peuvent être réalisées conjointement et documentées dans un seul document, à condition que les deux périmètres soient couverts.
→ RGPD et intelligence artificielle
FAQ : évaluation impact droits fondamentaux
Conclusion
L'évaluation d'impact sur les droits fondamentaux est un outil de pilotage plus qu'une formalité administrative. En identifiant proactivement les risques pour les personnes affectées, les organisations publiques peuvent prendre des décisions de déploiement plus éclairées et éviter des dommages réputationnels et légaux.
Questions fréquentes
L'évaluation doit être enregistrée dans la base de données européenne des systèmes à risque élevé (pour les déployeurs qui y sont tenus). Certaines informations peuvent être rendues publiques. Les détails confidentiels peuvent être protégés.
L'évaluation doit être mise à jour en cas de modification substantielle du système d'IA ou de son contexte de déploiement, et réévaluée périodiquement (au minimum lors du monitoring annuel).
L'évaluation d'impact sur les droits fondamentaux (article 27 AI Act) est obligatoire pour les organismes publics et les entités privées fournissant des services publics qui déploient des systèmes d'IA à risque élevé, ainsi que pour les déployeurs de systèmes de notation de crédit ou d'évaluation des risques en assurance (annexe III, point 5 b et c).