AIPD : méthode complète pour réaliser votre analyse d'impact

L'analyse d'impact sur les droits fondamentaux, ou AIPD (Analyse d'Impact relative à la Protection des Droits fondamentaux), est l'une des obligations les plus importantes de l'EU AI Act pour les organisations qui deploient des systèmes d'IA haut risque. Voici comment la réaliser methodiquement.

Qu'est-ce qu'une AIPD et qui doit la réaliser ?

La AIPD est un processus d'évaluation systématique des risques qu'un système d'IA fait peser sur les droits fondamentaux des personnes concernées. Elle est obligatoire pour tout déployer de système d'IA haut risque, c'est-a-dire l'organisation qui utilise le système (pas seulement le développeur).

Concrètement, si votre entreprise utilise un système d'IA pour évaluer des candidatures, scorer des demandes de crédit, trier des patients, ou tout autre usage classe haut risque, vous devez réaliser une AIPD avant la mise en production.

Les droits fondamentaux a évaluer

La AIPD doit couvrir systématiquement les droits susceptibles d'être affectes. Le droit a la non-discrimination : le système traite-t-il equitablement tous les groupes de population ? Le droit a la vie privee : quelles données personnelles sont traitees et comment sont-elles protégées ? Le droit a l'information : les personnes concernées savent-elles qu'une IA est utilisée ? Le droit a un recours effectif : les personnes peuvent-elles contester une décision de l'IA ?

Méthodologie en 5 étapes

Étape 1 : Description du système. Documentez précisément ce que fait le système, quelles données il utilise, quelles décisions il prend ou recommande, et qui sont les personnes affectees.

Étape 2 : Identification des droits impactes. Pour chaque droit fondamental, evaluez si et comment le système peut l'affecter. Utilisez une matrice risque/impact pour prioriser.

Étape 3 : Évaluation de la sévérité. Pour chaque impact identifie, evaluez la probabilité et la gravité. Un biais discriminatoire dans un système de recrutement a un impact direct et mesurable sur le droit au travail.

Étape 4 : Mesures d'attenuation. Definissez les contrôles et mesures pour reduire chaque risque a un niveau acceptable : tests de biais, supervision humaine, mecanismes de recours, audits réguliers.

Étape 5 : Suivi et revision. La AIPD n'est pas un document statique. Elle doit être revisee régulièrement et mise à jour quand le système evolue ou que de nouveaux risques sont identifies.

Les erreurs fréquentes a éviter

La première erreur est de traiter la AIPD comme une formalite administrative. C'est un processus analytique qui doit impliquer des experts métier, pas seulement des juristes. La deuxième est de copier un modèle generique sans l'adapter a votre contexte spécifique. La troisième est d'oublier la dimension temporelle : les risques evoluent avec l'usage.

Automatiser la AIPD avec MaConformite

Notre plateforme guide les organisations à travers chaque étape de la AIPD avec des questionnaires adaptes par secteur, des matrices de risque pre-configurees et la génération automatique du document final au format PDF, pret pour un audit. Le suivi des actions correctives est integre dans le dashboard de conformité.

Questions fréquentes — FRIA et AIPD

Quelle est la différence entre une AIPD (RGPD) et une FRIA (AI Act) ?

L'AIPD (Analyse d'Impact relative à la Protection des Données) est exigée par le RGPD pour les traitements à haut risque impliquant des données personnelles. La FRIA (Fundamental Rights Impact Assessment) est exigée par l'article 27 de l'EU AI Act pour les systèmes d'IA à haut risque utilisés par des déployeurs publics ou certains déployeurs privés. Les deux analyses se complètent mais ne sont pas identiques : la FRIA couvre aussi les droits non liés aux données (droit au travail, à l'éducation, à la non-discrimination).

Qui est obligé de réaliser une FRIA ?

L'article 27 impose la FRIA aux déployeurs de systèmes d'IA à haut risque qui sont des organismes publics ou des opérateurs privés fournissant des services publics essentiels (crédit, emploi, éducation, santé). Les PME et microentreprises peuvent en être exemptées selon leur taille et le type de système déployé.

Combien de temps prend la réalisation d'une FRIA ?

Une FRIA complète pour un système à haut risque prend en moyenne 2 à 5 jours de travail avec un outil dédié, ou 3 à 6 semaines si réalisée manuellement avec consultation d'un cabinet juridique. Un outil comme MaConformite guide pas à pas l'analyse et pré-remplit les sections réglementaires sectorielles pour réduire ce délai.

La FRIA doit-elle être renouvelée à chaque mise à jour du système d'IA ?

Oui, toute modification substantielle du système d'IA (nouveau modèle, nouvelles données d'entraînement, extension du périmètre d'usage) nécessite une révision de la FRIA. Les modifications mineures (corrections de bugs, optimisations sans changement de comportement) n'imposent pas de nouvelle analyse complète.

Où déposer la FRIA une fois réalisée ?

La FRIA n'est pas déposée auprès d'une autorité par défaut, mais elle doit être disponible pour inspection sur demande des autorités nationales de surveillance (en France, la CNIL est l'autorité compétente pour de nombreux secteurs). Pour les systèmes enregistrés dans la base de données EU, un résumé peut être exigé publiquement.