AIPD : methode complete pour realiser votre analyse d'impact

L'analyse d'impact sur les droits fondamentaux, ou AIPD (Analyse d'Impact relative à la Protection des Droits fondamentaux), est l'une des obligations les plus importantes de l'EU AI Act pour les organisations qui deploient des systemes d'IA haut risque. Voici comment la realiser methodiquement.

Qu'est-ce qu'une AIPD et qui doit la realiser ?

La AIPD est un processus d'evaluation systematique des risques qu'un systeme d'IA fait peser sur les droits fondamentaux des personnes concernees. Elle est obligatoire pour tout deployer de systeme d'IA haut risque, c'est-a-dire l'organisation qui utilise le systeme (pas seulement le developpeur).

Concretement, si votre entreprise utilise un systeme d'IA pour evaluer des candidatures, scorer des demandes de credit, trier des patients, ou tout autre usage classe haut risque, vous devez realiser une AIPD avant la mise en production.

Les droits fondamentaux a evaluer

La AIPD doit couvrir systematiquement les droits susceptibles d'etre affectes. Le droit a la non-discrimination : le systeme traite-t-il equitablement tous les groupes de population ? Le droit a la vie privee : quelles donnees personnelles sont traitees et comment sont-elles protegees ? Le droit a l'information : les personnes concernees savent-elles qu'une IA est utilisee ? Le droit a un recours effectif : les personnes peuvent-elles contester une decision de l'IA ?

Methodologie en 5 etapes

Etape 1 : Description du systeme. Documentez precisement ce que fait le systeme, quelles donnees il utilise, quelles decisions il prend ou recommande, et qui sont les personnes affectees.

Etape 2 : Identification des droits impactes. Pour chaque droit fondamental, evaluez si et comment le systeme peut l'affecter. Utilisez une matrice risque/impact pour prioriser.

Etape 3 : Evaluation de la severite. Pour chaque impact identifie, evaluez la probabilite et la gravite. Un biais discriminatoire dans un systeme de recrutement a un impact direct et mesurable sur le droit au travail.

Etape 4 : Mesures d'attenuation. Definissez les controles et mesures pour reduire chaque risque a un niveau acceptable : tests de biais, supervision humaine, mecanismes de recours, audits reguliers.

Etape 5 : Suivi et revision. La AIPD n'est pas un document statique. Elle doit etre revisee regulierement et mise a jour quand le systeme evolue ou que de nouveaux risques sont identifies.

Les erreurs frequentes a eviter

La premiere erreur est de traiter la AIPD comme une formalite administrative. C'est un processus analytique qui doit impliquer des experts metier, pas seulement des juristes. La deuxieme est de copier un modele generique sans l'adapter a votre contexte specifique. La troisieme est d'oublier la dimension temporelle : les risques evoluent avec l'usage.

Automatiser la AIPD avec MaConformite

Notre plateforme guide les organisations a travers chaque etape de la AIPD avec des questionnaires adaptes par secteur, des matrices de risque pre-configurees et la generation automatique du document final au format PDF, pret pour un audit. Le suivi des actions correctives est integre dans le dashboard de conformite.

Questions fréquentes — FRIA et AIPD

Quelle est la différence entre une AIPD (RGPD) et une FRIA (AI Act) ?

L'AIPD (Analyse d'Impact relative à la Protection des Données) est exigée par le RGPD pour les traitements à haut risque impliquant des données personnelles. La FRIA (Fundamental Rights Impact Assessment) est exigée par l'article 27 de l'EU AI Act pour les systèmes d'IA à haut risque utilisés par des déployeurs publics ou certains déployeurs privés. Les deux analyses se complètent mais ne sont pas identiques : la FRIA couvre aussi les droits non liés aux données (droit au travail, à l'éducation, à la non-discrimination).

Qui est obligé de réaliser une FRIA ?

L'article 27 impose la FRIA aux déployeurs de systèmes d'IA à haut risque qui sont des organismes publics ou des opérateurs privés fournissant des services publics essentiels (crédit, emploi, éducation, santé). Les PME et microentreprises peuvent en être exemptées selon leur taille et le type de système déployé.

Combien de temps prend la réalisation d'une FRIA ?

Une FRIA complète pour un système à haut risque prend en moyenne 2 à 5 jours de travail avec un outil dédié, ou 3 à 6 semaines si réalisée manuellement avec consultation d'un cabinet juridique. Un outil comme MaConformite guide pas à pas l'analyse et pré-remplit les sections réglementaires sectorielles pour réduire ce délai.

La FRIA doit-elle être renouvelée à chaque mise à jour du système d'IA ?

Oui, toute modification substantielle du système d'IA (nouveau modèle, nouvelles données d'entraînement, extension du périmètre d'usage) nécessite une révision de la FRIA. Les modifications mineures (corrections de bugs, optimisations sans changement de comportement) n'imposent pas de nouvelle analyse complète.

Où déposer la FRIA une fois réalisée ?

La FRIA n'est pas déposée auprès d'une autorité par défaut, mais elle doit être disponible pour inspection sur demande des autorités nationales de surveillance (en France, la CNIL est l'autorité compétente pour de nombreux secteurs). Pour les systèmes enregistrés dans la base de données EU, un résumé peut être exigé publiquement.