Analyse d'impact droits fondamentaux IA : obligations et périmètre

L’analyse d’impact sur les droits fondamentaux s’impose comme un pilier de la conformité des systèmes d’intelligence artificielle (IA) dans l’Union européenne. Cette démarche vise à encadrer les risques liés à l’utilisation de systèmes d’IA qualifiés de « à haut risque », notamment ceux pouvant influencer directement la vie des personnes.

Rôle central du déployeur dans l’analyse

Le règlement sur l’IA distingue deux acteurs clés : le fournisseur, qui conçoit le système, et le déployeur, qui l’utilise sous sa propre autorité. Ce dernier, qu’il s’agisse d’une personne morale, d’une autorité publique ou d’une agence, est responsable de l’évaluation des conséquences de l’IA sur les droits fondamentaux. Cette responsabilité découle de sa connaissance du contexte opérationnel, incluant les finalités, les populations ciblées et les conditions d’intervention humaine.

Périmètre des systèmes concernés

L’obligation d’analyse d’impact ne s’applique pas à tous les systèmes d’IA à haut risque. Plusieurs critères déterminent son déclenchement :

• Le statut juridique du déployeur : les organismes de droit public et les entités privées fournissant des services publics sont systématiquement concernés.
• Le cas d’usage précis : certains outils, comme ceux servant de composants de sécurité pour des infrastructures critiques, sont exclus de l’obligation.
• Les secteurs spécifiques : les entreprises évaluant la solvabilité des personnes physiques ou les assureurs utilisant l’IA pour la tarification en assurance-vie et maladie sont également visés.

Contenu de l’analyse d’impact

L’analyse doit couvrir plusieurs éléments, notamment :

• Une description des processus d’utilisation du système d’IA à haut risque.
• Les catégories de personnes physiques et groupes potentiellement concernés.
• Les risques spécifiques de préjudice identifiés, en tenant compte des informations fournies par le fournisseur.
• Les mesures de contrôle humain et les dispositifs de gouvernance interne en cas de matérialisation des risques.

Articulation avec le RGPD

Le règlement sur l’IA permet une mutualisation des travaux de conformité avec l’analyse d’impact relative à la protection des données (RGPD). Les organisations peuvent intégrer les éléments pertinents de l’une dans l’autre, évitant ainsi les analyses redondantes. Cette approche vise à renforcer l’efficacité des dispositifs tout en garantissant un niveau élevé de protection des droits fondamentaux.

Suites et obligations post-analyse

Dès l’achèvement de l’analyse, le déployeur doit en notifier les résultats à l’autorité de surveillance du marché, en France la Cnil. Par ailleurs, l’analyse doit faire l’objet de mises à jour régulières pour refléter les changements dans l’utilisation du système ou dans son environnement.