Article 27 IA Act - Analyse d’impact des systèmes d’IA à haut risque sur les droits fondamentaux

Explication de l’article

L’article 27 du Règlement européen sur l’intelligence artificielle (IA Act) prévoit une analyse d’impact sur les droits fondamentaux avant le déploiement de certains systèmes d’IA à haut risque. Son objectif est d’aider les organisations à identifier les conséquences possibles de l’utilisation d’un système d’IA sur les personnes concernées et à mettre en place des mesures pour prévenir ou limiter les atteintes à leurs droits.

Cette obligation ne concerne pas automatiquement tous les déployeurs de systèmes d’IA à haut risque. Elle vise notamment les organismes de droit public, les entités privées qui fournissent des services publics et certains déployeurs de systèmes utilisés dans le domaine de l’assurance et du crédit, selon les catégories prévues par l’annexe III du règlement. Une exception est prévue pour les systèmes destinés au domaine mentionné au point 2 de cette annexe, relatif à certaines infrastructures critiques.

1. Identifier les usages et les personnes concernées

Avant de déployer le système, l’organisation doit décrire les processus dans lesquels il sera utilisé, conformément à sa destination. Elle doit également préciser la durée et la fréquence d’utilisation envisagées.

L’analyse doit identifier les personnes et les groupes susceptibles d’être concernés. Il peut s’agir, par exemple, de demandeurs d’aides sociales, de candidats à un logement, de personnes sollicitant un crédit ou d’usagers d’un service public.

2. Évaluer les risques pour les droits fondamentaux

Le déployeur doit identifier les risques spécifiques que l’utilisation du système peut faire peser sur les personnes concernées, en tenant compte notamment des informations communiquées par le fournisseur dans la notice d’utilisation.

Ces risques peuvent porter sur la vie privée, la protection des données personnelles, la non-discrimination, l’accès à un service essentiel ou encore le droit à un recours effectif.

L’objectif n’est pas seulement de constater qu’un risque existe, mais de comprendre dans quel contexte il pourrait se concrétiser et quelles personnes seraient susceptibles d’en subir les conséquences.

3. Prévoir des mesures de prévention et de réaction

L’analyse doit décrire la manière dont le contrôle humain sera mis en œuvre conformément aux instructions du fournisseur. Elle doit également préciser les mesures à prendre si les risques identifiés se réalisent.

Ces mesures peuvent notamment comprendre des procédures de contrôle des résultats, des mécanismes de réclamation, une gouvernance interne adaptée et des modalités permettant de corriger les erreurs ou de réexaminer une décision.

L’analyse d’impact doit ainsi déboucher sur des actions concrètes, et non rester un simple document administratif.

4. Réaliser l’analyse avant le premier déploiement et la mettre à jour

L’analyse d’impact doit être effectuée avant la première utilisation du système concerné. Dans des situations similaires, le déployeur peut s’appuyer sur des analyses précédentes ou sur une analyse existante réalisée par le fournisseur.

Toutefois, si les circonstances d’utilisation changent ou si les informations ne sont plus à jour, le déployeur doit prendre les mesures nécessaires pour actualiser son analyse.

Une fois celle-ci réalisée, ses résultats doivent être notifiés à l’autorité de surveillance du marché, au moyen du modèle prévu par le règlement. Une exception est notamment prévue dans le cas visé à l’article 46, paragraphe 1, relatif à la dérogation à certaines exigences de conformité.

5. Articuler l’analyse avec l’analyse d’impact relative à la protection des données

L’article 27 précise qu’une analyse d’impact sur les droits fondamentaux peut reprendre ou référencer les parties pertinentes d’une analyse d’impact relative à la protection des données (AIPD), lorsqu’une obligation prévue par l’article 27 est déjà satisfaite par cette AIPD.

Cette possibilité évite de dupliquer inutilement certains travaux, sans pour autant confondre les deux démarches : l’AIPD porte sur les risques liés au traitement des données personnelles, tandis que l’analyse d’impact de l’article 27 examine plus largement les effets de l’utilisation du système sur les droits fondamentaux.

Le Bureau européen de l’IA doit élaborer un modèle de questionnaire, pouvant notamment prendre la forme d’un outil automatisé, pour faciliter cette démarche et en simplifier la réalisation.

Notions clés à comprendre

Déployeur : organisation ou personne qui utilise un système d’IA sous sa propre autorité, dans un cadre professionnel, conformément à la définition de l’IA Act.

Système d’IA à haut risque : système classé à haut risque selon les critères de l’article 6 et les catégories pertinentes de l’annexe III.

Droits fondamentaux : droits garantis par la Charte des droits fondamentaux de l’UE (égalité, non-discrimination, protection des données, dignité humaine, liberté individuelle).

Analyse d’impact sur les droits fondamentaux : démarche préalable visant à identifier les personnes concernées, les risques liés à l’utilisation du système et les mesures à prendre pour y répondre.

Contrôle humain : mesures permettant à des personnes compétentes de surveiller l’utilisation du système et d’intervenir conformément aux instructions applicables.

AIPD : analyse d’impact relative à la protection des données prévue par l’article 35 du RGPD. Elle peut contribuer à l’analyse de l’article 27, mais ne couvre pas nécessairement tous les droits fondamentaux.

Mise à jour de l’analyse : adaptation des informations lorsque les conditions d’utilisation évoluent ou que des éléments deviennent obsolètes.

Évaluation ex ante : analyse réalisée avant la mise en service du système.

Exemple pratique

Une collectivité territoriale souhaite utiliser un système d’IA à haut risque pour l’aider à traiter les demandes d’accès à un dispositif d’aide sociale.

Avant le déploiement, elle doit vérifier si elle entre dans le champ d’application de l’article 27, puis analyser les conséquences possibles de l’utilisation du système.

Elle identifie notamment les personnes concernées, les étapes de traitement des demandes et les risques d’erreurs ou de traitement inégal de certains profils. Elle examine également la manière dont les agents contrôleront les résultats et les procédures permettant à un demandeur de signaler une erreur ou de demander un réexamen de son dossier.

Si une AIPD a déjà été réalisée pour le traitement des données personnelles, la collectivité peut en reprendre les parties pertinentes, sans négliger les autres droits fondamentaux susceptibles d’être affectés. Elle finalise ensuite l’analyse avant la première utilisation et notifie ses résultats à l’autorité compétente, sauf exception applicable.

Si le dispositif est ensuite modifié ou si son utilisation change de manière à rendre certaines informations obsolètes, la collectivité doit réexaminer et actualiser l’analyse.

Vous ne savez pas si vous devez réaliser une analyse d’impact avant de déployer votre IA ?

L’article 27 impose une analyse d’impact sur les droits fondamentaux pour certains systèmes d’IA à haut risque, avant leur déploiement.

Réaliser mon analyse d’impact IA avec un expert

Texte original de l’IA Act

Article 27 – Analyse d’impact des systèmes d’IA à haut risque sur les droits fondamentaux

1. Avant le déploiement d’un système d’IA à haut risque visé à l’article 6, paragraphe 2, à l’exception des systèmes d’IA à haut risque destinés à être utilisés dans le domaine visé à l’annexe III, point 2, les déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics et les déployeurs de systèmes d’IA à haut risque visés à l’annexe III, points 5), b) et c), effectuent une analyse de l’impact sur les droits fondamentaux que l’utilisation de ce système peut produire. À cette fin, les déployeurs effectuent une analyse comprenant:

a) une description des processus du déployeur dans lesquels le système d’IA à haut risque sera utilisé conformément à sa destination;

b) une description de la période pendant laquelle et de la fréquence à laquelle chaque système d’IA à haut risque est destiné à être utilisé;

c) les catégories de personnes physiques et les groupes susceptibles d’être concernés par son utilisation dans le contexte spécifique;

d) les risques spécifiques de préjudice susceptibles d’avoir une incidence sur les catégories de personnes physiques ou groupes de personnes identifiés en vertu du point c) du présent paragraphe, compte tenu des informations fournies par le fournisseur conformément à l’article 13;

e) une description de la mise en œuvre des mesures de contrôle humain, conformément à la notice d’utilisation;

f) les mesures à prendre en cas de matérialisation de ces risques, y compris les dispositifs relatifs à la gouvernance interne et aux mécanismes de plainte internes.

2. L’obligation établie au paragraphe 1 s’applique à la première utilisation du système d’IA à haut risque. Le déployeur peut, dans des cas similaires, s’appuyer sur des analyses d’impact sur les droits fondamentaux effectuées précédemment ou sur des analyses d’impact existantes réalisées par le fournisseur. Si, au cours de l’utilisation du système d’IA à haut risque, le déployeur estime qu’un des éléments énumérés au paragraphe 1 a changé ou n’est plus à jour, il prend les mesures nécessaires pour mettre à jour les informations.

3. Une fois l’analyse visée au paragraphe 1 du présent article effectuée, le déployeur en notifie les résultats à l’autorité de surveillance du marché, et soumet le modèle visé au paragraphe 5 du présent article, rempli, dans le cadre de la notification. Dans le cas visé à l’article 46, paragraphe 1, les déployeurs peuvent être exemptés de cette obligation de notification.

4. Si l’une des obligations prévues au présent article est déjà remplie au moyen de l’analyse d’impact relative à la protection des données réalisée en application de l’article 35 du règlement (UE) 2016/679 ou de l’article 27 de la directive (UE) 2016/680, le déployeur peut, lorsqu’il procède à l’analyse d’impact sur les droits fondamentaux visée au paragraphe 1 du présent article, inclure des renvois aux sections pertinentes de cette analyse d’impact relative à la protection des données ou en intégrer les parties pertinentes dans l’analyse d’impact relative aux droits fondamentaux.

5. Le Bureau de l’IA élabore un modèle de questionnaire, y compris au moyen d’un outil automatisé, afin d’aider les déployeurs à se conformer de manière simplifiée aux obligations qui leur incombent en vertu du présent article. Ce modèle donne, le cas échéant, aux déployeurs la possibilité d’inclure des renvois aux sections pertinentes de l’analyse d’impact relative à la protection des données ou d’inclure des parties pertinentes de celle-ci dans l’analyse d’impact relative aux droits fondamentaux, conformément au paragraphe 4.

Vous pouvez consulter le texte officiel consolidé sur EUR-Lex – Règlement (UE) 2024/1689, version consolidée du 27 juillet 2026.

Perspectives avec d’autres texte

Perspectives européennes

RGPD

L’article 35 du RGPD impose une AIPD lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques. Cette analyse peut notamment être nécessaire en présence d’une évaluation systématique fondée sur un traitement automatisé produisant des effets juridiques ou des effets similaires significatifs.

L’article 27 de l’IA Act et l’article 35 du RGPD sont complémentaires : le premier s’intéresse aux effets de l’utilisation de certains systèmes d’IA à haut risque sur les droits fondamentaux, tandis que le second porte sur les risques liés au traitement des données personnelles. Lorsque les deux obligations s’appliquent, les analyses peuvent être articulées afin d’éviter les répétitions inutiles.

Charte des droits fondamentaux de l’Union européenne

La Charte protège notamment la dignité humaine, la vie privée, les données personnelles, l’égalité, la non-discrimination et le droit à un recours effectif. Ces droits constituent des références importantes pour identifier les conséquences potentielles de l’utilisation d’un système d’IA.

L’analyse d’impact doit donc tenir compte du contexte réel d’utilisation et des personnes susceptibles d’être affectées, plutôt que de se limiter aux performances techniques du système.

Directive (UE) 2016/680 relative aux traitements de données à des fins répressives

Pour les traitements relevant du champ d’application de cette directive, son article 27 prévoit également une analyse d’impact relative à la protection des données dans certaines situations à risque élevé.

L’article 27 de l’IA Act permet, lorsque les conditions sont réunies, de reprendre ou de référencer les parties pertinentes de cette analyse. Cette articulation doit respecter les exigences propres à chacun des textes.

Règlement (UE) 2022/2065 — Digital Services Act (DSA)

L’article 27 de l’IA Act impose à certains déployeurs de systèmes d’IA à haut risque de réaliser une analyse d’impact sur les droits fondamentaux avant leur première utilisation. En parallèle, les articles 34 et 35 du DSA imposent aux fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche d’évaluer et d’atténuer les risques systémiques liés à leurs services, notamment les effets négatifs sur les droits fondamentaux. Ces deux dispositifs poursuivent ainsi un objectif commun de prévention des risques, tout en s’appliquant à des acteurs et à des situations distincts.

Perspectives françaises

Loi Informatique et Libertés

En France, la loi Informatique et Libertés complète le cadre national de protection des données personnelles. La CNIL accompagne les organismes dans l’application du RGPD, notamment concernant les AIPD, les traitements présentant des risques élevés et les droits des personnes.

Pour un organisme soumis à la fois au RGPD et à l’article 27 de l’IA Act, il est pertinent de coordonner les travaux de conformité, tout en distinguant les objectifs et le périmètre de chaque analyse.

Évaluer les impacts d’une IA sur les droits fondamentaux peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne.

Menu IA Act