AIPD et analyse d’impact sur les droits fondamentaux : une seule évaluation pour une IA communale
En bref
Une collectivité qui déploie de l’IA fait face à deux évaluations. L’AIPD est obligatoire au titre de l’article 35 du RGPD en cas de risque élevé pour les personnes, presque toujours le cas avec de l’IA et des données personnelles. L’analyse d’impact sur les droits fondamentaux de l’article 27 de l’AI Act devient obligatoire en décembre 2027 pour les organismes publics qui déploient une IA à haut risque. Menez-les comme une seule démarche : les mêmes faits, deux angles.
Deux évaluations, une application
| Évaluation | Fondement | Quand obligatoire | Question centrale |
|---|---|---|---|
| AIPD | RGPD article 35 | En cas de risque élevé probable pour les personnes ; la CNIL publie une liste de traitements pour lesquels elle est obligatoire | Quelles données personnelles, quel risque, quelles mesures ? |
| Analyse d’impact sur les droits fondamentaux | AI Act article 27 | Pour les organismes publics déployant une IA à haut risque de l’annexe III, à partir du 2 décembre 2027 | Quels droits, quels groupes, quelle supervision, quelles mesures ? |
| Recommandations de la CNIL sur l’IA | CNIL, fiches pratiques depuis 2024 | Pas obligatoires, mais la référence de l’autorité française pour concevoir et déployer de l’IA | La finalité, la base légale et la minimisation sont-elles respectées à chaque phase ? |
L’article 27 dit lui-même que l’analyse d’impact sur les droits fondamentaux peut compléter l’AIPD là où elles se recouvrent. Les Pays-Bas ont révisé leur instrument IAMA à cet effet ; en France il n’existe pas encore de modèle officiel. Voir L’AI Act européen en 2026 pour les échéances.
Comme une seule démarche
- Décrire d’abord l’application. Finalité, utilisateurs, entrées, sorties, quelle décision elle influence, quels groupes elle touche. Cette partie est commune aux deux.
- Classer. Est-ce un système d’IA au sens de l’AI Act, et si oui dans quelle classe de risque ? Un assistant de rédaction n’est pas à haut risque ; un système qui participe à une décision sur des prestations ou des autorisations l’est.
- Données personnelles. Les questions de l’AIPD : base légale, nécessité, minimisation, durée de conservation, sous-traitants, transferts. Avec un service d’IA public, cela bute généralement déjà sur le transfert et la finalité.
- Droits fondamentaux. Égalité de traitement, vie privée, bonne administration, accès aux services. Quels groupes sont touchés différemment, et comment le testez-vous ? Voir Tester les algorithmes contre la discrimination.
- Mesures et supervision. Contrôle humain, journalisation, voie de réclamation, date de réexamen. Consigner qui est responsable.
- Publier. Inscrire l’application dans un registre des algorithmes avec un renvoi vers l’évaluation. Voir Remplir le registre des algorithmes.
Erreurs fréquentes
- L’évaluation après l’achat. Chaque risque est alors devenu le problème du fournisseur. Faites l’évaluation pendant la passation.
- Une fois pour toutes. Un nouveau modèle ou une nouvelle source est une nouvelle évaluation. Prévoyez un réexamen annuel.
- Évaluer le modèle plutôt que l’application. Le même modèle est à faible risque pour des comptes rendus et à haut risque pour une décision sur le RSA.
- Personne concernée n’a été entendu. Un conseil citoyen, le Défenseur des droits ou une association d’usagers apportent souvent les questions les plus pertinentes.
Comment werqly s’y intègre
Un environnement à soi raccourcit l’AIPD : pas de transfert, pas de fournisseur qui entraîne des modèles sur vos données, un accès par rôle et un journal d’audit qui rend les mesures démontrables. Pour l’analyse d’impact sur les droits fondamentaux, werqly AI Control fournit les faits : quels modèles, quelles sources, quels rôles, quel usage. Voir L’IA pour les collectivités.
Questions fréquentes
Questions sur ce sujet
Une AIPD est-elle obligatoire pour chaque application d’IA ?
En cas de risque élevé probable pour les personnes, oui, et avec des données personnelles dans l’IA c’est presque toujours le cas. La CNIL publie une liste des traitements pour lesquels une AIPD est toujours requise.
Quelle est la différence entre l’AIPD et l’analyse de l’AI Act ?
L’AIPD examine les risques pour les données personnelles. L’analyse d’impact sur les droits fondamentaux de l’article 27 examine tous les droits, comme l’égalité de traitement et la bonne administration, et c’est une obligation légale pour les organismes publics déployant une IA à haut risque. Les deux peuvent être fusionnées.
À partir de quand s’applique l’article 27 ?
Pour les IA à haut risque de l’annexe III, à partir du 2 décembre 2027, après le report par l’omnibus numérique. L’analyse doit être achevée avant la première utilisation.
Un assistant de rédaction pour les comptes rendus a-t-il aussi besoin d’une analyse d’impact sur les droits fondamentaux ?
Une AIPD oui, si les comptes rendus contiennent des données personnelles. L’analyse d’impact sur les droits fondamentaux vise les systèmes à haut risque ; pour un assistant, une vérification courte et une inscription au registre suffisent en général.
Sources
- CNIL — Analyse d’impact relative à la protection des données (AIPD)
- Artificialintelligenceact.eu — Article 27 : analyse d’impact sur les droits fondamentaux
Cet article est une information générale, pas un conseil juridique. Les règles et les recommandations évoluent ; en cas de doute, consultez les sources citées ou votre juriste ou DPO.