Analyse d’impact des systèmes d’IA à haut risque sur les droits fondamentaux
Règlement établissant des règles harmonisées sur l'intelligence artificielle · UE 2024/1689
Analyse d’impact des systèmes d’IA à haut risque sur les droits fondamentaux
1. Avant le déploiement d’un système d’IA à haut risque visé à l’article 6, paragraphe 2, à l’exception des systèmes d’IA à haut risque destinés à être utilisés dans le domaine visé à l’annexe III, point 2, les déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics et les déployeurs de systèmes d’IA à haut risque visés à l’annexe III, points 5), b) et c), effectuent une analyse de l’impact sur les droits fondamentaux que l’utilisation de ce système peut produire. À cette fin, les déployeurs effectuent une analyse comprenant:
| a) | une description des processus du déployeur dans lesquels le système d’IA à haut risque sera utilisé conformément à sa destination; |
| b) | une description de la période pendant laquelle et de la fréquence à laquelle chaque système d’IA à haut risque est destiné à être utilisé; |
| c) | les catégories de personnes physiques et les groupes susceptibles d’être concernés par son utilisation dans le contexte spécifique; |
| d) | les risques spécifiques de préjudice susceptibles d’avoir une incidence sur les catégories de personnes physiques ou groupes de personnes identifiés en vertu du point c) du présent paragraphe, compte tenu des informations fournies par le fournisseur conformément à l’article 13; |
| e) | une description de la mise en œuvre des mesures de contrôle humain, conformément à la notice d’utilisation; |
| f) | les mesures à prendre en cas de matérialisation de ces risques, y compris les dispositifs relatifs à la gouvernance interne et aux mécanismes de plainte internes. |
2. L’obligation établie au paragraphe 1 s’applique à la première utilisation du système d’IA à haut risque. Le déployeur peut, dans des cas similaires, s’appuyer sur des analyses d’impact sur les droits fondamentaux effectuées précédemment ou sur des analyses d’impact existantes réalisées par le fournisseur. Si, au cours de l’utilisation du système d’IA à haut risque, le déployeur estime qu’un des éléments énumérés au paragraphe 1 a changé ou n’est plus à jour, il prend les mesures nécessaires pour mettre à jour les informations.
3. Une fois l’analyse visée au paragraphe 1 du présent article effectuée, le déployeur en notifie les résultats à l’autorité de surveillance du marché, et soumet le modèle visé au paragraphe 5 du présent article, rempli, dans le cadre de la notification. Dans le cas visé à l’article 46, paragraphe 1, les déployeurs peuvent être exemptés de cette obligation de notification.
4. Si l’une des obligations prévues au présent article est déjà remplie au moyen de l’analyse d’impact relative à la protection des données réalisée en application de l’article 35 du règlement (UE) 2016/679 ou de l’article 27 de la directive (UE) 2016/680, l’analyse d’impact sur les droits fondamentaux visée au paragraphe 1 du présent article complète ladite analyse d’impact relative à la protection des données.
5. Le Bureau de l’IA élabore un modèle de questionnaire, y compris au moyen d’un outil automatisé, afin d’aider les déployeurs à se conformer de manière simplifiée aux obligations qui leur incombent en vertu du présent article.
Au Luxembourg, l'autorité de surveillance du marche IA n'est pas encore formellement désignée a la date de publication. En attendant cette désignation, les deployeurs publics luxembourgeois (communes, ministeres, établissements publics, hopitaux du secteur conventionne) doivent préparer leur FRIA et la conserver en tenant prete sa notification des publication de l'autorité competente. La CNPD reste en parallele competente pour le volet AIPD article 35 RGPD, et il est probable qu'elle joue un role de premier plan dans la désignation IA au regard de sa pratique deja constituee.
Pratique Luxgap : ne pas attendre la désignation pour réaliser la FRIA. Les administrations luxembourgeoises qui deploient deja des systèmes d'aide a la décision (Adem, CCSS, communes) doivent documenter retroactivement leur premier usage, faute de quoi la notification au moment de la désignation revelera une non-conformite de plusieurs mois.
