AIPD et FRIA : comment fusionner l'analyse d'impact RGPD et l'analyse de risque AI Act en un seul dossier

· Mis à jour le · Par Aymeric GuyardAymeric Guyard · 7 min de lecture

AIPD et FRIA : comment fusionner l'analyse d'impact RGPD et l'analyse de risque AI Act en un seul dossier

En bref

  • Un projet d'IA traitant des données personnelles déclenche souvent deux analyses : l'AIPD (RGPD art. 35) et, pour les systèmes à haut risque, la FRIA (AI Act art. 27), adossée à la gestion des risques du fournisseur (art. 9). Plutôt que trois documents, construisez un dossier unique et étendu.

AIPD, FRIA, gestion des risques : qui fait quoi ?

AnalyseQuiObjetBase
AIPDResponsable de traitementRisques pour les personnes concernéesRGPD art. 35
Gestion des risques IAFournisseurSûreté et robustesse du systèmeAI Act art. 9
FRIADéployeur (haut risque)Impact sur les droits fondamentauxAI Act art. 27

La méthode en 7 étapes

  1. Décrire le système d'IA, ses finalités, ses données et son cycle de vie.
  2. Qualifier le niveau de risque AI Act et vérifier si une AIPD est obligatoire.
  3. Cartographier les données personnelles, les bases légales et les flux.
  4. Identifier les risques : pour les personnes (RGPD) et pour les droits fondamentaux (biais, opacité).
  5. Évaluer la gravité et la vraisemblance, puis définir les mesures d'atténuation.
  6. Prévoir la supervision humaine, la journalisation et l'information des personnes.
  7. Faire valider par le DPO, dater, et planifier le réexamen.

Bonne pratique : une seule table des risques, deux colonnes de lecture (RGPD / droits fondamentaux). Vous évitez les doublons, démontrez une gouvernance intégrée et facilitez le contrôle. Voir aussi l'AIPD pas-à-pas d'un projet d'IA et quand l'AIPD est obligatoire.

Quand l'AIPD est-elle obligatoire pour une IA ?

Elle l'est notamment en cas de traitement à grande échelle de données sensibles, d'évaluation ou de scoring, de surveillance systématique, ou d'usage de nouvelles technologies présentant un risque élevé — ce qui couvre la majorité des projets d'IA à fort impact.

Passez à l’action

Cartographiez vos systèmes d'IA, menez vos AIPD/FRIA et pilotez vos registres depuis une seule plateforme avec Data Comply One.

Découvrir le logiciel AI Act →Tester ma conformité gratuitement

Questions fréquentes

Quelle différence entre AIPD et FRIA ?

L'AIPD (RGPD art. 35) évalue les risques pour les personnes concernées par un traitement de données. La FRIA (AI Act art. 27) évalue l'impact d'un système d'IA à haut risque sur les droits fondamentaux. Les deux se recoupent et peuvent être menées dans un dossier unique.

Quand une AIPD est-elle obligatoire pour un projet d'IA ?

Notamment en cas de traitement à grande échelle de données sensibles, de scoring, de surveillance systématique ou d'usage d'une technologie à risque élevé. En pratique, la plupart des projets d'IA à fort impact la requièrent.

Le DPO doit-il valider le dossier ?

Oui, l'avis du DPO est requis pour l'AIPD et fortement recommandé pour l'ensemble du dossier. Il doit être associé dès la conception du projet.

Peut-on réutiliser un modèle unique ?

Oui. Une trame fusionnée AIPD/FRIA, avec table des risques à double lecture, est la manière la plus efficace de couvrir RGPD et AI Act sans redondance.