FRIA en RH : qui est concerné par l'analyse d'impact et comment la réaliser

Qui est réellement obligé ?

L'article 27 réserve l'obligation de FRIA à trois catégories de déployeurs de systèmes à haut risque : les organismes de droit public ; les entités privées fournissant des services publics ; et les déployeurs de systèmes utilisés pour évaluer la solvabilité ou le risque en assurance vie et santé. Un employeur privé « classique » déployant un outil de recrutement n'entre pas automatiquement dans ces catégories. Il reste toutefois soumis aux autres obligations du déployeur (art. 26), et mener une FRIA — même non obligatoire — structure l'analyse et fournit une preuve de diligence en cas de contrôle.

Ce que contient une FRIA

Menée avant la première utilisation du système, la FRIA documente : les processus dans lesquels le système sera utilisé, la durée et la fréquence d'utilisation, les catégories de personnes concernées, les risques spécifiques pour leurs droits fondamentaux, les mesures de supervision humaine, et les mesures d'atténuation prévues en cas de matérialisation d'un risque.

Méthode en 6 étapes

1. Décrire le système et sa finalité : que fait-il, dans quel processus RH, avec quelles données ?
2. Identifier les personnes concernées : candidats, salariés, représentants du personnel.
3. Cartographier les risques pour les droits fondamentaux : discrimination, atteinte à la vie privée, opacité de la décision.
4. Décrire la supervision humaine : qui contrôle, quand, avec quel pouvoir de passer outre la recommandation de l'IA.
5. Définir les mesures d'atténuation : tests de biais, révision des critères, procédure de recours.
6. Documenter et réviser : consigner l'analyse, la dater, la mettre à jour à chaque évolution.

FRIA et AIPD : un seul dossier de preuves

Quand le système à haut risque traite des données personnelles — presque toujours le cas en RH — une AIPD (art. 35 RGPD) est également requise. Les deux analyses se recouvrent largement. La bonne pratique consiste à les mener conjointement et à produire un dossier unique, cohérent, qui satisfait à la fois l'AI Act et le RGPD. Voir fusionner AIPD et FRIA et IA de recrutement : la responsabilité de l'employeur.