Votre agent vocal IA aide un conseiller en gestion de patrimoine à pré-qualifier un dossier d'assurance-vie. Un autre évalue, par téléphone, l'éligibilité d'un emprunteur avant transmission à un conseiller bancaire. Un troisième oriente les administrés d'une collectivité territoriale vers le bon service. Ces trois agents ont un point commun que peu d'équipes conformité ont encore identifié : ils peuvent déclencher, pour leur déployeur, une obligation spécifique de l'AI Act que le report du calendrier n'a pas supprimée, seulement reportée - la FRIA.
L'entrée en vigueur du Digital Omnibus en juillet 2026 a convaincu beaucoup d'entreprises que les obligations liées aux systèmes à haut risque n'étaient plus un sujet avant longtemps. C'est vrai pour l'échéance, beaucoup moins pour la préparation : une analyse d'impact sur les droits fondamentaux se construit sur plusieurs mois, pas en quelques semaines avant un contrôle.
Ce guide explique ce qu'est la FRIA, qui doit la réaliser, ce qu'elle doit contenir, et selon quel calendrier réel - celui qui résulte du règlement effectivement en vigueur, pas celui que beaucoup croient encore applicable.
Qu'est-ce que la FRIA (analyse d'impact sur les droits fondamentaux) ?
FRIA (Fundamental Rights Impact Assessment) : analyse d'impact sur les droits fondamentaux prévue à l'article 27 de l'AI Act. Elle oblige certains déployeurs de systèmes d'IA à haut risque à documenter, avant la première utilisation du système, les processus concernés, les personnes susceptibles d'être affectées, les risques spécifiques pour leurs droits et les mesures de supervision humaine et de mitigation mises en place.
La FRIA ne concerne pas les fournisseurs de systèmes d'IA, qui ont leurs propres obligations de conformité (documentation technique, marquage CE, évaluation de conformité), mais les déployeurs - les organisations qui utilisent le système sous leur autorité, par exemple une entreprise qui exploite un agent vocal IA dans son propre service client ou son propre réseau d'agences. C'est une obligation de gouvernance opérationnelle, à la charge de celui qui met le système en situation réelle d'usage.
Qui est concerné : les trois catégories de déployeurs visées par l'article 27
Contrairement à une idée répandue, l'article 27 ne s'applique pas à tout déployeur d'un système à haut risque. Il vise précisément trois catégories, qu'il convient de distinguer avant de se demander si son propre agent vocal IA est concerné.
| Catégorie de déployeur | Définition | Exemple pour un agent vocal IA |
|---|---|---|
| Organisme de droit public | Toute entité relevant de la définition retenue par la directive 2014/24/UE sur les marchés publics | Standard téléphonique d'une collectivité territoriale, d'un hôpital public ou d'une administration |
| Entité privée fournissant un service public | Éducation, santé, services sociaux, logement, administration de la justice, au sens du considérant 96 de l'AI Act | Centre de santé privé assurant une mission de service public, organisme social délégataire |
| Déployeur d'un système Annexe III, point 5, b) ou c) | Évaluation de solvabilité ou scoring de crédit (hors détection de fraude financière), ou évaluation des risques et tarification en assurance vie et santé - public ou privé | Agent vocal IA de pré-qualification crédit, agent vocal IA de tarification assurance-vie pour un cabinet de gestion de patrimoine |
Deux précisions évitent les erreurs d'interprétation les plus fréquentes. D'abord, les systèmes de l'Annexe III, point 2 (infrastructures critiques : réseaux numériques, circulation routière, eau, gaz, électricité) sont explicitement exclus de l'obligation de FRIA, même pour un organisme public. Ensuite, un employeur strictement privé qui utilise un agent vocal IA pour le screening téléphonique de candidats - un usage classé à haut risque au point 4 de l'Annexe III - n'entre pas dans le périmètre de l'article 27, sauf s'il relève lui-même d'un statut public ou d'une mission de service public. La FRIA reste alors une bonne pratique recommandée, pas une obligation directe.
Les agents vocaux IA concrètement concernés en pratique
En croisant les trois catégories de déployeurs avec les usages réels des agents vocaux IA en entreprise, quatre familles de cas se dégagent clairement :
- Secteur public et missions de service public - accueil téléphonique d'une mairie, d'un département, d'un hôpital public, d'un organisme social ou d'une caisse de retraite, dès lors que l'agent vocal contribue à une décision relevant d'un usage à haut risque de l'Annexe III (accès aux prestations sociales essentielles, par exemple).
- Crédit et scoring financier - agent vocal IA de pré-qualification d'un prêt, d'évaluation de solvabilité avant transfert à un conseiller, pour une banque ou un établissement de crédit. La limite à surveiller : un agent qui se contente de vérifier une identité ou de détecter une fraude ne relève pas de ce périmètre, l'exclusion étant explicite dans le texte.
- Assurance vie et santé - agent vocal IA qui collecte des informations utilisées pour évaluer un risque ou calculer une prime d'assurance vie, de prévoyance ou de complémentaire santé, typique des usages en gestion de patrimoine et en courtage.
- Santé publique et secteur médico-social - agent vocal IA de triage ou d'orientation déployé par un établissement de santé public, à distinguer d'un usage purement privé (cabinet libéral) qui ne relève pas de l'article 27 sauf mission de service public.
À l'inverse, la grande majorité des callbots de service client - prise de rendez-vous, support technique, gestion des réclamations, qualification commerciale pour une entreprise strictement privée - reste hors du champ direct de l'article 27, même si le système sous-jacent est par ailleurs classé à haut risque pour d'autres raisons.
Les six éléments obligatoires d'une FRIA
L'AI Act n'impose pas de méthodologie ni de format particulier pour conduire l'analyse, mais fixe précisément son contenu minimal. Six éléments doivent être documentés :
| Élément requis | Traduction pour un agent vocal IA |
|---|---|
| Description des processus concernés | Quel parcours d'appel déclenche l'usage du système : qualification, pré-scoring, orientation, prise de décision assistée |
| Durée et fréquence d'utilisation prévues | Usage permanent en production, usage ponctuel sur une campagne, volume d'appels estimé |
| Catégories de personnes susceptibles d'être affectées | Clients, prospects, assurés, demandeurs de prestations - avec attention particulière aux publics vulnérables (personnes âgées, non-francophones, personnes en difficulté financière) |
| Risques spécifiques de préjudice | Biais de reconnaissance vocale sur certains accents ou troubles de la parole, erreur d'interprétation d'intention affectant une décision, exclusion de personnes malentendantes sans alternative |
| Mesures de supervision humaine | Seuils de confiance déclenchant une validation humaine, mécanisme de human-in-the-loop avant toute décision défavorable |
| Mesures de mitigation et mécanisme de réclamation | Procédure de contestation d'une décision, canal de recours humain, gouvernance interne en cas de dérive détectée |
Le cinquième élément mérite une attention particulière pour un agent vocal agentique : la supervision humaine ne peut pas se limiter à une mention de principe. L'AI Act attend une description opérationnelle - à quel moment précis du parcours d'appel un humain intervient, selon quel seuil de déclenchement, et avec quelle marge de décision réelle sur le résultat proposé par l'agent.
FRIA et AIPD RGPD : deux analyses complémentaires, pas redondantes
L'article 27 de l'AI Act prévoit explicitement l'articulation avec l'analyse d'impact relative à la protection des données (AIPD) de l'article 35 du RGPD. Une AIPD déjà réalisée pour le traitement des données vocales de l'agent peut compléter la FRIA : les éléments qu'elle couvre déjà sont réputés satisfaits.
Mais les deux analyses ne se recouvrent pas entièrement. L'AIPD porte sur les risques pour les données personnelles ; la FRIA porte plus largement sur les droits fondamentaux - non-discrimination, accès à un service essentiel, droit à un recours effectif - qui peuvent être affectés même lorsque le traitement de données lui-même est parfaitement conforme au RGPD. Concrètement, une entreprise qui a déjà réalisé l'AIPD de son agent vocal IA gagne du temps, mais doit encore documenter spécifiquement les risques de préjudice pour les personnes et les mécanismes de réclamation, rarement couverts en détail dans une AIPD classique.
Calendrier réel : ce que change (et ne change pas) le report du Digital Omnibus
Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a reporté les obligations liées aux systèmes à haut risque de l'Annexe III - dont la FRIA - du 2 août 2026 au 2 décembre 2027. Les systèmes de l'Annexe I, intégrés à des produits déjà réglementés, bénéficient d'un report au 2 août 2028. Ce décalage ne supprime aucune exigence : il laisse davantage de temps aux déployeurs pour s'y conformer, exactement comme pour les autres obligations haut risque détaillées dans notre article sur le Digital Omnibus.
Deux nuances sont essentielles pour ne pas sous-estimer le sujet :
- Le report ne dispense pas d'une AIPD RGPD dès aujourd'hui. Si votre agent vocal IA traite des données à grande échelle, des données sensibles ou produit un profilage ayant un effet juridique sur la personne, l'obligation d'AIPD au titre du RGPD s'applique indépendamment du calendrier de l'AI Act, dès maintenant.
- Les obligations de transparence de l'article 50 ne sont pas reportées. Annoncer sans ambiguïté qu'un appelant parle à une IA reste obligatoire depuis le 2 août 2026, que votre système relève ou non de la FRIA.
Attendre décembre 2027 pour commencer est donc une fausse bonne idée : une FRIA sérieuse implique de cartographier les processus, recenser les risques réels observés en production et faire valider les mesures de supervision humaine - un travail qui se construit sur plusieurs mois, pas dans les semaines précédant l'échéance.
Comment conduire une FRIA pour un agent vocal IA : méthode en cinq étapes
1. Déterminer le périmètre. Votre organisation relève-t-elle du droit public, d'une mission de service public, ou votre agent vocal IA contribue-t-il à une évaluation de solvabilité ou à une tarification d'assurance vie ou santé ? Si la réponse est non sur les trois points, l'obligation légale directe ne s'applique pas - la FRIA reste néanmoins une bonne pratique de gouvernance recommandée par de nombreux clients B2B exigeants.
2. Documenter les processus et la fréquence d'usage. Décrire précisément à quel moment du parcours d'appel le système intervient, pour quelle finalité, et à quel volume - un prérequis simple souvent négligé faute de documentation à jour des flux conversationnels.
3. Cartographier les personnes affectées et les risques spécifiques. Identifier les catégories de personnes concernées et les risques propres à la voix : biais sur certains accents ou troubles de la parole, exclusion de publics malentendants, mauvaise interprétation d'une intention dans une langue seconde - des angles souvent absents d'une analyse de risque IA générique pensée pour du texte.
4. Définir et documenter les mesures de supervision humaine. Préciser les seuils de confiance déclenchant une validation humaine et le mécanisme retenu - confirmation avec l'appelant ou validation par un tiers, selon la logique détaillée dans notre guide sur le human-in-the-loop.
5. Préparer le plan de mitigation, le mécanisme de réclamation et la notification. Définir comment une personne peut contester une décision influencée par l'agent, documenter la gouvernance interne en cas de dérive détectée, et préparer la notification à l'autorité de surveillance du marché compétente dès que le modèle de questionnaire du Bureau européen de l'IA sera publié.
Comment TALKR accompagne la conformité FRIA de ses clients
TALKR documente, pour chaque déploiement d'agent vocal IA, les processus concernés, les seuils de supervision humaine et les mécanismes de contrôle nécessaires à une analyse d'impact sur les droits fondamentaux. Nos clients en gestion de patrimoine, assurance et secteur public disposent ainsi d'une base solide pour construire leur FRIA avant l'échéance de décembre 2027, sans attendre le dernier trimestre.
Nos équipes vous aident à déterminer si votre agent vocal IA entre dans le périmètre de l'article 27 et à préparer la documentation correspondante.
Parler à un expert TALKRFAQ - FRIA et agent vocal IA
Qu'est-ce que la FRIA (analyse d'impact sur les droits fondamentaux) prévue par l'AI Act ?
C'est l'analyse prévue à l'article 27 de l'AI Act, qui oblige certains déployeurs de systèmes à haut risque à documenter, avant la première utilisation, les processus concernés, les personnes susceptibles d'être affectées, les risques pour leurs droits fondamentaux et les mesures de supervision humaine et de mitigation prévues.
Qui doit réaliser une FRIA pour un agent vocal IA ?
Les organismes de droit public, les entités privées fournissant un service public, et tout déployeur d'un système relevant de l'Annexe III, point 5, b) (scoring de crédit) ou c) (tarification assurance vie et santé). En dehors de ces cas, ce n'est pas une obligation légale directe.
Un agent vocal IA utilisé pour du scoring crédit ou de la tarification assurance est-il concerné ?
Oui, quel que soit le statut public ou privé du déployeur. Un agent limité à la vérification d'identité ou à la détection de fraude financière n'entre pas dans ce périmètre, cette finalité étant explicitement exclue du texte.
Que doit contenir une analyse d'impact sur les droits fondamentaux ?
Six éléments : les processus concernés, la durée et la fréquence d'usage, les catégories de personnes affectées, les risques spécifiques de préjudice, les mesures de supervision humaine, et les mesures de mitigation incluant un mécanisme de réclamation.
La FRIA remplace-t-elle l'analyse d'impact RGPD (AIPD) ?
Non. Une AIPD déjà réalisée peut compléter la FRIA pour les éléments qu'elle couvre, mais la FRIA porte plus largement sur les droits fondamentaux, au-delà de la seule protection des données personnelles.
Quand la FRIA devient-elle obligatoire après le report du Digital Omnibus ?
Le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, a reporté les obligations liées à l'Annexe III, dont la FRIA, au 2 décembre 2027. Cela ne dispense pas d'une AIPD RGPD dès aujourd'hui si elle est par ailleurs requise.
Faut-il notifier les résultats de la FRIA à une autorité ?
Oui, à l'autorité de surveillance du marché compétente, selon un modèle de questionnaire que le Bureau européen de l'IA doit élaborer. Une exemption temporaire existe pour des raisons exceptionnelles de sécurité publique.
Une FRIA déjà réalisée peut-elle être réutilisée pour un nouveau déploiement ?
Oui, y compris une évaluation fournie par le fournisseur du système, si elle reste pertinente. Elle doit être mise à jour dès qu'un élément change significativement : nouveau processus, nouvelle catégorie de personnes concernées, nouvelles mesures de supervision humaine.