Modèle 4 : évaluation d'impact d'un système IA

Couvre : clause 6.1.4 (méthode), 8.4 (résultats), A.5.2 à A.5.5. Référence : ISO/IEC 42005. Documents obligatoires : la méthode (6.1.4) et les résultats (8.4).

Différence avec le registre des risques : le registre regarde les risques pour l'organisation et pour les personnes ; l'évaluation d'impact regarde seulement les personnes, les groupes et la société, y compris les effets positifs.

Une seule fiche peut servir trois obligations, si elle couvre leurs rubriques :

ISO 42001 (6.1.4, A.5)   toujours
RGPD, AIPD (art. 35)     traitement de données personnelles à risque élevé
AI Act, art. 27          analyse d'impact sur les droits fondamentaux : certains déployeurs
                         de systèmes à haut risque (organismes publics, services publics,
                         annexe III point 5 b et c : crédit, assurance vie et maladie)

Déclencheurs : nouveau système, nouvel usage, nouvelle population, nouvelles données, nouveau pays, incident ou plainte. La revue annuelle pour les systèmes à haut risque est un choix de ce modèle, pas une périodicité générale imposée par ISO 42001 ou le RGPD.

Fiche vide

Système                 nom, version, propriétaire
Évaluateurs             noms, rôles ; au moins une personne extérieure à l'équipe projet
Date, version           n°, date, prochaine révision

1. Description

Finalité                ce que le système décide ou recommande
Usage prévu             qui l'utilise, dans quel processus, avec quelle supervision humaine
Usages exclus           ce qu'il ne doit pas servir à faire
Données                 sources, catégories (dont art. 9 RGPD), durée de conservation
Fréquence, volume       décisions par jour ou par an

2. Personnes concernées

Directement             qui reçoit le résultat
Indirectement           famille, ayants droit, salariés
Groupes vulnérables     âge, handicap, précarité, langue, zone géographique

3. Impacts sur les personnes et les groupes (A.5.4)

Impact      positif ou négatif      qui      gravité 1-4      probabilité 1-4      preuve

À passer en revue : non-discrimination, vie privée, accès à un service ou une prestation, droit à l'explication et à la contestation, sécurité physique, santé, autonomie (influence indue).

4. Impacts sur la société (A.5.5)

Emploi et conditions de travail, environnement (énergie, calcul), confiance dans l'institution, désinformation, concentration chez un fournisseur.

5. Mesures

Impact      mesure      mesure annexe A      responsable      échéance

6. Impact résiduel et décision

Résiduel                acceptable ou non, pourquoi
Décision                déployer, déployer sous conditions, reporter, abandonner
Validé par              nom, fonction, date
Consultations           DPO s’il est désigné (conseil sollicité pour l’AIPD, art. 35 § 2), représentants du personnel si
                        impact sur le travail, panel d'utilisateurs ou association

Exemple rempli : tri des sinistres, mutuelle fictive

Système                 tri automatique des sinistres v2.3, propriétaire : directeur des prestations
Évaluateurs             responsable data, DPO, gestionnaire senior, représentant d'une
                        association d'adhérents (externe)
Date, version           1.0, novembre 2026, prochaine révision novembre 2027

1. Description :

   Finalité orienter chaque dossier vers gestion rapide (paiement sous 48 h) ou gestion approfondie (examen par un gestionnaire, 10 à 15 jours) Usage prévu tous les dossiers de soins ; le gestionnaire peut réorienter Usages exclus refuser un dossier ; tarifer ; évaluer un gestionnaire Données nature de l'acte, montant, historique de l'adhérent, agence ; données de santé (art. 9) ; 5 ans Volume environ 2 400 dossiers par jour

2. Personnes concernées :

   Directement adhérents ayant déposé un dossier Indirectement ayants droit, gestionnaires dont le travail change Groupes vulnérables adhérents des agences rurales, personnes âgées sans espace en ligne, affections longue durée (dossiers plus fréquents et plus complexes)

3. Impacts sur les personnes :

   remboursement plus rapide pour 70 % des dossiers positif tous - - mesure pilote délai plus long pour les dossiers ruraux négatif rural 3 3 test 2025 : +18 % en approfondi orientation incomprise par l'adhérent négatif tous 2 3 réclamations affections longue durée systématiquement en approfondi négatif ALD 3 2 à mesurer

4. Impacts sur la société : gestionnaires recentrés sur les dossiers complexes, aucune suppression de poste prévue (engagement écrit au CSE) ; calcul faible, hébergé en France.

5. Mesures :

   biais rural test par agence avant chaque version, seuil d'écart 5 % A.5.4, A.6.2.4 data mars 2027 explication courrier type : « dossier orienté en examen détaillé », motif, délai, contact A.8.2 prestations janv. 2027 ALD mesurer l'écart, règle spécifique si > 10 % A.5.4 data mars 2027 recours l'adhérent peut demander un examen accéléré par un humain A.10.4 prestations janv. 2027

6. Décision :

   Résiduel acceptable sous conditions : écart rural ramené sous 5 % Décision déployer sous conditions ; revue à 6 mois Validé par directeur des prestations, novembre 2026 Consultations DPO (avis favorable, AIPD jointe), CSE informé, association consultée

Repères juridiques

Voir les corrections sur la discipline et le RGPD, avec les sources officielles. Les valeurs de l’exemple fictif ne constituent pas des durées ou des autorisations légales générales.