Réponse · FRIA · article 27
Qui doit réaliser une FRIA ?
Trois catégories de déployeurs : les organismes de droit public ; les entités privées fournissant des services publics ; les déployeurs de systèmes relevant des points 5 b) et c) de l’annexe III (évaluation de solvabilité, tarification en assurance vie et santé). L’obligation ne s’applique que si le système est classé à haut risque au titre de l’annexe III — les systèmes du point 2 (infrastructures critiques) en sont exclus.
Les organismes de droit public
- Communes, intercommunalités, départements, régions, établissements publics, CCAS, universités, établissements publics de santé, agences de l’État.
- Aucun seuil de taille, d’effectif ou de budget : une commune de quelques milliers d’habitants est soumise au même régime qu’une métropole.
Les entités privées fournissant des services publics
- C’est la catégorie la plus large et la moins anticipée : bailleurs sociaux, délégataires de l’eau, des transports ou des déchets, établissements de santé privés participant au service public hospitalier, organismes de sécurité sociale, opérateurs de formation professionnelle financés sur fonds publics.
- Le statut privé n’exonère de rien : le critère est l’exercice d’une mission de service public.
Les déployeurs des points 5 b) et c)
- Banques, établissements de crédit, assureurs et mutuelles déployant du scoring de crédit ou de la tarification en assurance vie et santé. Entièrement privés, visés par leur cas d’usage et non par leur statut.
Comment trancher en pratique
- Deux questions. Mon organisation relève-t-elle d’une des trois catégories ? Le système déployé relève-t-il de l’annexe III, hors point 2 ? Deux oui = FRIA obligatoire.
- Le raisonnement doit être écrit et daté, y compris lorsqu’il conclut à l’absence d’obligation.
Le guide complet : méthode en 6 étapes, mesures supplémentaires, plan de repli.
Lire le guideVoir aussi : Toutes les réponses · Checklist transferts IA · Comparatif des mécanismes