Wat is een FRIA onder de AI Act?
Artikel 27 van de EU AI Act verplicht bepaalde gebruiksverantwoordelijken van hoog-risico AI tot een Fundamental Rights Impact Assessment (FRIA).
In het kort
- Een FRIA is de grondrechtentoets uit Artikel 27, voor bepaalde gebruiksverantwoordelijken van hoog-risico AI.
- Verplicht voor publiekrechtelijke organen en particuliere entiteiten die openbare diensten verlenen, plus bij kredietscoring van natuurlijke personen en bij de risicobeoordeling en prijsstelling van hun levens- en ziektekostenverzekeringen.
- Een FRIA vervangt de DPIA niet. De AVG kijkt naar persoonsgegevens, Artikel 27 naar de impact op grondrechten.
- De FRIA-plicht geldt vanaf 2 december 2027 (Artikel 113) en moet af zijn vóór het eerste gebruik.
Wat is een AI impact assessment (FRIA)?
FRIA staat voor Fundamental Rights Impact Assessment. Het is een beoordeling van de mogelijke impact van een hoog-risico AI-systeem op de grondrechten van betrokken personen. De Nederlandse tekst van de verordening noemt het een beoordeling van de gevolgen voor de grondrechten. Artikel 27 van de EU AI Act verplicht een deel van de gebruiksverantwoordelijken deze beoordeling uit te voeren vóór het systeem in gebruik wordt genomen. Welk deel dat is, staat hieronder.
De FRIA gaat breder dan een DPIA (Data Protection Impact Assessment) onder de AVG. Waar een DPIA zich richt op privacyrisico's, kijkt een FRIA naar alle grondrechten: non-discriminatie, vrijheid van meningsuiting, menselijke waardigheid, recht op effectieve rechtsbescherming en meer.
Wanneer is een FRIA verplicht?
Artikel 27 legt de FRIA niet op aan iedereen die hoog-risico AI gebruikt. De plicht hangt aan twee dingen: wie u bent en onder welk punt van Bijlage III het systeem valt.
De plicht geldt vanaf 2 december 2027 (Artikel 113, derde alinea, onder c). Is het systeem vóór die datum in de handel gebracht of in gebruik gesteld, dan gelden de hoog-risico-eisen pas na een aanzienlijke wijziging in het ontwerp. Is zo'n bestaand systeem bedoeld voor gebruik door overheidsinstanties, dan moet het uiterlijk op 2 augustus 2030 voldoen, ook zonder wijziging (Artikel 111 lid 2).
Wettelijk verplicht
Publiekrechtelijke organen die een hoog-risicosysteem uit Bijlage III inzetten. Gemeenten, waterschappen, uitvoeringsorganisaties en inspecties vallen hieronder. De kring is ruimer dan overheid alleen: ook een academisch ziekenhuis of een publieke omroep kan eronder vallen.
Particuliere entiteiten die openbare diensten verlenen, bij diezelfde systemen. Overweging 96 noemt onder meer onderwijs, gezondheidszorg, sociale diensten, huisvesting en rechtsbedeling. Denk aan bekostigd onderwijs, zorginstellingen en uitvoerders van sociale voorzieningen. Voor een particuliere opleider buiten de bekostiging is de grens open, want de overweging stelt bekostiging niet als voorwaarde. Zet u daar AI in voor toelating of beoordeling (Bijlage III punt 3), ga er dan van uit dat de toets nodig is.
Elke gebruiksverantwoordelijke van AI die de kredietwaardigheid van natuurlijke personen beoordeelt of een kredietscore toekent (Bijlage III punt 5(b)). Dit geldt ook buiten de financiële sector: een webshop die achteraf betalen zelf met AI beoordeelt op kredietwaardigheid, valt eronder. Een fraudecheck op diezelfde bestelling valt erbuiten, want punt 5(b) zondert systemen uit die financiële fraude opsporen.
Elke gebruiksverantwoordelijke van AI voor risicobeoordeling en prijsstelling met betrekking tot natuurlijke personen bij levens- en ziektekostenverzekeringen (Bijlage III punt 5(c)). De verordening schrijft daar ‘en’, zonder toelichting op de vraag of een systeem dat alleen de risicokant doet er ook onder valt. De concept-richtsnoeren van de Commissie van mei 2026 lezen het als ‘of’: een van beide is genoeg (randnummers 311 en 313). Het is een concept. De Commissie heeft de definitieve versie aangekondigd voor eind 2026. Bepaalt uw systeem mede de premie, de acceptatie of de polisvoorwaarden, ga er dan van uit dat u erin zit. De beoordeling van een ingediende claim valt daar in de regel buiten.
Uitzondering: hoog-risicosystemen uit Bijlage III punt 2 (kritieke infrastructuur) vallen buiten de FRIA-plicht van Artikel 27.
Niet FRIA-plichtig, wel verstandig
Private werkgevers zonder publieke taak die hoog-risico AI inzetten bij werving, selectie of beoordeling (Bijlage III punt 4). Artikel 27 raakt u niet. Verleent u als particuliere organisatie wel een openbare dienst, zoals een zorginstelling of een bijzondere school, dan geldt de plicht ook voor uw wervingssysteem. Bij een discriminatieklacht is een uitgevoerde grondrechtentoets in beide gevallen een sterk onderdeel van uw dossier.
Aanbieders van hoog-risico AI. Artikel 27 geldt voor gebruiksverantwoordelijken. Als aanbieder richt u het systeem voor risicobeheer van Artikel 9 in. Dat vraagt ook naar risico's voor de grondrechten (lid 2 onder a), maar kijkt naar het systeem en niet naar uw processen, de gebruiksperiode of de mensen die u ermee raakt. Met een FRIA overlapt dat maar gedeeltelijk. Zet u het systeem ook zelf in, dan bent u voor dat gebruik ook gebruiksverantwoordelijke.
Ook zonder wettelijke plicht loont de toets. Bij een klacht of een vraag van een toezichthouder kunt u dan laten zien dat u de gevolgen vooraf heeft afgewogen.
Hoe voert u een FRIA uit?
Beschrijf het AI-systeem
Documenteer het AI-systeem, het beoogde gebruik, de betrokken personen en de context waarin het wordt ingezet.
Identificeer betrokken grondrechten
Bepaal welke grondrechten geraakt kunnen worden: non-discriminatie, privacy, vrijheid van meningsuiting, menselijke waardigheid, etc.
Beoordeel de impact
Analyseer per grondrecht hoe waarschijnlijk en ernstig de impact is. Houd rekening met kwetsbare groepen.
Bepaal beheersmaatregelen
Identificeer maatregelen om negatieve impact te voorkomen of te beperken. Denk aan menselijk toezicht, transparantie en klachtprocedures.
Documenteer en meld
Leg de FRIA vast en stel de markttoezichtautoriteit in kennis van de resultaten, met het ingevulde sjabloon (Artikel 27 lid 3). Alleen in het uitzonderingsgeval van Artikel 46 lid 1 kunt u van die kennisgeving worden vrijgesteld.
Hoe de Autoriteit Persoonsgegevens deze toets uitwerkt in drie kernonderdelen, met haar eigen voorbeelden en haar pilot met het concept-rapportagetemplate, leest u in een FRIA uitvoeren volgens Artikel 27 en de AP.
FRIA vs. DPIA: wat is het verschil?
FRIA (AI Act)
- Grondslag: Artikel 27 AI Act
- Verplicht voor publiekrechtelijke organen en particuliere entiteiten die openbare diensten verlenen, bij kredietscoring van natuurlijke personen en bij risicobeoordeling en prijsstelling voor hun levens- en ziektekostenverzekeringen
- Kijkt naar alle grondrechten: non-discriminatie, waardigheid, vrijheid
- Vóór ingebruikname van het AI-systeem
- Uitkomst melden bij de markttoezichthouder
DPIA (AVG)
- Grondslag: Artikel 35 AVG
- Verplicht bij een verwerking met hoog risico voor betrokkenen
- Kijkt naar privacy en gegevensbescherming
- Vóór start van de gegevensverwerking
- Voorafgaande raadpleging van de AP bij een hoog restrisico
De ene beoordeling vervangt de andere niet. Geldt allebei, dan kunt u ze wel in één traject doen: veel grondrechtenrisico's raken ook persoonsgegevens. En dezelfde beschrijving van het systeem en de betrokkenen dient beide beoordelingen. Werkt u bij een overheid, dan kent u waarschijnlijk het IAMA. Wie dat heeft ingevuld, heeft een deel van de FRIA-inhoud al liggen. De eisen uit Artikel 27 moet u daarna nog wel expliciet aflopen.
Een FRIA opstellen met het platform
Gestructureerd FRIA-proces
Doorloop stap voor stap alle onderdelen van de FRIA met gerichte vragen en voorbeelden.
Automatisch rapport
Genereer een FRIA-rapport langs de zes onderdelen van Artikel 27 lid 1, van de beschrijving van uw processen tot de klachtenregeling. Over te zetten naar het Europese model van het AI-bureau zodra dat definitief is (Artikel 27 lid 5).
Grondrechtenchecklist
Controleer per grondrecht of uw AI-systeem impact kan hebben en welke maatregelen nodig zijn.
Combinatie met risicoanalyse
Integreer de FRIA met uw algemene AI-risicoanalyse voor een compleet overzicht.
Veelgestelde vragen over AI impact assessments
Klik een vraag aan voor het antwoord. Dit zijn vaste antwoorden; de AI Act Vraagbaak in het platform beantwoordt uw eigen vragen.
FRIA staat voor Fundamental Rights Impact Assessment. Een FRIA is een beoordeling vooraf van de impact die een hoog-risico AI-systeem kan hebben op de grondrechten van de mensen die ermee te maken krijgen. Artikel 27 van de AI Act schrijft voor wat erin staat: het proces waarin u het systeem gebruikt, de periode en frequentie, de categorieën betrokkenen, de specifieke risico's op schade, het menselijk toezicht en de maatregelen die u treft.
Voor drie groepen. Publiekrechtelijke organen en particuliere entiteiten die openbare diensten verlenen, bij hoog-risicosystemen uit Bijlage III (behalve punt 2, kritieke infrastructuur). Daarnaast elke gebruiksverantwoordelijke van AI voor kredietwaardigheidsbeoordeling of kredietscoring van natuurlijke personen (punt 5(b)) en elke gebruiksverantwoordelijke van AI voor risicobeoordeling en prijsstelling met betrekking tot natuurlijke personen bij levens- en ziektekostenverzekeringen (punt 5(c)). Een werkgever die geen publiekrechtelijk orgaan is en geen openbare dienst verleent, hoeft voor hoog-risico AI in de sollicitatieprocedure geen FRIA te doen. Een particuliere zorginstelling of bijzondere school wel.
Een DPIA (Data Protection Impact Assessment) richt zich op privacyrisico's onder de AVG. Een FRIA richt zich breder op alle grondrechten, inclusief non-discriminatie, vrijheid van meningsuiting en menselijke waardigheid. Vaak is er overlap en kunnen de beoordelingen gecombineerd worden.
Ja, voor zover een verplichting uit Artikel 27 daarmee al is nagekomen. Artikel 27 lid 4 laat u verwijzen naar de desbetreffende delen van de DPIA, of die delen in de FRIA opnemen. Dat geldt per verplichting, dus het scheelt werk waar de DPIA het antwoord al geeft.
AIComplianceHub begeleidt u stap voor stap door het FRIA-proces. Het platform stelt gerichte vragen over uw AI-systeem en de beoogde toepassing en genereert automatisch een gestructureerd FRIA-rapport dat u kunt delen met toezichthouders. De eerste stap vraagt of er al een DPIA ligt, zodat de kruisverwijzing uit Artikel 27 lid 4 meteen in het rapport staat.
Start uw impact assessment
Gebruik de gratis risicoscan voor een eerste inschatting of uw AI-systeem een FRIA vereist. AIComplianceHub begeleidt u door het hele proces.