Wat is een FRIA?
FRIA staat voor Fundamental Rights Impact Assessment, in het Nederlands de grondrechteneffectbeoordeling. Het is een beoordeling die je uitvoert vóórdat je een hoog-risico-AI-systeem in gebruik neemt, om in kaart te brengen welke gevolgen het kan hebben voor de grondrechten van mensen. Denk aan het recht op gelijke behandeling, privacy en een eerlijk proces.
De FRIA is geregeld in Artikel 27 van de AI Act en richt zich op de gebruiksverantwoordelijke (deployer). Het is een aanvulling op, en geen vervanging van, een eventuele gegevensbeschermingseffectbeoordeling (DPIA) onder de AVG. Waar de DPIA inzoomt op de bescherming van persoonsgegevens, kijkt de FRIA breder naar álle grondrechten die in het geding kunnen zijn. In de praktijk kun je beide deels in samenhang uitvoeren, zodat je niet dubbel werk doet.
Wanneer is een FRIA vereist?
Een FRIA is niet voor elk systeem nodig. De plicht geldt voor gebruiksverantwoordelijken van bepaalde hoog-risico-systemen uit Bijlage III, en in het bijzonder voor:
- publieke instanties en organisaties die publieke diensten verlenen;
- partijen die hoog-risico-AI inzetten voor het beoordelen van kredietwaardigheid of voor risicobeoordeling en prijsstelling bij levens- en zorgverzekeringen.
In de kern: als je een hoog-risico-systeem inzet dat direct ingrijpt in de positie van mensen, en zeker als daar persoonsgegevens bij betrokken zijn, is een FRIA al snel aan de orde. Twijfel je of jouw systeem hoog risico is? Lees dan de pagina over hoog-risico-AI of doe de gratis risicoscan.
Wat staat er in een FRIA?
Artikel 27 noemt een aantal onderdelen die in de beoordeling thuishoren. Samengevat beschrijf je:
| Onderdeel | Wat leg je vast? |
|---|---|
| Gebruiksdoel | Voor welk proces en welke beslissingen zet je het systeem in |
| Periode en frequentie | Hoe lang en hoe vaak wordt het gebruikt |
| Betrokkenen | Welke personen of groepen worden geraakt |
| Risico's voor grondrechten | Welke schade aan grondrechten voorzienbaar is |
| Menselijk toezicht | Hoe toezicht en interventie zijn geregeld |
| Mitigerende maatregelen | Wat je doet om risico's te beperken en wat je doet als ze toch optreden |
Het doel is niet om risico's weg te schrijven, maar om ze eerlijk te benoemen en er bewust mee om te gaan.
Hoe voer je een FRIA uit?
Een FRIA hoeft geen academisch document te zijn. Werk in een paar overzichtelijke stappen:
- Bepaal of de plicht geldt op basis van je rol, het systeem en de context.
- Beschrijf het systeem en het gebruiksdoel zo concreet mogelijk.
- Breng de betrokkenen in beeld en welke groepen extra kwetsbaar zijn.
- Identificeer de risico's voor grondrechten, met aandacht voor bias en uitsluiting.
- Beschrijf de maatregelen voor toezicht, beperking en escalatie.
- Leg de uitkomst vast en bepaal wie verantwoordelijk is voor de opvolging.
- Herhaal de beoordeling als het gebruik of het systeem wezenlijk verandert.
Betrek bij die stappen de mensen die het systeem echt gebruiken; zij zien risico's die op papier onzichtbaar blijven. Overweeg ook om betrokkenen of hun vertegenwoordigers te raadplegen wanneer de impact groot kan zijn. Houd de beoordeling proportioneel: een eenvoudig systeem met beperkte impact vraagt minder uitwerking dan een systeem dat ingrijpende beslissingen over mensen ondersteunt.
De FRIA in je bredere aanpak
De FRIA staat niet op zichzelf. Hij bouwt voort op je AI-register en je classificatie en sluit aan op het menselijk toezicht dat Artikel 26 vraagt. Wie zijn AI-systemen al netjes in kaart heeft, heeft het meeste voorwerk voor een FRIA al gedaan.
Het UMW-platform signaleert wanneer een FRIA aan de orde lijkt en helpt je de onderdelen gestructureerd in te vullen, zodat je de beoordeling aantoonbaar en herhaalbaar maakt. Meer verdieping vind je in de kennisbank. Houd er rekening mee dat dit een hulpmiddel is en geen juridisch advies; bij grote belangen kan een jurist meerwaarde hebben.