Wie moet een FRIA doen?
Artikel 27 van de AI-verordening richt zich op gebruiksverantwoordelijken die publiekrechtelijke instellingen zijn of private partijen die openbare diensten verlenen, en op gebruikers van bepaalde AI-systemen voor kredietbeoordeling en risicobeoordeling bij verzekeringen. Zij beoordelen vóór ingebruikname welke gevolgen een hoogrisico-AI-systeem kan hebben voor grondrechten.
Voor een gemeente betekent dat: gaat u een AI-systeem gebruiken dat in de verordening als hoog risico geldt, bijvoorbeeld bij de toegang tot voorzieningen of bij handhaving, dan hoort daar een FRIA bij. Voor een woningcorporatie hangt het ervan af of zij een openbare dienst levert; die vraag is er een voor de jurist.
Wat erin staat
Een FRIA brengt vooraf in kaart welke gevolgen de inzet kan hebben voor grondrechten: gelijke behandeling, menselijke waardigheid, privacy, toegang tot essentiële voorzieningen. U beschrijft ook hoe u die risico's beperkt, en u rapporteert erover aan de toezichthouder. De Europese AI Office werkt aan een sjabloon; het Nederlandse Algoritmekader van BZK beschrijft de eis als vereiste aia-27 en verwijst naar de IAMA, het Impact Assessment Mensenrechten en Algoritmes, als bestaand hulpmiddel.
Vanaf wanneer?
De verplichting geldt vanaf december 2027. De Autoriteit Persoonsgegevens adviseerde in augustus 2026 om nu al te beginnen met oefenen, en startte daarvoor een landelijke pilot met het Europese sjabloon; aanmelden kon tot en met 21 september 2026. Het kabinet is van plan de AP aan te wijzen als toezichthouder op het merendeel van de hoogrisico-AI-systemen.
FRIA en DPIA: wat is het verschil?
| DPIA (artikel 35 AVG) | FRIA (artikel 27 AI-verordening) | |
|---|---|---|
| Waarover | Risico's bij het verwerken van persoonsgegevens | Gevolgen van een hoogrisico-AI-systeem voor alle grondrechten |
| Wanneer | Voorafgaand aan de verwerking | Voorafgaand aan ingebruikname |
| Geldt nu | Ja | Vanaf december 2027 |
| Overlap | Kruisverwijzingen zijn toegestaan: wat al in de DPIA staat, hoeft u niet over te schrijven | |
De AP noemt de FRIA een aanvulling op de DPIA. Praktisch: gebruik dezelfde beschrijving van het systeem, dezelfde gegevensstromen en dezelfde maatregelen, en voeg de grondrechtenafweging toe. Wie zijn DPIA's op orde heeft, heeft het halve werk al gedaan. Zie een DPIA uitvoeren.
Wat u nu al kunt doen
- Inventariseer waar AI zit. Niet alleen in nieuwe projecten: ook in bestaande software, van een chatfunctie op de website tot een module die meldingen sorteert. Vraag het uw leveranciers schriftelijk.
- Bepaal per systeem het risiconiveau met de beslishulp bij het Algoritmekader, en leg de uitkomst vast.
- Neem eisen op in de inkoop. Het Algoritmekader raadt aan de vereisten onderdeel te maken van het programma van eisen, de gunningscriteria en de contractvoorwaarden, inclusief het recht om te auditen.
- Oefen met één systeem. Een eerste grondrechtenbeoordeling op een bestaand systeem leert meer dan een handleiding.
- Regel een noodplan: hoe zet u het systeem uit als het misgaat, en wie mag dat besluiten?
En het algoritmeregister
Los van de AI-verordening publiceren veel overheden hun algoritmes in het landelijke algoritmeregister. Een FRIA of DPIA is daar een logische onderlegger voor: wat u daar publiceert, moet kloppen met wat u intern heeft vastgelegd.
Wat Datavoogd hiermee doet
De DPIA-regels van Datavoogd bevatten regels die op de AI-verordening zijn gebaseerd, zodat een DPIA over een systeem met AI ook wordt getoetst op wat daar extra bij hoort. Datavoogd gebruikt zelf een taalmodel en zegt dat ook: in elk rapport staat dat een taalmodel is gebruikt en welke versie van de toetsregels is toegepast. Datavoogd neemt geen besluiten over personen; het signaleert, en de functionaris gegevensbescherming beslist. Zie inkoop en beveiliging.
Bronnen
- Verordening (EU) 2024/1689 (AI-verordening), artikel 6 lid 2, artikel 27 en bijlage III.
- Autoriteit Persoonsgegevens, "De FRIA voor AI-systemen komt eraan: bereid u voor", 17 augustus 2026.
- Ministerie van BZK, Algoritmekader, vereiste aia-27 "Beoordelen gevolgen grondrechten" (geraadpleegd 17 september 2026).
- Verordening (EU) 2016/679 (AVG), artikel 35.
Dit artikel is informatie, geen juridisch advies. De beoordeling van een concrete situatie is aan de functionaris gegevensbescherming of jurist van uw organisatie.