FRIA: grondrechtentoets bij de overheid

Kort antwoord: Artikel 27 van Verordening (EU) 2024/1689 (de AI-verordening) verplicht overheden en private partijen die publieke diensten leveren om vóór de eerste inzet van een hoog-risico AI-systeem een grondrechteneffectbeoordeling (FRIA) uit te voeren. De FRIA moet de risico's voor alle grondrechten uit het EU-Handvest in kaart brengen en worden gemeld bij de nationale markttoezichthouder. De verplichting geldt vanaf 2 augustus 2026.

Wie is verplicht?

Artikel 27 richt zich op drie categorieën uitvoerders. Ten eerste: overheidsinstanties en andere publiekrechtelijke organen die hoog-risico AI-systemen inzetten. Ten tweede: private organisaties die publieke diensten verlenen — zoals onderwijs, gezondheidszorg, sociale zekerheid, huisvesting of rechtsbedeling. Ten derde: alle uitvoerders, ongeacht hun rechtsvorm, die AI-systemen gebruiken voor kredietwaardigheidsbeoordeling of risicobeprijzing bij levens- en ziektekostenverzekeringen. Systemen die vallen onder punt 2 van bijlage III (veiligheidscomponenten van kritieke digitale infrastructuur, wegverkeersbeheer, water- en energievoorziening) zijn uitdrukkelijk uitgesloten van de FRIA-plicht.

Wat moet een FRIA bevatten?

De verordening schrijft zes verplichte onderdelen voor:

1. Een beschrijving van de processen van de uitvoerder waarbinnen het hoog-risico AI-systeem wordt gebruikt, in lijn met het beoogde doel.
2. De tijdsduur en frequentie van het beoogde gebruik.
3. De categorieën van betrokken natuurlijke personen en groepen.
4. De specifieke risico's op schade voor die categorieën, waaronder risico's op discriminatie of aantasting van de persoonlijke levenssfeer.
5. De wijze waarop menselijk toezicht wordt geïmplementeerd overeenkomstig de gebruiksaanwijzingen van de aanbieder.
6. Maatregelen bij het optreden van risico's, waaronder klachtmechanismen en governanceafspraken.

Meldingsplicht en verhouding tot de DPIA

Na afronding van de FRIA moet de uitvoerder de resultaten melden bij de bevoegde markttoezichthouder. Het AI-bureau (European AI Office) ontwikkelt hiervoor een gestandaardiseerde vragenlijst. De FRIA is aanvullend op en vervangt niet de gegevensbeschermingseffectbeoordeling (DPIA) op grond van artikel 35 AVG: beide instrumenten kunnen naast elkaar vereist zijn. De FRIA dekt het volledige EU-Grondrechtenhandvest; de DPIA is beperkt tot privacy en persoonsgegevens.

Tijdlijn

De verplichtingen voor hoog-risico AI-systemen, waaronder artikel 27, zijn van toepassing vanaf 2 augustus 2026. De FRIA moet worden uitgevoerd vóór de eerste inzet; bij herhaald gebruik in vergelijkbare contexten mag op een eerder uitgevoerde beoordeling worden voortgebouwd, mits deze actueel wordt gehouden.