Zodra een organisatie een AI-systeem met impact op mensen wil inzetten, komt binnen een paar weken dezelfde vraag op tafel: doen we een DPIA, een FRIA, of allebei? Het korte antwoord is dat het geen concurrenten zijn. Een DPIA (art. 35 AVG) beoordeelt risico's voor de bescherming van persoonsgegevens. Een FRIA (art. 27 AI Act) kijkt breder, naar de grondrechten van de mensen die het systeem raakt: non-discriminatie, sociale bescherming, toegang tot een dienst, menselijke waardigheid. Ze overlappen deels, maar het is geen dubbel werk als je ze goed op elkaar aansluit.
Wat een DPIA beoordeelt
Een gegevensbeschermingseffectbeoordeling is verplicht wanneer een verwerking van persoonsgegevens waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen.2 De Autoriteit Persoonsgegevens werkt dit uit met een lijst van verwerkingen waarvoor een DPIA sowieso verplicht is, en met negen criteria voor de gevallen die niet op de lijst staan: twee of meer criteria samen betekent in de regel dat je een DPIA moet doen.56 Denk aan grootschalige verwerking van bijzondere persoonsgegevens, systematische en uitgebreide profilering met gevolgen voor mensen, of grootschalige monitoring van publiek toegankelijke ruimte. De EDPB-richtsnoeren (voortbouwend op WP248) geven de methodiek: beschrijf de verwerking, beoordeel noodzaak en proportionaliteit, breng de risico's voor betrokkenen in kaart en bepaal de maatregelen om die risico's te beperken.4
Een DPIA is dus vooral instrumenteel: hij toetst of de verwerking van persoonsgegevens rechtmatig, noodzakelijk en proportioneel is, en of de beveiliging op orde is. De verantwoordelijkheid ligt bij de verwerkingsverantwoordelijke, met een verplichte adviesrol voor de functionaris gegevensbescherming waar die is aangesteld.
Wat een FRIA beoordeelt
Een FRIA gaat een stap verder dan gegevensbescherming. Artikel 27 AI Act verplicht bepaalde gebruiksverantwoordelijken van hoog-risico AI-systemen om te beoordelen welk effect het gebruik heeft op de grondrechten van de mensen en groepen die ermee te maken krijgen.1 Dat gaat verder dan privacy: denk aan gelijke behandeling, toegang tot sociale voorzieningen, eerlijk proces, menselijke waardigheid. In de praktijk beschrijf je voor welk proces het systeem wordt gebruikt, hoe vaak en hoelang, welke groepen mensen waarschijnlijk worden geraakt, welke specifieke schade zich kan voordoen, hoe het menselijk toezicht is ingericht en welke maatregelen klaarstaan als een risico zich daadwerkelijk voordoet.
Belangrijk om eerlijk te zijn: de vorm van een FRIA is niet wettelijk voorgeschreven. Artikel 27 noemt de elementen die erin moeten zitten, maar geen verplicht sjabloon. Er circuleren bruikbare modellen, zoals het ALTAI-zelfbeoordelingsinstrument van de Commissie en het model dat mensenrechtenorganisaties hebben ontwikkeld, maar geen daarvan is een wettelijke norm.7
Wie moet welke doen, en wanneer
De doelgroepen lopen uiteen. Een DPIA geldt voor elke verwerkingsverantwoordelijke zodra de verwerking van persoonsgegevens waarschijnlijk een hoog risico oplevert, ongeacht sector of er AI bij komt kijken. Een FRIA geldt alleen voor een specifieke groep gebruiksverantwoordelijken van hoog-risico AI-systemen: publiekrechtelijke instanties, private partijen die een publieke dienst leveren, en gebruiksverantwoordelijken die het systeem inzetten voor kredietwaardigheidsbeoordeling (met een uitzondering voor fraudedetectie) of voor risicobeoordeling en prijsstelling van levens- en ziektekostenverzekeringen.1 Andere hoog-risicocategorieën uit bijlage III, zoals kritieke infrastructuur, vallen buiten de FRIA-plicht. Wie een hoog-risicosysteem gebruikt zonder in een van die groepen te vallen, hoeft dus geen FRIA te doen, ook al is een DPIA vaak nog wel nodig.
| | DPIA (art. 35 AVG) | FRIA (art. 27 AI Act) | |---|---|---| | Kijkt naar | Risico's voor bescherming van persoonsgegevens | Risico's voor grondrechten van geraakte personen en groepen | | Voor wie verplicht | Elke verwerkingsverantwoordelijke bij waarschijnlijk hoog risico | Publiekrechtelijke instanties, private aanbieders van publieke diensten, en gebruiksverantwoordelijken van kredietwaardigheids- of levens-/ziektekostenverzekeringssystemen | | Wanneer van kracht | Al verplicht sinds de AVG (2018) | Volgt de bijlage III-kalender: 2 december 2027 | | Wettelijk voorgeschreven vorm | Nee, wel methodiek via EDPB-richtsnoeren | Nee, geen verplicht sjabloon | | Wie voert doorgaans uit | DPO of privacy officer, met de proceseigenaar | Compliance- of AI-governancerol bij de gebruiksverantwoordelijke, met de DPO betrokken bij het gegevensbeschermingsdeel |
Qua timing is het onderscheid scherp. Een DPIA moet je vandaag al doen als je verwerking eronder valt; die plicht bestaat al sinds 2018 en staat los van de AI Act. De FRIA-plicht is afdwingbaar zodra de bijlage III-verplichtingen gelden, per 2 december 2027, na het uitstel dat de Digital Omnibus in de AI Act heeft doorgevoerd.3 Dat is geen vrijbrief om te wachten: een organisatie die nu al een hoog-risicosysteem uit een van de FRIA-doelgroepen bouwt of inkoopt, doet er goed aan de FRIA-onderdelen nu al mee te nemen in het inkoop- en implementatietraject, in plaats van pas in 2027 te beginnen.
Waar de overlap zit, en hoe je die legaal hergebruikt
De twee beoordelingen delen een deel van hun analyse. Beide vragen om een beschrijving van het systeem en het proces waarin het wordt gebruikt, om een risico-inschatting voor de mensen die ermee te maken krijgen, en om maatregelen om die risico's te beperken. Waar een DPIA stopt bij gegevensbescherming, gaat een FRIA door naar bredere grondrechten: geen dubbele exercitie dus, wel een bredere.
De wijzigingsverordening maakt dat hergebruik ook expliciet mogelijk: waar een verplichting uit artikel 27 al is gedekt door een DPIA die je onder de AVG hebt uitgevoerd, mag je naar de relevante onderdelen van die DPIA verwijzen of ze overnemen in plaats van het werk over te doen.3 In de praktijk betekent dit dat een goed uitgevoerde DPIA het fundament van je FRIA wordt: de systeembeschrijving, de betrokken gegevenscategorieën en een deel van de risicoanalyse kun je rechtstreeks overnemen. Wat je toevoegt is de bredere grondrechtenlens: welke groepen worden geraakt buiten de gegevensbeschermingsvraag om, en welke maatregelen voor menselijk toezicht en herstel horen daarbij.
Wie schrijft hem in de praktijk
Een DPIA wordt doorgaans opgesteld door de proceseigenaar, met de DPO in een adviserende en toetsende rol; bij een aangestelde DPO is die betrokkenheid verplicht. Een FRIA ligt wettelijk bij de gebruiksverantwoordelijke, niet bij de aanbieder van het AI-systeem. In de praktijk is dat vaak een compliance- of AI-governancefunctie, die de DPO erbij haalt voor het deel dat met persoonsgegevens overlapt en de proceseigenaar voor de operationele details van het gebruik. Bij een gemeente of andere publiekrechtelijke instantie ligt de coördinatie vaak bij de functionaris gegevensbescherming samen met de verantwoordelijke beleidsafdeling; bij een verzekeraar bij de compliance- of risicofunctie samen met de actuariële afdeling die het model beheert.
Twee voorbeelden uit de praktijk
Een gemeente koopt een signaleringssysteem in. Stel: een gemeente wil een systeem inzetten dat huishoudens met een verhoogd risico op armoede of schulden vroegtijdig signaleert, zodat hulpverlening eerder kan aanhaken. Zodra het systeem persoonsgegevens verwerkt om profielen op te stellen, is een DPIA nodig: de verwerking is systematisch, vaak grootschalig en raakt kwetsbare groepen, wat al snel meerdere AP-criteria raakt.5 Omdat de gemeente een publiekrechtelijke instantie is en het systeem, afhankelijk van de precieze inzet, als hoog-risicosysteem onder bijlage III kan kwalificeren, komt daar de FRIA-plicht bij zodra die verplichting van kracht wordt: welke groepen worden geraakt, welk risico op onterechte signalering bestaat, en welk menselijk toezicht voorkomt dat het systeem alleen beslist.
Een verzekeraar gebruikt een acceptatiemodel. Een verzekeraar zet een model in om het risico en de premie voor een levens- of ziektekostenverzekering te bepalen. Dat gebruik staat expliciet genoemd als FRIA-plichtig in bijlage III, dus de verzekeraar ontkomt er niet aan zodra de verplichting geldt.1 Tegelijk verwerkt zo'n model bijna altijd gezondheidsgegevens op grote schaal, wat een DPIA nu al verplicht maakt, los van de AI Act.6 Hier is het hergebruik het duidelijkst: de DPIA brengt de gezondheidsgegevensrisico's al in kaart, de FRIA voegt de vraag toe of het model bepaalde groepen systematisch benadeelt bij acceptatie of prijsstelling.
Wat doe je vandaag, wat plan je voor 2027
Vandaag: inventariseer welke AI-systemen persoonsgegevens verwerken en doe daar de DPIA voor die de AVG al vraagt, inclusief een heldere risicobeoordeling en maatregelen. Breng in kaart of je organisatie in een van de FRIA-doelgroepen valt: publiekrechtelijke instantie, private verlener van een publieke dienst, of gebruiker van kredietwaardigheids- of levens-/ziektekostenverzekeringsmodellen. Als dat zo is, bouw de DPIA nu al zo op dat de systeembeschrijving en risicoanalyse herbruikbaar zijn voor een latere FRIA.
Voor 2027: plan de formele FRIA voor elk in-scope hoog-risicosysteem ruim voor 2 december 2027, niet in de laatste maand. Gebruik de DPIA als basis, voeg de grondrechtenanalyse toe, en leg vast wie de FRIA intern goedkeurt voordat het systeem in gebruik gaat. Wacht niet tot de deadline om te ontdekken dat je systeembeschrijving verouderd is of dat niemand de eigenaarschap van de grondrechtenanalyse heeft.
Veelgestelde vragen
Moet ik altijd zowel een DPIA als een FRIA doen?
Nee. Een DPIA hangt af van het risico van de gegevensverwerking, een FRIA van je rol en het type systeem. Veel organisaties doen alleen een DPIA, sommige straks alleen een FRIA als er geen persoonsgegevens in het spel zijn, en de FRIA-doelgroep doet meestal allebei omdat hun verwerking toch al persoonsgegevens bevat.
Is een FRIA verplicht voor elk hoog-risicosysteem?
Nee. De FRIA-plicht geldt alleen voor publiekrechtelijke instanties, private verleners van publieke diensten, en gebruiksverantwoordelijken van kredietwaardigheids- of levens-/ziektekostenverzekeringssystemen.1 Andere gebruikers van hoog-risicosystemen, bijvoorbeeld op het gebied van kritieke infrastructuur, vallen buiten deze specifieke plicht.
Mag ik mijn bestaande DPIA gewoon kopiëren als FRIA?
Niet zomaar kopiëren, wel hergebruiken. De wijzigingsverordening staat toe dat je naar relevante delen van je DPIA verwijst of ze overneemt voor het gegevensbeschermingsdeel van de FRIA.3 De bredere grondrechtenanalyse, de groepen die worden geraakt en het menselijk toezicht moet je er zelf aan toevoegen.
Is er een verplicht sjabloon voor een FRIA?
Nee. Artikel 27 beschrijft welke elementen erin moeten zitten, maar schrijft geen vaste vorm voor.1 Er bestaan bruikbare modellen zoals ALTAI, maar die zijn hulpmiddel, geen wettelijke eis.7
Wanneer wordt de FRIA-plicht afdwingbaar?
De FRIA volgt de kalender van de hoog-risicoverplichtingen uit bijlage III, die na de Digital Omnibus per 2 december 2027 afdwingbaar worden.3 De DPIA-plicht onder de AVG geldt al sinds 2018 en verandert daar niet door.
Wie is verantwoordelijk als de FRIA ontbreekt of onvolledig is?
De gebruiksverantwoordelijke, niet de aanbieder van het AI-systeem, draagt de FRIA-plicht.1 Bij een tekortkoming kan de bevoegde toezichthouder handhavend optreden; de precieze consequenties hangen af van de aard en ernst van het verzuim.
