Laden...
AI Compliance Expert
Neem contact op voor een vrijblijvend gesprek over AI governance en compliance voor uw organisatie. Of bekijk ons kennisplatform voor meer inzichten.
Stel: een gemeente wil een AI-systeem inzetten om bijstandsaanvragen te beoordelen. Of een zorgverzekeraar overweegt algoritmes voor risicoprofilering bij levensverzekeringen. Voordat ze op de startknop drukken, eist de EU AI Act iets fundamenteels: een grondrechtentoetsing. Niet als formaliteit, maar als serieuze analyse van wat er mis kan gaan voor de mensen die ermee te maken krijgen.
Artikel 27 van de AI Act introduceert de Fundamental Rights Impact Assessment (FRIA). Het is een nieuw instrument dat specifiek is ontworpen voor AI-systemen, en het gaat verder dan de bekende DPIA uit de AVG. In dit artikel lopen we door alle vijf leden van Artikel 27, leggen we uit wie deze verplichting raakt, en bieden we een praktisch template waarmee je direct aan de slag kunt.
Niet elke organisatie die AI gebruikt hoeft een FRIA uit te voeren. Artikel 27 richt zich op drie specifieke categorieën gebruikers (deployers) van hoog-risico AI-systemen1:
Belangrijk: de verplichting geldt niet voor AI-systemen die als veiligheidscomponent worden ingezet bij kritieke infrastructuur, zoals wegverkeer, watervoorziening, gas, verwarming of elektriciteit (Bijlage III, punt 2)1.
Het eerste lid is het fundament. Voorafgaand aan de inzet van een hoog-risico AI-systeem moeten de hierboven genoemde organisaties een beoordeling uitvoeren van de impact op grondrechten. Die beoordeling moet uit zes onderdelen bestaan1:
(a) Procesbeschrijving: een beschrijving van de processen waarin het AI-systeem wordt gebruikt, in lijn met het beoogde doel.
(b) Periode en frequentie: een beschrijving van de periode en de frequentie waarmee het AI-systeem wordt ingezet.
(c) Getroffen personen en groepen: de categorieën natuurlijke personen en groepen die waarschijnlijk worden geraakt door het gebruik in de specifieke context.
(d) Specifieke risico's: de specifieke risico's op schade die waarschijnlijk impact hebben op de onder (c) geïdentificeerde personen of groepen, rekening houdend met de informatie die de aanbieder verstrekt op grond van Artikel 13.
(e) Menselijk toezicht: een beschrijving van de implementatie van maatregelen voor menselijk toezicht, conform de gebruiksinstructies.
(f) Maatregelen bij realisatie van risico's: de maatregelen die worden genomen als de risico's zich daadwerkelijk voordoen, inclusief regelingen voor interne governance en klachtenmechanismen.
De verplichting geldt voor het eerste gebruik van het AI-systeem. Bij vergelijkbare gevallen mag je terugvallen op eerder uitgevoerde FRIA's of bestaande impactbeoordelingen die de aanbieder (provider) heeft opgesteld. Maar zodra je vaststelt dat een van de elementen uit lid 1 is veranderd of niet meer actueel is, moet je de beoordeling bijwerken1.
Dit betekent in de praktijk dat een FRIA geen eenmalige exercitie is. Het is een levend document dat meegaat met veranderingen in het gebruik, de context of het systeem zelf.
Na het uitvoeren van de FRIA moet je de resultaten melden bij de markttoezichthouder. Je doet dit door het ingevulde template (zie lid 5) in te dienen als onderdeel van de notificatie. Organisaties die onder Artikel 46 lid 1 vallen, kunnen van deze meldplicht zijn vrijgesteld1.
Dit lid is bijzonder relevant voor organisaties die al een Data Protection Impact Assessment (DPIA) uitvoeren op grond van artikel 35 AVG of artikel 27 van Richtlijn 2016/680. Als je al een DPIA hebt gedaan, hoef je niet helemaal opnieuw te beginnen. De FRIA vult de bestaande DPIA aan13.
In de praktijk betekent dit: je kunt beide beoordelingen combineren in één document, zolang je de AI Act-specifieke elementen (zoals grondrechtenrisico's breder dan privacy) toevoegt aan wat je al hebt. Dat scheelt dubbel werk en zorgt voor een samenhangend overzicht van alle risico's.
Het AI Office ontwikkelt een template in de vorm van een vragenlijst, eventueel ondersteund door een geautomatiseerd hulpmiddel, om gebruikers te helpen aan hun verplichtingen te voldoen1. Dit template is op het moment van schrijven nog niet gepubliceerd. Toch kun je nu al beginnen met voorbereiden. De zes elementen uit lid 1 vormen de ruggengraat van elke FRIA.
Op basis van de wettekst, academisch onderzoek van Mantelero2, de gids van ECNL en het Danish Institute for Human Rights48, en de ALTAI-checklist van de Europese Commissie5, kun je nu al een werkbaar template opstellen. Hieronder een structuur die je direct kunt gebruiken.
Beantwoord de volgende vragen:
Beoordeel voor elk relevant grondrecht uit het EU Handvest de mogelijke impact:
Gebruik hierbij de informatie die de aanbieder verplicht moet verstrekken op grond van Artikel 13 (transparantieverplichtingen).
Veel organisaties voeren al een DPIA uit voor verwerkingen met een hoog privacyrisico. De FRIA en de DPIA overlappen deels, maar de FRIA gaat breder. Waar een DPIA zich richt op risico's voor persoonsgegevens, kijkt een FRIA naar het volledige spectrum van grondrechten: discriminatie, toegang tot de rechter, vrijheid van meningsuiting, sociale rechten3.
Het goede nieuws: Artikel 27 lid 4 staat expliciet toe dat je de FRIA combineert met een bestaande DPIA. Je hoeft niet twee compleet gescheiden documenten te maken. Voeg de grondrechtenanalyse toe aan je bestaande DPIA en je voldoet aan beide verplichtingen.
De verplichting om een FRIA uit te voeren geldt vanaf 2 augustus 2026 voor de meeste hoog-risico AI-systemen. Dat lijkt ver weg, maar de voorbereiding kost tijd. Je moet interne processen inrichten, verantwoordelijkheden toewijzen, en de juiste informatie verzamelen bij je AI-aanbieders.
Bovendien laat het ECNL/DIHR-rapport4 zien dat een FRIA meer is dan een compliance-vinkje. Goed uitgevoerd helpt het je om daadwerkelijk te begrijpen wat je AI-systemen doen met de rechten van mensen. Dat is niet alleen wettelijk verplicht, het is ook gewoon verstandig.
Artikel 27 introduceert een specifieke grondrechtentoets voor AI-systemen die verder gaat dan bestaande instrumenten. De FRIA verplicht publieke organisaties, aanbieders van publieke diensten en bepaalde financiële instellingen om vooraf na te denken over de impact van hun AI op de rechten van burgers. Met het template in dit artikel kun je alvast beginnen. Het officiële template van het AI Office volgt, maar de zes elementen uit de wet staan vast.