Artikel 27: Beoordeling van de gevolgen voor de grondrechten van AI-systemen met een hoog risico

De FRIA is een plicht voor bepaalde gebruiksverantwoordelijken, maar aanbieders moeten via Artikel 13 de informatie leveren die nodig is om risico's, toezichtmaatregelen en gebruikscontext te beoordelen. Een bestaande impactbeoordeling van de aanbieder kan in vergelijkbare gevallen als input dienen, maar neemt de verantwoordelijkheid van de gebruiksverantwoordelijke niet over.

Voer voor het eerste gebruik een FRIA uit als u een publiekrechtelijk orgaan bent, als private partij een publieke dienst verleent, of een hoog-risico systeem uit Bijlage III punt 5(b) of 5(c) inzet voor kredietwaardigheid of levens- en ziektekostenverzekering. Beschrijf proces, gebruiksduur en frequentie, getroffen groepen, concrete grondrechtenrisico's, menselijk toezicht en maatregelen bij verwezenlijking van risico's.

Een private MKB-gebruiksverantwoordelijke valt niet alleen vanwege zijn omvang binnen of buiten Artikel 27. De functie en het gebruiksgeval zijn bepalend. Een MKB dat een publieke dienst verleent of een toepassing uit Bijlage III punt 5(b) of 5(c) inzet, kan dus wel FRIA-plichtig zijn.

Een publiekrechtelijk orgaan dat een hoog-risico systeem onder Artikel 6 lid 2 inzet, voert in beginsel voor het eerste gebruik een FRIA uit, behalve voor Bijlage III punt 2. Meld het resultaat via het officiële template aan de markttoezichtautoriteit en werk de beoordeling bij wanneer relevante elementen veranderen. Verordening (EU) 2026/1744 staat expliciete kruisverwijzingen of overname van relevante delen uit een DPIA toe.

Een FRIA beoordeelt de impact op grondrechten voor het eerste gebruik van een toepasselijk hoog-risico systeem uit Artikel 6 lid 2. De plicht geldt voor publiekrechtelijke organen, private partijen die publieke diensten verlenen en gebruiksverantwoordelijken van Bijlage III punt 5(b) en 5(c). Punt 2 is uitgezonderd.

Een FRIA moet onder meer beschrijven: het beoogde gebruik, de betrokken personen, specifieke risico's voor grondrechten, mitigerende maatregelen, en toezichtmechanismen.

Artikel 27 van de AI Act vereist dat relevante documentatie wordt bijgehouden als onderdeel van het compliance-proces. Dit kan technische documentatie, gebruiksaanwijzingen, logs of conformiteitsverklaringen omvatten, afhankelijk van de classificatie van het AI-systeem.

Een FRIA beoordeelt de bredere impact op grondrechten; een DPIA ziet op gegevensbescherming. Verordening (EU) 2026/1744 staat toe dat de FRIA voor reeds ingevulde verplichtingen relevante DPIA-delen bevat of daarnaar verwijst. De toepasselijke beoordeling blijft vereist op grond van haar eigen voorwaarden.

Publiekrechtelijke organen, private partijen die publieke diensten verlenen en gebruiksverantwoordelijken van systemen voor kredietwaardigheid of kredietscore onder Bijlage III punt 5(b) en risico- en prijsbeoordeling bij levens- en ziektekostenverzekering onder punt 5(c).

Artikel 27 lid 5 verplicht het AI Office een vereenvoudigd vragenlijstmodel te ontwikkelen. Sinds Verordening (EU) 2026/1744 moet dit model waar relevant kruisverwijzingen naar of delen van een DPIA ondersteunen.

Ja, artikel 27 lid 3 vereist dat deployers de resultaten van de FRIA melden bij de markttoezichtautoriteit door het ingevulde template in te dienen. Daarnaast moet een samenvatting worden geregistreerd in de EU-databank conform Bijlage VIII, Sectie C.