De FRIA is een van de weinige verplichtingen uit de AI Act die niet bij de leverancier ligt, maar bij u als gebruiker. Wie een high-risk AI-systeem inzet in een publieke taak, bij kredietbeoordeling of bij verzekeringsacceptatie, moet vóór ingebruikname beoordelen wat het systeem doet met de grondrechten van betrokkenen.
In de praktijk blijkt de FRIA vooral een gestructureerd gesprek: wie wordt geraakt, wat kan er misgaan en wat doen we als het misgaat. De moeilijkheid zit niet in het document, maar in eerlijke antwoorden.
Wanneer is een FRIA verplicht?
Publieke instellingen en publieke dienstverlening
Overheden en private partijen die publieke taken uitvoeren, wanneer zij een high-risk AI-systeem gebruiken.
Kredietbeoordeling van natuurlijke personen
AI die de kredietwaardigheid beoordeelt of de kredietscore bepaalt, met uitzondering van gebruik voor fraudedetectie.
Levens- en zorgverzekeringen
AI bij risicobeoordeling en premiestelling voor natuurlijke personen.
Niet high-risk? Dan niet verplicht
Maar een verkorte versie is vaak alsnog verstandig: hij legt precies de vragen bloot die later door een toezichthouder of klant gesteld worden.
Wat hoort er minimaal in
Beschrijving van het gebruiksproces
Waarvoor zet u het systeem in, binnen welk proces en gedurende welke periode?
Betrokken personen en groepen
Wie wordt geraakt door de uitkomsten — inclusief groepen die kwetsbaar kunnen zijn voor ongelijke behandeling.
Specifieke risico's voor grondrechten
Benoem concreet wat er mis kan gaan: onterechte afwijzing, ongelijke behandeling, onbegrijpelijke besluitvorming.
Menselijk toezicht
Wie kijkt mee, op welk moment, met welke bevoegdheid om af te wijken — en hoe wordt dat vastgelegd?
Maatregelen bij realisatie van een risico
Escalatieroute, herstelactie richting betrokkene en interne melding.
Zo voert u hem uit in een dagdeel
Zet drie mensen bij elkaar: de proceseigenaar, iemand uit de uitvoering en iemand met een risico- of compliancebril. Loop de vijf onderdelen hierboven langs en schrijf mee tijdens het gesprek. Wat u niet weet, noteert u als openstaand punt met een naam en een datum erbij.
Hergebruik wat er al is. Uw DPIA levert de gegevensstromen, uw AI-register de basisgegevens en uw leveranciersdocumentatie de systeembeschrijving. Zonder register loopt u vast op de eerste vraag — begin daar dus mee.
Behandel de FRIA als een levend document. Verandert het model, het proces of de doelgroep, dan actualiseert u hem. Een FRIA van twee jaar oud bij een gewijzigd model is in een audit erger dan geen FRIA.
Veelgestelde vragen
- Wat betekent FRIA?
- FRIA staat voor Fundamental Rights Impact Assessment: een verplichte beoordeling van de gevolgen van een AI-systeem voor de grondrechten van mensen die erdoor geraakt worden.
- Wie moet een FRIA uitvoeren?
- Gebruiksverantwoordelijken van bepaalde high-risk AI-systemen: publieke instellingen en organisaties die publieke diensten uitvoeren, plus partijen die AI inzetten voor kredietbeoordeling van natuurlijke personen of risicobeoordeling en premiestelling bij levens- en zorgverzekeringen.
- Is een FRIA hetzelfde als een DPIA?
- Nee. Een DPIA gaat over de verwerking van persoonsgegevens; een FRIA gaat over de bredere gevolgen voor grondrechten, zoals gelijke behandeling, toegang tot diensten en effectieve rechtsbescherming. Wel kunt u onderdelen hergebruiken.
- Hoeveel tijd kost een FRIA?
- Met een goed ingevuld AI-register en een duidelijke procesbeschrijving is een eerste FRIA in een dagdeel te doen. De tijd gaat vooral zitten in het ophalen van feiten, niet in het schrijven.
Volgende stap
Weet u welke systemen een FRIA nodig hebben?
De AI Risicoscan brengt uw AI-gebruik en risicoclassificatie in kaart, zodat u weet waar een FRIA verplicht is en waar niet.