FRIA staat voor fundamental rights impact assessment, in het Nederlands: grondrechteneffectbeoordeling. Ze staat in artikel 27 van de AI-verordening en is de minst begrepen verplichting van de hele tekst, vooral omdat bijna iedereen denkt dat ze samenvalt met «hoog risico». Dat is niet zo.
Wanneer moet je een FRIA maken?
De voorwaarden zijn cumulatief. Alle drie moeten kloppen:
- het systeem is hoogrisico onder bijlage III (dus niet bijlage I);
- het valt niet uitsluitend onder punt 2 van die bijlage (kritieke infrastructuur is uitgezonderd);
- en je bent een publiekrechtelijk orgaan, een verlener van een openbare dienst, of je gebruikt het systeem voor kredietwaardigheid of voor levens- en ziekteverzekering.
Een gewoon commercieel bedrijf dat een hoogrisicosysteem gebruikt, moet dus géén FRIA maken. Een gemeente met datzelfde systeem wel.
«Verlener van een openbare dienst» is ruimer dan het lijkt
Dit is het begrip waar de meeste organisaties zich in vergissen. Het gaat niet alleen om overheden. Ook private entiteiten met een publieke taak vallen eronder: onderwijsinstellingen, zorgvoorzieningen, welzijnsorganisaties, sociale huisvestingsmaatschappijen.
De verordening omschrijft het begrip niet scherp af, en er is nog geen rechtspraak. Praktisch advies: als je twijfelt, noteer je redenering schriftelijk: waarom je jezelf wel of niet als verlener van een openbare dienst beschouwt. Die motivering is bij een controle waardevoller dan de conclusie zelf.
Vanaf wanneer?
2 december 2027, samen met de rest van het hoogrisicoregime voor bijlage III. Dat is uitgesteld door de Digital Omnibus van 27 juli 2026; oorspronkelijk stond het op augustus 2026.
Belangrijker dan de datum is de volgorde: de beoordeling moet er zijn vóór het eerste gebruik van het systeem. Zet je in januari 2028 een nieuw systeem in dat onder bijlage III valt, dan moet de FRIA daarvóór klaar zijn. Niet erna, niet gelijktijdig.
Wat moet erin? De zes elementen van artikel 27.1
De verordening somt ze letterlijk op, van a tot f. Houd die structuur aan in je document. Een toezichthouder die de zes elementen in volgorde terugvindt, is een toezichthouder die snel klaar is.
| Element | Waar je het meestal al hebt | |
|---|---|---|
| a | De processen waarin het systeem wordt gebruikt, in lijn met het beoogde doel | Uit je AI-fiche en je verwerkingsregister |
| b | De periode en de frequentie van het gebruik | Uit je contract of je uitrolplan |
| c | De categorieën personen die geraakt worden | Uit je verwerkingsregister, inclusief de markering van kwetsbare groepen |
| d | De specifieke risico’s op schade voor die personen | Nieuw. Dit is het hart van de oefening. |
| e | De maatregelen voor menselijk toezicht | Uit je AI-fiche |
| f | De maatregelen bij het zich voordoen van risico’s, inclusief het klachtenmechanisme | Nieuw, en het meest vergeten onderdeel |
Vier van de zes kun je dus opbouwen uit wat je al hebt. Alleen blok d en blok f vragen echt nieuw denkwerk.
Blok d: welke risico’s bedoelt men eigenlijk?
Niet de risico’s voor je organisatie. De risico’s voor de grondrechten van de betrokken personen, zoals ze in het Handvest van de grondrechten van de EU staan. Dat is een andere bril dan de DPIA, waar het over gegevensbescherming gaat.
Wat in de praktijk het vaakst terugkomt:
- Historische vertekening in personeelstoepassingen: het systeem leert uit beslissingen die vroeger genomen zijn, inclusief de scheve.
- Een uitkomst die niet aangevochten kan worden: de betrokkene krijgt een beslissing zonder te weten waarop ze steunt.
- Automation bias: de mens die zou moeten toezien, volgt in de praktijk gewoon de rangschikking van het systeem.
- Onevenredige impact op afhankelijke personen: wie een uitkering, een woning of zorg nodig heeft, kan niet weglopen.
- Het afleiden van gevoelige kenmerken uit gegevens die op zich onschuldig lijken.
- Doorlopende observatie van werkenden, met het effect op hun privéleven en hun vrijheid van meningsuiting.
Noem per risico het grondrecht dat in het gedrang komt, wat er concreet met de betrokkene kan gebeuren, hoe ernstig en hoe waarschijnlijk dat is, en welke maatregel je neemt. Een lijst van abstracte zorgen zonder concreet schadebeeld haalt een controle niet.
De verhouding tot je DPIA (art. 27.4)
Artikel 27.4 zegt het uitdrukkelijk: als je al een gegevensbeschermingseffectbeoordeling gemaakt hebt, vult de FRIA die aan. Je hoeft dus niet opnieuw te beginnen.
Praktisch: verwijs naar de DPIA voor de gegevensbeschermingskant, en schrijf in de FRIA uit wat daar níet in staat. In de praktijk zijn dat drie dingen: de andere grondrechten dan gegevensbescherming, hoe het menselijk toezicht feitelijk werkt, en het klachtenmechanisme.
Heb je nog geen DPIA voor dat systeem, dan is dat op zich al een signaal. Zie DPIA opstellen: wanneer verplicht en hoe pak je het aan.
Drie dingen die bijna altijd ontbreken
- Het klachtenmechanisme. Artikel 27.1(f) vraagt het letterlijk: hoe kan een betrokkene bezwaar maken tegen een uitkomst, en bij wie? Zonder dat is je FRIA onvolledig.
- De melding aan de markttoezichtautoriteit. Artikel 27.3 vraagt dat je het resultaat meldt. In België is die autoriteit op vandaag nog niet formeel aangewezen. Noteer dat dan als openstaand punt in plaats van het weg te laten.
- Het moment. Vóór het eerste gebruik. Een FRIA die er komt nadat het systeem al zes maanden draait, is geen beoordeling maar een verantwoording achteraf.
Is er een officieel sjabloon?
Nog niet. Artikel 27.5 draagt het AI-bureau op er een te maken, maar dat bestaat op vandaag niet. Dat is geen reden om te wachten: bouw je beoordeling op de zes elementen van artikel 27.1 zelf, met duidelijk afgebakende blokken. Verschijnt het officiële sjabloon later, dan is dat een kwestie van je bestaande blokken hernoemen, niet van opnieuw beginnen.
In één tool in plaats van in negen Excel-bestanden
Het DPO-dossier houdt je AI-systemen, je FRIA’s en de DPIA’s waar ze op voortbouwen bij in één versleuteld bestand op je eigen computer. Geen cloud, geen account, geen abonnement op een server waar jouw volledige gegevenskaart op staat. Je probeert het dertig dagen gratis, zonder kredietkaart en zonder automatische verlenging.
Liever eerst samen kijken waar je staat? Bekijk mijn aanpak rond privacy en GDPR of doe de gratis GDPR-scan. Je krijgt binnen 24 uur een eerste inschatting, gratis en zonder verplichtingen.
Feiten laatst gecontroleerd op 13 augustus 2026. Dit artikel is algemene informatie en geen juridisch advies over jouw specifieke situatie.
