Wat is een FRIA, en moeten we er een maken?
Kort antwoord
Een FRIA (fundamental rights impact assessment, officieel: effectbeoordeling op het gebied van de grondrechten) beoordeelt hoe AI met een hoog risico de grondrechten van mensen kan raken. Vóór het gebruik moeten overheidsinstanties er een maken, net als private partijen die openbare diensten leveren en bedrijven die AI gebruiken voor de kredietbeoordeling van personen of de prijs van levens- en ziektekostenverzekeringen. De FRIA beschrijft het gebruik, wie erdoor geraakt wordt, de risico's, het menselijk toezicht en wat je doet als er iets misgaat. Na de Digitale omnibus kan ze voortbouwen op je DPIA.
Wie moet een FRIA maken?
| Gebruiksverantwoordelijke | FRIA? |
|---|---|
| Overheidsinstanties die AI met een hoog risico gebruiken | Ja |
| Private partijen die openbare diensten leveren (bijvoorbeeld namens een gemeente) | Ja |
| Banken en kredietverstrekkers die personen met AI op kredietwaardigheid beoordelen | Ja |
| Verzekeraars die met AI de prijs van levens- en ziektekostenverzekeringen bepalen | Ja |
| Een privébedrijf dat AI gebruikt bij werving en selectie | Nee – maar meestal wel een DPIA |
FRIA en DPIA in één werkstroom
Omdat de twee beoordelingen overlappen, is het logisch ze samen te maken. GoalCube heeft een concept-DPIA die wordt ingevuld met je AI-gebruik uit het register, en die je als basis voor een FRIA kunt gebruiken.
Zo pakken jullie het aan
- Beschrijf het gebruik.Welk proces, hoe lang en hoe vaak de AI wordt gebruikt.
- Beschrijf wie erdoor geraakt wordt.Welke groepen mensen de gevolgen merken.
- Breng de risico's in kaart.Bijvoorbeeld discriminatie, fouten in besluiten, geen mogelijkheid om bezwaar te maken.
- Beschrijf het toezicht.Wie houdt menselijk toezicht, en hoe.
- Beschrijf maatregelen bij fouten.Klachtenregeling, interne governance en wat er gebeurt als risico's zich voordoen.
- Meld het aan de toezichthouder.Je stuurt de uitkomst naar de markttoezichtautoriteit, met hun sjabloon.
Dit zegt de wet
- Artikel 27 AI-verordening – beoordeling van de gevolgen voor de grondrechten
- Geldt samen met de regels voor hoog risico, dus vanaf 2 december 2027 voor bijlage III.
- Verordening (EU) 2026/1744 – Digitale omnibus inzake AI
- Een FRIA kan verwijzen naar delen van een DPIA of die overnemen; het AI-bureau maakt een modelformulier.
- Artikel 35 AVG – DPIA
- Gegevensbeschermingseffectbeoordeling.
Vragen en antwoorden
Moet een privébedrijf een FRIA maken bij werving en selectie?
Niet volgens artikel 27, tenzij je openbare diensten levert. Maar meestal moet je wel een DPIA maken volgens de AVG.
Wat is het verschil tussen een FRIA en een DPIA?
Een DPIA gaat over persoonsgegevens. Een FRIA gaat over alle grondrechten, zoals non-discriminatie en toegang tot voorzieningen. Ze overlappen, en de FRIA kan voortbouwen op de DPIA.
Wanneer moet de FRIA klaar zijn?
Voordat je de AI met een hoog risico in gebruik neemt – voor bijlage III vanaf 2 december 2027.
Bronnen
Geschreven door de redactie van GoalCube. Laatst bijgewerkt 11 oktober 2026. GoalCube helpt jullie de AI Act en de AVG te volgen. Het is geen juridisch advies.
Wees er als eerste bij.
We verwachten in november 2026 live te gaan. Meld je aan, dan hoor je van ons zodra jullie aan de slag kunnen.