Czym jest FRIA i czy musimy ją zrobić?
Krótka odpowiedź
FRIA (fundamental rights impact assessment) to ocena tego, jak system AI wysokiego ryzyka może wpłynąć na prawa podstawowe ludzi. Przed użyciem muszą ją wykonać organy publiczne, podmioty prywatne świadczące usługi publiczne oraz firmy używające AI do oceny zdolności kredytowej osób lub do ustalania cen ubezpieczeń na życie i zdrowotnych. Opisuje zastosowanie, osoby, których dotyczy, ryzyka, nadzór ze strony człowieka i to, co zrobisz, gdy coś pójdzie źle. Po Digital Omnibus może opierać się na Twojej DPIA.
Kto musi zrobić FRIA?
| Podmiot stosujący | FRIA? |
|---|---|
| Organy publiczne stosujące AI wysokiego ryzyka | Tak |
| Podmioty prywatne świadczące usługi publiczne (np. w imieniu gminy) | Tak |
| Banki i kredytodawcy oceniający zdolność kredytową osób za pomocą AI | Tak |
| Zakłady ubezpieczeń ustalające ceny ubezpieczeń na życie i zdrowotnych za pomocą AI | Tak |
| Prywatna firma używająca AI w rekrutacji | Nie – ale zwykle DPIA |
FRIA i DPIA w jednym procesie
Ponieważ obie oceny się pokrywają, warto robić je razem. GoalCube ma szkic DPIA, który wypełnia się Twoim zastosowaniem AI z rejestru i który może posłużyć jako podstawa FRIA.
Jak to zrobić
- Opisz zastosowanie.Jaki proces, jak długo i jak często AI jest używana.
- Opisz osoby, których to dotyczy.Jakie grupy osób są objęte.
- Znajdź ryzyka.Np. dyskryminacja, błędy w decyzjach, brak możliwości odwołania.
- Opisz nadzór.Kto sprawuje nadzór ze strony człowieka i jak.
- Opisz środki na wypadek błędów.Możliwość odwołania, zarządzanie wewnętrzne i to, co się dzieje, gdy ryzyka się ujawnią.
- Powiadom organ.Wynik zgłaszasz organowi nadzoru rynku na jego formularzu.
Co mówi prawo
- AI Act, art. 27 – ocena skutków systemów AI wysokiego ryzyka dla praw podstawowych
- Obowiązuje razem z przepisami o wysokim ryzyku, czyli od 2 grudnia 2027 r. dla załącznika III.
- Rozporządzenie (UE) 2026/1744 – Digital Omnibus
- FRIA może odwoływać się do DPIA lub włączać jej części; Urząd ds. AI przygotowuje wzór.
- RODO, art. 35 – DPIA
- Ocena skutków dla ochrony danych.
Pytania i odpowiedzi
Czy prywatna firma musi zrobić FRIA przy rekrutacji?
Nie na podstawie art. 27, chyba że świadczysz usługi publiczne. Zwykle jednak musisz zrobić DPIA na podstawie RODO.
Czym różni się FRIA od DPIA?
DPIA dotyczy danych osobowych. FRIA dotyczy wszystkich praw podstawowych, np. niedyskryminacji i dostępu do usług. Częściowo się pokrywają, a FRIA może opierać się na DPIA.
Kiedy FRIA musi być gotowa?
Przed oddaniem do użytku systemu AI wysokiego ryzyka – dla załącznika III od 2 grudnia 2027 r.
Źródła
Autor redakcja GoalCube. Ostatnia aktualizacja 11 października 2026. GoalCube pomaga stosować AI Act i RODO. To nie jest porada prawna.
Bądź wśród pierwszych.
Planujemy start w listopadzie 2026. Zapisz się, a odezwiemy się, gdy będzie można zacząć.