Effectbeoordeling op het gebied van de grondrechten (FRIA) volgens artikel 27

Artikel 27 geldt voor hoogrisicosystemen als bedoeld in artikel 6, lid 2, dus de route via bijlage III, met uitzondering van bijlage III, punt 2 (kritieke infrastructuur). Systemen uit bijlage I vallen er niet onder. Drie groepen gebruiksverantwoordelijken moeten de beoordeling uitvoeren.

• Publiekrechtelijke instellingen

  Gebruiksverantwoordelijken die publiekrechtelijke instellingen zijn, moeten een FRIA uitvoeren voor elk hoogrisicosysteem uit bijlage III dat zij in gebruik nemen, behalve punt 2.

• Particuliere entiteiten die openbare diensten verlenen

  Particuliere entiteiten die openbare diensten verlenen, moeten voor dezelfde systemen een FRIA uitvoeren.

• Gebruiksverantwoordelijken van krediet- en verzekeringssystemen

  Elke gebruiksverantwoordelijke van een systeem dat de kredietwaardigheid van natuurlijke personen beoordeelt of hun kredietscore vaststelt (bijlage III, punt 5, onder b)), of dat wordt gebruikt voor risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen (onder c)), moet een FRIA uitvoeren. Systemen die alleen worden gebruikt om financiële fraude op te sporen, vallen niet onder punt b).

1. 1

   1. Uw processen

   Beschrijf de processen waarin u het systeem gebruikt, in overeenstemming met het beoogde doel (artikel 27, lid 1, onder a)).

2. 2

   2. Periode en frequentie van gebruik

   Beschrijf de periode waarin en de frequentie waarmee elk systeem naar verwachting wordt gebruikt (onder b)).

3. 3

   3. Getroffen personen

   Stel vast welke categorieën natuurlijke personen en groepen waarschijnlijk worden getroffen door het gebruik in de specifieke context (onder c)).

4. 4

   4. Specifieke risico’s op schade

   Stel de specifieke risico’s op schade voor die categorieën vast, rekening houdend met de informatie die de aanbieder verstrekt op grond van artikel 13 (onder d)).

5. 5

   5. Menselijk toezicht

   Beschrijf hoe het menselijk toezicht wordt ingevuld, volgens de gebruiksaanwijzing (onder e)).

6. 6

   6. Maatregelen als de risico’s zich voordoen

   Beschrijf de maatregelen die moeten worden genomen als de risico’s zich voordoen, met inbegrip van regelingen voor interne governance en klachtenmechanismen (onder f)).

7. 7

   7. De autoriteit informeren

   Stel de markttoezichtautoriteit in kennis van de resultaten en dien het ingevulde sjabloon in (artikel 27, lid 3). In het geval van artikel 46, lid 1 kunnen gebruiksverantwoordelijken van deze meldingsplicht worden vrijgesteld.

• Hergebruik en updates

  De verplichting geldt voor het eerste gebruik van het systeem. In soortgelijke gevallen mag de gebruiksverantwoordelijke terugvallen op eerder uitgevoerde FRIA’s of op bestaande effectbeoordelingen van de aanbieder. Wijzigt een onderdeel tijdens het gebruik of is het niet meer actueel, dan moet de gebruiksverantwoordelijke de nodige stappen nemen om het bij te werken (artikel 27, lid 2).

• Koppeling met de gegevensbeschermingseffectbeoordeling

  Is een verplichting uit artikel 27 al vervuld via een gegevensbeschermingseffectbeoordeling op grond van artikel 35 van Verordening (EU) 2016/679 of artikel 27 van Richtlijn (EU) 2016/680, dan mag de FRIA daarnaar verwijzen of relevante delen ervan opnemen (artikel 27, lid 4, zoals gewijzigd door Verordening (EU) 2026/1744). Het AI-bureau ontwikkelt een sjabloon voor een vragenlijst, ook als geautomatiseerd hulpmiddel, om gebruiksverantwoordelijken te helpen te voldoen (artikel 27, lid 5).

• Overheidsinstanties registreren de bevindingen ook

  Gebruiksverantwoordelijken die overheidsinstanties zijn, registreren hun gebruik van het systeem in de EU-databank, met een samenvatting van de bevindingen van de FRIA (artikel 49, lid 3 en bijlage VIII, sectie C, punt 4). Voor bijlage III, punten 1, 6 en 7, op het gebied van rechtshandhaving, migratie, asiel en grenstoezichtsbeheer, staat de registratie in een beveiligd niet-openbaar gedeelte en ontbreekt die samenvatting (artikel 49, lid 4).

Scanara beslist niet of artikel 27 voor u geldt en meldt niets aan de autoriteit. Beide blijven bij u.

• Artikel 27: effectbeoordeling grondrechten (FRIA)

  Legt artikel 27 volledig uit: toepassingsgebied, de zes onderdelen, timing en melding.

• Artikel 26: verplichtingen van gebruiksverantwoordelijken van hoogrisico-AI

  Behandelt de 11 verplichtingen die gelden voor elke gebruiksverantwoordelijke van een hoogrisico-AI-systeem.

• Gegevensbeschermingseffectbeoordeling (DPIA) voor AI-systemen: artikel 35 AVG

  Behandelt de AVG-beoordeling waarnaar de FRIA kan verwijzen.

• AI-verordening vs AVG: verschillen en overlap

  Vergelijkt de AI-verordening en de AVG, ook waar de gegevensbeschermingseffectbeoordeling en de FRIA elkaar overlappen.