Skip to main content

Ocena skutków dla praw podstawowych (FRIA) według art. 27

Którzy podmioty wdrażające muszą przeprowadzić FRIA przed pierwszym użyciem, co obejmuje i jak ma się do DPIA z RODO.

Niektóre podmioty wdrażające (w rozporządzeniu: podmioty stosujące) systemy AI wysokiego ryzyka muszą przed pierwszym użyciem ocenić skutki dla praw podstawowych (art. 27). Dotyczy to podmiotów prawa publicznego i podmiotów prywatnych świadczących usługi publiczne. Dotyczy też podmiotów wdrażających systemy oceny zdolności kredytowej oraz ubezpieczeń na życie i zdrowotnych (załącznik III pkt 5 lit. b i c). Systemy z załącznika III pkt 2 są wyłączone.

Obowiązek ma zastosowanie od 2 grudnia 2027. Podmiot wdrażający następnie powiadamia organ nadzoru rynku o wynikach. Art. 99 ust. 4 pomija art. 27, więc kary wynikają z przepisów krajowych (art. 99 ust. 1). Następny krok: sprawdzić, czy art. 27 Państwa dotyczy, a potem rozpocząć ocenę.

Trzy grupy podmiotów wdrażających muszą przeprowadzić FRIA

Art. 27 obejmuje systemy wysokiego ryzyka, o których mowa w art. 6 ust. 2, czyli ścieżkę przez załącznik III, z wyjątkiem załącznika III pkt 2 (infrastruktura krytyczna). Nie obejmuje systemów z załącznika I. Ocenę muszą przeprowadzić trzy grupy podmiotów wdrażających.

  • Podmioty prawa publicznego

    Podmioty wdrażające będące instytucjami prawa publicznego muszą przeprowadzić FRIA dla każdego systemu wysokiego ryzyka z załącznika III, który wdrażają, z wyjątkiem pkt 2.

  • Podmioty prywatne świadczące usługi publiczne

    Podmioty prywatne świadczące usługi publiczne muszą przeprowadzić FRIA dla tych samych systemów.

  • Podmioty wdrażające systemy kredytowe i ubezpieczeniowe

    Każdy podmiot wdrażający system, który ocenia zdolność kredytową osób fizycznych lub ustala ich scoring kredytowy (załącznik III pkt 5 lit. b), albo który służy do oceny ryzyka i ustalania cen w ubezpieczeniach na życie i zdrowotnych (lit. c), musi przeprowadzić FRIA. Systemy używane wyłącznie do wykrywania nadużyć finansowych nie są objęte lit. b.

FRIA obejmuje sześć elementów, a potem zgłasza się wyniki organowi

  1. 1

    1. Twoje procesy

    Opisz procesy, w których będziesz używać systemu, zgodnie z jego przewidzianym zastosowaniem (art. 27 ust. 1 lit. a).

  2. 2

    2. Okres i częstotliwość użycia

    Opisz okres, w którym, i częstotliwość, z jaką każdy system ma być używany (lit. b).

  3. 3

    3. Osoby, których to dotyczy

    Określ kategorie osób fizycznych i grup, na które użycie systemu w danym kontekście może mieć wpływ (lit. c).

  4. 4

    4. Konkretne ryzyka szkody

    Określ konkretne ryzyka szkody dla tych kategorii, uwzględniając informacje przekazane przez dostawcę na podstawie art. 13 (lit. d).

  5. 5

    5. Nadzór ze strony człowieka

    Opisz, jak wdrożono nadzór ze strony człowieka, zgodnie z instrukcją obsługi (lit. e).

  6. 6

    6. Środki na wypadek urzeczywistnienia się ryzyka

    Określ środki, które należy podjąć w przypadku urzeczywistnienia się ryzyka, w tym ustalenia dotyczące wewnętrznego zarządzania i mechanizmy rozpatrywania skarg (lit. f).

  7. 7

    7. Zgłosić wyniki organowi

    Zgłoś wyniki organowi nadzoru rynku i przedłóż wypełniony wzór (art. 27 ust. 3). W przypadku, o którym mowa w art. 46 ust. 1, podmioty wdrażające mogą być zwolnione z tego obowiązku zgłoszenia.

FRIA można wykorzystać ponownie, aktualizować i powiązać z DPIA

  • Ponowne wykorzystanie i aktualizacje

    Obowiązek dotyczy pierwszego użycia systemu. W podobnych przypadkach podmiot wdrażający może oprzeć się na wcześniej przeprowadzonych FRIA lub na istniejących ocenach skutków sporządzonych przez dostawcę. Jeżeli w trakcie korzystania z systemu jakiś element ulegnie zmianie lub przestanie być aktualny, podmiot musi podjąć niezbędne kroki w celu jego aktualizacji (art. 27 ust. 2).

  • Związek z oceną skutków dla ochrony danych

    Jeżeli którykolwiek z obowiązków z art. 27 jest już spełniony przez ocenę skutków dla ochrony danych na podstawie art. 35 rozporządzenia (UE) 2016/679 lub art. 27 dyrektywy (UE) 2016/680, FRIA może się do niej odwoływać lub zawierać jej istotne części (art. 27 ust. 4 w brzmieniu zmienionym rozporządzeniem (UE) 2026/1744). Urząd ds. AI opracowuje wzór kwestionariusza, także w postaci zautomatyzowanego narzędzia, aby ułatwić podmiotom wdrażającym wykonanie obowiązków (art. 27 ust. 5).

  • Organy publiczne rejestrują też wyniki

    Podmioty wdrażające będące organami publicznymi rejestrują korzystanie z systemu w unijnej bazie danych, w tym streszczenie wyników FRIA (art. 49 ust. 3 i załącznik VIII sekcja C pkt 4). W przypadku załącznika III pkt 1, 6 i 7 w obszarach ścigania przestępstw, migracji, azylu i zarządzania kontrolą graniczną wpis znajduje się w bezpiecznej, niepublicznej sekcji i nie zawiera tego streszczenia (art. 49 ust. 4).

Jak Scanara wspiera Twoją FRIA

Scanara nie rozstrzyga, czy art. 27 Państwa dotyczy, i nie powiadamia organu. Jedno i drugie pozostaje po Państwa stronie.

Prowadzona ocena FRIA

Pytania odpowiadają sześciu elementom art. 27 ust. 1. Scanara przygotowuje raport FRIA na podstawie Państwa odpowiedzi i tworzy nową wersję, gdy zmieni się któryś element (art. 27 ust. 2).

Powiązanie z DPIA

Zatwierdzoną DPIA tego samego systemu można powiązać z FRIA. FRIA może wtedy się do niej odwoływać (art. 27 ust. 4).

Dokument zgłoszenia

Scanara eksportuje dokument do zgłoszenia organowi nadzoru rynku (art. 27 ust. 3). Wysyłają go Państwo sami.

Otwórz demo Scanara

Więcej o przepisach powiązanych

Najczęstsze pytania o FRIA

Czy ocena skutków dla ochrony danych z RODO zastępuje FRIA?

Nie. Ocena skutków dla ochrony danych może dostarczyć części FRIA, ponieważ art. 27 ust. 4 pozwala podmiotowi wdrażającemu odwołać się do niej lub uwzględnić jej istotne części, ale tylko w odniesieniu do obowiązków z art. 27, które już spełnia. FRIA nadal musi obejmować każdy element z art. 27 ust. 1.

Jak często trzeba aktualizować FRIA?

Art. 27 nie wyznacza stałego cyklu. Obowiązek dotyczy pierwszego użycia systemu, a podmiot wdrażający musi zaktualizować FRIA, jeżeli uzna, że któryś element uległ zmianie lub przestał być aktualny (art. 27 ust. 2).

Co się stanie, jeśli podmiot wdrażający pominie FRIA?

Pominięcie obowiązkowej FRIA narusza rozporządzenie. Art. 99 ust. 4 wymienia obowiązki podmiotów wdrażających z art. 26, ale nie z art. 27. Państwa członkowskie ustanawiają przepisy o karach za każde naruszenie rozporządzenia (art. 99 ust. 1), więc sprawdź przepisy krajowe swojego państwa członkowskiego. Jeżeli Urząd ds. AI jest właściwy na podstawie art. 75 ust. 1, może nakładać kary, o których mowa w art. 99 ust. 4, za naruszenie jakiegokolwiek obowiązującego przepisu, także niewymienionego w art. 99 ust. 4 (art. 75c ust. 4 lit. a).

Czy FRIA jest publikowana?

Podmiot wdrażający musi zgłosić wyniki organowi nadzoru rynku (art. 27 ust. 3). Podmioty będące organami publicznymi rejestrują dodatkowo streszczenie wyników w unijnej bazie danych (art. 49 ust. 3, załącznik VIII sekcja C pkt 4). Rozporządzenie nie zobowiązuje innych podmiotów wdrażających do publikacji FRIA.

Scanara przygotowuje dowody na podstawie Państwa repozytoriów

Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.