Skip to main content

Artykuł 27: ocena skutków dla praw podstawowych (FRIA)

Art. 27 rozporządzenia w sprawie AI: które podmioty wdrażające muszą przeprowadzić ocenę skutków dla praw podstawowych, co ona obejmuje, kiedy jest wymagana i jak zgłosić wyniki organowi.

Niektóre podmioty wdrażające (w rozporządzeniu: podmioty stosujące) systemy AI wysokiego ryzyka muszą przed pierwszym użyciem przeprowadzić ocenę skutków dla praw podstawowych (FRIA) (art. 27).

Dotyczy to podmiotów prawa publicznego i podmiotów prywatnych świadczących usługi publiczne. Dotyczy też podmiotów wdrażających systemy oceny zdolności kredytowej lub ubezpieczeń na życie i zdrowotnych (załącznik III pkt 5 lit. b i c). Systemy infrastruktury krytycznej (załącznik III pkt 2) są wyłączone. Obowiązek obowiązuje od 2 grudnia 2027. Następnie podmioty zgłaszają wyniki organowi nadzoru rynku. Art. 99 ust. 4 nie wymienia art. 27, więc kary zależą od przepisów krajowych lub od Urzędu ds. AI (art. 99 ust. 1, art. 75c). Pierwszy krok: sprawdź, czy należysz do tej grupy.

Kto musi przeprowadzić FRIA

Art. 27 obejmuje systemy wysokiego ryzyka, o których mowa w art. 6 ust. 2, czyli ścieżkę przez załącznik III, z wyjątkiem załącznika III pkt 2 (infrastruktura krytyczna). Nie obejmuje systemów z załącznika I. Ocenę muszą przeprowadzić trzy grupy podmiotów wdrażających.

Podmioty prawa publicznego

Podmioty wdrażające będące instytucjami prawa publicznego muszą przeprowadzić FRIA dla każdego systemu wysokiego ryzyka z załącznika III, który wdrażają, z wyjątkiem pkt 2.

Podmioty prywatne świadczące usługi publiczne

Podmioty prywatne świadczące usługi publiczne muszą przeprowadzić FRIA dla tych samych systemów.

Podmioty wdrażające systemy kredytowe i ubezpieczeniowe

Każdy podmiot wdrażający system, który ocenia zdolność kredytową osób fizycznych lub ustala ich scoring kredytowy (załącznik III pkt 5 lit. b), albo który służy do oceny ryzyka i ustalania cen w ubezpieczeniach na życie i zdrowotnych (lit. c), musi przeprowadzić FRIA. Systemy używane wyłącznie do wykrywania nadużyć finansowych nie są objęte lit. b.

FRIA obejmuje sześć elementów, a potem zgłasza się wyniki organowi

1. Twoje procesy

Opisz procesy, w których będziesz używać systemu, zgodnie z jego przewidzianym zastosowaniem (art. 27 ust. 1 lit. a).

2. Okres i częstotliwość użycia

Opisz okres, w którym, i częstotliwość, z jaką każdy system ma być używany (lit. b).

3. Osoby, których to dotyczy

Określ kategorie osób fizycznych i grup, na które użycie systemu w danym kontekście może mieć wpływ (lit. c).

4. Konkretne ryzyka szkody

Określ konkretne ryzyka szkody dla tych kategorii, uwzględniając informacje przekazane przez dostawcę na podstawie art. 13 (lit. d).

5. Nadzór ze strony człowieka

Opisz, jak wdrożono nadzór ze strony człowieka, zgodnie z instrukcją obsługi (lit. e).

6. Środki na wypadek urzeczywistnienia się ryzyka

Określ środki, które należy podjąć w przypadku urzeczywistnienia się ryzyka, w tym ustalenia dotyczące wewnętrznego zarządzania i mechanizmy rozpatrywania skarg (lit. f).

7. Zgłosić wyniki organowi

Zgłoś wyniki organowi nadzoru rynku i przedłóż wypełniony wzór (art. 27 ust. 3). W przypadku, o którym mowa w art. 46 ust. 1, podmioty wdrażające mogą być zwolnione z tego obowiązku zgłoszenia.

FRIA jest wymagana przed pierwszym użyciem i musi być aktualna

Ponowne wykorzystanie i aktualizacje

Obowiązek dotyczy pierwszego użycia systemu. W podobnych przypadkach podmiot wdrażający może oprzeć się na wcześniej przeprowadzonych FRIA lub na istniejących ocenach skutków sporządzonych przez dostawcę. Jeżeli w trakcie korzystania z systemu jakiś element ulegnie zmianie lub przestanie być aktualny, podmiot musi podjąć niezbędne kroki w celu jego aktualizacji (art. 27 ust. 2).

Związek z oceną skutków dla ochrony danych

Jeżeli którykolwiek z obowiązków z art. 27 jest już spełniony przez ocenę skutków dla ochrony danych na podstawie art. 35 rozporządzenia (UE) 2016/679 lub art. 27 dyrektywy (UE) 2016/680, FRIA może się do niej odwoływać lub zawierać jej istotne części (art. 27 ust. 4 w brzmieniu zmienionym rozporządzeniem (UE) 2026/1744). Urząd ds. AI opracowuje wzór kwestionariusza, także w postaci zautomatyzowanego narzędzia, aby ułatwić podmiotom wdrażającym wykonanie obowiązków (art. 27 ust. 5).

Organy publiczne rejestrują też wyniki

Podmioty wdrażające będące organami publicznymi rejestrują korzystanie z systemu w unijnej bazie danych, w tym streszczenie wyników FRIA (art. 49 ust. 3 i załącznik VIII sekcja C pkt 4). W przypadku załącznika III pkt 1, 6 i 7 w obszarach ścigania przestępstw, migracji, azylu i zarządzania kontrolą graniczną wpis znajduje się w bezpiecznej, niepublicznej sekcji i nie zawiera tego streszczenia (art. 49 ust. 4).

Jak Scanara wspiera Twoją FRIA

Scanara przeprowadza prowadzoną ocenę FRIA, która porządkuje sześć elementów i na podstawie Twoich odpowiedzi przygotowuje raport FRIA. Powiązana ocena skutków dla ochrony danych może dostarczyć odesłań. Ty decydujesz, czy Cię to dotyczy, uzupełniasz treść i sam zgłaszasz wyniki organowi.

Najczęstsze pytania o FRIA

Czy ocena skutków dla ochrony danych z RODO zastępuje FRIA?

Nie. Ocena skutków dla ochrony danych może dostarczyć części FRIA, ponieważ art. 27 ust. 4 pozwala podmiotowi wdrażającemu odwołać się do niej lub uwzględnić jej istotne części, ale tylko w odniesieniu do obowiązków z art. 27, które już spełnia. FRIA nadal musi obejmować każdy element z art. 27 ust. 1.

Jak często trzeba aktualizować FRIA?

Art. 27 nie wyznacza stałego cyklu. Obowiązek dotyczy pierwszego użycia systemu, a podmiot wdrażający musi zaktualizować FRIA, jeżeli uzna, że któryś element uległ zmianie lub przestał być aktualny (art. 27 ust. 2).

Co się stanie, jeśli podmiot wdrażający pominie FRIA?

Pominięcie obowiązkowej FRIA narusza rozporządzenie. Art. 99 ust. 4 wymienia obowiązki podmiotów wdrażających z art. 26, ale nie z art. 27. Państwa członkowskie ustanawiają przepisy o karach za każde naruszenie rozporządzenia (art. 99 ust. 1), więc sprawdź przepisy krajowe swojego państwa członkowskiego. Jeżeli Urząd ds. AI jest właściwy na podstawie art. 75 ust. 1, może nakładać kary, o których mowa w art. 99 ust. 4, za naruszenie jakiegokolwiek obowiązującego przepisu, także niewymienionego w art. 99 ust. 4 (art. 75c ust. 4 lit. a).

Czy FRIA jest publikowana?

Podmiot wdrażający musi zgłosić wyniki organowi nadzoru rynku (art. 27 ust. 3). Podmioty będące organami publicznymi rejestrują dodatkowo streszczenie wyników w unijnej bazie danych (art. 49 ust. 3, załącznik VIII sekcja C pkt 4). Rozporządzenie nie zobowiązuje innych podmiotów wdrażających do publikacji FRIA.

Więcej o powiązanych przepisach

Scanara przygotowuje dowody na podstawie Państwa repozytoriów

Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.