Effectbeoordeling op de grondrechten (FRIA)

Wat is een effectbeoordeling op de grondrechten?

Een effectbeoordeling op de grondrechten, in de praktijk bijna altijd FRIA genoemd naar de Engelse naam fundamental rights impact assessment, is een geschreven analyse die je maakt voor je een hoog-risico AI-systeem in gebruik neemt. Ze beantwoordt een vraag: wat kan dit systeem aanrichten bij de mensen over wie het mee beslist, en wat doe je daaraan? De verplichting staat in artikel 27 van de AI Act, verordening (EU) 2024/1689.

Het gaat niet over de accuraatheid van het model of de beveiliging van de servers. Het gaat over menselijke waardigheid, non-discriminatie, het recht op onderwijs, rechten van werknemers en het recht om een beslissing aan te vechten. Dat zijn net de dingen die een scoresysteem stilaan uitholt wanneer het maand na maand in dezelfde richting fout zit, voor dezelfde groep mensen.

Niet elke organisatie moet er een maken, en de groep die het wel moet is een pak kleiner dan uit de berichtgeving blijkt.

Wie moet er een maken, en wie niet

Artikel 27(1) trekt de lijn in een zin. De plicht ligt bij de gebruiksverantwoordelijke, de organisatie die het hoog-risico systeem onder eigen gezag inzet, in drie gevallen.

• Publiekrechtelijke instanties. Een gemeente, een OCMW, een openbaar ziekenhuis, een federale administratie, een school van een overheid.

• Private organisaties die openbare diensten leveren. Overweging 96 omschrijft dat als private partijen met taken van algemeen belang en noemt onderwijs, gezondheidszorg, sociale diensten, huisvesting en rechtsbedeling. Een vrij ziekenhuis of een gesubsidieerde school zit erbij. Een bakkerij niet.

• Elke gebruiker van twee specifieke systemen uit bijlage III. Punt 5(b), systemen die de kredietwaardigheid van mensen beoordelen of een kredietscore opstellen, met fraudedetectie uitdrukkelijk uitgesloten. En punt 5(c), systemen voor risicobeoordeling en prijszetting bij levens- en ziekteverzekeringen. Een kredietverstrekker of verzekeraar zit hier zonder ook maar een publieke taak.

Dezelfde paragraaf haalt er ook een domein uit. Hoog-risico systemen uit punt 2 van bijlage III, AI als veiligheidscomponent in kritieke infrastructuur zoals het wegverkeer of de levering van water, gas, verwarming en elektriciteit, vallen buiten de FRIA-plicht, ook wanneer een overheid ze inzet.

Tel dat samen en het gros van de private bedrijven zit erbuiten. Neem een Vlaamse kmo die een AI-tool koopt om sollicitaties te screenen. Dat systeem is hoog-risico, het staat in punt 4 van bijlage III over werkgelegenheid, en de verplichtingen voor gebruiksverantwoordelijken uit artikel 26 gelden er volledig, van aangeduide mensen die toezicht houden tot logs bijhouden. Artikel 27 geldt niet. Dat bedrijf is geen overheid, levert geen openbare dienst, en cv-screening is noch 5(b) noch 5(c). Wie die kmo vertelt dat ze een FRIA moet indienen, leest het artikel verkeerd.

Wat artikel 27 je laat opschrijven

Zes dingen moeten in de beoordeling staan, en ze zijn concreter dan het woord grondrechten laat vermoeden.

1. De processen waarin je het systeem gebruikt
   Je eigen processen, waar het systeem draait volgens het beoogde doel. Niet wat de leverancier zegt dat het product doet, wel wat jij ermee doet.

2. De periode en de frequentie van gebruik
   Een tool die elke dag over elk dossier loopt, draagt een ander risico dan een die je twee keer per jaar aanzet.

3. De mensen die het raakt
   De categorieën van personen en groepen die in jouw specifieke context waarschijnlijk geraakt worden.

4. De specifieke risico's op schade
   Geen risico in het algemeen, wel de schade die de groepen die je net benoemd hebt kan treffen, met de informatie die de aanbieder je gaf.

5. Hoe het menselijk toezicht in de praktijk loopt
   Hoe je de toezichtmaatregelen uitvoert, volgens de gebruiksaanwijzing. Hier leunt artikel 27 op artikel 26 en op artikel 14.

6. Wat er gebeurt als een risico zich voordoet
   De maatregelen die je neemt wanneer het misloopt, inclusief interne governance en klachtenmechanismen. Iemand moet kunnen klagen, en iemand moet antwoorden.

Overweging 96 voegt daar een suggestie aan toe, geen plicht: je mag de mensen die geraakt worden, onafhankelijke experten en middenveldorganisaties betrekken. Voor een bestuur dat een systeem loslaat op zijn eigen inwoners maakt dat de antwoorden pas de moeite waard.

FRIA tegenover DPIA

Die twee worden behandeld als dezelfde oefening met een ander voorblad. Wat ze scheidt, is wat elk van beide beschermt.

Een DPIA onder artikel 35 GDPR beschermt persoonsgegevens. Ze vertrekt van een verwerking, vraagt of de data noodzakelijk en proportioneel is voor het doel, en gaat na wat er kan mislopen voor de mensen in de dataset. De eenheid van analyse is de verwerking. Een FRIA beschermt rechten, en maar een deel daarvan gaat over data: non-discriminatie, waardigheid, het recht op onderwijs, rechten van werknemers, toegang tot een doeltreffend rechtsmiddel. Een systeem kan elke regel van de GDPR respecteren en toch elke keer dezelfde groep sollicitanten onderaan de lijst duwen. De eenheid van analyse is het systeem binnen jouw proces.

Artikel 27(4) zegt hoe de twee in elkaar passen. Wanneer je een deel van deze verplichtingen al hebt afgedekt met een DPIA onder artikel 35 GDPR, of onder artikel 27 van de richtlijn politie en justitie, dan vult de FRIA die beoordeling aan in plaats van ze te vervangen, en mag je naar de relevante delen verwijzen in plaats van ze over te tikken. Het antwoord op "moeten we ze allebei doen" is dus ja, en de tweede is een stuk korter als de eerste degelijk gemaakt is.

Hoe een bruikbare FRIA eruitziet

Er bestaat nog geen officieel formulier, dus wat volgt is de vorm die de zes elementen vanzelf aannemen. Vijf onderdelen, elk te schrijven door iemand die al bij je werkt.

1. Het systeem en de beslissing. Een pagina: wat het systeem doet, welke beslissing het voedt, wie die beslissing tekent, wat er nadien met de output gebeurt. Zet de aanbieder en de versie erbij.

2. De mensen. Wie zit aan de ontvangende kant, en wie van hen staat zwakker: sollicitanten die thuis geen Nederlands spreken, huurders, minderjarigen, mensen met een beperking, uitzendkrachten.

3. De risico's, een voor een benoemd. Niet "risico op bias", wel: "sollicitanten met een adres buiten de provincie krijgen een lagere score, omdat de woonplaats meeloopt met de historische aanwervingsdata waarop het model getraind is". Een risico dat zo geschreven staat, kan je testen en kan je oplossen.

4. Het toezicht, met namen erin. Wie kijkt wat na, op welk moment, met welke bevoegdheid om het systeem te overrulen. Artikel 26(2) vraagt al aangeduide mensen met de nodige bekwaamheid en bevoegdheid, dus dit deel kopieert een beslissing die je eerder nam.

5. De weg wanneer het misloopt. Bij wie iemand klacht neerlegt, wat er met die klacht gebeurt, wie het systeem kan stilleggen, en wat je ondertussen met de getroffen dossiers doet. Artikel 85 geeft iedereen het recht om klacht neer te leggen bij een markttoezichtautoriteit, en dat is een slecht eerste adres als er intern geen is.

Vijf pagina's die drie concrete risico's benoemen met per risico een naam erbij, doen meer dan veertig pagina's overgeschreven wettekst.

Wanneer het begint en wat je indient

De verplichting hangt aan het eerste gebruik van het systeem. In gelijkaardige gevallen mag je steunen op een beoordeling die je eerder maakte, of op een die de aanbieder al maakte. Verandert er iets aan een van de zes elementen tijdens het gebruik, of klopt het niet meer, dan werk je het bij. Een nieuwe groep mensen in scope, een nieuwe modelversie, een uitrol naar drie extra vestigingen: allemaal triggers.

Is de beoordeling klaar, dan zegt artikel 27(3) dat je de markttoezichtautoriteit op de hoogte brengt van het resultaat en het ingevulde sjabloon meestuurt. De enige uitzondering is het smalle geval uit artikel 46(1), waar een autoriteit een specifiek systeem heeft toegelaten om uitzonderlijke redenen van openbare veiligheid of bescherming van leven en gezondheid.

Artikel 27(5) draagt het AI-bureau op om een vragenlijst-sjabloon te ontwikkelen, met een geautomatiseerde tool erbij. Dat sjabloon is nog niet gepubliceerd, wat geen excuus is en evenmin een reden om te wachten. Het European Center for Not-for-Profit Law en het Deens Instituut voor Mensenrechten publiceerden in december 2025 een gids met een sjabloon-vragenlijst, opgebouwd rond de elementen uit artikel 27(1), en dat is voorlopig het bruikbaarste document.

Over timing: de digitale omnibus AI, verordening (EU) 2026/1744, van kracht sinds 27 juli 2026, schoof de verplichtingen voor zelfstandige hoog-risico systemen van 2 augustus 2026 naar 2 december 2027, en artikel 27 schoof mee. Hoog-risico AI die in gereguleerde producten uit bijlage I zit, volgt op 2 augustus 2028. Aan het artikel zelf is niets herschreven, alleen aan de datum waarop het bijt.

De korte versie voor wie er geen moet maken

Heel wat bedrijven waarmee we werken lezen de vraag wie moet, stellen vast dat ze erbuiten vallen, en stoppen daar. Als compliance-antwoord klopt dat. Er blijft een reden om toch twee pagina's te schrijven, en die reden is niet de wet maar de vorm van het systeem. Zodra een model mensen sorteert, personeel of klanten, en die sortering van buitenaf moeilijk te zien is, krijg je de vragen uit artikel 27 sowieso. Een sollicitante vraagt waarom ze afgewezen is. Een ondernemingsraad vraagt waarop de planningstool optimaliseert. In geen van die twee kamers is "wij vallen daar niet onder" een antwoord.

Twee pagina's volstaan: welke mensen het systeem raakt, de twee of drie manieren waarop het een groep slechter kan behandelen, wie dat nakijkt en hoe vaak, en wat je doet als iemand bezwaar maakt. En als je systeem later wel in bijlage III belandt, omdat je aan verzekeringsprijzen begint of omdat je een overheidsopdracht binnenhaalt, dan pas je een document aan in plaats van er een te beginnen.