De Autoriteit Persoonsgegevens (AP) kondigt aan dat de verplichte FRIA voor AI-systemen eraan komt. Deze toets naar fundamentele rechten geldt onder de Europese AI-verordening (AI Act) voor het inzetten van risicovolle algoritmen. Organisaties in Nederland moeten zich nu voorbereiden, omdat de regels gefaseerd gaan gelden. Doel is schade aan rechten van burgers te voorkomen en verantwoord gebruik van kunstmatige intelligentie te borgen.
FRIA wordt verplicht bij AI
Een FRIA is een fundamentele-rechten-toets voor een AI-toepassing. De toets bekijkt risico’s voor onder meer gelijke behandeling, privacy, toegang tot diensten en vrijheid van meningsuiting. De AI-verordening maakt deze toets verplicht voordat een zogenoemd hoogrisico-systeem in gebruik gaat. Het gaat om systemen die belangrijke besluiten of beoordelingen ondersteunen, zoals selectie, zorg, onderwijs of handhaving.
De plicht richt zich op de “gebruiker” van het systeem, in de AI Act genoemd de “deployer”. Dat is de organisatie die het model in de praktijk inzet, bijvoorbeeld een gemeente, ziekenhuis of bank. Leveranciers van software blijven verantwoordelijk voor het product zelf. Maar de gebruiker moet vooraf in kaart brengen wat het systeem doet met mensen in zijn eigen context.
De AI-verordening treedt gefaseerd in werking, op het moment van schrijven met verschillende deadlines per onderdeel. Verboden praktijken gelden eerder, regels voor hoogrisico-systemen later. De FRIA valt onder die latere fase. Daarom adviseert de AP om nu al processen, rollen en documentatie klaar te zetten.
Gevolgen AI-verordening voor overheid
De Europese AI-verordening gevolgen overheid zijn groot. Overheden en private partijen die een publieke taak uitvoeren moeten vóór ingebruikname een FRIA afronden. Dat raakt bijvoorbeeld gemeentelijke besluitvorming, inzet van algoritmen in het sociale domein, en selectie in onderwijs of woningtoewijzing. Zonder FRIA mag een hoogrisico-systeem niet de praktijk in.
De toets dwingt tot zorgvuldige keuzes en transparantie. Bestuurders moeten kunnen uitleggen waarom een algoritme nodig is en welke waarborgen gelden. Ook moet duidelijk zijn hoe mensen bezwaar kunnen maken en een menselijk beoordelaar kunnen spreken. Dat sluit aan op eisen uit de Algemene verordening gegevensbescherming (AVG), zoals transparantie en dataminimalisatie.
De verordening vereist bovendien betrokkenheid van belanghebbenden. Organisaties moeten nadenken over inspraak van burgers, cliëntenraden of werknemersvertegenwoordigingen. Dat verkleint de kans op blinde vlekken, zoals vooroordelen in data of oneerlijke uitkomsten. Het maakt de inzet van datamodellen ook beter uitlegbaar richting politiek en samenleving.
Verschil met AVG-DPIA
Een DPIA is een gegevensbeschermingseffectbeoordeling onder de AVG. Deze analyse focust op privacyrisico’s en hoe je persoonsgegevens beschermt. Een FRIA kijkt breder. De toets gaat ook over non-discriminatie, toegang tot essentiële diensten, arbeidsrechten en vrijheid van beweging of meningsuiting.
In veel projecten zijn beide nodig. Gebruik je een AI-systeem dat persoonsgegevens verwerkt, dan blijft een DPIA verplicht. Gebruik je bovendien een hoogrisico-systeem onder de AI Act, dan moet daarbovenop een FRIA plaatsvinden. Zo ontstaat één dossier dat zowel privacy als andere grondrechten afdekt.
De AP benadrukt dat een FRIA geen papieren vinkje is. De toets moet leiden tot concrete maatregelen, zoals menselijk toezicht en heldere uitleg voor betrokkenen. Ook moet je kunnen aantonen dat je alternatieven hebt afgewogen. Dit past bij het Europese uitgangspunt van “by design” beschermen van rechten.
Wat moet erin staan
Een FRIA beschrijft doel en werking van het algoritme in gewone taal. Zij benoemt wie geraakt wordt, in welke situaties, en met welke mogelijke gevolgen. De toets brengt risico’s systematisch in kaart, ook voor kwetsbare groepen. Daarna volgt een plan met maatregelen om die risico’s te beperken.
Verwacht worden onderdelen als: beschrijving van data en beslislogica, menselijke controle, uitleg aan gebruikers en betrokkenen, en procedures voor klachten en herstel. Ook hoort er een monitoringplan bij met meetpunten en drempelwaarden. Denk aan periodieke fairness-tests, foutanalyses en een noodrem. Daarnaast moet duidelijk zijn wie intern waarvoor verantwoordelijk is.
Een FRIA is een voorafgaande toets die aantoont hoe een organisatie de impact van een AI-systeem op grondrechten weegt, beperkt en blijvend volgt, voordat het systeem in gebruik gaat.
Documenteer ook keuzes die je níet maakt. Waarom is een eenvoudiger alternatief zonder AI niet haalbaar? Waarom is een bepaald datamodel of leverancier gekozen? Zulke onderbouwing helpt bij toezicht en rechtvaardigt besluiten richting burgers en rechters.
Nederland regelt toezicht op AI
Elke lidstaat wijst toezichthouders aan voor de AI-verordening. In Nederland houdt de Autoriteit Persoonsgegevens toezicht op de AVG en adviseert zij over randvoorwaarden voor algoritmen. Voor markttoezicht op AI-producten en -diensten werken rijk en inspecties aan een taakverdeling, op het moment van schrijven nog in uitwerking. Het Europese AI Office coördineert de uitvoering in de EU.
Voor organisaties betekent dit dat controles en informatieverzoeken kunnen toenemen. Een goed uitgewerkte FRIA maakt aantoonbaarheid eenvoudiger. Het helpt ook bij aanbestedingen, want opdrachtgevers zullen om deze onderbouwing vragen. Zo wordt de FRIA onderdeel van normale governance rond IT en inkoop.
Samenloop met nationale regels blijft belangrijk. Denk aan de Wet open overheid, gelijke behandelingswetgeving en sectorregels in zorg en onderwijs. Een FRIA moet hiermee sporen. Betrek daarom juridische, ethische en operationele expertise vroegtijdig in het traject.
Stappen om nu te starten
Breng alle huidige en geplande AI-toepassingen in kaart. Bepaal per toepassing de rol van je organisatie: leverancier, ontwikkelaar of gebruiker. Toets of het om een hoogrisico-systeem kan gaan volgens de AI Act. Leg deze classificatie vast en wijs een eigenaar per toepassing aan.
Zet een standaardproces op voor FRIA en koppel dit aan de bestaande DPIA-stroom. Maak sjablonen en checklists, inclusief risicomatrix en maatregelenbibliotheek. Train projectleiders, juristen en datateams in eenvoudige uitleg van modeldoelen en beperkingen. Oefen met een pilot-FRIA op een lopend project.
Veranker ten slotte menselijk toezicht. Leg vast wanneer een medewerker moet ingrijpen en hoe een besluit kan worden herzien. Richt een zichtbaar klachten- en herstelpunt in voor burgers. En monitor actief met rapportages aan management en, waar nodig, aan toezichthouders.