AP opent FRIA-pilot voordat het Europese rapportagetemplate er is
De Autoriteit Persoonsgegevens riep op 17 augustus 2026 overheidsorganisaties en private organisaties met een publieke taak op om nu al een grondrechteneffectbeoordeling uit te voeren voor hun hoog-risico-AI-systemen, en publiceerde daarbij een uitleg van de FRIA-vereiste en een uitnodiging voor een pilot. Aanmelden kan tot en met 21 september 2026, de pilot loopt van oktober tot half december en de reflectiesessie volgt in februari 2027.
Een FRIA is onder artikel 27 van de AI-verordening verplicht voor gebruiksverantwoordelijken die publiekrechtelijke organen zijn of als private organisatie openbare diensten leveren, en voor gebruikers van AI voor kredietscores en voor risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen, telkens vóór het eerste gebruik van een hoog-risico-AI-systeem uit bijlage III. De verplichting gaat gelden op 2 december 2027. De AI Omnibus verschoof die datum vanaf 2 augustus 2026 en liet artikel 27 inhoudelijk ongewijzigd, zoals wij eerder beschreven in onze blog over de vaste ingangsdata voor hoog-risico-AI.
Wat artikel 27 van een FRIA vraagt
De tekst van artikel 27 is concreet. De gebruiksverantwoordelijke beschrijft in welke eigen processen het systeem wordt ingezet en of dat binnen het beoogde doel van de aanbieder blijft, over welke periode en met welke frequentie, welke categorieën personen en groepen geraakt kunnen worden, welke specifieke risico's op schade zich voor die groepen kunnen voordoen, hoe het menselijk toezicht wordt ingericht volgens de gebruiksaanwijzing, en welke maatregelen klaarliggen als een risico zich verwezenlijkt, inclusief interne governance en een klachtenprocedure. De uitkomst gaat via een template naar de markttoezichthouder. Dat template moet het AI Office ontwikkelen. Het bestaat nog niet, en precies daar zit de reden voor de pilot: de AP wil met een concepttemplate ervaring opdoen en die ervaring inbrengen bij de Europese uitwerking.
De AP vat de zes elementen samen in drie kernonderdelen: gebruikscontext, impactanalyse en passende maatregelen. Ze beveelt aan het proces te doorlopen met een multidisciplinair team, met daarin een ervaren jurist met kennis van grondrechten, een domeinexpert, een AI-expert en een gedragsexpert, en om externe belanghebbenden te betrekken. Ervaring met instrumenten als het IAMA is geen voorwaarde voor deelname; de AP nodigt juist ook organisaties uit die nog nooit een grondrechtenbeoordeling hebben gedaan.
De DPIA dekt de FRIA niet
Wie een DPIA heeft gedaan, is niet klaar. Artikel 27, vierde lid, bepaalt dat de FRIA de DPIA aanvult waar de verplichtingen elkaar overlappen. De DPIA kijkt naar privacyrisico's van een gegevensverwerking, de FRIA naar alle grondrechten uit het Handvest die in de gebruikscontext geraakt kunnen worden, van non-discriminatie en sociale zekerheid tot het recht op onderwijs. Een tweede verschil is procedureel: de FRIA wordt vóór de eerste inzet gerapporteerd aan de toezichthouder, terwijl een DPIA alleen in uitzonderingsgevallen aan de AP wordt voorgelegd. Hoe organisaties dubbel werk voorkomen, moet nog worden uitgewerkt; de AP zegt dat bij de ontwikkeling van het template te doen.
Er is ook een omgekeerde asymmetrie. Een DPIA kan verplicht zijn voor een AI-systeem dat onder de verordening geen hoog risico heeft, omdat de gegevensverwerking zelf risicovol is. De FRIA is beperkt tot bijlage III en tot de aangewezen organisaties. Het voorbeeld van de AP is een groot IT-bedrijf dat kandidaten selecteert met AI: dat is een hoog-risicosysteem, maar het bedrijf is geen overheid en levert geen openbare dienst, dus geen FRIA. De overige verplichtingen van artikel 26 voor gebruiksverantwoordelijken blijven wel gelden, waaronder menselijk toezicht en de trainingsplicht die wij bespraken in onze blog over AI-geletterdheid na de Omnibus.
Waar de AP verder gaat dan de tekst
Directeur Coördinatie Algoritmes Sven Stevenson noemt de FRIA tegenover Binnenlands Bestuur een resultaatsverplichting: organisaties moeten kunnen aantonen dat alle grondrechtenrisico's zijn weggenomen en beheerst, en de rapportage zou telkens opnieuw moeten als een systeem wordt ingekocht of gewijzigd, ook bij een update. De tekst van artikel 27 legt de lat anders. Het eerste lid vraagt om een beoordeling en om een beschrijving van maatregelen voor het geval een risico zich voordoet. Het tweede lid koppelt de plicht aan het eerste gebruik en verlangt bijwerken als een van de elementen is veranderd of niet meer actueel is. Dat is een beoordeling met een documentatieplicht. Een garantie dat elk risico is weggenomen, staat er niet. Wij lezen de woorden van Stevenson als de maatstaf die de AP straks bij het lezen van rapportages zal aanleggen, en die maatstaf ligt hoger dan wat een organisatie in een procedure tegen zich kan laten inbrengen. Voor de praktijk betekent dat: schrijf de FRIA zo dat hij aan de strengere lezing voldoet, en leg in de rapportage uit welke restrisico's blijven bestaan en waarom die aanvaardbaar zijn.
De tweede open vraag is wie precies een "private entiteit die openbare diensten levert" is. Overweging 96 noemt onderwijs, gezondheidszorg, sociale diensten, huisvesting en rechtsbedeling. Voor scholen, zorginstellingen en woningcorporaties is dat helder. Voor organisaties in de rechtsbedeling, zoals aanbieders van gesubsidieerde rechtsbijstand, incassobureaus met een wettelijke taak of gerechtsdeurwaarders, is de grens niet getrokken. De AP merkt in de pilotuitnodiging zelf op dat de twee genoemde categorieën niet alle organisaties zijn die onder artikel 27 vallen. Wie twijfelt of hij eronder valt, doet er verstandig aan die vraag in de pilot te laten beantwoorden in plaats van in 2028 bij de toezichthouder.
Gevolgen voor juristen bij overheid en publieke dienstverleners
Voor de juridische functie binnen een gemeente, uitvoeringsorganisatie, school of zorginstelling is de FRIA een nieuw product met een vaste inhoud en een externe ontvanger. Drie dingen kun je nu al regelen, los van deelname aan de pilot. Ten eerste een inventarisatie: welke systemen vallen onder bijlage III, en van welke daarvan is de organisatie gebruiksverantwoordelijke. Het algoritmeregister is daarvoor een logisch vertrekpunt, de AP verwijst er in de pilotuitnodiging ook naar. Ten tweede de informatiepositie richting de aanbieder: de FRIA leunt op de gebruiksaanwijzing en de informatie die de aanbieder onder artikel 13 moet leveren, dus de inkoopvoorwaarden en het leverancierscontract moeten die levering afdwingen, inclusief het beoogde doel en de eisen aan menselijk toezicht. Ten derde de governance: wie is de eigenaar van de FRIA, wie zit in het multidisciplinaire team, en welke klachtenprocedure wordt in de rapportage genoemd.
Wie de rapportage in 2027 aan de toezichthouder moet sturen, loopt tegen een praktisch probleem aan dat de AP niet oplost. De Uitvoeringswet AI-verordening gaat pas in 2027 naar de Kamer, zodat op 2 december 2027 mogelijk nog geen Nederlandse markttoezichthouder formeel is aangewezen. De plicht uit artikel 27 geldt dan wel. Organisaties leggen de FRIA daarom vast en bewaren hem, zodat hij kan worden aangeleverd zodra duidelijk is aan wie.