Artikel 27: Beoordeling van de gevolgen voor de grondrechten van AI-systemen met een hoog risico
Artikel 27 introduceert de FRIA: een beoordeling van de impact op grondrechten voordat bepaalde hoog-risico AI-systemen worden ingezet.
Praxikon houdt artikel 27 (Beoordeling van de gevolgen voor de grondrechten van AI-systemen met een hoog risico) uit de EU AI Act bij, met per uitspraak de vindplaats erbij.
Toepassingsdata
- : FRIA-plicht voor toepasselijke hoog-risico systemen uit Artikel 6 lid 2 en Bijlage III
Officiële tekst
Bron: EUR-Lex, Verordening (EU) 2024/1689. Tekst ongewijzigd overgenomen.
Download AI Act (PDF) →Beslisboom
Moet u een FRIA doen?
Een FRIA (beoordeling van de gevolgen voor de grondrechten) is niet voor elke gebruiksverantwoordelijke van een hoog-risicosysteem verplicht. De plicht geldt vanaf 2 december 2027, vóór het eerste gebruik.
Vraag 1 · art. 27 lid 1 · art. 6 lid 2
Gaat u als gebruiksverantwoordelijke een hoog-risico-AI-systeem uit bijlage III (artikel 6 lid 2) in gebruik nemen?
Hoog-risicosystemen via bijlage I (veiligheidscomponenten van producten) vallen niet onder artikel 27.
Volledig schema
- 1
Gaat u als gebruiksverantwoordelijke een hoog-risico-AI-systeem uit bijlage III (artikel 6 lid 2) in gebruik nemen?
art. 27 lid 1 · art. 6 lid 2
- Ja → Vraag 2
- Nee → Uitkomst A
- 2
Is het systeem bedoeld als veiligheidscomponent bij het beheer of de exploitatie van kritieke digitale infrastructuur, wegverkeer of de levering van water, gas, verwarming of elektriciteit (bijlage III punt 2)?
art. 27 lid 1 · bijlage III punt 2
- Ja → Uitkomst B
- Nee → Vraag 3
- 3
Bent u een publiekrechtelijk orgaan, zoals een ministerie, gemeente, provincie of waterschap, of een andere organisatie die publiekrechtelijk is ingericht?
art. 27 lid 1
- Ja → Vraag 7
- Nee → Vraag 4
- 4
Bent u een particuliere entiteit die openbare diensten verleent, bijvoorbeeld in onderwijs, gezondheidszorg, sociale diensten, huisvesting of rechtsbedeling?
art. 27 lid 1 · overweging 96
- Ja → Vraag 7
- Nee → Vraag 5
- 5
Is het systeem bedoeld om de kredietwaardigheid van natuurlijke personen te beoordelen of hun kredietscore vast te stellen, en niet alleen om financiële fraude op te sporen?
art. 27 lid 1 · bijlage III punt 5 onder b
- Ja → Vraag 7
- Nee → Vraag 6
- 6
Is het systeem bedoeld voor risicobeoordeling en prijsstelling met betrekking tot natuurlijke personen bij levens- en ziektekostenverzekeringen?
art. 27 lid 1 · bijlage III punt 5 onder c
- Ja → Vraag 7
- Nee → Uitkomst C
- 7
Heeft u voor dit gebruik al een DPIA gedaan op grond van artikel 35 AVG?
art. 27 lid 4
- Ja → Uitkomst E
- Nee → Uitkomst D
Uitkomst A · Geldt niet
Geen FRIA-plicht onder artikel 27
Artikel 27 geldt alleen voor gebruiksverantwoordelijken van hoog-risicosystemen uit bijlage III. Verwerkt het systeem persoonsgegevens, toets dan wel of een DPIA nodig is (artikel 35 AVG).
art. 27 lid 1 · art. 35 AVG
Uitkomst B · Geldt niet
Kritieke infrastructuur is uitgezonderd
Voor hoog-risicosystemen uit bijlage III punt 2 geldt geen FRIA-plicht, ook niet voor overheden. De plichten van artikel 26 blijven gelden. De aanbieder registreert deze systemen op nationaal niveau in plaats van in de EU-databank (artikel 49 lid 5).
art. 27 lid 1 · bijlage III punt 2 · art. 26 · art. 49 lid 5
Uitkomst C · Geldt niet
Geen FRIA verplicht, wel de plichten van artikel 26
Als private gebruiksverantwoordelijke buiten de genoemde gevallen hoeft u geen FRIA te doen. De plichten van artikel 26 gelden wel. Een vrijwillige grondrechtentoets kan helpen bij menselijk toezicht en bij een DPIA.
art. 27 lid 1 · art. 26
Uitkomst D · Geldt
U moet een FRIA doen vóór het eerste gebruik
Beschrijf uw processen waarin het systeem wordt gebruikt, de periode en frequentie, de groepen die het raakt, de specifieke risico’s op schade, het menselijk toezicht volgens de gebruiksaanwijzing, en de maatregelen als risico’s zich voordoen, inclusief governance en klachtregeling. Meld de resultaten met het ingevulde sjabloon aan de markttoezichtautoriteit. In vergelijkbare gevallen mag u steunen op een eerdere FRIA of een bestaande effectbeoordeling van de aanbieder; werk de beoordeling bij als iets verandert (lid 2). Voor systemen die vóór 2 december 2027 in de handel zijn gebracht of in gebruik zijn gesteld, geldt artikel 111 lid 2: de verordening geldt dan pas na een significante ontwerpwijziging, maar voor systemen bedoeld voor gebruik door overheidsinstanties uiterlijk vanaf 2 augustus 2030.
art. 27 lid 1 onder a tot en met f · art. 27 lid 2 · art. 27 lid 3 · art. 27 lid 5 · art. 111 lid 2
Uitkomst E · Geldt
U moet een FRIA doen en kunt op uw DPIA bouwen
Wordt een deel van de plichten al gedekt door de DPIA, dan kunt u in de FRIA verwijzen naar de relevante onderdelen van de DPIA of die onderdelen opnemen. De FRIA blijft breder: zij gaat over alle grondrechten, niet alleen gegevensbescherming. Meld de resultaten aan de markttoezichtautoriteit.
art. 27 lid 4 · art. 27 lid 1 · art. 27 lid 3 · art. 35 AVG
Officiële uitleg bij dit artikel
6- Verordening (EU) 2026/1744, Digital Omnibus over AILaat toe dat een FRIA relevante delen van een DPIA bevat of daarnaar verwijst en verlangt dat het Commissieformulier deze route ondersteunt.GepubliceerdVerordeningEuropees Parlement en Raad van de Europese Unie24 jul 2026
- Wegwijs in de AI-verordening (vragen en antwoorden)Beschrijft waarom en door wie een grondrechtentoets moet worden uitgevoerd bij hoog-risico toepassingenGepubliceerdVraag en antwoordEuropese Commissie, DG CNECT7 aug 2026
- EDPB-verklaring 3/2024 over de rol van privacytoezichthouders onder de AI-verordeningWijst op de verwachte samenloop tussen de FRIA uit artikel 27(4) en de DPIA uit de AVG, mede via artikel 26(9) en Annex VIII sectie C punt 5, zodat organisaties beide beoordelingen op elkaar moeten afstemmen.GepubliceerdAdviesEDPB (Europees Comité voor gegevensbescherming)16 jul 2024
- EDPB-werkprogramma 2026-2027 met aangekondigde gezamenlijke richtsnoeren AI-verordening en AVGZal naar verwachting bepalen of de grondrechteneffectbeoordeling uit artikel 27 en de DPIA uit de AVG in een gecombineerd document mogen worden opgesteld, wat het verschil maakt tussen een of twee trajecten.AangekondigdRichtsnoerenEDPB (Europees Comité voor gegevensbescherming)11 feb 2026
- NEN-ISO/IEC 42005:2025 Impactbeoordeling van AI-systemenGeeft een uitgewerkte werkwijze en documentatiestructuur voor impactbeoordelingen, die als praktische basis kan dienen voor de grondrechtenbeoordeling FRIA die vanaf 2 december 2027 gaat gelden.GepubliceerdNormISO/IEC JTC 1/SC 42, Nederlandse overname door NEN1 jun 2025
- Tijdlijn AI-verordening (Algoritmekader)Koppelt de grondrechtenbeoordeling voor publieke taken als vereiste aia-27 aan de verschoven hoog-risico-datumGepubliceerdNationale uitlegMinisterie van Binnenlandse Zaken en Koninkrijksrelaties (Algoritmekader)17 jul 2025
Wat betekent dit voor u?
Aanbieder (Provider)+
Deployer (Gebruiksverantwoordelijke)+
MKB / Startup+
Overheid+
Relevante tools
Relevante overwegingen
Gerelateerde handhaving
Nog geen handhavingsacties voor dit artikel. Volg ontwikkelingen via de Enforcement Tracker.
Gerelateerde blogposts
Kruisverwijzingen
Bijlagen
Veelgestelde vragen
Wat is een FRIA en wanneer is het verplicht?+
Wat moet er in een FRIA staan?+
Welke documentatie vereist artikel 27 van de AI Act?+
Wat is het verschil tussen een FRIA en een DPIA?+
Wie moet een FRIA uitvoeren?+
Is er een standaard template voor de FRIA beschikbaar?+
Moet ik het resultaat van de FRIA melden bij een toezichthouder?+
Wat artikel 27 in de praktijk van u vraagt
Samenhang
Wat samenhangt met artikel 27 AI Act
Thema’s waarin dit terugkomt
Waar dit de andere wet raakt
- De FRIA mag verwijzen naar de DPIA, maar vervangt haar niet
mag verwijzen naar
De tegenhanger in de andere wet
AVG-uitleg die hier ook raakt
- EDPB sjabloon voor een gegevensbeschermingseffectbeoordeling (DPIA template)
2026-04-14 · in consultatie, European Data Protection Board (EDPB) · via Vooraf risico's beoordelen: DPIA en FRIA
- Richtsnoeren voor gegevensbeschermingseffectbeoordeling (DPIA) en bepaling of een verwerking waarschijnlijk een hoog risico inhoudt
2018-05-25 · definitief, Article 29 Working Party, bekrachtigd door de European Data Protection Board (EDPB) · via Vooraf risico's beoordelen: DPIA en FRIA
- Consultatie conceptlijst van verwerkingen waarvoor geen DPIA verplicht is (AP)
2026-06-24 · in consultatie, Autoriteit Persoonsgegevens (AP) · via Vooraf risico's beoordelen: DPIA en FRIA
- Rechtbank Den Haag verlaagt AP-boete voor politie om mobiele camera-auto's zonder afgeronde GEB naar 30.000 euro
2024-10-08 · status niet vastgesteld, Rechtbank Den Haag · via Vooraf risico's beoordelen: DPIA en FRIA
- Besluit inzake lijst van verwerkingen waarvoor een DPIA verplicht is (AP)
2019-11-27 · van kracht, Autoriteit Persoonsgegevens (AP) · via Vooraf risico's beoordelen: DPIA en FRIA