Ga naar de hoofdinhoud
Praxikon
Artikel 27 van 11324%
English

Artikel 27: Beoordeling van de gevolgen voor de grondrechten van AI-systemen met een hoog risico

Artikel 27 introduceert de FRIA: een beoordeling van de impact op grondrechten voordat bepaalde hoog-risico AI-systemen worden ingezet.

, AI- en privacyjuristverplichtingen gecontroleerd tegen de bron op

Praxikon houdt artikel 27 (Beoordeling van de gevolgen voor de grondrechten van AI-systemen met een hoog risico) uit de EU AI Act bij, met per uitspraak de vindplaats erbij.

EU Official:
AankomendFRIA-plicht voor toepasselijke Bijlage III-systemen vanaf 2 dec 2027
Titel III: Hoog-risico AI-systemen

Toepassingsdata

  • : FRIA-plicht voor toepasselijke hoog-risico systemen uit Artikel 6 lid 2 en Bijlage III

Officiële tekst

||

Bron: EUR-Lex, Verordening (EU) 2024/1689. Tekst ongewijzigd overgenomen.

Download AI Act (PDF) →

Beslisboom

Moet u een FRIA doen?

Een FRIA (beoordeling van de gevolgen voor de grondrechten) is niet voor elke gebruiksverantwoordelijke van een hoog-risicosysteem verplicht. De plicht geldt vanaf 2 december 2027, vóór het eerste gebruik.

Vraag 1 · art. 27 lid 1 · art. 6 lid 2

Gaat u als gebruiksverantwoordelijke een hoog-risico-AI-systeem uit bijlage III (artikel 6 lid 2) in gebruik nemen?

Hoog-risicosystemen via bijlage I (veiligheidscomponenten van producten) vallen niet onder artikel 27.

Volledig schema
  1. 1

    Gaat u als gebruiksverantwoordelijke een hoog-risico-AI-systeem uit bijlage III (artikel 6 lid 2) in gebruik nemen?

    art. 27 lid 1 · art. 6 lid 2

    • Ja → Vraag 2
    • Nee → Uitkomst A
  2. 2

    Is het systeem bedoeld als veiligheidscomponent bij het beheer of de exploitatie van kritieke digitale infrastructuur, wegverkeer of de levering van water, gas, verwarming of elektriciteit (bijlage III punt 2)?

    art. 27 lid 1 · bijlage III punt 2

    • Ja → Uitkomst B
    • Nee → Vraag 3
  3. 3

    Bent u een publiekrechtelijk orgaan, zoals een ministerie, gemeente, provincie of waterschap, of een andere organisatie die publiekrechtelijk is ingericht?

    art. 27 lid 1

    • Ja → Vraag 7
    • Nee → Vraag 4
  4. 4

    Bent u een particuliere entiteit die openbare diensten verleent, bijvoorbeeld in onderwijs, gezondheidszorg, sociale diensten, huisvesting of rechtsbedeling?

    art. 27 lid 1 · overweging 96

    • Ja → Vraag 7
    • Nee → Vraag 5
  5. 5

    Is het systeem bedoeld om de kredietwaardigheid van natuurlijke personen te beoordelen of hun kredietscore vast te stellen, en niet alleen om financiële fraude op te sporen?

    art. 27 lid 1 · bijlage III punt 5 onder b

    • Ja → Vraag 7
    • Nee → Vraag 6
  6. 6

    Is het systeem bedoeld voor risicobeoordeling en prijsstelling met betrekking tot natuurlijke personen bij levens- en ziektekostenverzekeringen?

    art. 27 lid 1 · bijlage III punt 5 onder c

    • Ja → Vraag 7
    • Nee → Uitkomst C
  7. 7

    Heeft u voor dit gebruik al een DPIA gedaan op grond van artikel 35 AVG?

    art. 27 lid 4

    • Ja → Uitkomst E
    • Nee → Uitkomst D

Uitkomst A · Geldt niet

Geen FRIA-plicht onder artikel 27

Artikel 27 geldt alleen voor gebruiksverantwoordelijken van hoog-risicosystemen uit bijlage III. Verwerkt het systeem persoonsgegevens, toets dan wel of een DPIA nodig is (artikel 35 AVG).

art. 27 lid 1 · art. 35 AVG

Uitkomst B · Geldt niet

Kritieke infrastructuur is uitgezonderd

Voor hoog-risicosystemen uit bijlage III punt 2 geldt geen FRIA-plicht, ook niet voor overheden. De plichten van artikel 26 blijven gelden. De aanbieder registreert deze systemen op nationaal niveau in plaats van in de EU-databank (artikel 49 lid 5).

art. 27 lid 1 · bijlage III punt 2 · art. 26 · art. 49 lid 5

Uitkomst C · Geldt niet

Geen FRIA verplicht, wel de plichten van artikel 26

Als private gebruiksverantwoordelijke buiten de genoemde gevallen hoeft u geen FRIA te doen. De plichten van artikel 26 gelden wel. Een vrijwillige grondrechtentoets kan helpen bij menselijk toezicht en bij een DPIA.

art. 27 lid 1 · art. 26

Uitkomst D · Geldt

U moet een FRIA doen vóór het eerste gebruik

Beschrijf uw processen waarin het systeem wordt gebruikt, de periode en frequentie, de groepen die het raakt, de specifieke risico’s op schade, het menselijk toezicht volgens de gebruiksaanwijzing, en de maatregelen als risico’s zich voordoen, inclusief governance en klachtregeling. Meld de resultaten met het ingevulde sjabloon aan de markttoezichtautoriteit. In vergelijkbare gevallen mag u steunen op een eerdere FRIA of een bestaande effectbeoordeling van de aanbieder; werk de beoordeling bij als iets verandert (lid 2). Voor systemen die vóór 2 december 2027 in de handel zijn gebracht of in gebruik zijn gesteld, geldt artikel 111 lid 2: de verordening geldt dan pas na een significante ontwerpwijziging, maar voor systemen bedoeld voor gebruik door overheidsinstanties uiterlijk vanaf 2 augustus 2030.

art. 27 lid 1 onder a tot en met f · art. 27 lid 2 · art. 27 lid 3 · art. 27 lid 5 · art. 111 lid 2

Uitkomst E · Geldt

U moet een FRIA doen en kunt op uw DPIA bouwen

Wordt een deel van de plichten al gedekt door de DPIA, dan kunt u in de FRIA verwijzen naar de relevante onderdelen van de DPIA of die onderdelen opnemen. De FRIA blijft breder: zij gaat over alle grondrechten, niet alleen gegevensbescherming. Meld de resultaten aan de markttoezichtautoriteit.

art. 27 lid 4 · art. 27 lid 1 · art. 27 lid 3 · art. 35 AVG

Een beslisboom versimpelt. Twijfelt u bij een vraag, lees dan de vindplaats of laat het beoordelen. Gecontroleerd tegen de wettekst op 1 oktober 2026.

Officiële uitleg bij dit artikel

6

Wat betekent dit voor u?

Aanbieder (Provider)+
De FRIA is een plicht voor bepaalde gebruiksverantwoordelijken, maar aanbieders moeten via Artikel 13 de informatie leveren die nodig is om risico's, toezichtmaatregelen en gebruikscontext te beoordelen. Een bestaande impactbeoordeling van de aanbieder kan in vergelijkbare gevallen als input dienen, maar neemt de verantwoordelijkheid van de gebruiksverantwoordelijke niet over.
Deployer (Gebruiksverantwoordelijke)+
Voer voor het eerste gebruik een FRIA uit als u een publiekrechtelijk orgaan bent, als private partij een publieke dienst verleent, of een hoog-risico systeem uit Bijlage III punt 5(b) of 5(c) inzet voor kredietwaardigheid of levens- en ziektekostenverzekering. Beschrijf proces, gebruiksduur en frequentie, getroffen groepen, concrete grondrechtenrisico's, menselijk toezicht en maatregelen bij verwezenlijking van risico's.
MKB / Startup+
Een private MKB-gebruiksverantwoordelijke valt niet alleen vanwege zijn omvang binnen of buiten Artikel 27. De functie en het gebruiksgeval zijn bepalend. Een MKB dat een publieke dienst verleent of een toepassing uit Bijlage III punt 5(b) of 5(c) inzet, kan dus wel FRIA-plichtig zijn.
Overheid+
Een publiekrechtelijk orgaan dat een hoog-risico systeem onder Artikel 6 lid 2 inzet, voert in beginsel voor het eerste gebruik een FRIA uit, behalve voor Bijlage III punt 2. Meld het resultaat via het officiële template aan de markttoezichtautoriteit en werk de beoordeling bij wanneer relevante elementen veranderen. Verordening (EU) 2026/1744 staat expliciete kruisverwijzingen of overname van relevante delen uit een DPIA toe.

Relevante tools

Relevante overwegingen

Gerelateerde handhaving

Nog geen handhavingsacties voor dit artikel. Volg ontwikkelingen via de Enforcement Tracker.

Gerelateerde blogposts

Kruisverwijzingen

Artikelen

Overwegingen

Bijlagen

Veelgestelde vragen

Wat is een FRIA en wanneer is het verplicht?+
Een FRIA beoordeelt de impact op grondrechten voor het eerste gebruik van een toepasselijk hoog-risico systeem uit Artikel 6 lid 2. De plicht geldt voor publiekrechtelijke organen, private partijen die publieke diensten verlenen en gebruiksverantwoordelijken van Bijlage III punt 5(b) en 5(c). Punt 2 is uitgezonderd.
Wat moet er in een FRIA staan?+
Een FRIA moet onder meer beschrijven: het beoogde gebruik, de betrokken personen, specifieke risico's voor grondrechten, mitigerende maatregelen, en toezichtmechanismen.
Welke documentatie vereist artikel 27 van de AI Act?+
Artikel 27 van de AI Act vereist dat relevante documentatie wordt bijgehouden als onderdeel van het compliance-proces. Dit kan technische documentatie, gebruiksaanwijzingen, logs of conformiteitsverklaringen omvatten, afhankelijk van de classificatie van het AI-systeem.
Wat is het verschil tussen een FRIA en een DPIA?+
Een FRIA beoordeelt de bredere impact op grondrechten; een DPIA ziet op gegevensbescherming. Verordening (EU) 2026/1744 staat toe dat de FRIA voor reeds ingevulde verplichtingen relevante DPIA-delen bevat of daarnaar verwijst. De toepasselijke beoordeling blijft vereist op grond van haar eigen voorwaarden.
Wie moet een FRIA uitvoeren?+
Publiekrechtelijke organen, private partijen die publieke diensten verlenen en gebruiksverantwoordelijken van systemen voor kredietwaardigheid of kredietscore onder Bijlage III punt 5(b) en risico- en prijsbeoordeling bij levens- en ziektekostenverzekering onder punt 5(c).
Is er een standaard template voor de FRIA beschikbaar?+
Artikel 27 lid 5 verplicht het AI Office een vereenvoudigd vragenlijstmodel te ontwikkelen. Sinds Verordening (EU) 2026/1744 moet dit model waar relevant kruisverwijzingen naar of delen van een DPIA ondersteunen.
Moet ik het resultaat van de FRIA melden bij een toezichthouder?+
Ja, artikel 27 lid 3 vereist dat deployers de resultaten van de FRIA melden bij de markttoezichtautoriteit door het ingevulde template in te dienen. Daarnaast moet een samenvatting worden geregistreerd in de EU-databank conform Bijlage VIII, Sectie C.

Wat artikel 27 in de praktijk van u vraagt

Samenhang

Wat samenhangt met artikel 27 AI Act