Het kernverschil: een DPIA richt zich op privacyrisico's van gegevensverwerking onder de AVG, terwijl een FRIA het volledige spectrum van grondrechten beoordeelt bij de inzet van hoog-risico-AI-systemen onder de EU AI Act. Een DPIA wordt getriggerd door risicovolle verwerking van persoonsgegevens, een FRIA door de inzet van AI in de hoog-risicogebieden van bijlage III door bepaalde gebruiksverantwoordelijken. Organisaties die hoog-risico-AI inzetten, hebben vaak beide nodig, en artikel 27 lid 4 AI Act laat de FRIA verwijzen naar de delen van een bestaande DPIA die een verplichting al afdekken.
Wilt u eerst weten of u überhaupt een DPIA moet doen? Dat leest u in vijf stappen in wanneer een DPIA verplicht is bij AI. Direct aan de slag met de FRIA? Download het gratis FRIA-template voor artikel 27 (Word) of lees de FRIA-gids bij artikel 27.
Het verschil tussen DPIA en FRIA in één tabel
| Aspect | DPIA (AVG) | FRIA (AI Act) |
|---|---|---|
| 1. Focus | Gegevensbescherming en privacy | Alle grondrechten |
| 2. Datatype | Alleen persoonsgegevens | Persoons- en niet-persoonsgegevens |
| 3. Toepassingsgebied | Elke verwerking met waarschijnlijk een hoog risico | Hoog-risico-AI-systemen uit bijlage III, behalve punt 2 |
| 4. Wie is verplicht | Verwerkingsverantwoordelijke | Bepaalde gebruiksverantwoordelijken (deployers) |
| 5. Rapportage | Intern, behalve bij voorafgaande raadpleging (art. 36 AVG) | Kennisgeving aan de markttoezichtautoriteit (art. 27 lid 3) |
| Grondslag | Artikel 35 AVG | Artikel 27 AI Act |
| Moment | Vóór de verwerking begint | Vóór het eerste gebruik van het systeem |
| Geldt | Sinds 25 mei 2018 | Vanaf 2 december 2027; bestaande overheidssystemen uiterlijk 2 augustus 2030 (art. 111 lid 2) |
| Toezicht | Autoriteit Persoonsgegevens | Markttoezichtautoriteit |
| Boete | Tot 10 miljoen euro of 2% van de wereldwijde jaaromzet (art. 83 lid 4 AVG) | Geen eigen plafond in de AI Act; nationale regels (art. 99 lid 1) |
Waarom twee verschillende impact assessments?
De AVG, van toepassing sinds 25 mei 2018, introduceerde de Data Protection Impact Assessment (DPIA) als instrument om risico's voor de rechten en vrijheden van mensen bij de verwerking van persoonsgegevens te identificeren en te beperken. Met de EU AI-verordening, die in augustus 2024 in werking trad, is daar de Fundamental Rights Impact Assessment (FRIA) bijgekomen, specifiek voor hoog-risico-AI-systemen.
Deze dubbele verplichting ontstaat omdat AI-systemen bredere risico's kunnen vormen dan alleen voor gegevensbescherming. Waar een DPIA zich concentreert op privacygerelateerde risico's, kijkt een FRIA naar het volledige spectrum van grondrechten die door AI kunnen worden geraakt.
DPIA: gegevensbescherming centraal
Wanneer is een DPIA verplicht?
Onder artikel 35 van de AVG voert u een DPIA uit wanneer de verwerking "waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen." Dat is in ieder geval zo bij (artikel 35 lid 3):
- een systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, waaronder profilering, waarop besluiten met rechtsgevolgen of vergelijkbare gevolgen worden gebaseerd;
- grootschalige verwerking van bijzondere of strafrechtelijke persoonsgegevens;
- stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten.
Daarnaast geldt de lijst van verplichte DPIA's van de Autoriteit Persoonsgegevens en de toets aan de negen criteria uit de EDPB-richtsnoeren. Hoe u dat voor een AI-systeem in vijf stappen bepaalt, staat in wanneer een DPIA verplicht is bij AI.
Minimale inhoud DPIA
Artikel 35 lid 7 van de AVG vereist dat een DPIA ten minste bevat:
- een systematische beschrijving van de verwerkingen en de doeleinden;
- een beoordeling van de noodzaak en evenredigheid van de verwerking;
- een beoordeling van de risico's voor de rechten en vrijheden van betrokkenen;
- de maatregelen om die risico's aan te pakken.
DPIA timing
Een DPIA wordt uitgevoerd vóór het begin van de verwerking (artikel 35 lid 1). Idealiter doet u de DPIA tijdens de planningsfase van uw project, niet achteraf.
FRIA: bredere focus op grondrechten
Juridische basis en doel
De Fundamental Rights Impact Assessment (FRIA) is vastgelegd in artikel 27 van de EU AI-verordening als instrument om de gevolgen voor grondrechten te beoordelen voordat een hoog-risico-AI-systeem in gebruik wordt genomen. In tegenstelling tot de DPIA, die zich primair richt op gegevensbescherming, kijkt de FRIA naar alle relevante grondrechten die een AI-systeem kan raken, waaronder menselijke waardigheid, non-discriminatie, vrijheid van meningsuiting en toegang tot de rechter.
Wanneer is een FRIA verplicht?
Artikel 27 lid 1 van de AI-verordening verplicht twee categorieën gebruiksverantwoordelijken (deployers) tot een FRIA, niet de aanbieders (providers) van AI-systemen. Het gaat steeds om hoog-risicosystemen uit bijlage III, met uitzondering van punt 2 (kritieke infrastructuur).
Categorie 1: publiekrechtelijke organen en particuliere entiteiten die openbare diensten verlenen
Deze categorie omvat alle publiekrechtelijke organen en particuliere entiteiten die openbare diensten verlenen. Volgens overweging 96 gaat het bij die openbare diensten onder meer om onderwijs, gezondheidszorg, sociale diensten, huisvesting en rechtsbedeling. Een gewone private werkgever die AI inzet voor werving valt dus niet in deze categorie.
Uitzondering voor kritieke infrastructuur: hoog-risicosystemen die bedoeld zijn als veiligheidscomponent bij het beheer en de exploitatie van kritieke digitale infrastructuur, wegverkeer of de levering van water, gas, verwarming en elektriciteit (bijlage III punt 2) vallen buiten de FRIA-plicht. Gebruikt dezelfde organisatie andere hoog-risicosystemen uit bijlage III, bijvoorbeeld voor HR-beslissingen, dan geldt de FRIA-plicht daarvoor wel, als de organisatie onder categorie 1 of 2 valt.
Categorie 2: kredietwaardigheid en levens- en ziektekostenverzekeringen (alle gebruikers)
De tweede categorie geldt voor elke organisatie, publiek of privaat, die hoog-risico-AI gebruikt om de kredietwaardigheid van natuurlijke personen te beoordelen of hun kredietscore vast te stellen (bijlage III punt 5 onder b), of voor risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen (punt 5 onder c). Banken, kredietverstrekkers en verzekeraars die zulke systemen gebruiken, moeten dus een FRIA uitvoeren, ook als zij geen openbare dienst verlenen.
Belangrijke uitzondering: AI-systemen die worden gebruikt om financiële fraude op te sporen vallen al buiten bijlage III punt 5 onder b, en daarmee ook buiten deze FRIA-categorie.
Welke AI-systemen vereisen een FRIA?
De FRIA-verplichting geldt alleen voor hoog-risico-AI-systemen die vallen onder artikel 6 lid 2 en bijlage III van de AI-verordening. Dat zijn de gebieden biometrie, onderwijs en beroepsopleiding, werkgelegenheid en personeelsbeheer, toegang tot essentiële particuliere en openbare diensten, rechtshandhaving, migratie, asiel en grenscontrole, en rechtsbedeling en democratische processen. Bijlage III punt 2 (kritieke infrastructuur) is uitgezonderd.
Belangrijk: niet alle hoog-risico-AI-systemen vereisen een FRIA. Uitzonderingen zijn:
- systemen die een veiligheidscomponent zijn van producten onder EU-harmonisatiewetgeving (artikel 6 lid 1 en bijlage I);
- veiligheidssystemen voor kritieke infrastructuur (bijlage III punt 2);
- let op: dezelfde organisatie kan voor andere hoog-risicotoepassingen nog steeds een FRIA nodig hebben.
Wat moet er in een FRIA staan?
Artikel 27 lid 1 noemt zes onderdelen:
- een beschrijving van de processen van de gebruiksverantwoordelijke waarin het systeem wordt gebruikt, in overeenstemming met het beoogde doel;
- de periode waarin en de frequentie waarmee het systeem wordt gebruikt;
- de categorieën natuurlijke personen en groepen die naar verwachting gevolgen ondervinden;
- de specifieke risico's op schade voor die categorieën, rekening houdend met de informatie die de aanbieder op grond van artikel 13 verstrekt;
- een beschrijving van de maatregelen voor menselijk toezicht, volgens de gebruiksaanwijzing;
- de maatregelen als die risico's zich voordoen, inclusief interne governance en klachtenregelingen.
FRIA proces en vereisten
Een FRIA wordt uitgevoerd vóór het eerste gebruik van het hoog-risico-AI-systeem (artikel 27 lid 1 en 2). In soortgelijke gevallen mag de gebruiksverantwoordelijke steunen op een eerder uitgevoerde FRIA of op een effectbeoordeling van de aanbieder. De FRIA hoeft alleen bijgewerkt te worden wanneer een van de elementen wijzigt of niet langer actueel is (artikel 27 lid 2).
Na afronding stelt de gebruiksverantwoordelijke de markttoezichtautoriteit in kennis van de resultaten en dient daarbij het ingevulde sjabloon in dat het AI-bureau op grond van artikel 27 lid 5 ontwikkelt (artikel 27 lid 3). In het geval van artikel 46 lid 1, een uitzonderlijke toestemming van de markttoezichtautoriteit om redenen van openbare veiligheid, de bescherming van het leven en de gezondheid van personen, het milieu of essentiële industriële en infrastructurele activa, kan de gebruiksverantwoordelijke van die kennisgeving worden vrijgesteld.
Blijf op de hoogte van de AI Act
Ontvang onze nieuwsbrief met praktische updates over de EU AI Act, toezicht en AI-governance.
Werk- en privéadressen welkom · Geen spam · Altijd opzegbaar
Overlap en samenhang
Geïntegreerde aanpak mogelijk
De AI-verordening erkent de overlap tussen beide beoordelingen. Is een verplichting uit artikel 27 al nagekomen met de DPIA, dan mag de gebruiksverantwoordelijke in de FRIA naar de betreffende delen van die DPIA verwijzen of die delen overnemen (artikel 27 lid 4). In de praktijk kunnen organisaties kiezen voor:
- Twee aparte beoordelingen: een afzonderlijk DPIA- en FRIA-document
- Eén geïntegreerde beoordeling: één gecombineerd document dat aan beide sets eisen voldoet
Voorwaarden voor integratie
Voor een geslaagde integratie moet het document:
- alle DPIA-onderdelen uit artikel 35 lid 7 AVG dekken;
- alle zes FRIA-onderdelen uit artikel 27 lid 1 AI Act bevatten;
- de bredere scope van grondrechten (niet alleen gegevensbescherming) adresseren.
Praktische tip voor integratie
Begin met uw bestaande DPIA-template en breid het uit met FRIA-onderdelen, zoals non-discriminatie, eerlijkheid, transparantie en de andere grondrechten die uw AI-systeem kan raken.
Eén beoordeling die een besluit kan dragen? Raakt een systeem zowel privacy als grondrechten, dan kunt u de DPIA en FRIA laten opstellen en ondertekenen via beoordeling met handtekening. Zoekt u tijdelijk een AI- en privacyjurist of FG in uw team, zie dan inhuren als AI- en privacyjurist.
Grondrechten: meer dan alleen privacy
Bredere scope van de FRIA
Waar een DPIA zich primair richt op artikel 8 van het EU-Handvest van de grondrechten (bescherming van persoonsgegevens), evalueert een FRIA een veel breder spectrum van rechten. Denk aan menselijke waardigheid (artikel 1), gelijkheid voor de wet (artikel 20), non-discriminatie (artikel 21), culturele, religieuze en taalkundige diversiteit (artikel 22) en het recht op een doeltreffende voorziening in rechte (artikel 47), zodat mensen AI-beslissingen die hen raken kunnen aanvechten.
Praktische uitdaging
Deze bredere scope maakt een FRIA complexer dan een DPIA. Organisaties hebben kennis nodig van grondrechten die verder gaan dan gegevensbescherming, multidisciplinaire teams die juridische, technische en ethische expertise combineren, en een systematische aanpak om alle relevante rechten te beoordelen. Dat vraagt een stap van de gevestigde methode voor privacy-effectbeoordelingen naar een bredere beoordeling die veel organisaties nog aan het opbouwen zijn.
Stand van zaken in oktober 2026: wanneer geldt de FRIA?
Vanaf 2 december 2027, en voor bestaande overheidssystemen uiterlijk 2 augustus 2030
De FRIA-plicht volgt de hoog-risicoregels van bijlage III. Sinds de Digital Omnibus (Verordening (EU) 2026/1744, in werking sinds 27 juli 2026) gelden die vanaf 2 december 2027; voor hoog-risico-AI in producten uit bijlage I is dat 2 augustus 2028. Voor een hoog-risicosysteem dat al vóór die datum in gebruik is, geldt de verordening pas bij een aanzienlijke wijziging. Is zo'n systeem bedoeld voor gebruik door overheidsinstanties, dan moeten aanbieder en gebruiksverantwoordelijke uiterlijk 2 augustus 2030 voldoen (artikel 111 lid 2). Een gemeente met een systeem dat al jaren draait, heeft dus niet per se 2 december 2027 als deadline.
Het sjabloon van het AI-bureau
Artikel 27 lid 5 draagt het AI-bureau op een sjabloon voor een vragenlijst te ontwikkelen, ook als geautomatiseerd hulpmiddel, zodat gebruiksverantwoordelijken hun plicht eenvoudiger kunnen nakomen. Controleer bij de AI Act Service Desk of dat sjabloon er is. Tot die tijd structureert u de FRIA langs de zes onderdelen van artikel 27 lid 1, zodat uw analyse later in het officiële sjabloon past.
Bias opsporen met bijzondere persoonsgegevens: artikel 4 bis
De Digital Omnibus raakt ook de DPIA. De grondslag om bijzondere persoonsgegevens te verwerken voor het opsporen en corrigeren van vertekening (bias) staat nu in artikel 4 bis; artikel 10 lid 5 is geschrapt. Aanbieders van hoog-risicosystemen mogen dat uitzonderlijk en alleen voor zover strikt noodzakelijk, onder voorwaarden zoals pseudonimisering, strikte toegang en verwijdering na correctie. Lid 2 opent dezelfde mogelijkheid, onder dezelfde voorwaarden, voor andere AI-systemen en modellen en voor gebruiksverantwoordelijken. De AVG blijft daarnaast volledig gelden: leg in het verwerkingsregister vast waarom de verwerking strikt noodzakelijk was en beoordeel haar in de DPIA.
Timing en aanpak
Organisaties die al AI-systemen gebruiken, doen er goed aan langs drie sporen te werken. Voor bestaande systemen beoordelen zij of die onder de FRIA-plicht vallen en welke datum geldt, inclusief de overgangsregel van artikel 111 lid 2. Voor nieuwe systemen wordt de FRIA vanaf de vroegste fase onderdeel van het ontwerp- en inkoopproces, zodat grondrechten worden ingebouwd in plaats van achteraf toegevoegd. En voor beide richten zij een proces in om de FRIA bij te werken wanneer een van de elementen van artikel 27 lid 1 verandert.
Aanpak: breng nu uw AI-systemen en hun mogelijke impact op grondrechten in kaart. Dat geeft u voorsprong op de formele FRIA-plicht en op het sjabloon van het AI-bureau.
Compliancestrategie: beide beoordelingen beheren
Voor organisaties met beide verplichtingen
Veel organisaties krijgen met beide beoordelingen te maken en hebben baat bij één geïntegreerde aanpak. Die begint met een inventarisatie van alle verwerkingen van persoonsgegevens en AI-systemen, zodat de volledige scope van de beoordelingsplichten duidelijk is. Daarna volgt een gap-analyse om te zien waar DPIA- en FRIA-eisen overlappen en waar ze verschillen.
Waar mogelijk ontwikkelen organisaties een gecombineerd template dat aan beide sets eisen voldoet, en één proces dat beide beoordelingen zonder dubbel werk ondersteunt. Tot slot is kennisopbouw nodig: compliance-teams moeten grondrechten kunnen beoordelen die verder gaan dan gegevensbescherming.
Risicomanagement
Behandel impact assessments als onderdeel van het bredere risicomanagement, niet als losse compliance-oefening. Dat betekent: DPIA- en FRIA-processen opnemen in bestaande projectworkflows, ze koppelen aan bestaande kaders zoals ISO-normen of sectorregels, en de uitkomsten gebruiken als input voor besluiten over de inzet van AI.
Toezicht en handhaving
Verschillende toezichthouders
DPIA's vallen onder toezicht van de Autoriteit Persoonsgegevens, terwijl de resultaten van een FRIA worden gemeld aan de markttoezichtautoriteit. Die verschillende lijnen betekenen in de praktijk verschillende verwachtingen, procedures en momenten van bijwerken. Houd daar bij een gecombineerd document rekening mee.
Sancties
Niet-naleving kan tot boetes leiden. Onder de AVG kunnen DPIA-overtredingen leiden tot boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet (artikel 83 lid 4 AVG). Voor de AI-verordening ligt het anders dan vaak wordt gedacht. Het hoogste niveau, tot 35 miljoen euro of 7% van de wereldwijde jaaromzet, geldt alleen voor verboden praktijken (artikel 99 lid 3). Artikel 27 staat ook niet in de opsomming van artikel 99 lid 4 (tot 15 miljoen euro of 3%). De sancties voor FRIA-niet-naleving volgen daarom uit de nationale regels die lidstaten op grond van artikel 99 lid 1 vaststellen. In Nederland is die Uitvoeringswet AI-verordening nog niet aangenomen.
Vooruitkijkend
De aanloop naar 2 december 2027 brengt naar verwachting meer houvast: het sjabloon van het AI-bureau uit artikel 27 lid 5 en verdere richtsnoeren van de Commissie. Voor de DPIA heeft de EDPB in 2026 een gemeenschappelijk DPIA-sjabloon in consultatie gebracht. Naarmate organisaties en toezichthouders ervaring opdoen, zullen DPIA- en FRIA-processen verder in elkaar grijpen.
Praktische stappen tot december 2027
Werk in vijf stappen: inventariseer uw AI-systemen op FRIA-plicht, ontwikkel een gecombineerd template voor beide beoordelingen, train uw complianceteam in de beoordeling van grondrechten, richt een proces in om systemen en regelgeving te blijven volgen, en bereid de kennisgeving aan de markttoezichtautoriteit voor.
Slotgedachten
De komst van de FRIA naast de DPIA markeert een verschuiving in hoe we over AI-governance denken. Waar gegevensbescherming lang de belangrijkste lens was, erkent de EU nu dat AI-systemen een breder spectrum van grondrechten kunnen raken.
Voor organisaties betekent dit meer verplichtingen, maar ook een kans om risicomanagement breder in te richten. Wie DPIA en FRIA niet als losse verplichtingen ziet maar als elkaar aanvullende instrumenten, bouwt een sterkere governance.
Op grond van Verordening (EU) 2026/1744 gelden de hoog-risicoregels van bijlage III vanaf 2 december 2027 en die voor productgebonden hoog-risico-AI vanaf 2 augustus 2028. Gebruik die tijd om FRIA- en DPIA-processen te integreren voordat implementatiebesluiten moeilijk terug te draaien zijn.
Klaar om te beginnen? Gebruik onze FRIA generator om direct een FRIA-rapport te maken, of download het FRIA-template als startpunt. Voor de volledige achtergrond bij artikel 27 leest u de FRIA-gids, en voor de DPIA-kant het stappenplan voor de DPIA bij AI. Wilt u uw eigen situatie toetsen, gebruik dan de gratis casus-check.
Veelgestelde vragen
Veelgestelde vragen over DPIA en FRIA
De meest gestelde vragen over impact assessments onder de AVG en de EU AI Act
Check je Article 4-score
Beantwoord 8 vragen over rollen, beleid, bewijs en governance. Je krijgt direct een score en vervolgstap.
Meer over AI-governance: bekijk de AI Governance & Compliance Gids voor structuur, audit-gereedheid en toezicht.
Bronnen
Nieuwsbrief
Elke dinsdag de AI Act-week vooruit in 5 minuten
Praktische duiding van deadlines, richtsnoeren en toezicht, zodat u weet wat er deze week toe doet. Geen spam en u schrijft zich met één klik weer uit.
Praktisch en kort · Geen spam · Met één klik uitschrijven