FRIA AI Act: wat het is, wie hem moet doen en hoe u hem invult

Een FRIA (Fundamental Rights Impact Assessment, in het Nederlands de grondrechtentoets) is de beoordeling die artikel 27 van de AI Act vraagt voordat bepaalde gebruiksverantwoordelijken een hoog-risico AI-systeem uit bijlage III in gebruik nemen. Hij is verplicht voor publiekrechtelijke organen, particuliere entiteiten die openbare diensten verlenen en gebruikers van AI voor kredietwaardigheid of levens- en ziektekostenverzekeringen, vanaf 2 december 2027 (Verordening (EU) 2026/1744). Gebruikt een overheidsorganisatie het systeem al vóór die datum, dan geldt de plicht pas bij een aanzienlijke wijziging en uiterlijk op 2 augustus 2030 (artikel 111 lid 2).

Deze pagina legt uit wat een FRIA is, wie hem moet doen, wat er in moet staan en hoe u hem stap voor stap invult. Het bewerkbare Word-bestand staat op de pagina FRIA-template downloaden. Liever online invullen? Gebruik de FRIA-generator.

Wat is een FRIA?

Een FRIA is een vooraf uitgevoerde, schriftelijke beoordeling van wat een hoog-risico AI-systeem kan doen met de grondrechten van de mensen die ermee te maken krijgen. De officiële Nederlandse term in de verordening is "beoordeling van de gevolgen voor de grondrechten". Het instrument is nieuw en speciaal voor AI ontworpen.

Vier kenmerken bepalen wat een FRIA is:

1. Vooraf. Artikel 27 lid 1 eist de beoordeling voordat het systeem in gebruik wordt gesteld. U mag niet eerst live gaan en later toetsen. De FRIA moet de inzetbeslissing informeren, niet achteraf rechtvaardigen.
2. Breder dan privacy. Waar een DPIA kijkt naar risico's voor persoonsgegevens, kijkt een FRIA naar alle grondrechten uit het EU Handvest: non-discriminatie, menselijke waardigheid, behoorlijk bestuur, toegang tot de rechter en meer.
3. Een plicht van de gebruiksverantwoordelijke. De FRIA ligt bij de organisatie die het systeem inzet (de deployer), niet bij de aanbieder die het bouwt of verkoopt. Het CE-dossier van de aanbieder vervangt de FRIA niet.
4. Gemeld en levend. Na afronding meldt u de resultaten bij de markttoezichtautoriteit (lid 3), en u werkt de FRIA bij zodra een van de onderdelen verandert (lid 2).

Wie moet een FRIA uitvoeren?

Niet iedere organisatie die AI gebruikt. Artikel 27 lid 1 noemt precies drie groepen gebruiksverantwoordelijken van een hoog-risico AI-systeem als bedoeld in artikel 6 lid 2, dus een systeem uit bijlage III:

1. Publiekrechtelijke organen. Gemeenten, provincies, waterschappen, ministeries, uitvoeringsorganisaties en zelfstandige bestuursorganen. Denk aan het UWV, de Belastingdienst, DUO of een gemeente die AI inzet in het sociaal domein. Specifiek voor gemeenten: zie moet een gemeente een FRIA doen?
2. Particuliere entiteiten die openbare diensten verlenen. Overweging 96 noemt taken van algemeen belang op het gebied van onder meer onderwijs, gezondheidszorg, sociale diensten, huisvesting en rechtsbedeling. Een private zorginstelling, een woningcorporatie of een particuliere onderwijsinstelling valt hieronder zodra zij een hoog-risico AI-systeem uit bijlage III inzet.
3. Gebruiksverantwoordelijken van twee financiële toepassingen, publiek of privaat:
   • bijlage III, punt 5, onder b: AI voor het beoordelen van de kredietwaardigheid van natuurlijke personen of het vaststellen van hun kredietscore. AI die alleen financiële fraude opspoort, valt daar uitdrukkelijk buiten;
   • bijlage III, punt 5, onder c: AI voor risicobeoordeling en prijsstelling van natuurlijke personen bij levens- en ziektekostenverzekeringen.

Banken, kredietverstrekkers en verzekeraars die zulke systemen inzetten, zijn dus FRIA-plichtig, ook als zij geen openbare dienst verlenen.

Twee afbakeningen voorkomen de meest gemaakte fout:

• Kritieke infrastructuur is uitgezonderd. Systemen die bedoeld zijn voor het gebied van bijlage III, punt 2 (veiligheidscomponenten bij het beheer van kritieke digitale infrastructuur, wegverkeer en de levering van water, gas, verwarming en elektriciteit) vallen buiten de FRIA-plicht. Dezelfde organisatie kan voor een andere bijlage III-toepassing wel FRIA-plichtig zijn.
• Niet elke gebruiker van hoog-risico AI. Een private werkgever die AI voor werving inzet (bijlage III, punt 4) heeft een hoog-risicosysteem, maar valt alleen onder artikel 27 als hij een publiekrechtelijk orgaan is of een openbare dienst verleent. De andere plichten van artikel 26 gelden wel.

Vanaf wanneer geldt de FRIA-plicht?

De FRIA volgt de hoog-risicoregels van bijlage III. Sinds de Digital Omnibus (Verordening (EU) 2026/1744) gelden die vanaf 2 december 2027. Voor een systeem dat u na die datum in gebruik neemt, moet de FRIA dus klaar zijn vóór de livegang.

Voor systemen die al vóór 2 december 2027 in gebruik zijn, geldt de overgangsregel van artikel 111 lid 2: de verordening raakt ze pas bij een aanzienlijke wijziging in hun ontwerp. Voor systemen die bedoeld zijn om door overheidsinstanties te worden gebruikt, geldt in elk geval een uiterste datum: aanbieders en gebruiksverantwoordelijken moeten uiterlijk op 2 augustus 2030 voldoen. Voor een gemeente met een algoritme dat al jaren draait, is 2 december 2027 dus niet automatisch de deadline. Een nieuw model of een nieuw doel kan die datum wel naar voren halen.

Is de FRIA eenmaal gedaan, dan werkt u hem bij zodra een van de onderdelen uit lid 1 is gewijzigd of niet meer actueel is (lid 2).

Artikel 27 lid voor lid

Lid 1: de zes onderdelen

De beoordeling bestaat uit zes onderdelen. Zij vormen de ruggengraat van elke FRIA:

(a) Procesbeschrijving: de processen van de gebruiksverantwoordelijke waarin het systeem wordt gebruikt, in lijn met het beoogde doel. Beschrijf hoe het systeem in uw werkstroom past, niet alleen wat het doet.

(b) Periode en frequentie: hoe lang en hoe vaak het systeem wordt gebruikt. Een pilot die eens per maand draait, heeft een ander risicoprofiel dan dagelijkse inzet op schaal.

(c) Getroffen personen en groepen: de categorieën natuurlijke personen en groepen die in de specifieke context waarschijnlijk gevolgen ondervinden. Ook indirect geraakte mensen tellen mee.

(d) Specifieke risico's op schade voor die personen of groepen, rekening houdend met de informatie die de aanbieder verstrekt op grond van artikel 13. Dit is het analytische hart.

(e) Menselijk toezicht: hoe de maatregelen voor menselijk toezicht worden uitgevoerd, overeenkomstig de gebruiksaanwijzing. Wie kijkt mee, met welke kennis en welke bevoegdheden?

(f) Maatregelen als risico's zich voordoen, met inbegrip van regelingen voor interne governance en klachtenregelingen.

Lid 2: eerste gebruik en actualisatie

De plicht geldt voor het eerste gebruik. In soortgelijke gevallen mag u terugvallen op eerder uitgevoerde FRIA's of op bestaande effectbeoordelingen van de aanbieder. Ziet u tijdens het gebruik dat een onderdeel is gewijzigd of niet meer actueel is, dan actualiseert u de informatie. Een FRIA is dus geen eenmalige exercitie maar een levend document.

Lid 3: melding aan de markttoezichtautoriteit

Na de beoordeling meldt u de resultaten bij de markttoezichtautoriteit en dient u het ingevulde model uit lid 5 in. In het geval van artikel 46 lid 1 (een uitzondering om redenen van onder meer openbare veiligheid) kunt u van die meldplicht worden vrijgesteld.

Lid 4: samenloop met de DPIA

Is een van de plichten al nagekomen via een gegevensbeschermingseffectbeoordeling op grond van artikel 35 AVG of artikel 27 van Richtlijn (EU) 2016/680, dan mag u in de FRIA verwijzen naar de relevante delen van die DPIA of die delen overnemen. Sinds de Digital Omnibus staat die kruisverwijzing uitdrukkelijk in de tekst. U hoeft dus niet opnieuw te beginnen, maar u moet wel de grondrechten toevoegen die buiten gegevensbescherming vallen.

Lid 5: het model van het AI-bureau

Het AI-bureau ontwikkelt een model voor een vragenlijst, ook via een geautomatiseerd instrument, om gebruiksverantwoordelijken te helpen hun plichten op vereenvoudigde wijze na te komen. Dat model moet ook kruisverwijzingen naar de DPIA mogelijk maken. Op 10 oktober 2026 was het, voor zover wij konden nagaan, nog niet gepubliceerd. De zes onderdelen uit lid 1 liggen wel vast, dus u kunt nu al beginnen.

Welke grondrechten toetst u?

Artikel 27 geeft geen vaste lijst van grondrechten. U toetst de rechten uit het Handvest van de grondrechten van de EU die in uw context geraakt kunnen worden. De rechten die in de praktijk het vaakst spelen:

• Menselijke waardigheid (artikel 1). Systemen die mensen reduceren tot een score of profiel. Denk aan het rangschikken van bijstandsgerechtigden op fraudekans.
• Non-discriminatie (artikel 21) en gelijkheid voor de wet (artikel 20). Een model dat op historische data is getraind, kan oude ongelijkheid herhalen. Indirecte discriminatie via proxyvariabelen, zoals postcode of gezinssamenstelling, is lastiger te zien dan directe discriminatie en minstens zo schadelijk.
• Privacy en gegevensbescherming (artikelen 7 en 8). Hier overlapt de FRIA met de DPIA (zie lid 4).
• Vrijheid van meningsuiting en informatie (artikel 11) en vrijheid van vergadering en vereniging (artikel 12). Relevant bij systemen die inhoud filteren of communicatiepatronen analyseren.
• Rechten van het kind (artikel 24). Bij inzet in onderwijs, jeugdhulp of kinderbescherming.
• Behoorlijk bestuur (artikel 41) en een doeltreffende voorziening in rechte (artikel 47). Cruciaal bij overheids-AI: krijgt de burger een gemotiveerd besluit, en kan hij de uitkomst aanvechten?
• Eigendom (artikel 17), sociale zekerheid en sociale bijstand (artikel 34) en gezondheidszorg (artikel 35). Bij AI in uitkeringen, huisvesting, verzekering en zorg.

Hoe vult u een FRIA in: zeven stappen

Onderstaande aanpak volgt de wettekst en sluit aan bij de FRIA-template. Hij is mede gebaseerd op het werk van Mantelero, de gids van ECNL en het Danish Institute for Human Rights en de ALTAI-lijst van de Europese Commissie.

Stap 1: team, systeem en proces (onderdeel a)

• Stel een multidisciplinair team samen: een jurist die grondrechten kent, iemand die het systeem technisch begrijpt, een beleidsadviseur die de context kent en waar mogelijk een vertegenwoordiger van de mensen die geraakt worden. Overweging 96 noemt het raadplegen van vertegenwoordigers van getroffen groepen, onafhankelijke deskundigen en maatschappelijke organisaties, met name in de publieke sector.
• Welk AI-systeem zet u in (naam, versie, aanbieder) en wat is het beoogde doel volgens de aanbieder?
• In welk proces komt het systeem binnen: intake, prioritering, risicoscore, ondersteuning bij het eindbesluit? Wie neemt het uiteindelijke besluit?
• Wie is intern eigenaar van het systeem?

Stap 2: periode en frequentie (onderdeel b)

• Wanneer gaat het systeem live, en is er een einddatum?
• Hoe vaak wordt het gebruikt: continu, per aanvraag, periodiek?

Stap 3: getroffen personen en groepen (onderdeel c)

• Welke categorieën worden direct geraakt (sollicitanten, patiënten, uitkeringsgerechtigden, verzekerden)? "Inwoners" of "klanten" is te algemeen.
• Zijn er kwetsbare groepen bij: kinderen, ouderen, mensen met een beperking, laaggeletterden, migranten?
• Wie wordt indirect geraakt, bijvoorbeeld doordat zijn dossier structureel lager op de stapel belandt?

Stap 4: risico's per grondrecht (onderdeel d)

Beoordeel per relevant grondrecht hoe waarschijnlijk en hoe ernstig de schade is. Gebruik de informatie uit artikel 13, maar stop daar niet: aanbiedersinformatie is input, geen vervanging van uw eigen contextanalyse.

Wees concreet. "Discriminatierisico aanwezig" is geen analyse. Schrijf liever: "Het systeem is getraind op kredietaanvragen uit 2010 tot 2020. In die periode werden aanvragen uit bepaalde postcodes vaker afgewezen. Het systeem kan dat patroon herhalen. Wij hebben de aanbieder om een bias-analyse gevraagd en schatten het risico op indirecte discriminatie als middelgroot in."

Stap 5: menselijk toezicht (onderdeel e)

• Wie beoordeelt de output, met welke kennis en opleiding?
• Mag die persoon de uitkomst negeren of terugdraaien, en gebeurt dat ook?
• Welke instructies van de aanbieder volgt u? Zie ook artikel 14 over menselijk toezicht.

Stap 6: maatregelen, governance en klachten (onderdeel f)

• Welke maatregelen neemt u per risico: technisch (bias-tests), organisatorisch (training) en procedureel (klachtenroute)?
• Kan een betrokkene bezwaar maken tegen een AI-ondersteunde uitkomst, en hoe?
• Wie mag het systeem pauzeren als het na livegang slecht uitpakt voor een groep?
• Wanneer evalueert u de FRIA opnieuw?

Stap 7: vastleggen en melden (leden 2 en 3)

• Stel het rapport op en controleer of alle zes onderdelen van lid 1 expliciet zijn behandeld.
• Meld de resultaten bij de markttoezichtautoriteit, met het model van het AI-bureau zodra dat beschikbaar is.
• Bent u een overheidsinstantie, registreer dan ook het gebruik in de EU-databank (zie hieronder).
• Archiveer de FRIA en plan een herbeoordeling.

FRIA, DPIA, ALTAI en IAMA

Veel organisaties werken al met andere impactbeoordelingen. Zo verhouden ze zich:

• DPIA (artikel 35 AVG): verplicht bij verwerkingen met een hoog privacyrisico, gericht op persoonsgegevens. De FRIA is breder. U mag naar de DPIA verwijzen of delen ervan overnemen (artikel 27 lid 4), en in de praktijk combineert u ze vaak in één document. Een uitgebreide vergelijking met beslisboom staat in DPIA en FRIA vergeleken.
• ALTAI (Assessment List for Trustworthy AI): een vrijwillige checklist van de Europese Commissie uit 2020, gebaseerd op de ethische richtsnoeren van 2019. Geen wettelijke plicht, wel een bruikbare voorbereiding.
• IAMA (Impact Assessment Mensenrechten en Algoritmes): een Nederlands instrument voor algoritmische besluitvorming bij de overheid. Het is grondrechtengericht en overlapt sterk met de FRIA; wie het IAMA al gebruikt, heeft een voorsprong.

Wie doet wat: FG, aanbieder, ondernemingsraad en betrokkenen

De functionaris gegevensbescherming (FG) kent impactbeoordelingen uit de DPIA-praktijk, maar een FRIA vraagt ook kennis van non-discriminatierecht, bestuursrecht en rechtsbescherming. In de praktijk zien we drie modellen: de FG coördineert en een multidisciplinair team doet de grondrechtenanalyse; een aparte AI-compliance-functie trekt de FRIA met de FG als adviseur voor privacy; of de FG doet de hele FRIA, wat bijscholing buiten privacy vraagt.

De aanbieder moet u informatie geven op grond van artikel 13 (gebruiksaanwijzing en kenmerken van het systeem). Vraag die actief op, leg vast wat u hebt ontvangen en spreek contractueel af dat u tijdig en volledig wordt geïnformeerd.

De ondernemingsraad heeft bij AI die medewerkers volgt of beoordeelt vaak een instemmingsrecht op grond van artikel 27 lid 1 van de Wet op de ondernemingsraden. Betrek de OR vroeg.

Betrokkenen zelf, of hun vertegenwoordigers, kunnen u laten zien wat u vanaf de tekentafel mist. Een gemeente die een handhavingsalgoritme in een wijk inzet, doet er goed aan bewoners te betrekken.

Melding, registratie en toezicht

• Melding. Na de FRIA meldt u de resultaten bij de markttoezichtautoriteit (artikel 27 lid 3). In Nederland zijn de Autoriteit Persoonsgegevens en de RDI beoogd als coördinerende toezichthouders, met sectorale toezichthouders zoals DNB en de AFM ernaast. De formele aanwijzing volgt pas met de Uitvoeringswet AI-verordening, die nog niet is aangenomen (Rijksoverheid, 20 april 2026).
• Registratie. Overheidsinstanties die een hoog-risico AI-systeem uit bijlage III gebruiken, registreren zich en het gebruik in de EU-databank (artikel 49 lid 3). Daarbij hoort een samenvatting van de bevindingen van de FRIA (bijlage VIII, afdeling C, punt 4). De AI Act schrijft niet voor dat u de volledige FRIA publiceert. Publicatie in het Nederlandse algoritmeregister is een aanvullende, nationale route.
• Sancties. Artikel 99 lid 4 noemt boetes tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet voor onder meer de plichten van gebruiksverantwoordelijken uit artikel 26. Artikel 27 staat niet in die opsomming; de sancties daarvoor volgen uit de nationale regels die lidstaten op grond van lid 1 vaststellen. Een ontbrekende FRIA blijft dus een handhavingsrisico, en zonder FRIA staat u zwak als een systeem schade veroorzaakt.

Veelgemaakte fouten

1. De FRIA als vinkje zien. Een FRIA die in twee uur door één persoon is ingevuld, mist de kern: zij moet de inzet kunnen veranderen.
2. Te laat beginnen. U hebt informatie van de aanbieder nodig, gesprekken met betrokkenen en een grondige analyse. Dat kost weken, niet uren.
3. Alleen naar privacy kijken. Non-discriminatie, behoorlijk bestuur en toegang tot de rechter worden door privacyteams vaak gemist.
4. De aanbieder het werk laten doen. Het aanbiedersdossier is input; de gebruiksverantwoordelijke is eigenaar van de FRIA.
5. Menselijk toezicht vaag houden. Als niemand kan uitleggen wie het systeem kan overrulen, is toezicht niet geregeld.
6. Niet actualiseren. Systemen krijgen updates, doelgroepen verschuiven. Bouw een vaste herbeoordeling in uw AI-governance in.

Per sector

• Overheid en gemeenten: bijstand, handhaving en toewijzing van zorg of woonruimte raken direct aan behoorlijk bestuur en rechtsbescherming. Uitgewerkt in moet een gemeente een FRIA doen?
• Banken en kredietverstrekkers: altijd FRIA-plichtig voor kredietscores (punt 5 b). Non-discriminatie is het grootste risico; voeg een bias-analyse als bijlage toe.
• Verzekeraars: FRIA-plichtig voor risicobeoordeling en premiestelling bij levens- en ziektekostenverzekeringen (punt 5 c), met aandacht voor chronisch zieken en andere kwetsbare verzekerden.
• Zorg en onderwijs: als particuliere entiteit die een openbare dienst verleent FRIA-plichtig bij hoog-risico AI uit bijlage III, zoals AI die toegang tot zorg of onderwijs bepaalt.

Template, generator en hulp

• FRIA-template downloaden: bewerkbaar Word-bestand in het Nederlands en Engels. Versie 2.0 is op 6 oktober 2026 tegen de wet gecontroleerd en bevat een reikwijdtetoets, de zes onderdelen van artikel 27 lid 1 met invultabellen, een risicoscore, de koppeling met de DPIA en een uitgewerkt, fictief kredietvoorbeeld.
• FRIA-generator: online stap voor stap een FRIA-rapport opbouwen.
• Casus-check: leg uw casus voor en krijg een onderbouwd eerste oordeel over hoog risico en de FRIA-plicht, met de bron bij elke conclusie.
• Wilt u de FRIA laten uitvoeren of laten toetsen door een AI- en privacyjurist? Zie de beoordeling met handtekening.