Gratis template · Word · Nederlands en Engels

FRIA template: beoordeling van de gevolgen voor de grondrechten (artikel 27 AI Act)

Een FRIA (fundamental rights impact assessment) is de beoordeling van de gevolgen voor de grondrechten die artikel 27 van de AI-verordening vraagt van bepaalde gebruiksverantwoordelijken van hoog-risico-AI: overheden, private partijen die openbare diensten verlenen, en gebruikers van AI voor kredietwaardigheid of levens- en ziektekostenverzekeringen. Zij voeren de FRIA uit vóór het eerste gebruik, vanaf 2 december 2027.

Laatst gecontroleerd tegen de wet: 6 oktober 2026
Redactie: Zahed Ashkara, jurist privacy en AI
Versie en template-ID: 2.0 · praxikon:template:fria
Rechtsgrond: Art. 27 Verordening (EU) 2024/1689, zoals gewijzigd bij Verordening (EU) 2026/1744; art. 35 Verordening (EU) 2016/679 (AVG)

Voor wie is dit template?

Overheden en uitvoeringsorganisaties (publiekrechtelijke organen)FRIA voor elk hoog-risicosysteem uit bijlage III, behalve punt 2 kritieke infrastructuur (artikel 27 lid 1)
Private partijen die openbare diensten verlenen, zoals woningcorporaties, ziekenhuizen en onderwijsinstellingenArtikel 27 lid 1, uitgelegd in overweging 96
Banken en kredietverstrekkersKredietwaardigheid en kredietscores van natuurlijke personen (bijlage III punt 5 onder b)
Levens- en ziektekostenverzekeraarsRisicobeoordeling en prijsstelling (bijlage III punt 5 onder c)
Functionaris gegevensbescherming of privacyfunctionarisKoppeling met de DPIA en voorafgaande raadpleging (artikel 27 lid 4; artikel 35 en 36 AVG)
Proceseigenaar en leidinggevenden van beoordelaarsMenselijk toezicht en onderbreken van het gebruik (artikel 26 lid 2 en lid 5, artikel 14 lid 4)

Wat staat erin

Reikwijdtetoets per soort gebruiksverantwoordelijke, met een beslisboom van vier vragen (hoofdstuk 1)
Tijdpad vanaf 2 december 2027 en het overgangsrecht van artikel 111 lid 2 (paragraaf 1.1)
Samenvatting voor bestuur en toezicht: drie grootste risico's, drie maatregelen en vaststelling
De zes onderdelen van artikel 27 lid 1 onder a tot en met f (hoofdstuk 2 tot en met 5, 8 en 9)
Checklist van de informatie die u bij de aanbieder opvraagt op grond van artikel 13 lid 3 (hoofdstuk 5)
Tabel met de grondrechten uit het EU-Handvest en een risicoregister (paragraaf 5.1 en 5.2)
Scoringsmethode kans maal ernst, met drempels en restrisico na maatregelen (hoofdstuk 6)
Toets op noodzaak en evenredigheid (hoofdstuk 7)
Koppeling met de DPIA per onderdeel van artikel 27 (hoofdstuk 10)
Melding aan de markttoezichtautoriteit en de stand van het Nederlandse toezicht (hoofdstuk 11)
Actualisatie, hergebruik en versiebeheer (hoofdstuk 12)
Brug naar het IAMA, de EU-databank en het Algoritmeregister (hoofdstuk 13)
Uitgewerkt fictief voorbeeld van een kredietscoresysteem, zonder vooraf ingevulde conclusie (bijlage A)

Zo gebruikt u het template

Toets eerst met hoofdstuk 1 of de FRIA-plicht voor dit systeem geldt. Geldt zij niet, leg dan vast waarom; een DPIA kan wel verplicht zijn.
Vraag bij de aanbieder de gebruiksaanwijzing en de informatie van artikel 13 op, en pak uw DPIA erbij.
Vul hoofdstuk 2 tot en met 9 in met een klein team: proceseigenaar, FG of privacyfunctionaris, een dagelijkse gebruiker en waar het kan vertegenwoordigers van geraakte groepen.
Scoor de risico's vóór en na maatregelen, en beantwoord de toets op noodzaak en evenredigheid.
Vul de samenvatting als laatste in, laat de FRIA vaststellen en meld de resultaten aan de markttoezichtautoriteit.
Werk de FRIA bij zodra een onderdeel verandert, zoals een nieuwe modelversie, een andere doelgroep of nieuwe cijfers van de aanbieder.

Veelgemaakte fouten

Elke gebruiksverantwoordelijke van hoog-risico-AI een FRIA laten doen. Artikel 27 geldt alleen voor publiekrechtelijke organen, private partijen die openbare diensten verlenen en de systemen van bijlage III punt 5 onder b en c. Kritieke infrastructuur (punt 2) en systemen die via bijlage I hoog risico zijn, vallen erbuiten.
De FRIA aan de aanbieder overlaten. Het is een plicht van de gebruiksverantwoordelijke en gaat over het gebruik in uw organisatie; de CE-markering vervangt haar niet. In soortgelijke gevallen mag u wel steunen op een bestaande beoordeling van de aanbieder (artikel 27 lid 2).
De DPIA gelijkstellen aan de FRIA. De DPIA kijkt naar persoonsgegevens, de FRIA naar alle grondrechten. U mag naar de DPIA verwijzen (artikel 27 lid 4), maar moet aanvullen wat zij niet dekt.
Risico's als etiket noteren, zoals 'risico op discriminatie'. Beschrijf het mechanisme (welke data, welk patroon, welke groep, welke schade) en gebruik de informatie die de aanbieder op grond van artikel 13 verstrekt.
De melding vergeten. Na de beoordeling stelt de gebruiksverantwoordelijke de markttoezichtautoriteit in kennis van de resultaten (artikel 27 lid 3), tenzij de vrijstelling van artikel 46 lid 1 geldt.

Liever direct online? FRIA-generator: de FRIA online invullen

Wanneer heeft u een jurist nodig?

U weet niet zeker of artikel 27 voor u geldt. U bent een private partij met een taak in onderwijs, zorg, huisvesting of sociale dienstverlening, of het systeem zit op de grens tussen kredietwaardigheid (bijlage III punt 5 b) en fraudedetectie. Of de FRIA-plicht van de gebruiksverantwoordelijke geldt, hangt af van die kwalificatie.
Het restrisico blijft hoog of de aanbieder levert te weinig. Na maatregelen scoort een risico nog 10 of hoger, of de aanbieder geeft de informatie van artikel 13 niet. Dan staat het besluit om in te zetten ter discussie, en kan de verwerkingsverantwoordelijke via de DPIA verplicht zijn de Autoriteit Persoonsgegevens vooraf te raadplegen (artikel 36 AVG).
De score bepaalt in feite het besluit over een persoon. Een score of advies is in de praktijk doorslaggevend voor een krediet, uitkering of toelating. Dan kan artikel 22 AVG over geautomatiseerde besluitvorming gelden (zie het SCHUFA-arrest, C-634/21), met de waarborgen van lid 3, richting u als verwerkingsverantwoordelijke. Daarnaast heeft een getroffen persoon tegenover u als gebruiksverantwoordelijke recht op uitleg op grond van artikel 86 AI-verordening, maar alleen voor zover ander Unierecht, zoals de AVG of de richtlijn consumentenkrediet, daar niet al in voorziet (artikel 86 lid 3).

Veelgestelde vragen

Wie moet een FRIA doen?

Gebruiksverantwoordelijken van een hoog-risicosysteem uit bijlage III (behalve punt 2, kritieke infrastructuur) die een publiekrechtelijk orgaan zijn of een private partij die openbare diensten verleent, en gebruiksverantwoordelijken van systemen voor kredietwaardigheid of kredietscores van natuurlijke personen en voor risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen (bijlage III punt 5 onder b en c). De aanbieder hoeft geen FRIA te doen.

Vanaf wanneer geldt de FRIA-plicht?

Vanaf 2 december 2027 voor systemen uit bijlage III, vóór het eerste gebruik. Die datum volgt uit de Digital Omnibus (Verordening (EU) 2026/1744), die sinds 27 juli 2026 geldt. Systemen die vóór 2 december 2027 in de handel of in gebruik zijn, vallen er alleen onder als hun ontwerp daarna aanzienlijk wijzigt; systemen voor gebruik door overheidsinstanties moeten uiterlijk op 2 augustus 2030 voldoen (artikel 111 lid 2).

Wat is het verschil tussen een DPIA en een FRIA?

De DPIA is een plicht van de verwerkingsverantwoordelijke onder artikel 35 AVG en gaat over risico's van de verwerking van persoonsgegevens. De FRIA is een plicht van de gebruiksverantwoordelijke onder artikel 27 AI-verordening en gaat over alle grondrechten, ook zonder persoonsgegevens. Wat de DPIA al dekt, mag u in de FRIA overnemen of waarnaar u mag verwijzen (artikel 27 lid 4).

Aan wie meld ik de uitkomst van de FRIA?

Aan de markttoezichtautoriteit, met het ingevulde model van het AI-bureau (artikel 27 lid 3 en 5). Op 6 oktober 2026 was dat model nog niet gepubliceerd en had Nederland nog geen markttoezichtautoriteit voor de AI-verordening aangewezen. Voor financiële instellingen is dat in beginsel hun financiële toezichthouder (artikel 74 lid 6).

Is een IAMA genoeg voor artikel 27?

Nee. Het IAMA is een Nederlands instrument en overlapt sterk met de FRIA, maar dekt niet alles. Periode en frequentie van gebruik, de klachtenregeling, het actualiseren en de melding aan de markttoezichtautoriteit moet u aanvullen. Hoofdstuk 13 van het template laat per onderdeel zien wat ontbreekt.

Mag ik het template aanpassen en binnen mijn organisatie delen?

Ja. U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan.

Gebruik en bronvermelding

U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan.

Zo verwijst u naar dit template: Bron: Praxikon, FRIA template: beoordeling van de gevolgen voor de grondrechten (artikel 27 AI Act), versie 2.0, stand 6 oktober 2026, https://www.praxikon.com/nl/templates/fria

Dit template is een hulpmiddel en geen juridisch advies voor uw situatie. Het geeft de stand van de wet weer per 6 oktober 2026. Wetgeving, richtsnoeren en toezichtspraktijk kunnen daarna veranderen. Het gebruik van dit template is geen garantie op naleving: de toepassing in uw organisatie blijft uw eigen verantwoordelijkheid.

Praxikon is een handelsnaam van Embed AI · KvK 90283597