Selectie bij de inschrijving van studenten: een DPIA is nog geen FRIA

Artikel 27, lid 1 bepaalt dat gebruiksverantwoordelijken die publiekrechtelijke organen zijn of particuliere entiteiten die openbare diensten verlenen, en gebruiksverantwoordelijken van hoog-risico AI-systemen als bedoeld in bijlage III, punt 5, b) en c), voor de ingebruikname van een hoog-risico AI-systeem als bedoeld in artikel 6, lid 2 een beoordeling uitvoeren van de gevolgen voor de grondrechten, met uitzondering van systemen die bedoeld zijn om te worden gebruikt op het in punt 2 van bijlage III vermelde gebied. Die beoordeling bestaat uit een beschrijving van de processen waarin het systeem overeenkomstig het beoogde doel wordt gebruikt, van de periode en de frequentie van gebruik, van de categorieen natuurlijke personen en groepen die naar verwachting gevolgen ondervinden, van de specifieke risico's op schade voor die categorieen, van de uitvoering van maatregelen voor menselijk toezicht en van de maatregelen bij het intreden van die risico's, met inbegrip van de regelingen voor interne governance en klachtenregelingen. Lid 2 bepaalt dat de verplichting van toepassing is op het eerste gebruik, dat de gebruiksverantwoordelijke in soortgelijke gevallen eerder uitgevoerde effectbeoordelingen of bestaande effectbeoordelingen van de aanbieder kan gebruiken, en dat de gebruiksverantwoordelijke die tijdens het gebruik ziet dat een van de in lid 1 vermelde elementen is gewijzigd of niet langer actueel is, de nodige maatregelen neemt om de informatie te actualiseren. Lid 4 bepaalt dat wanneer een van de verplichtingen uit dit artikel al is nagekomen door de gegevensbeschermingseffectbeoordeling op grond van artikel 35 van Verordening (EU) 2016/679 of artikel 27 van Richtlijn (EU) 2016/680, de beoordeling van lid 1 een aanvulling vormt op die gegevensbeschermingseffectbeoordeling.

• Vindplaats: Artikel 27, leden 1, 2 en 4praxikon:eu:ai-act:source:reg-eu-2024-1689Open officiële bron

Wij lezen artikel 27 zo dat de onderwijsinstelling die deze selectie zelf inzet hier de gebruiksverantwoordelijke is, maar daarmee staat de plicht nog niet vast. Lid 1 wijst publiekrechtelijke organen aan en particuliere entiteiten die openbare diensten verlenen, en of een bekostigde dan wel een private hogeschool onder een van die twee omschrijvingen valt, is de vraag die u eerst moet beantwoorden. Valt zij eronder, dan is een bestaande gegevensbeschermingseffectbeoordeling in onze lezing het vertrekpunt en niet het sluitstuk: lid 4 laat de grondrechtenbeoordeling ernaast staan, en sinds Verordening (EU) 2026/1744 mag zij relevante delen daarvan overnemen of daarnaar verwijzen, zodat de vraag vooral is welke onderdelen van lid 1 nog ontbreken. Voor u betekent dat vastleggen welke groepen studenten geraakt kunnen worden, hoe de toelatingscommissie of de docent een uitkomst kan corrigeren en waar een afgewezen aanmelder met een klacht terechtkan. Verandert de selectieregel of het toetsonderdeel waarop de rangorde steunt, dan is dat in onze lezing het moment om het dossier bij te werken, en niet het begin van het volgende studiejaar.

• Vindplaats: Artikel 27, leden 1, 2 en 4praxikon:eu:ai-act:source:reg-eu-2024-1689Open officiële bron