Organisaties die bepaalde AI-systemen gebruiken, krijgen vanaf december 2027 te maken met een nieuwe verplichting: een Fundamental Rights Impact Assessment (FRIA). De Autoriteit Persoonsgegevens (AP) start daarom nu al met een pilot om organisaties met deze beoordeling te helpen.
Grondrechten
Een FRIA is een beoordeling van de gevolgen die een AI-systeem kan hebben voor de grondrechten van mensen. Daarbij gaat het bijvoorbeeld om privacy, gelijke behandeling en het voorkomen van discriminatie. De verplichting komt voort uit de Europese AI-verordening.
De FRIA is niet voor ieder AI-systeem verplicht. De verplichting geldt voor bepaalde organisaties die AI-systemen inzetten die mogelijk grote gevolgen hebben voor mensen. Daarbij gaat het onder meer om overheidsinstanties en organisaties die namens de overheid bepaalde publieke diensten uitvoeren.
De AP wijst erop dat organisaties zich nu al kunnen voorbereiden. Vanaf december 2027 moet de FRIA namelijk onderdeel zijn van de manier waarop organisaties met deze AI-systemen omgaan. De toezichthouder heeft hiervoor het document ‘Aan de slag met de FRIA’ gepubliceerd.
Risico’s in kaart
Bij een FRIA wordt niet alleen gekeken naar de technische werking van een AI-systeem. Centraal staat vooral wat het systeem betekent voor mensen en hun grondrechten. Organisaties moeten mogelijke risico’s herkennen, beoordelen en waar nodig maatregelen nemen om die risico’s te beperken.
Dat sluit aan bij de bredere aanpak van de AI-verordening. Hoe groter de mogelijke risico’s van een AI-systeem, hoe zwaarder de eisen. De AP heeft als coördinerend toezichthouder op algoritmes en AI een belangrijke rol bij het toezicht in Nederland.
De nieuwe beoordeling komt naast andere bestaande instrumenten, zoals de Data Protection Impact Assessment (DPIA) uit de AVG. Een DPIA richt zich specifiek op privacyrisico’s bij de verwerking van persoonsgegevens. Een FRIA kijkt breder naar de mogelijke gevolgen voor fundamentele rechten.
Pilot
Om organisaties ervaring te laten opdoen met de nieuwe verplichting, begint de AP met een pilot. De toezichthouder wil daarmee niet alleen organisaties ondersteunen, maar ook leren welke vragen in de praktijk spelen bij het uitvoeren van een FRIA.
De AP adviseert organisaties die met AI werken om niet te wachten tot de verplichting ingaat. Volgens de toezichthouder is het verstandig om nu al na te gaan welke AI-systemen binnen de organisatie worden gebruikt, welke daarvan mogelijk onder de FRIA-verplichting vallen en hoe de beoordeling onderdeel kan worden van bestaande processen voor AI-governance.
Dat is volgens de AP des te belangrijker omdat AI-systemen steeds vaker worden ingezet voor processen die gevolgen kunnen hebben voor mensen. Denk bijvoorbeeld aan systemen die worden gebruikt bij de overheid, het onderwijs of bij het beoordelen van personen.
AI-verordening
De FRIA is onderdeel van de Europese AI-verordening, die stapsgewijs van kracht wordt. Ook andere onderdelen van de verordening zijn inmiddels van toepassing. Zo gelden sinds 2 augustus 2026 de transparantie-eisen voor bepaalde AI-systemen. De AP waarschuwde eerder dat organisaties zich daarop moeten voorbereiden.
De AP benadrukt daarnaast het belang van AI-geletterdheid. Mensen die binnen een organisatie met AI-systemen werken, moeten voldoende kennis en vaardigheden hebben om de systemen verantwoord te gebruiken. Ook daarvoor heeft de toezichthouder eerder een praktische handreiking gepubliceerd.
Voor organisaties betekent de komst van de FRIA daarmee opnieuw dat AI niet alleen een technische kwestie is. Ook de manier waarop een systeem wordt gebruikt, de mogelijke gevolgen voor mensen en de maatregelen om risico’s te beperken moeten worden meegenomen.
Wat betekent dit voor HCC-leden?
Voor de meeste particuliere HCC-leden verandert er door de FRIA-verplichting voorlopig niets rechtstreeks. De verplichting is gericht op specifieke organisaties en het gebruik van bepaalde AI-systemen. Wel is de ontwikkeling relevant voor iedereen die AI gebruikt of ermee te maken krijgt. De FRIA onderstreept dat de gevolgen van AI voor privacy en andere grondrechten steeds nadrukkelijker worden meegewogen.
HCC-leden die bijvoorbeeld actief zijn binnen een vereniging, stichting of andere organisatie waar AI wordt ingezet, kunnen wel met de nieuwe regels te maken krijgen. Het is daarom verstandig om nu al te kijken welke AI-toepassingen worden gebruikt en welke risico’s deze voor gebruikers en andere betrokkenen kunnen opleveren.
Standpunt van HCC
HCC vindt het belangrijk dat nieuwe technologie verantwoord wordt toegepast en dat gebruikers kunnen vertrouwen op de manier waarop met hun gegevens en rechten wordt omgegaan. Een beoordeling van de gevolgen van AI voor grondrechten kan daarbij een nuttig instrument zijn. Tegelijkertijd moet worden voorkomen dat organisaties door ingewikkelde regels worden ontmoedigd om op een verantwoorde manier met nieuwe technologie te experimenteren.
HCC vindt het daarom positief dat de AP organisaties al vóór het ingaan van de verplichting praktische ondersteuning biedt. Goede voorlichting en duidelijke hulpmiddelen zijn essentieel om ervoor te zorgen dat de AI-verordening niet alleen op papier werkt, maar ook in de praktijk leidt tot beter en veiliger gebruik van AI.
