Ga naar hoofdinhoud
Audact
Bekijk het aanbod

Artikel 27 FRIA

De grondrechteneffectbeoordeling: wie er een moet maken, en wat erin hoort.

Geldt voor gebruiksverantwoordelijken van vermelde hoogrisicosystemen

Laatst getoetst: 5 oktober 2026

Artikel 27 stelt een andere vraag dan een gegevensbeschermingseffectbeoordeling. Het gaat niet over het risico voor de gegevens maar over het risico voor de mensen op wie het systeem wordt toegepast: discriminatie, waardigheid, toegang tot een dienst. Bepaalde gebruiksverantwoordelijken van in bijlage III vermelde hoogrisicosystemen (op één gebied van die lijst na, de kritieke infrastructuur uit punt 2) moeten die beoordeling vóór het eerste gebruik maken, de uitkomst melden aan de markttoezichtautoriteit, en haar bijwerken zodra het gebruik verandert.

Wat de wet vereist

Voordat een AI-systeem met een hoog risico als bedoeld in artikel 6, lid 2, in gebruik wordt genomen, moeten bepaalde gebruiksverantwoordelijken een beoordeling maken van de gevolgen ervan voor de grondrechten. Systemen die bedoeld zijn om te worden gebruikt op het in punt 2 van bijlage III vermelde gebied (de kritieke infrastructuur) zijn daarvan uitdrukkelijk uitgezonderd.
Verordening (EU) 2024/1689, art. 27(1)
De beoordeling omvat de processen waarin het systeem gebruikt zal worden, de periode en frequentie van het beoogde gebruik, de categorieën personen die waarschijnlijk worden geraakt, de specifieke risico's op schade voor hen, het menselijk toezicht, en de maatregelen als die risico's zich voordoen.
Verordening (EU) 2024/1689, art. 27(1)(a)-(f)
De plicht rust op publiekrechtelijke organen en particuliere entiteiten die openbare diensten verlenen, en op gebruiksverantwoordelijken van de twee gebruiksgevallen uit punt 5, b) en c), van bijlage III: het beoordelen van de kredietwaardigheid of het vaststellen van een kredietscore, en de risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen.
Verordening (EU) 2024/1689, art. 27(1)
De plicht geldt voor het eerste gebruik van het systeem. In soortgelijke gevallen mag de gebruiksverantwoordelijke steunen op een eerder uitgevoerde grondrechtenbeoordeling of op een beoordeling die de aanbieder heeft uitgevoerd. Is een van de beoordeelde elementen gewijzigd of niet langer actueel, dan neemt de gebruiksverantwoordelijke de nodige maatregelen om de informatie te actualiseren.
Verordening (EU) 2024/1689, art. 27(2)
Na uitvoering meldt de gebruiksverantwoordelijke de resultaten aan de markttoezichtautoriteit, met de vragenlijst die het AI-bureau beschikbaar stelt.
Verordening (EU) 2024/1689, art. 27(3) en 27(5)
Waar een gegevensbeschermingseffectbeoordeling onder de AVG al een deel afdekt, vult de grondrechtenbeoordeling die aan in plaats van haar te vervangen.
Verordening (EU) 2024/1689, art. 27(4)

Wat Audact daaraan doet

De vastleggingen waar een grondrechtenbeoordeling naar moet wijzen (mededelingen, beleidsoordelen, incidenten, wie wanneer geraakt werd) ontstaan vandaag al bij elke bestuurde interactie.
In gecontroleerde tests
Een grondrechtenbeoordeling, vooraf ingevuld vanuit uw configuratie. Op aanvraag opgesteld; generator: Gepland.
Op aanvraag opgesteld
Het risicodeel wijst naar echte vastleggingen in plaats van naar voornemens: de incidenten die zich voordeden, de oordelen die vielen, de mededelingen die gedaan zijn.
In ontwikkeling
Export met de controlesommen van de onderliggende vastleggingen, zodat een autoriteit kan nagaan dat het genoemde bewijs het bewaarde bewijs is.
In ontwikkeling

Geen DPIA

Twee beoordelingen, twee vragen, één systeem.

Een gegevensbeschermingseffectbeoordeling vraagt wat er met de persoonsgegevens mis kan gaan: onbevoegde toegang, te lang bewaren, een ontbrekende grondslag. Een grondrechteneffectbeoordeling vraagt wat er voor de persoon mis kan gaan: een geweigerde dienst, een lagere rangschikking, een andere behandeling op een grond die niet had mogen meewegen.

Dezelfde inzet heeft vaak beide nodig, en artikel 27(4) zegt dat ook: waar de gegevensbeoordeling grond dekt, bouwt de grondrechtenbeoordeling daarop voort. Wat ze niet kan, is haar conclusies erven. Een systeem kan gegevensrechtelijk vlekkeloos zijn en toch een uitkomst produceren waarvoor de grondrechtenbeoordeling juist geschreven is.

Wie er een moet maken

Het gebruiksgeval trekt u erin, niet de techniek.

Artikel 27 raakt niet elke gebruiksverantwoordelijke van elk AI-systeem. Het hangt aan de hoogrisicosystemen van artikel 6, lid 2 (de lijst van bijlage III) en zondert daar meteen één gebied van uit: de systemen die bedoeld zijn voor het in punt 2 van die bijlage vermelde gebied, de kritieke infrastructuur. Binnen wat overblijft raakt het een afgebakende groep: publiekrechtelijke organen, particuliere entiteiten die openbare diensten verlenen, en gebruiksverantwoordelijken van de twee gebruiksgevallen uit punt 5, b) en c): de kredietwaardigheid en de prijsstelling bij levens- en ziektekostenverzekeringen.

Voor de meeste spraakinzetten (inplannen, ondersteunen, voortoetsen, nabellen) is dat niet de positie. Dat wordt het zodra de agent bijdraagt aan een beslissing over toegang, aanspraak of prijs. Stel vast welke van de twee u bouwt vóórdat de beoordeling urgent wordt, niet erna.

Let op

Informatie, geen juridisch advies.

Deze pagina geeft de regels weer zoals wij ze lezen, met de artikelnummers erbij zodat u ons kunt nakijken. Het is geen juridisch advies, en uw eigen positie hangt af van omstandigheden die deze pagina niet kent. Laat u adviseren door een jurist voordat u erop steunt.

Vragen

Wat is een grondrechteneffectbeoordeling?
Een gestructureerde beoordeling die een gebruiksverantwoordelijke maakt voordat een vermeld hoogrisico-AI-systeem in gebruik wordt genomen. Ze omvat de processen waarin het systeem gebruikt wordt, de periode en frequentie, de categorieën personen die waarschijnlijk worden geraakt, de specifieke risico's op schade, het menselijk toezicht en de maatregelen als de risico's zich voordoen.
Wie moet er een uitvoeren?
Publiekrechtelijke organen en particuliere entiteiten die openbare diensten verlenen, plus gebruiksverantwoordelijken van de twee gebruiksgevallen uit punt 5, b) en c), van bijlage III: het beoordelen van de kredietwaardigheid, en de risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen. Één gebied zondert artikel 27, lid 1, helemaal uit: de systemen voor kritieke infrastructuur uit punt 2 van bijlage III. De resultaten worden gemeld aan de markttoezichtautoriteit.
Dekt een DPIA dit af?
Ze vult die aan op grond van artikel 27(4), maar vervangt haar niet. De twee beoordelingen stellen verschillende vragen: de een over de gegevens, de ander over de persoon op wie het systeem wordt toegepast.
Hoe vaak moet ze opnieuw?
De plicht geldt voor het eerste gebruik, en daarna zodra een van de beoordeelde elementen is gewijzigd of niet langer actueel is. Artikel 27, lid 2, staat de gebruiksverantwoordelijke bovendien toe om in soortgelijke gevallen te steunen op een eerder uitgevoerde beoordeling of op die van de aanbieder; een tweede vergelijkbare inzet betekent dus niet vanzelf een tweede beoordeling vanaf nul. In de praktijk betekent dat: behandel haar als een levend document dat aan de configuratie hangt, niet als een eenmalig stuk voor de lancering.

Een beoordeling is zo goed als de vastleggingen eronder

Proof laat zien wat een bestuurde interactie achterlaat en welke delen daarvan een derde kan narekenen: precies het materiaal waar een grondrechtenbeoordeling naar moet kunnen wijzen.

Bekijk een bon

Verwante pagina's