De FRIA voor AI-systemen: wat gemeenten moeten weten

De Autoriteit Persoonsgegevens (AP) heeft aangekondigd dat er een nieuwe verplichting aankomt voor gemeenten die met hoogrisico-AI werken: de Fundamental Rights Impact Assessment, kortweg FRIA. De verplichting staat in de Europese AI-verordening en gaat in vanaf december 2027. De AP roept gemeenten en andere overheidsorganisaties op om niet te wachten tot die datum, maar nu al ervaring op te doen.

Een FRIA lijkt op het eerste gezicht op de DPIA die de meeste gemeenten al kennen uit de AVG, maar is geen vervanging daarvan. Waar een DPIA zich richt op de risico's van het verwerken van persoonsgegevens, kijkt een FRIA breder naar de gevolgen van een AI-systeem voor grondrechten in het algemeen. Denk aan het recht op gelijke behandeling, menselijke waardigheid, privacy en toegang tot essentiele voorzieningen. Voor systemen die zowel persoonsgegevens verwerken als een hoog risico op grondrechten kennen, zijn de DPIA en de FRIA dus aanvullend op elkaar.

De verplichting geldt in eerste instantie voor overheidsorganisaties en private organisaties die publieke diensten leveren en hoogrisico-AI-systemen inzetten. Ook organisaties die AI gebruiken om financiele risico's van personen te beoordelen, kunnen ermee te maken krijgen. Voor gemeenten betekent dit concreet dat systemen voor bijvoorbeeld fraudesignalering, woningtoewijzing of de beoordeling van uitkeringen straks vooraf getoetst moeten worden op hun impact op grondrechten, voordat ze in gebruik worden genomen.

Sven Stevenson, directeur Coordinatie Algoritmes bij de AP, benadrukt dat de verplichte FRIA organisaties dwingt om vooraf stil te staan bij wat een AI-systeem betekent voor de mensen die ermee te maken krijgen. Daarmee helpt een FRIA om problemen te voorkomen in plaats van ze achteraf te moeten herstellen.

Om organisaties te ondersteunen, organiseert de AP een landelijke pilot waarmee gemeenten alvast kunnen oefenen met de FRIA-rapportage. Aanmelden kan tot en met 21 september 2026 en de pilot start in oktober 2026. Voor gemeenten die al met het IAMA werken, het bestaande impact assessment voor algoritmes, biedt dat een goede basis om ook aan de FRIA-verplichting te voldoen. Het IAMA is in februari 2026 geactualiseerd en in lijn gebracht met de eisen uit de AI-verordening.

Voor gemeenten is dit een goed moment om alvast in kaart te brengen welke AI-systemen binnen de organisatie worden gebruikt en welke daarvan onder het hoogrisico-regime vallen. Wie nu ervaring opdoet, is straks beter voorbereid en voorkomt tijdsdruk zodra de verplichting daadwerkelijk ingaat.