FRIA in 7 stappen: grondrechten-effectbeoordeling voor MKB

Een FRIA is een Fundamental Rights Impact Assessment: een gestructureerde analyse van welke grondrechten van betrokkenen geraakt kunnen worden door een hoog-risico AI-systeem, plus de maatregelen die je neemt om die risico's te beperken. Het is wettelijk verplicht onder AI Act art. 27 voordat een hoog-risico-systeem in gebruik wordt genomen.

Veel organisaties huren hier een externe adviseur voor in (typische prijs €5.000-€10.000 per FRIA). Voor MKB met een eenduidig systeem en een bewuste interne aanpak is dat niet nodig. Onderstaande 7 stappen geven je de structuur.

Wie moet een FRIA uitvoeren?

Niet elke gebruiksverantwoordelijke van hoog-risico AI hoeft FRIA te doen. Art. 27 lid 1 specificeert:

• Publieke sector — overheid, gemeenten, agentschappen, ZBO's, of organisaties die publieke diensten verlenen (bv. zorginstellingen, scholen).
• Private partijen die essentiele diensten leveren — kredietverstrekkers (Bijlage III §5a), levens- en zorgverzekeraars (Bijlage III §5b).

Andere private organisaties met een hoog-risico-systeem hoeven niet verplicht een FRIA, maar wel technische documentatie (Bijlage IV). In de praktijk overlappen die twee zoveel dat je een FRIA-light alsnog wilt doen — anders is je technische documentatie incompleet.

De 7 stappen — ons template

Stap 1 — Beschrijf het AI-systeem en zijn doel

Wat doet het systeem in essentie? Welke vendor en model, welke data-inputs, welke gebruikers, welk autonomie-niveau? Wie wordt geraakt door de output? Doel hier: zorg dat een lezer in 2 minuten begrijpt wat het systeem is. Dit voorkomt dat de risico-analyse later ongedefinieerd wordt.

Stap 2 — Identificeer geraakt grondrechten

Welke rechten uit het Handvest van de Grondrechten van de EU en het EVRM kunnen geraakt worden? In de praktijk komt het vrijwel altijd neer op een subset:

Stap 3 — Categoriseer de betrokkenen

Wie is de doelgroep? Werknemers, sollicitanten, klanten, burgers, leerlingen, patienten, minderjarigen. Per groep: hoeveel mensen, welke kenmerken, welke kwetsbare subgroepen. Aandachtspunt: kwetsbare groepen (minderjarigen, mensen in financiele nood, asielzoekers, mensen met beperking) krijgen extra waarborgen onder art. 27 lid 1d.

Stap 4 — Beoordeel de specifieke risico's

Per geraakt grondrecht uit stap 2: welke specifieke risico's brengt het systeem? Concrete voorbeelden:

• Bias — wordt een bepaalde groep systematisch lager gescoord?
• False positives — leidt een fout-positief tot serieuze gevolgen voor het individu?
• False negatives — wat als het systeem iemand mist die wel risico had?
• Onverklaarbaarheid — kan een betrokkene begrijpen waarom het systeem deze beslissing nam?
• Overfitting op historie — versterkt het systeem bestaande sociale ongelijkheden uit zijn trainingsdata?

Stap 5 — Beschrijf mitigerende maatregelen

Per risico uit stap 4: welke maatregelen neem je? Maatregelen vallen typisch in 4 categorieen:

1. 1.Technisch — bias-testen, threshold-tuning, fallback-modus, monitoring-dashboards.
2. 2.Organisatorisch — verplichte menselijke review, escalatie-procedure, klachten-loket.
3. 3.Juridisch — informatieplicht, mogelijkheid tot bezwaar, AVG-grondslag.
4. 4.Governance — eigenaar per systeem, periodieke heroverweging, training van bedienaars.

Stap 6 — Specificeer monitoring en escalatie

Hoe controleer je dat het systeem in productie volgens plan werkt? Concreet: welke metrics worden waar geregistreerd, wie krijgt welk alert bij welke threshold, hoe escaleer je een incident. Dit raakt aan art. 14 (menselijk toezicht) en art. 73 (incident-rapportering) — beide moet je kunnen aantonen.

Stap 7 — Documenteer + meld bij toezichthouder

Tot slot: leg het hele FRIA-document vast met versie, datum en eigenaar. Belangrijke verplichting: stuur een kennisgeving van de FRIA naar de markttoezichtautoriteit (in Nederland vermoedelijk de AP). Dat is geen volledige inzending — een korte aanmelding dat je een FRIA hebt uitgevoerd voor een specifiek systeem, conform een door de Commissie gepubliceerde template.

Hoeveel tijd kost een FRIA?

Realistisch tijdsschema voor een MKB met één hoog-risico-systeem:

Hoe vaak herhaal je het?

FRIA wordt vóór ingebruikname uitgevoerd. Daarna herhaal je bij:

• Substantiele wijziging in het systeem (nieuwe vendor, ander model, andere data, ander gebruiksdoel) — onmiddellijk nieuwe FRIA.
• Nieuwe doelgroep — bv. bestaande HR-tool wordt nu ook ingezet voor invoeg-arbeidskrachten — opnieuw beoordelen.
• Wetwijziging of AP-richtlijn-update die expliciet op jouw systeem-categorie ziet — review en aanpassen.
• Regelmatige cyclus — minimaal jaarlijks doornemen of de aannames nog kloppen.