Nederlandse overheden moeten straks grondrechten toetsen vóór inzet van risicovolle AI

dinsdag, 18 augustus 2026 om 6:00

Overheidsmedewerkers beoordelen een hoogrisico-AI-systeem aan de hand van grondrechten, menselijk toezicht en mogelijke risico’s.

Nederlandse overheden en bepaalde publieke dienstverleners moeten straks eerst onderzoeken wat een risicovol AI-systeem met de grondrechten van mensen kan doen. De Autoriteit Persoonsgegevens start daarom een proef met de nieuwe grondrechteneffectbeoordeling, beter bekend als de FRIA.

FRIA staat voor Fundamental Rights Impact Assessment. De beoordeling is onderdeel van artikel 27 van de Europese AI Act en moet worden uitgevoerd voordat een organisatie een betrokken hoogrisico-AI-systeem voor het eerst gebruikt.

Volgens de Autoriteit Persoonsgegevens gaat de verplichting vanaf december 2027 gelden. Organisaties kunnen zich nu al aanmelden voor een vrijwillige pilot waarin het Europese rapportagemodel wordt getest.

Aanmelden kan tot en met 21 september 2026. De proef begint begin oktober.

Niet ieder bedrijf heeft een FRIA nodig

De FRIA is geen algemene verplichting voor iedereen die ChatGPT, Copilot of een andere AI-tool gebruikt.

Artikel 27 richt zich voornamelijk op:

publiekrechtelijke organisaties, zoals overheden en uitvoeringsorganisaties;
private organisaties die een publieke dienst leveren;
organisaties die hoogrisico-AI gebruiken om de kredietwaardigheid van mensen te beoordelen;
organisaties die AI inzetten voor de risico-inschatting of prijsstelling van levens- en zorgverzekeringen.

Ook binnen deze categorieën moet het om een hoogrisico-AI-systeem uit de betreffende onderdelen van de AI Act gaan.

Een gemeente die AI gebruikt bij de beoordeling van een uitkering kan bijvoorbeeld onder de verplichting vallen. Hetzelfde geldt mogelijk voor een kredietverstrekker die een AI-systeem laat bepalen of iemand een lening krijgt.

Een marketingbureau dat ChatGPT gebruikt om een nieuwsbrief te schrijven, hoeft voor dat gebruik geen FRIA uit te voeren.

Wat moet in de beoordeling staan?

De organisatie moet vooraf beschrijven waar en hoe het AI-systeem wordt gebruikt. Daarbij moet onder meer worden vastgelegd:

voor welk werkproces en doel het systeem wordt ingezet;
hoe lang en hoe vaak het wordt gebruikt;
welke personen en groepen door het systeem worden geraakt;
welke grondrechten in gevaar kunnen komen;
welk menselijk toezicht is ingericht;
welke maatregelen worden genomen wanneer risico’s werkelijkheid worden;
hoe mensen een besluit kunnen aanvechten of een klacht kunnen indienen.

Fundamentele rechten gaan verder dan alleen privacy. Een AI-systeem kan bijvoorbeeld invloed hebben op gelijke behandeling, toegang tot publieke dienstverlening, vrijheid van meningsuiting, sociale zekerheid of het recht op een eerlijk besluit.

Een beoordelingsmodel voor uitkeringen kan technisch goed functioneren en toch bepaalde groepen structureel benadelen. De FRIA moet zulke risico’s zichtbaar maken voordat het systeem mensen raakt.

Na uitvoering moeten de resultaten via het Europese rapportagemodel bij de bevoegde markttoezichthouder worden gemeld. Wanneer het systeem of het gebruik wezenlijk verandert, moet de beoordeling worden bijgewerkt.

FRIA is niet hetzelfde als een DPIA

Veel organisaties kennen al de Data Protection Impact Assessment uit de AVG. Zo’n DPIA onderzoekt de privacyrisico’s van een verwerking van persoonsgegevens.

Een FRIA kijkt breder. De beoordeling behandelt de mogelijke impact van een AI-systeem op alle relevante grondrechten.

De twee onderzoeken kunnen elkaar overlappen en mogen in samenhang worden uitgevoerd. Een bestaande DPIA betekent echter niet automatisch dat een organisatie geen FRIA meer hoeft te doen. Onderdelen die nog niet in de DPIA staan, moeten worden aangevuld.

AP zoekt deelnemers voor proef

De AP wil met de pilot onderzoeken of het Europese rapportagemodel in de praktijk begrijpelijk en bruikbaar is. Deelnemers voeren vrijwillig een proefbeoordeling uit en geven feedback op het model en de begeleidende documentatie.

De pilotverplichting zelf is vrijwillig. De toekomstige wettelijke FRIA voor organisaties die binnen artikel 27 vallen, is dat niet.

Organisaties die AI gebruiken voor dienstverlening aan burgers kunnen de proef benutten om nu al te ontdekken:

welke AI-systemen zij precies gebruiken;
welke toepassingen als hoog risico kunnen gelden;
wie intern verantwoordelijk is;
welke groepen door het systeem worden beïnvloed;
welke informatie bij leveranciers moet worden opgevraagd;
hoe menselijk toezicht en een klachtenprocedure worden ingericht.

Begin met een AI-register

Een logische eerste stap is het maken van een register van alle gebruikte AI-systemen. Dat omvat niet alleen zelfstandig aangeschafte tools, maar ook AI-functies die leveranciers stilletjes aan bestaande software hebben toegevoegd.

Daarna kan per systeem worden vastgesteld wat het doel is, welke gegevens worden gebruikt en of beslissingen gevolgen hebben voor mensen.

De FRIA sluit daarmee aan op andere verplichtingen uit de Europese AI Act. Organisaties moeten onder meer zorgen voor risicobeheer, documentatie, menselijke controle en voldoende AI-geletterdheid onder medewerkers.

December 2027 lijkt nog ver weg. Voor grote organisaties kan alleen het inventariseren van systemen, processen, leveranciers en verantwoordelijken echter maanden kosten. De oproep van de AP is daarom vooral een waarschuwing om de voorbereiding niet tot het laatste moment uit te stellen.

Robin HeesterOprichter

Robin Heester is mede-oprichter van AI Wereld en heeft door de jaren heen meerdere websites, nieuwsbrieven en magazines opgericht. Hij schrijft over technologie, innovatie en de maatschappelijke impact van nieuwe digitale ontwikkelingen.