Een FRIA (fundamental rights impact assessment) is de beoordeling van de gevolgen voor de grondrechten die artikel 27 van de AI-verordening vraagt vóórdat bepaalde gebruiksverantwoordelijken een hoog-risico-AI-systeem in gebruik nemen. Het IAMA is het Nederlandse overheidsinstrument dat sinds februari 2026 op artikel 27 is afgestemd. Het IAMA is een hulpmiddel; de wettelijke plicht is de FRIA.
Het belangrijkste in het kort
- De FRIA is een plicht voor de gebruiksverantwoordelijke, niet voor de aanbieder. Het gaat om hoe en waar u het systeem inzet.
- Verplicht voor publiekrechtelijke organen, private partijen die openbare diensten leveren en iedereen die AI inzet voor kredietwaardigheid of de prijs van levens- en ziektekostenverzekeringen.
- De plicht gaat in met de hoog-risico-eisen van bijlage III: 2 december 2027, na de digitale omnibus.
- Het IAMA (Impact Assessment Mensenrechten en Algoritmes) is ontwikkeld door de Universiteit Utrecht in opdracht van BZK en op 16 februari 2026 geactualiseerd. Vragen die bij artikel 27 horen, zijn gemarkeerd.
- Een FRIA vervangt geen DPIA, maar mag erop voortbouwen (artikel 27 lid 4).
FRIA en IAMA: twee namen, niet hetzelfde
In Nederland worden de termen FRIA en IAMA vaak door elkaar gebruikt. Dat is begrijpelijk, maar het klopt niet helemaal. De FRIA is een wettelijke verplichting uit artikel 27 van de AI-verordening. In de officiële Nederlandse tekst heet die ‘beoordeling van de gevolgen voor de grondrechten’; in de overwegingen staat ‘effectbeoordeling op het gebied van de grondrechten’. In de praktijk spreekt men ook van grondrechteneffectbeoordeling.
Het IAMA is een methode. Het Impact Assessment Mensenrechten en Algoritmes werd ontwikkeld door de Universiteit Utrecht in opdracht van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties, voor overheidsorganisaties die vooraf willen nagaan wat een algoritme met mensenrechten doet. Op 16 februari 2026 publiceerde de Rijksoverheid een geactualiseerde versie: korter, met een apart toelichtingsdocument, en ‘in lijn gebracht met artikel 27 van de AI-verordening’. Vragen die bij artikel 27 horen, zijn met een icoon gemarkeerd. Eerder ingevulde IAMA’s volgens versie 1 hoeven niet opnieuw.
| FRIA (art. 27 AI-verordening) | IAMA (BZK / Universiteit Utrecht) | |
|---|---|---|
| Aard | Wettelijke plicht | Hulpmiddel en werkmethode |
| Voor wie | Drie groepen gebruiksverantwoordelijken van hoog-risico-AI (zie hieronder), publiek én privaat | Vooral overheidsorganisaties; bruikbaar voor iedereen |
| Reikwijdte | Hoog-risico-AI uit bijlage III, behalve kritieke infrastructuur | Impactvolle algoritmes in brede zin, ook niet-lerende systemen |
| Vanaf wanneer | Eerste ingebruikname vanaf 2 december 2027 | Nu al te gebruiken; versie februari 2026 |
| Melden | Resultaten melden aan de markttoezichtautoriteit | Geen eigen meldplicht |
De vuistregel: een zorgvuldig ingevuld IAMA (versie 2026) dekt een groot deel van het werk voor een FRIA, maar u moet nagaan of alle zes elementen van artikel 27 lid 1 erin staan en de uitkomst nog melden. Wie geen overheid is, kan de vragen ook gebruiken, maar zal de taal over bestuursorganen naar de eigen situatie moeten vertalen.
Hulp nodig met cloud?
Plan een gratis 30-minuten gesprek met een van onze cloud-specialisten. We analyseren uw behoefte en geven concrete aanbevelingen — geheel vrijblijvend.
Wie moet een FRIA doen?
Artikel 27 noemt drie groepen gebruiksverantwoordelijken. Ze moeten een FRIA doen voordat zij een hoog-risico-AI-systeem uit bijlage III in gebruik nemen, met uitzondering van systemen voor kritieke infrastructuur (bijlage III, punt 2).
| Groep | Welke systemen | Nederlandse voorbeelden |
|---|---|---|
| Publiekrechtelijke organen | Alle hoog-risico-systemen uit bijlage III behalve punt 2 | Een gemeente die AI inzet om aanvragen voor bijstand te prioriteren; een uitvoeringsorganisatie die aanvragen voor uitkeringen of toeslagen beoordeelt; een hogeschool die AI gebruikt bij toelating |
| Private partijen die openbare diensten leveren | Dezelfde reikwijdte | Een woningcorporatie, een particuliere zorginstelling of een bijzondere school die een hoog-risico-systeem in die dienstverlening gebruikt |
| Gebruiksverantwoordelijken van bijlage III punt 5 b en c, publiek of privaat | Kredietwaardigheid en kredietscores (fraudedetectie uitgezonderd); risicobeoordeling en prijsstelling van levens- en ziektekostenverzekeringen | Een bank of consumptief kredietverstrekker met een scoremodel; een zorgverzekeraar of levensverzekeraar die premies met AI bepaalt |
Twee gevolgen. Een gewoon bedrijf dat een HR-selectietool gebruikt, hoeft geen FRIA te doen zolang het geen openbare dienst levert, al kiezen veel organisaties toch voor een lichte variant. En elke bank of verzekeraar die AI inzet voor krediet of levens- en zorgpremies valt eronder, ongeacht eigendom. Of een systeem überhaupt hoog-risico is, bepaalt u eerst via artikel 6 en bijlage III; de AI Act-checklist helpt u daarbij. Weet u nog niet welke systemen in deze groepen vallen? Met de gratis AI governance-scan van Opsio brengt u in ongeveer 40 minuten uw AI-gebruik in kaart en ontvangt u onder meer een sjabloon voor AI-risicoanalyse, een bruikbare basis voor de risicodelen van een FRIA.
De zes verplichte onderdelen van een FRIA
Artikel 27 lid 1 noemt zes elementen. In de wettekst zijn ze kort; de rechterkolom laat zien wat een bruikbaar antwoord bevat.
| Punt | Wat de wet vraagt | Wat een goed antwoord bevat |
|---|---|---|
| a | Beschrijving van de processen van de gebruiksverantwoordelijke waarin het systeem wordt gebruikt, in lijn met het beoogde doel | Het werkproces stap voor stap, waar de AI-output binnenkomt en wie ermee handelt |
| b | Periode en frequentie van het gebruik | Startdatum, verwachte looptijd, aantal beslissingen per maand |
| c | Categorieën natuurlijke personen en groepen die geraakt kunnen worden | Aanvragers, klanten, werknemers, en kwetsbare subgroepen zoals mensen met een beperking of weinig digitale vaardigheden |
| d | Specifieke risico’s op schade voor die groepen, rekening houdend met de informatie van de aanbieder (art. 13) | Discriminatie, uitsluiting van diensten, fouten bij zware beslissingen, privacy-inbreuk; elk met kans en ernst |
| e | Maatregelen voor menselijk toezicht volgens de gebruiksinstructies | Wie de output beoordeelt, met welke opleiding en bevoegdheid, wanneer die moet ingrijpen en hoe afwijkingen worden vastgelegd |
| f | Maatregelen als de risico’s zich voordoen, inclusief interne governance en klachtmogelijkheden | Escalatieroute, criteria om het systeem stil te zetten, klachtenkanaal voor betrokkenen, herstel en herbeoordeling |
Punt d is de kern. Gebruik de rechten uit het Handvest van de grondrechten van de EU als checklist: menselijke waardigheid, non-discriminatie, privacy en gegevensbescherming, vrijheid van meningsuiting, rechten van het kind, rechten van werknemers, toegang tot sociale zekerheid en het recht op een doeltreffende voorziening in rechte. Nederlandse organisaties kennen de pijn van algoritmes die bepaalde groepen ongelijk behandelden; precies die risico’s horen hier op tafel.
Timing, hergebruik en melding
De FRIA moet klaar zijn vóór de eerste ingebruikname. Voor vergelijkbare latere gevallen mag de gebruiksverantwoordelijke steunen op een eerdere FRIA of op een effectbeoordeling van de aanbieder (artikel 27 lid 2). Verandert een van de zes elementen, bijvoorbeeld omdat het systeem voor een nieuwe klantgroep wordt ingezet, dan werkt u de beoordeling bij.
Daarna meldt u de resultaten aan de markttoezichtautoriteit (artikel 27 lid 3). Welke autoriteit dat in Nederland wordt, regelt de Uitvoeringswet AI-verordening, die per oktober 2026 nog niet is aangenomen. In het concept is de Autoriteit Persoonsgegevens bevoegd voor een groot deel van bijlage III en zijn de AFM, DNB en de AP samen bevoegd voor kredietwaardigheid en verzekeringspremies. De details staan in toezicht op de AI-verordening in Nederland. Het AI-bureau moet volgens artikel 27 lid 5 een sjabloon met vragenlijst opstellen; per oktober 2026 hebben wij geen definitieve officiële versie kunnen bevestigen. Bouw uw FRIA daarom op rond de zes elementen, dan sluit hij straks aan.
FRIA, DPIA en IAMA combineren
De meeste hoog-risico-systemen verwerken persoonsgegevens, dus vaak is ook een gegevensbeschermingseffectbeoordeling (DPIA) onder artikel 35 AVG nodig. Volgens artikel 27 lid 4 vult de FRIA een bestaande DPIA aan, en sinds de omnibus mag u naar de DPIA verwijzen of delen ervan hergebruiken. U hoeft hetzelfde werk niet twee keer te doen.
| DPIA (AVG) | FRIA (AI-verordening) | |
|---|---|---|
| Grondslag | Artikel 35 AVG | Artikel 27 AI-verordening |
| Wie | Verwerkingsverantwoordelijke | Gebruiksverantwoordelijke in een van de drie groepen |
| Aanleiding | Verwerking met waarschijnlijk hoog risico voor betrokkenen | Eerste gebruik van hoog-risico-AI uit bijlage III |
| Focus | Gevolgen van de verwerking van persoonsgegevens | Alle grondrechten, ook schade die niets met privacy te maken heeft |
| Contact met toezichthouder | Voorafgaande raadpleging bij hoog restrisico | Resultaten altijd melden |
Een werkbare aanpak voor Nederlandse overheden: één gecombineerd dossier met een gedeelde systeembeschrijving, een DPIA-deel voor gegevensbescherming en een IAMA-deel voor de bredere mensenrechten, waarbij u de art. 27-vragen uit het IAMA als ruggengraat van de FRIA gebruikt. Hoe AVG en AI-verordening verder samenlopen, leest u in AI-verordening en AVG.
Stappenplan voor een FRIA
- Bepaal of u eronder valt. Is het systeem hoog-risico volgens bijlage III, niet punt 2, en bent u overheid, publieke dienstverlener of krediet- of verzekeringspartij?
- Vraag de informatie van de aanbieder op: gebruiksinstructies, beoogd doel, nauwkeurigheidscijfers, bekende beperkingen.
- Beschrijf proces, periode en frequentie (punten a en b).
- Breng de geraakte mensen in kaart (punt c), samen met medewerkers die met hen werken en waar mogelijk met vertegenwoordigers.
- Beoordeel per grondrecht de risico’s (punt d) op kans en ernst.
- Leg menselijk toezicht en ingrijpen vast (punten e en f), met namen en klachtenroute.
- Koppel aan de DPIA en eventueel het IAMA, meld de resultaten en plan herbeoordeling.
Veelgestelde vragen over FRIA en IAMA
Wat is het verschil tussen een FRIA en een IAMA?
De FRIA is de wettelijke grondrechtenbeoordeling uit artikel 27 van de AI-verordening voor bepaalde gebruiksverantwoordelijken van hoog-risico-AI. Het IAMA is een Nederlands instrument van BZK en de Universiteit Utrecht om de impact van algoritmes op mensenrechten te beoordelen. Sinds de versie van 16 februari 2026 is het IAMA op artikel 27 afgestemd, zodat u het als werkmethode voor een FRIA kunt gebruiken.
Is het IAMA verplicht?
Het IAMA zelf is geen wettelijke plicht maar een hulpmiddel dat de Rijksoverheid aanbeveelt. De plicht ligt in artikel 27 van de AI-verordening: wie eronder valt, moet vanaf 2 december 2027 een grondrechtenbeoordeling doen en melden. Hoe u die invult, is vrij. Voor overheden is het IAMA een logische keuze, omdat de art. 27-vragen er al in gemarkeerd staan.
Moet een bedrijf met een HR-selectietool een FRIA doen?
Meestal niet. AI voor werving en selectie is wel hoog-risico, maar de FRIA-plicht geldt alleen voor overheden, private partijen die openbare diensten leveren en partijen die AI inzetten voor kredietwaardigheid of levens- en ziektekostenverzekeringen. Een commercieel bedrijf houdt wel de plichten van artikel 26, zoals menselijk toezicht en het informeren van werknemers. Een lichte FRIA kan toch verstandig zijn.
Vanaf wanneer is een FRIA verplicht?
De FRIA hoort bij de hoog-risico-eisen voor bijlage III. Door de digitale omnibus gelden die vanaf 2 december 2027. Voor hoog-risico-systemen die overheden al gebruiken, loopt de overgangstermijn tot 2 augustus 2030. Omdat een goede beoordeling maanden kan kosten en vaak aan inkoop vastzit, beginnen veel organisaties nu al.
Kan een DPIA een FRIA vervangen?
Niet volledig. Een DPIA kijkt naar de verwerking van persoonsgegevens; een FRIA naar alle grondrechten, ook schade zonder privacycomponent, zoals uitsluiting van een dienst. Artikel 27 lid 4 laat wel toe dat de FRIA voortbouwt op een bestaande DPIA. Combineer ze daarom in één dossier met aparte risicodelen.
Begin met een helder overzicht van uw AI-gebruik
Een FRIA begint bij weten welke systemen u gebruikt, voor wie en met welk risico. Met de gratis vragenlijst voor AI-beleid en governance doorloopt u veertien stappen in ongeveer 40 minuten. Zodra u verzendt, ontvangt u vier documenten op basis van uw antwoorden: een AI-gebruiksbeleid, een AI governance-raamwerk, een checklist voor de beoordeling van AI-leveranciers en een sjabloon voor AI-risicoanalyse, plus een volwassenheidsbeeld over tien domeinen. De vragen zijn in het Nederlands; de documenten zijn Engelstalige Word-bestanden die u kunt bewerken. Gratis, vrijblijvend, en de bestanden zijn van u. Een IAMA of FRIA zelf stelt de scan niet op. Meer over de bredere context leest u in onze gids over de EU AI Act.
Dit artikel is algemene informatie, geen juridisch advies. Raadpleeg de geconsolideerde tekst van Verordening (EU) 2024/1689, zoals gewijzigd bij Verordening (EU) 2026/1744. Gegevens over het IAMA en de Nederlandse toezichthouders: stand oktober 2026.
Geschreven door
Country Manager, India
Praveena leidt Opsio's activiteiten in India en brengt meer dan 17 jaar sectoroverstijgende ervaring mee op het gebied van AI, productie, DevOps en managed services.
Redactionele richtlijnen: Dit artikel is geschreven door cloudspecialisten en beoordeeld door ons engineeringteam. We herzien het wanneer de technologie of regelgeving waarover het gaat verandert; de datums op deze pagina tonen de laatste update. Opsio is redactioneel onafhankelijk.