FRIA w AI Act: ocena skutków dla praw podstawowych (art. 27)

FRIA (fundamental rights impact assessment) to ocena skutków systemów AI wysokiego ryzyka dla praw podstawowych, wymagana przez art. 27 AI Act. Przed pierwszym użyciem systemu muszą ją przeprowadzić podmioty prawa publicznego, prywatne podmioty świadczące usługi publiczne oraz banki i ubezpieczyciele stosujący AI do oceny zdolności kredytowej lub wyceny ubezpieczeń na życie i zdrowotnych.

Najważniejsze informacje

• FRIA to obowiązek podmiotu stosującego, a nie dostawcy. Dotyczy tego, jak i wobec kogo system jest używany, a nie tego, jak go zbudowano.
• Obejmuje wyłącznie systemy wysokiego ryzyka z załącznika III, z wyjątkiem infrastruktury krytycznej (pkt 2).
• Art. 27 ust. 1 lit. a–f wymienia sześć obowiązkowych elementów – od opisu procesu po mechanizmy skargowe.
• Jeżeli część elementów pokrywa już ocena skutków dla ochrony danych (DPIA) z art. 35 RODO, FRIA ją uzupełnia i może z niej korzystać (art. 27 ust. 4).
• Po zmianach wprowadzonych przez Digital Omnibus obowiązek stosuje się razem z wymogami dla załącznika III, czyli od 2 grudnia 2027 r. Wyniki zgłasza się organowi nadzoru rynku – w Polsce KRiBSI.

Po co AI Act wprowadza ocenę skutków dla praw podstawowych

Większość wymogów AI Act spada na dostawców, a dostawca nie zna każdego kontekstu, w którym jego system zostanie użyty. Model do oceny kandydatów może przejść staranne testy, a mimo to w urzędzie pracy pokrzywdzić osoby długotrwale bezrobotne albo kandydatów z niepełnosprawnościami. FRIA domyka tę lukę: każe podmiotowi stosującemu, który zna ludzi objętych decyzjami, przeanalizować konkretne szkody, zanim system zacznie działać.

Ocena uzupełnia obowiązki podmiotu stosującego z art. 26 – stosowanie zgodnie z instrukcją, nadzór człowieka, monitorowanie i przechowywanie rejestrów zdarzeń. Szerszy kontekst regulacji opisujemy w przewodniku po AI Act. Jeśli w organizacji nie ma jeszcze jasności, które systemy mogą wymagać FRIA, punktem wyjścia może być bezpłatna ocena AI governance, która przygotowuje m.in. wzór oceny ryzyka AI – dobrą bazę dla części FRIA poświęconej ryzykom.

Kto musi przeprowadzić FRIA

Zgodnie z art. 27 rozporządzenia obowiązek dotyczy systemów wysokiego ryzyka, o których mowa w art. 6 ust. 2 (czyli z załącznika III), stosowanych przez trzy grupy podmiotów. Tytuł przepisu w polskiej wersji brzmi „Ocena skutków systemów AI wysokiego ryzyka dla praw podstawowych” – w wyszukiwarce częściej spotyka się po prostu skrót FRIA.

Wynikają z tego dwie praktyczne konsekwencje. Po pierwsze, prywatna firma używająca narzędzia do preselekcji CV nie musi przeprowadzać FRIA, jeśli nie świadczy usługi publicznej – choć wiele organizacji zrobi uproszczoną wersję, bo i tak potrzebuje analizy ryzyka. Po drugie, każdy bank i ubezpieczyciel stosujący AI do kredytów albo wyceny ubezpieczeń na życie i zdrowotnych jest objęty obowiązkiem, niezależnie od struktury właścicielskiej. W polskim sektorze finansowym oznacza to dodatkowo współpracę KRiBSI z KNF, przewidzianą w krajowej ustawie.

Co musi zawierać FRIA: art. 27 ust. 1 lit. a–f

W tekście prawnym elementy są opisane zwięźle. Prawa kolumna podpowiada, jak może wyglądać użyteczna odpowiedź.

Sercem oceny jest lit. d. Jako listę kontrolną warto wykorzystać prawa z Karty praw podstawowych UE: godność, niedyskryminację, prywatność i ochronę danych, wolność wypowiedzi, prawa dziecka, prawa pracownicze, dostęp do zabezpieczenia społecznego i prawo do skutecznego środka odwoławczego. Jednolita metoda punktowania ryzyka pozwala porównywać wyniki między systemami.

Kiedy przeprowadzić FRIA i kiedy ją aktualizować

Ocenę wykonuje się przed pierwszym użyciem systemu. Zgodnie z art. 27 ust. 2 obowiązek dotyczy tego pierwszego użycia; w podobnych przypadkach podmiot stosujący może oprzeć się na wcześniejszej FRIA albo na istniejącej ocenie przygotowanej przez dostawcę. Jeżeli w trakcie używania któryś z sześciu elementów się zmieni – na przykład bank rozszerzy model scoringowy z kredytów gotówkowych na hipoteczne albo gmina zacznie stosować system wobec nowej grupy wnioskodawców – ocenę trzeba zaktualizować.

Po zmianach z rozporządzenia (UE) 2026/1744 obowiązek z art. 27 będzie stosowany od 2 grudnia 2027 r., razem z wymogami dla systemów z załącznika III. Organy publiczne, które korzystają z systemów wysokiego ryzyka wdrożonych wcześniej, mają czas do 2 sierpnia 2030 r. Pełny kalendarz znajduje się w artykule AI Act – kiedy wchodzi w życie.

Zgłoszenie wyników do organu nadzoru rynku

Po przeprowadzeniu oceny podmiot stosujący powiadamia organ nadzoru rynku o jej wynikach, przekazując wypełniony wzór kwestionariusza (art. 27 ust. 3). W Polsce organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, powołana ustawą z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji. Komisja może później kontrolować dokumentację – co do zasady zdalnie – więc pełną wersję oceny warto przechowywać razem z dowodami. O kompetencjach KRiBSI piszemy w artykule ustawa o systemach sztucznej inteligencji.

Przewodniczący KRiBSI wskazuje też krajowe organy chroniące prawa podstawowe, o których mowa w art. 77 AI Act, i publikuje ich wykaz w Biuletynie Informacji Publicznej. Jeżeli w toku postępowania Komisja stwierdzi ryzyko dla praw podstawowych, informuje te organy.

Wzór kwestionariusza od Urzędu ds. AI

Art. 27 ust. 5 zobowiązuje Urząd ds. AI do opracowania wzoru kwestionariusza, także w formie zautomatyzowanego narzędzia, aby podmioty stosujące mogły spełnić obowiązek w uproszczony sposób. Według stanu na październik 2026 r. nie udało nam się potwierdzić publikacji ostatecznej wersji na stronach Komisji Europejskiej. Przed zgłoszeniem warto sprawdzić stronę Komisji poświęconą ramom regulacyjnym AI, a do tego czasu budować ocenę wokół sześciu elementów z art. 27 ust. 1 – wtedy łatwo przeniesie się ją do oficjalnego formularza.

FRIA a DPIA z RODO

Większość systemów wysokiego ryzyka przetwarza dane osobowe, więc wiele organizacji będzie też potrzebowało oceny skutków dla ochrony danych (DPIA) z art. 35 RODO. Art. 27 ust. 4 przewiduje, że jeśli któryś z obowiązków FRIA został już spełniony w ramach DPIA, ocena skutków dla praw podstawowych ją uzupełnia. W praktyce:

• opis procesu, kategorie osób i część ryzyk z DPIA można wykorzystać bezpośrednio,
• FRIA wykracza poza ochronę danych – obejmuje np. niedyskryminację, dostęp do usług publicznych i prawo do odwołania,
• najwygodniej prowadzić jeden dokument z dwiema częściami i wspólnym rejestrem ryzyk, z udziałem inspektora ochrony danych.

UODO pozostaje organem właściwym w sprawach ochrony danych osobowych – na stronie UODO znajdują się m.in. materiały dotyczące oceny skutków dla ochrony danych. Pomoc przy połączeniu obu ocen oferuje nasz zespół zgodności z RODO.

Jak przeprowadzić FRIA w sześciu krokach

1. Ustalić, czy obowiązek dotyczy organizacji – sprawdzić status podmiotu (publiczny, usługa publiczna, sektor finansowy) i klasyfikację systemu.
2. Zebrać informacje od dostawcy: instrukcję obsługi, opis przeznaczenia, znane ograniczenia i wyniki testów (art. 13).
3. Opisać proces i osoby objęte decyzjami, z grupami szczególnie wrażliwymi.
4. Ocenić ryzyka dla każdego prawa podstawowego, z prawdopodobieństwem i dotkliwością, oraz zaplanować środki ograniczające.
5. Opisać nadzór człowieka i ścieżkę skarg, łącznie z kryteriami wstrzymania systemu.
6. Zatwierdzić ocenę, zgłosić ją i zaplanować przegląd – zgłoszenie do KRiBSI, archiwizacja dowodów, data kolejnej weryfikacji.

FRIA najlepiej wpleść w szerszy przegląd zgodności. Jak to zrobić krok po kroku, opisujemy w artykule zgodność z AI Act – analiza luk, a punkty kontrolne zebraliśmy w liście kontrolnej AI Act.

Najczęściej zadawane pytania o FRIA

Czym jest FRIA w AI Act?

FRIA to ocena skutków systemów AI wysokiego ryzyka dla praw podstawowych z art. 27 AI Act. Podmiot stosujący analizuje w niej, jak system wpłynie na konkretne osoby i grupy: jakie prawa może naruszyć, jak działa nadzór człowieka i co się stanie, gdy ryzyko się zmaterializuje. Wynik zgłasza się organowi nadzoru rynku.

Czy prywatna firma musi przeprowadzić FRIA dla narzędzia rekrutacyjnego?

Co do zasady nie, jeżeli nie jest podmiotem prawa publicznego i nie świadczy usług publicznych. Obowiązek FRIA mają też banki i ubezpieczyciele w zakresie scoringu kredytowego i wyceny ubezpieczeń na życie i zdrowotnych. Narzędzie do preselekcji CV pozostaje jednak systemem wysokiego ryzyka, więc obowiązki z art. 26 – nadzór człowieka czy informowanie pracowników – stosuje się w pełni.

Od kiedy trzeba przeprowadzać FRIA?

Obowiązek stosuje się razem z wymogami dla systemów wysokiego ryzyka z załącznika III, czyli po zmianach wprowadzonych przez Digital Omnibus od 2 grudnia 2027 r. Organy publiczne korzystające z systemów wdrożonych wcześniej mają czas do 2 sierpnia 2030 r. Ocenę wykonuje się przed pierwszym użyciem systemu.

Czy DPIA może zastąpić FRIA?

Nie w całości. Art. 27 ust. 4 pozwala wykorzystać elementy już ujęte w ocenie skutków dla ochrony danych z art. 35 RODO, ale FRIA obejmuje szerszy katalog praw: niedyskryminację, dostęp do usług, prawo do odwołania. Najpraktyczniejsze rozwiązanie to jeden dokument z częścią RODO i częścią AI Act oraz wspólnym rejestrem ryzyk.

Komu w Polsce zgłasza się wyniki FRIA?

Organowi nadzoru rynku, którym na podstawie ustawy o systemach sztucznej inteligencji jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Zgłoszenie obejmuje wypełniony wzór kwestionariusza przygotowany przez Urząd ds. AI. Pełną dokumentację oceny warto przechowywać na wypadek kontroli.

Ocena ryzyka systemów AI jako punkt wyjścia

FRIA jest dużo łatwiejsza, gdy organizacja ma już rejestr systemów AI, przypisane role i jednolitą metodę oceny ryzyka. Bezpłatne szablony polityki AI i AI governance od Opsio powstają na podstawie odpowiedzi w kwestionariuszu: 14 kroków, około 40 minut, pytania po polsku. Otrzymują Państwo ramy zarządzania AI, politykę korzystania z AI, checklistę weryfikacji dostawców AI i wzór oceny ryzyka AI – po angielsku, jako edytowalne pliki Word – oraz obraz dojrzałości w dziesięciu obszarach. Bez opłat i bez zobowiązań.

Ten artykuł ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Stan prawny na październik 2026 r. Przed podjęciem decyzji należy sprawdzić skonsolidowany tekst rozporządzenia (UE) 2024/1689 w brzmieniu zmienionym rozporządzeniem (UE) 2026/1744 oraz ustawę z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003).