Een organisatie wil AI inzetten voor het beoordelen van sollicitanten, klanten of burgers. Moet zij dan vooraf een DPIA uitvoeren, een FRIA, het IAMA – of misschien meerdere beoordelingen tegelijk? Die instrumenten lijken op elkaar, maar beantwoorden verschillende vragen en hebben bovendien niet dezelfde juridische status.
In de kern is het onderscheid overzichtelijk. Een Data Protection Impact Assessment (DPIA) richt zich op de risico's die de verwerking van persoonsgegevens met zich meebrengt. Een Fundamental Rights Impact Assessment (FRIA) kijkt bij bepaalde hoogrisico-AI breder naar mogelijke gevolgen voor grondrechten. Het Nederlandse Impact Assessment Mensenrechten en Algoritmes (IAMA) helpt vooral overheidsorganisaties om de mensenrechtelijke gevolgen van algoritmen systematisch te beoordelen.
In de praktijk kunnen de beoordelingen echter samenkomen. Een AI-systeem kan persoonsgegevens verwerken én onder de FRIA-verplichting vallen, terwijl een overheidsorganisatie daarnaast het IAMA gebruikt. De uitdaging is dan niet om drie keer hetzelfde onderzoek te doen, maar om vast te stellen welke risico's moeten worden onderzocht en met welk instrument dat het beste kan.
De DPIA is van de drie het bekendste instrument. Op grond van de AVG is een DPIA verplicht wanneer een verwerking van persoonsgegevens waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van mensen. AI-gebruik leidt dus niet automatisch tot een DPIA: bepalend is hoe persoonsgegevens worden verwerkt en welke risico's daarbij ontstaan.
Een DPIA kan bijvoorbeeld nodig zijn wanneer AI wordt gebruikt om grote hoeveelheden persoonsgegevens te analyseren, mensen systematisch te beoordelen of te volgen, bijzondere persoonsgegevens te verwerken of geautomatiseerde beslissingen te nemen die grote gevolgen voor mensen kunnen hebben. De organisatie brengt dan onder meer in kaart welke persoonsgegevens worden verwerkt, waarom die verwerking noodzakelijk en proportioneel is en welke risico's voor betrokkenen ontstaan. Vervolgens moet worden bepaald met welke maatregelen die risico's kunnen worden beperkt.
Bij AI kan zo'n privacybeoordeling belangrijk zijn, maar daarmee zijn niet noodzakelijk alle risico's afgedekt. Een AI-systeem kan immers ook gevolgen hebben voor andere grondrechten dan privacy en gegevensbescherming. Precies daar komt de FRIA in beeld.
De AI Act introduceert met de Fundamental Rights Impact Assessment een beoordeling die specifiek kijkt naar de gevolgen van bepaalde hoogrisico-AI voor grondrechten. Een FRIA is niet bij ieder AI-systeem verplicht. Zelfs bij hoogrisico-AI geldt de verplichting alleen voor specifieke toepassingen en organisaties.
Artikel 27 van de AI Act richt zich onder meer op publiekrechtelijke organisaties en private organisaties die publieke diensten verlenen wanneer zij bepaalde hoogrisico-AI inzetten. Ook gebruikers van bepaalde hoogrisicosystemen voor kredietwaardigheidsbeoordeling en voor risico- en prijsbeoordeling bij levens- en ziektekostenverzekeringen vallen eronder.
De FRIA stelt een bredere vraag dan de DPIA: welke gevolgen kan de inzet van het AI-systeem hebben voor de grondrechten van mensen die ermee te maken krijgen? Daarbij kan het bijvoorbeeld gaan om discriminatie bij selectieprocedures, aantasting van de toegang tot sociale voorzieningen of problemen met effectieve rechtsbescherming wanneer AI een rol speelt bij besluitvorming.
De organisatie moet daarom niet alleen vaststellen welke groepen door het systeem kunnen worden geraakt en welke grondrechtenrisico's zij lopen, maar ook bepalen hoe die risico's worden beheerst. Daarbij hoort bijvoorbeeld de inrichting van menselijk toezicht: wie controleert de uitkomsten, wanneer kan een medewerker ingrijpen en wat gebeurt er als tijdens het gebruik ongewenste gevolgen aan het licht komen? Juist daardoor is de FRIA ook een governancevraagstuk. De beoordeling raakt rechtstreeks aan de verdeling van verantwoordelijkheden binnen de organisatie.
Voor organisaties die al met DPIA's werken, ligt de vraag voor de hand of een afzonderlijke FRIA wel nodig is. Privacy en gegevensbescherming zijn immers zelf grondrechten. Toch hebben de twee beoordelingen een verschillende reikwijdte en kan één AI-toepassing onder beide regimes vallen.
Dat kan bijvoorbeeld gebeuren wanneer een overheidsorganisatie hoogrisico-AI gebruikt om besluitvorming over burgers te ondersteunen en daarbij persoonsgegevens verwerkt. De gegevensverwerking kan een DPIA noodzakelijk maken, terwijl de inzet van het AI-systeem daarnaast onder de FRIA-verplichting valt. Een DPIA die vooral kijkt naar onderwerpen als dataminimalisatie, beveiliging en bewaartermijnen hoeft immers nog geen volledig beeld te geven van risico's op bijvoorbeeld discriminatie of aantasting van rechtsbescherming.
Dat betekent niet dat organisaties hetzelfde onderzoek twee keer moeten uitvoeren. De AI Act houdt rekening met de overlap en maakt het mogelijk relevante onderdelen van een DPIA te gebruiken bij de FRIA. Beide beoordelingen kunnen daardoor in samenhang worden uitgevoerd, maar een bestaande DPIA vervangt een FRIA niet automatisch.
Voor Nederlandse overheidsorganisaties is er nog een derde instrument: het Impact Assessment Mensenrechten en Algoritmes. Het IAMA is ontwikkeld om vooraf systematisch te onderzoeken welke gevolgen de inzet van algoritmen kan hebben voor mensenrechten en kijkt daarmee, net als de FRIA, breder dan alleen naar privacy.
In februari 2026 is het IAMA vernieuwd en beter in lijn gebracht met de AI Act. Vragen die rechtstreeks samenhangen met de AI Act zijn in het instrument herkenbaar gemaakt. Daarmee kan het IAMA overheidsorganisaties helpen bij het uitvoeren van een bredere grondrechtenbeoordeling en bij de voorbereiding op verplichtingen uit de AI Act.
Het juridische karakter is echter anders. De FRIA is een wettelijke verplichting uit de AI Act wanneer aan de voorwaarden van artikel 27 wordt voldaan. Het IAMA is een beoordelingsmethode waarmee organisaties mensenrechtenrisico's systematisch kunnen onderzoeken. Een organisatie kan het IAMA dus gebruiken om invulling te geven aan een grondrechtenbeoordeling, maar het enkele gebruik ervan betekent niet automatisch dat aan alle eisen van de AI Act is voldaan.
Welke beoordeling nodig is, hangt daarom af van de concrete AI-toepassing. Verwerkt het systeem persoonsgegevens en levert die verwerking waarschijnlijk een hoog risico op, dan moet de organisatie onderzoeken of een DPIA verplicht is. Bij hoogrisico-AI moet vervolgens worden vastgesteld of de toepassing én de organisatie onder de FRIA-verplichting van artikel 27 AI Act vallen. Voor overheidsorganisaties kan daarnaast het IAMA worden gebruikt om de bredere gevolgen voor mensenrechten systematisch te beoordelen.
Die stappen sluiten elkaar niet uit. Eén AI-toepassing kan aanleiding geven tot zowel een DPIA als een FRIA, terwijl het IAMA kan worden gebruikt om de bredere mensenrechtelijke afweging te structureren. Waar de beoordelingen dezelfde risico's behandelen, hoeft het werk niet onnodig te worden overgedaan.
| DPIA | FRIA | IAMA | |
|---|---|---|---|
| Focus | Persoonsgegevens en privacyrisico's | Grondrechtenrisico's van bepaalde hoogrisico-AI | Mensenrechten en algoritmen |
| Juridische basis | AVG | AI Act | Nederlands beoordelingsinstrument |
| Wanneer verplicht? | Bij een verwerking die waarschijnlijk een hoog risico oplevert | Als artikel 27 AI Act van toepassing is | Geen algemene zelfstandige wettelijke verplichting |
| Vooral relevant voor | Organisaties die persoonsgegevens verwerken | Specifieke gebruikers van hoogrisico-AI | Vooral overheidsorganisaties |
| Samenloop mogelijk? | Ja | Ja | Ja |
De keuze voor het juiste assessment is bovendien niet alleen een juridisch vraagstuk. Een DPIA ligt al snel op het terrein van privacyprofessionals, waarbij de functionaris gegevensbescherming een adviserende rol heeft. Bij een bredere grondrechtenbeoordeling zijn echter verschillende disciplines nodig. Juristen kunnen beoordelen welke grondrechten worden geraakt, terwijl technische deskundigen inzicht moeten geven in de werking en beperkingen van het AI-systeem. Medewerkers uit de uitvoering weten vervolgens welke gevolgen een AI-uitkomst in de praktijk kan hebben.
Ook compliance- en risicoprofessionals hebben een rol bij het bepalen en bewaken van beheersmaatregelen. Daarmee wordt duidelijk waarom het riskant is om een impact assessment uitsluitend bij de privacy- of complianceafdeling neer te leggen. De uitkomsten kunnen gevolgen hebben voor de inrichting van processen, het vereiste menselijke toezicht en uiteindelijk voor de vraag of een organisatie een AI-systeem überhaupt op de voorgenomen manier wil inzetten.
Een uitgevoerde DPIA, FRIA of IAMA betekent niet automatisch dat een AI-toepassing verantwoord is. Uit de beoordeling kan bijvoorbeeld blijken dat extra menselijk toezicht nodig is, bepaalde gegevens niet gebruikt mogen worden, het systeem moet worden aangepast of aanvullende organisatorische waarborgen nodig zijn. Wanneer risico's onvoldoende kunnen worden beheerst, kan de conclusie zelfs zijn dat de toepassing niet op de voorgenomen manier moet worden ingezet.
Daarmee is een impact assessment geen administratief eindstation, maar onderdeel van de besluitvorming over AI. Voor bestuurders en andere verantwoordelijken is uiteindelijk niet alleen van belang of de organisatie het juiste assessment heeft uitgevoerd, maar vooral of zij op basis van de uitkomsten kan verantwoorden dat het AI-systeem wordt ingezet en de geconstateerde risico's voldoende worden beheerst.
