Sectorale FRIA’s

Het programma Cyberveiligheid voert deze FRIA’s uit als het een sectoraal belang dient of een meerwaarde heeft voor meerdere mbo-instellingen. Zo hoeft niet iedere instelling afzonderlijk het traject te doorlopen.

Wat is een FRIA?

Een FRIA is een beoordeling van de mogelijke gevolgen van een AI-systeem voor grondrechten. Denk aan het recht op gelijke behandeling, privacy, menselijke waardigheid en de rechten van het kind. De beoordeling brengt in kaart welke risico’s er zijn, hoe groot die zijn en welke maatregelen nodig zijn om die risico’s te beperken.

Wanneer is een FRIA nodig?

Een FRIA is verplicht voor AI-systemen die volgens bijlage III van de AI Act als ‘hoog risico’ worden aangemerkt. Denk aan systemen die invloed hebben op toegang tot onderwijs, studenten beoordelen of monitoren of leerprestaties analyseren. Ook bepaalde AI-toepassingen voor personeelsbeheer kunnen hieronder vallen.

Samen met de sector bepalen we welke systemen in aanmerking komen voor een sectorale FRIA.

Waarom een sectorale FRIA?

Veel mbo-instellingen gebruiken dezelfde digitale toepassingen. Het is dan niet efficiënt als iedere instelling afzonderlijk dezelfde leverancier benadert en grotendeels dezelfde beoordeling uitvoert.

Daarom voert het programma Cyberveiligheid FRIA’s sectoraal uit: één centrale beoordeling van een AI-systeem van een specifieke leverancier, die breed kan worden gebruikt door deelnemende mbo-instellingen. Deze aanpak lijkt op de sectorale DPIA’s die we al uitvoeren.

Dit leveren sectorale FRIA’s op

FRIA’s helpen scholen om grondrechten van studenten en medewerkers te beschermen en te voldoen aan de wettelijke verplichtingen van de AI Act. Het heeft veel voordelen om dit als sector gezamenlijk aan te pakken:

Voor je instelling:

• Minder werk en kosten. Je hoeft niet zelf het volledige FRIA-traject uit te voeren of alle afstemming met de leverancier te organiseren.
• Inzicht in risico’s en maatregelen. Je weet welke grondrechten mogelijk geraakt worden en welke maatregelen nodig zijn.
• Documentatie voor je eigen dossier. Je kunt de uitkomsten gebruiken voor verantwoording, audits en toezicht.

Voor de sector:

• Geen dubbel werk. Een beoordeling die centraal wordt uitgevoerd, kan door meerdere mbo-instellingen worden gebruikt.
• Kwaliteit, expertise en consistentie. We beoordelen steeds op dezelfde manier en maken gebruik van alle juridische en technische kennis van MBO Digitaal.
• Meer gezamenlijke kennis. Bevindingen en aanbevelingen uit een FRIA komen beschikbaar voor de hele sector.

Wat vraagt een sectorale FRIA van jouw instelling?

Het programma Cyberveiligheid voert het grootste deel van de beoordeling centraal uit, maar instellingen houden zelf een rol. Zo lever je informatie aan over hoe jullie het AI-systeem gebruiken en voor welke doelgroep. Ook voeren jullie eventuele maatregelen uit de FRIA zelf door en nemen jullie de beoordeling op in jullie eigen documentatie.

Het programma Cyberveiligheid coördineert de sectorale FRIA’s, stemt af met leveranciers en experts en deelt de uitkomsten met de deelnemende instellingen.

Het verschil tussen een FRIA en DPIA

Een FRIA en een DPIA lijken op elkaar, maar hebben een andere focus. Een DPIA richt zich op risico’s voor privacy en persoonsgegevens. Een FRIA kijkt breder naar mogelijke gevolgen voor alle grondrechten.

In de praktijk kunnen beide beoordelingen elkaar deels overlappen. Het programma Cyberveiligheid werkt daarom toe naar een aanpak waarin FRIA’s en DPIA’s waar mogelijk in samenhang worden uitgevoerd. 

Meer weten of een systeem aandragen?

Gebruik je binnen jouw instelling een AI-systeem dat mogelijk als hoog risico wordt aangemerkt? Of overweeg je zo’n systeem in te voeren? Neem dan contact op met Jack le Doux.