Ocena skutków dla praw podstawowych. Kto musi ją zrobić i jak się przygotować

Ocenę skutków dla praw podstawowych, w skrócie FRIA, muszą przeprowadzić podmioty prawa publicznego i podmioty prywatne świadczące usługi publiczne, które stosują system wysokiego ryzyka z załącznika III, z wyjątkiem systemów dla infrastruktury krytycznej. Obowiązek dotyczy też każdego podmiotu, który stosuje system do oceny zdolności kredytowej lub scoringu kredytowego osób fizycznych albo do oceny ryzyka i ustalania cen w ubezpieczeniach na życie i zdrowotnych

Co musi zawierać

Ocena opisuje procesy, w których system będzie używany, okres i częstotliwość użycia, kategorie osób i grup, na które może wpłynąć, konkretne ryzyka szkody z uwzględnieniem informacji od dostawcy, środki nadzoru człowieka oraz działania na wypadek, gdy ryzyko się zmaterializuje, w tym zarządzanie wewnętrzne i mechanizm skarg. O wynikach trzeba powiadomić organ nadzoru rynku. W Polsce jest nim co do zasady Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, a przy instytucjach finansowych AI Act wskazuje organ nadzoru finansowego (art. 74 ust. 6). Jeśli część obowiązków spełnia już ocena skutków dla ochrony danych z RODO, podmiot stosujący może w FRIA odesłać do odpowiednich części tej oceny albo włączyć je do FRIA (art. 27 ust. 4 w brzmieniu nadanym rozporządzeniem (UE) 2026/1744)

Kiedy

Po zmianach wprowadzonych rozporządzeniem (UE) 2026/1744 wymogi dla systemów wysokiego ryzyka z załącznika III stosuje się od 2 grudnia 2027 roku. Ocenę przeprowadza się przed pierwszym użyciem systemu i aktualizuje, gdy zmienią się jej elementy. Dostawcy i podmioty stosujące systemy wysokiego ryzyka przeznaczone dla organów publicznych, które działały już wcześniej, muszą się dostosować najpóźniej do 2 sierpnia 2030 roku (art. 111 ust. 2)

Jak się przygotować

Nie warto czekać na wzór kwestionariusza, który ma przygotować Urząd ds. AI, bo sześć elementów oceny jest znanych. Radzę zacząć od spisu systemów, które mogą wymagać FRIA, i już w zamówieniu wymagać od dostawcy informacji z art. 13 AI Act: przeznaczenia, ograniczeń, dokładności i działania wobec określonych osób lub grup. Bez nich ocena ryzyka będzie zgadywaniem

Aleksandra Albera

Prawniczka specjalizująca się w prawie nowych technologii: AI Act, systemy zarządzania AI według ISO/IEC 42001, cyberbezpieczeństwo i ochrona danych. Audytor wiodący ISO/IEC 42001. Czuwa nad prawną stroną zamówień, umów i dokumentacji AI