Ocena skutków dla praw podstawowych (FRIA) - kto musi ją zrobić i jak połączyć ją z DPIA

AI Act - Zakazane praktyki i systemy wysokiego ryzyka

Ocena skutków dla praw podstawowych (FRIA) - kto musi ją zrobić i jak połączyć ją z DPIA

W skrócie

O FRIA pytają urzędy, szpitale, uczelnie, banki i ubezpieczyciele, które planują system AI oceniający ludzi. Ocena skutków dla praw podstawowych z art. 27 AI Act obciąża tylko trzy grupy podmiotów stosujących, a można ją oprzeć na ocenie skutków dla ochrony danych z art. 35 RODO, odsyłając do jej sekcji. Podajemy też, co musi zawierać, od kiedy jest wymagana i komu przekazać jej wynik.

Jak to wygląda w praktyce

Bank spółdzielczy z Wielkopolski kupuje system, który ocenia zdolność kredytową klientów indywidualnych i podpowiada analitykowi decyzję. Dział ryzyka przygotowuje DPIA z inspektorem ochrony danych, bo system profiluje klientów, a zarząd pyta, czy to wystarczy przed uruchomieniem systemu. To samo pytanie zadają publiczny szpital, który chce z pomocą AI oceniać stan zdrowia pacjentów w nagłych wypadkach, i gmina rozważająca system wstępnie oceniający wnioski o świadczenia. Prywatnej spółki, która nie świadczy usług publicznych, a używa narzędzia do selekcji CV, art. 27 nie obejmuje.

Co mówią przepisy

Art. 27 ust. 1 AI Act wymaga FRIA tylko przy systemach wysokiego ryzyka z art. 6 ust. 2, czyli z załącznika III, z wyjątkiem infrastruktury krytycznej (pkt 2). Obowiązek mają trzy grupy podmiotów stosujących:

• podmioty prawa publicznego,
• podmioty prywatne świadczące usługi publiczne (motyw 96 podaje przykłady: edukacja, opieka zdrowotna, usługi społeczne, mieszkalnictwo),
• każdy, kto stosuje system do oceny zdolności kredytowej lub scoringu kredytowego osób fizycznych, poza wykrywaniem oszustw finansowych, albo do oceny ryzyka i ustalania cen w ubezpieczeniach na życie i zdrowotnych (załącznik III pkt 5 lit. b i c).

Systemów z art. 6 ust. 1, np. będących wyrobami medycznymi, przepis nie obejmuje.

Zobacz też: Szkolenie Gotowość na AI ACT

Ocena ma sześć elementów (ust. 1 lit. a-f):

• procesy, w których system będzie używany,
• okres i częstotliwość użycia,
• kategorie osób i grup, na które może wpłynąć,
• szczególne ryzyko szkody z uwzględnieniem informacji dostawcy z art. 13,
• nadzór człowieka według instrukcji obsługi,
• środki na wypadek urzeczywistnienia się ryzyka, w tym zarządzanie wewnętrzne i rozpatrywanie skarg.

FRIA przeprowadza się przed pierwszym użyciem systemu. W podobnych przypadkach można oprzeć się na wcześniejszych ocenach albo na ocenie dostawcy, a przy zmianie elementów trzeba ją zaktualizować (ust. 2). Wynik trafia do organu nadzoru rynku z wypełnionym wzorem (ust. 3), w Polsce do KRiBSI (art. 5 ustawy o systemach sztucznej inteligencji). Przy instytucjach finansowych art. 74 ust. 6 AI Act wskazuje jednak organ nadzoru finansowego, a ustawa nie wyznacza do tego Komisji Nadzoru Finansowego (KNF), więc dla banku i ubezpieczyciela to kwestia sporna.

Związek z DPIA zmienił Digital Omnibus (rozporządzenie (UE) 2026/1744). Jeżeli obowiązek z art. 27 został już spełniony w DPIA z art. 35 RODO, podmiot stosujący może w FRIA odesłać do jej sekcji albo załączyć jej części (ust. 4). Wzór kwestionariusza, także w formie zautomatyzowanego narzędzia, opracowuje Urząd ds. AI (ust. 5). Według strony Komisji Europejskiej (aktualizacja 31 lipca 2026 r.) wytyczne ze wzorem FRIA są w przygotowaniu. DPIA dotyczy przetwarzania danych osobowych i obciąża administratora, FRIA dotyczy skutków dla praw podstawowych i obciąża wskazane podmioty stosujące, więc żadna nie zastępuje drugiej w całości.

Art. 27 stosuje się od 2 grudnia 2027 r. (art. 113 lit. c). Dla systemów wprowadzonych wcześniej działa przepis przejściowy z art. 111 ust. 2, a dostawcy i podmioty stosujące systemy przeznaczone dla organów publicznych muszą zapewnić zgodność do 2 sierpnia 2030 r. Art. 27 nie jest wymieniony w katalogu kar z art. 99 ust. 4, choć art. 99 ust. 1 wymaga kar za wszelkie naruszenia, więc wysokość kary za brak FRIA jest kwestią sporną.

Co zrobić krok po kroku

1. Kwalifikacja systemu i organizacji. Osoba od compliance z prawnikiem sprawdza, czy system mieści się w obszarze z załącznika III (poza pkt 2) i czy organizacja należy do jednej z trzech grup z art. 27 ust. 1. Przy niepewnej klasyfikacji pomaga sprawdzenie, czy system AI jest wysokiego ryzyka. Zrób to już teraz dla systemów, które mają działać po 2 grudnia 2027 r. Efekt: notatka kwalifikacyjna z uzasadnieniem i wpis w rejestrze systemów AI.
2. Jeden zespół dla DPIA i FRIA. Właściciel systemu powołuje zespół: inspektor ochrony danych, osoba od compliance, przedstawiciel działu korzystającego z systemu i specjalista IT. Efekt: skład zespołu i harmonogram, w którym obie oceny korzystają z jednego opisu procesu i danych.
3. Dokumenty od dostawcy. Dział zakupów żąda instrukcji obsługi z art. 13 (przeznaczenie, poziom dokładności, znane ryzyka dla praw podstawowych, środki nadzoru człowieka) i oceny skutków, jeśli dostawca ją przygotował. Instrukcja służy obu ocenom, także DPIA (art. 26 ust. 9). Efekt: komplet dokumentów dostawcy w aktach oceny i odpowiednie zapisy w umowie z dostawcą systemu AI.
4. DPIA, a na niej FRIA. Zespół przeprowadza DPIA z art. 35 RODO z udziałem inspektora ochrony danych. W FRIA, punkt po punkcie lit. a-f, odsyła do odpowiednich sekcji DPIA i dopisuje to, czego DPIA nie obejmuje: skutki dla innych praw niż ochrona danych, np. prawa do niedyskryminacji, plan nadzoru człowieka i ścieżkę skarg. Efekt: dokument FRIA z mapą odesłań do DPIA.
5. Zawiadomienie organu. Po przeprowadzeniu oceny organizacja zawiadamia KRiBSI o jej wynikach na wzorze Urzędu ds. AI (art. 27 ust. 3). Wzór jest w przygotowaniu, więc przed wysyłką sprawdź, czy go opublikowano. Bank i ubezpieczyciel wcześniej ustalają z KRiBSI i KNF właściwy organ. Organ publiczny podaje też streszczenie FRIA przy rejestracji w bazie danych UE (art. 49 ust. 3, załącznik VIII sekcja C pkt 4). Efekt: potwierdzenie zawiadomienia w aktach sprawy.
6. Aktualizacja. Właściciel systemu przegląda FRIA przy każdej zmianie procesu, grupy osób, częstotliwości użycia albo instrukcji obsługi (art. 27 ust. 2), a inspektor ochrony danych równolegle sprawdza DPIA. Efekt: rejestr wersji obu ocen z datą i powodem zmiany.

Jak sprawdzić, że sprawa jest załatwiona

Notatka kwalifikacyjna przy każdym systemie z załącznika III pokazuje, czy art. 27 się stosuje. Tam, gdzie tak, potrzebna jest FRIA z elementami lit. a-f, sporządzona przed pierwszym użyciem, z odesłaniami do DPIA, potwierdzeniem zawiadomienia i historią aktualizacji. FRIA nie zwalnia z pozostałych obowiązków, które opisujemy w poście o obowiązkach firmy, która używa systemu AI wysokiego ryzyka.

Te dokumenty, DPIA z opinią inspektora ochrony danych i dokumenty dostawcy trzymaj w jednej teczce.

Podstawa prawna i źródła

• art. 27 i art. 113 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• art. 26 ust. 9, art. 49 ust. 3, art. 74 ust. 6, art. 99 ust. 1 i 4, art. 111 ust. 2, motyw 96, załącznik III i załącznik VIII sekcja C AI Act
• art. 1 pkt 13 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2026/1744 (nowe brzmienie art. 27 ust. 4 i 5 AI Act) (źródło)
• art. 35 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) (źródło)
• art. 5, art. 20 ust. 1 pkt 1 i art. 104 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) (źródło)
• Komisja Europejska, Supporting the implementation of the AI Act with clear guidelines (aktualizacja 31.07.2026) (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001