Fundamental Rights Impact Assessment (FRIA) to nowy obowiązek wprowadzony przez unijny Akt o sztucznej inteligencji (AI Act) dla części podmiotów wdrażających systemy wysokiego ryzyka, przede wszystkim w sektorze publicznym i usługach o charakterze publicznym. Celem FRIA jest zidentyfikowanie i ograniczenie ryzyk dla praw podstawowych zanim system AI zostanie użyty w praktyce.
Definicja Fundamental Rights Impact Assessment
FRIA to usystematyzowana, oparta na ryzyku analiza tego, jak konkretny system AI wysokiego ryzyka może wpływać na prawa i wolności osób fizycznych, w tym m.in. na prywatność, równe traktowanie, dostęp do edukacji, ochronę socjalną czy prawo do skutecznego środka odwoławczego. Ocena ma charakter prewencyjny: powinna zostać wykonana przed wdrożeniem systemu do użytku, tak aby można było wprowadzić środki techniczne i organizacyjne ograniczające ryzyko do akceptowalnego poziomu.
FRIA różni się od typowej oceny wpływu na ochronę danych (DPIA) znanej z RODO tym, że obejmuje pełen katalog praw podstawowych z Karty Praw Podstawowych UE, a nie tylko prawo do ochrony danych i prywatności. Oznacza to konieczność spojrzenia szerzej: np. na ryzyko dyskryminacji w dostępie do świadczeń publicznych, nierównego traktowania w zatrudnieniu czy ograniczenia prawa do edukacji na skutek decyzji podejmowanych lub wspieranych przez AI.
Podstawa prawna: art. 27 Aktu o AI
Wymóg przeprowadzenia FRIA jest uregulowany w art. 27 AI Act, który dotyczy oceny wpływu na prawa podstawowe dla systemów AI wysokiego ryzyka. Artykuł ten zobowiązuje określone kategorie „wdrażających” (deployers) do dokonania oceny przed pierwszym użyciem danego systemu wysokiego ryzyka, z pewnymi wyjątkami.
Art. 27 precyzuje minimalny zakres FRIA, obejmujący m.in. opis procesów, w których system będzie używany, okres i częstotliwość jego użycia, kategorie osób dotkniętych, konkretne ryzyka szkód oraz zastosowane środki nadzoru ludzkiego i mechanizmy skargowe. Motyw 96 AI Act doprecyzowuje cel FRIA: identyfikację ryzyk dla praw osób lub grup oraz określenie środków reagowania w razie ich materializacji.
Kto musi przeprowadzać FRIA
AI Act nakłada obowiązek FRIA nie na wszystkich użytkowników AI, ale na wąsko zdefiniowaną grupę wdrażających systemy wysokiego ryzyka. Zgodnie z art. 27 ust. 1 obowiązek dotyczy:
- podmiotów prawa publicznego (bodies governed by public law), takich jak organy administracji rządowej, samorządy czy inne jednostki sektora publicznego,
- prywatnych podmiotów świadczących usługi o charakterze publicznym – np. w obszarze edukacji, ochrony zdrowia, usług socjalnych, mieszkalnictwa czy wymiaru sprawiedliwości,
- wdrażających określone systemy wysokiego ryzyka wymienione w pkt 5(b) i 5(c) załącznika III AI Act, m.in. w obszarze oceny zdolności kredytowej i ryzyka ubezpieczeniowego.
Kluczowe jest, że obowiązek dotyczy wdrażających (deployers), czyli podmiotów faktycznie używających systemu AI w swojej działalności, a nie wyłącznie dostawców (providers), którzy system tworzą i wprowadzają na rynek. Dostawca może jednak wspierać wdrażającego, przekazując informacje techniczne oraz dzieląc się własnymi ocenami wpływu, o ile są adekwatne do konkretnego zastosowania.
Kiedy FRIA jest obowiązkowa – wysokie ryzyko w sektorze publicznym
FRIA jest wymagana tylko wtedy, gdy spełnione są łącznie trzy warunki: chodzi o system AI wysokiego ryzyka (art. 6 ust. 2), system nie należy do wyjątku dotyczącego krytycznej infrastruktury z załącznika III pkt 2 oraz wdrażającym jest podmiot wymieniony w art. 27 ust. 1. W praktyce oznacza to głównie sektor publiczny i podmioty prywatne pełniące funkcje o charakterze publicznym lub działające w wrażliwych obszarach jak kredyt czy ubezpieczenia.
AI Act explicite wyłącza z obowiązku FRIA wysokie‑ryzyka systemy stosowane jako elementy bezpieczeństwa w zarządzaniu krytyczną infrastrukturą (np. transport, energia, sieci cyfrowe), ponieważ prawodawca uznał, że głównym ryzykiem są tam bezpieczeństwo i ciągłość działania, a nie prawa podstawowe. Jednocześnie wszystkie pozostałe zastosowania wysokiego ryzyka – w szczególności w administracji publicznej, edukacji, zatrudnieniu, migracji, wymiarze sprawiedliwości czy świadczeniach socjalnych – mogą wymagać FRIA, jeśli używa ich podmiot objęty art. 27.
FRIA a inne oceny: DPIA i analizy etyczne
Art. 27 przewiduje, że FRIA może uwzględniać i „nadbudowywać” na innych istniejących ocenach, takich jak DPIA z art. 35 RODO. Jeżeli DPIA obejmuje część zagadnień istotnych dla FRIA (np. ryzyka dla prywatności i ochrony danych), to można ją wykorzystać jako punkt wyjścia, uzupełniając o szerszą perspektywę praw podstawowych.
Jednocześnie samej DPIA co do zasady nie uznaje się za wystarczającą do spełnienia wymogu FRIA, ponieważ nie obejmuje ona wszystkich praw, których może dotyczyć system AI – np. równości, dostępu do usług publicznych czy gwarancji procesowych. FRIA może też integrować wnioski z wewnętrznych analiz etycznych czy audytów algorytmicznych, o ile są one rzetelnie udokumentowane i odnoszą się do konkretnego przypadku użycia.
Jak krok po kroku przeprowadzić FRIA
Choć AI Act nie narzuca jednolitego formularza, art. 27 oraz motyw 96 opisują minimalne elementy, które powinny znaleźć się w FRIA, a AI Office ma opracować ujednolicony kwestionariusz wspierający wdrażających. Na tej podstawie można zbudować praktyczną procedurę krok po kroku.
- Krok 1: Ustalenie, czy FRIA jest wymagana. Sprawdź, czy dany system jest zaklasyfikowany jako wysokiego ryzyka zgodnie z art. 6 i załącznikiem III AI Act oraz czy organizacja należy do kategorii wdrażających wymienionych w art. 27 ust. 1; zweryfikuj także, czy nie zachodzi wyjątek dla krytycznej infrastruktury.
- Krok 2: Opis systemu i procesu biznesowego. Przygotuj opis procesów, w których system AI będzie wykorzystywany, wraz z jego przeznaczeniem, rolą w podejmowaniu decyzji (np. rekomendacje vs. decyzje automatyczne) oraz interakcją z istniejącymi procedurami organizacji.
- Krok 3: Określenie czasu i częstotliwości użycia. Zidentyfikuj okres używania (np. pilotaż, stała eksploatacja) oraz częstotliwość podejmowanych decyzji lub rekomendacji, co pozwala oszacować potencjalną skalę wpływu na prawa podstawowe.
- Krok 4: Identyfikacja kategorii osób i grup dotkniętych. Opisz, których osób i grup dotyczy system – np. uczniowie, osoby bezrobotne, migranci, kredytobiorcy, świadczeniobiorcy systemu socjalnego – ze szczególnym uwzględnieniem grup wrażliwych.
- Krok 5: Identyfikacja ryzyk dla praw podstawowych. Dla każdej kategorii osób określ potencjalne szkody, takie jak dyskryminacja, wykluczenie z dostępu do świadczeń, błędne decyzje administracyjne czy naruszenia godności i autonomii, uwzględniając informacje dostarczone przez dostawcę systemu.
- Krok 6: Ocena prawdopodobieństwa i wagi szkód. Oszacuj, jak prawdopodobne jest wystąpienie opisanych szkód i jak poważne mogą być ich skutki (np. czasowe opóźnienie vs. utrata prawa do świadczenia lub deportacja), stosując podejście oparte na ryzyku.
- Krok 7: Projekt środków zaradczych i nadzoru ludzkiego. Zdefiniuj środki techniczne i organizacyjne ograniczające ryzyka: konfigurację systemu (np. progi decyzyjne), mechanizmy nadzoru ludzkiego, dodatkowe kontrole merytoryczne, monitorowanie jakości danych czy mechanizmy wyjaśniania decyzji.
- Krok 8: Mechanizmy odwoławcze i skargowe. Opisz procedury umożliwiające osobom dotkniętym zaskarżenie decyzji, uzyskanie wyjaśnień, korekt błędów oraz zgłoszenie skargi, a także wewnętrzne mechanizmy obsługi takich zgłoszeń.
- Krok 9: Konsultacje i udział interesariuszy. W miarę możliwości zaangażuj przedstawicieli grup dotkniętych (np. organizacje społeczne, rady interesariuszy) oraz inspektora ochrony danych czy pełnomocnika ds. praw człowieka, aby zweryfikować identyfikację ryzyk i adekwatność środków zaradczych.
- Krok 10: Dokumentacja, decyzja i aktualizacje. Udokumentuj całą ocenę, w tym przyjęte założenia i wnioski, a następnie podejmij decyzję, czy i na jakich warunkach system może zostać wdrożony; FRIA musi być aktualizowana, gdy istotnie zmienia się sposób użycia systemu lub profil ryzyka.
AI Act pozwala, aby w podobnych przypadkach wdrażający opierali się na wcześniejszych FRIA lub ocenach przeprowadzonych przez dostawcę, pod warunkiem że są one adekwatne do konkretnego kontekstu użycia i na bieżąco aktualizowane.
Praktyczne zastosowania FRIA i rekomendacje
FRIA będzie kluczowym narzędziem wszędzie tam, gdzie AI ma realny wpływ na dostęp do usług publicznych lub istotne decyzje dotyczące życia jednostek, jak przyznanie świadczenia, selekcja kandydatów do pracy w administracji czy ocena ryzyka nadużyć w systemach ubezpieczeniowych. Dla jednostek samorządu terytorialnego, urzędów pracy czy instytucji zabezpieczenia społecznego oznacza to konieczność włączenia FRIA do standardowego cyklu projektowego przy wdrażaniu systemów wysokiego ryzyka.
Z perspektywy praktycznej warto:
- wczesne uwzględniać FRIA już na etapie zamówienia systemu, wymagając od dostawcy informacji potrzebnych do oceny wpływu na prawa podstawowe,
- integrować FRIA z istniejącymi DPIA oraz procedurami oceny ryzyka, aby uniknąć dublowania pracy i zapewnić spójność podejścia do zgodności z prawem,
- budować wewnętrzne kompetencje (compliance, prawnicy, specjaliści ds. danych, eksperci ds. praw człowieka) lub korzystać z wyspecjalizowanego wsparcia przy pierwszych FRIA, aby wypracować powtarzalny proces,
- utrzymywać FRIA jako dokument „żywy”, aktualizowany przy większych zmianach modelu, danych, procesów lub w odpowiedzi na incydenty i skargi.
Dobrze przeprowadzona FRIA nie jest jedynie obowiązkiem regulacyjnym, ale praktycznym narzędziem zarządzania ryzykiem, które pozwala wykryć problemy (np. systemowe uprzedzenia w danych) zanim doprowadzą do masowych naruszeń praw obywateli. W połączeniu z obowiązkami dokumentacyjnymi, monitorowaniem systemu po wdrożeniu i możliwością nakładania wysokich kar administracyjnych za naruszenia AI Act, FRIA staje się jednym z kluczowych elementów odpowiedzialnego wdrażania AI w sektorze publicznym i usługach o charakterze publicznym.
Źródła
- Article 27: Fundamental Rights Impact Assessment for High-Risk AI Systems
- Recital 96 – Implementation of fundamental rights impact assessment
- The fundamental rights impact assessment under the AI Act
- AI Act: Fundamental Rights Impact Assessments (FRIA) – GDPR Local
- Fundamental Rights Impact Assessments (FRIAs) under the EU AI Act
- CEDPO – Fundamental Rights Impact Assessments: What are they? How do they work?
- CMS – Fundamental rights impact assessment for high-risk AI systems
- Article 27 FRIA – artificialintelligenceact.com
