Vad är en FRIA?

FRIA är en av de förkortningar i AI-förordningen (AI Act) som är lätt att missa tills den plötsligt blir ett krav. Den står för Fundamental Rights Impact Assessment – konsekvensbedömning avseende grundläggande rättigheter – och regleras i artikel 27. Här är vad den är, vem den gäller och hur den hänger ihop med den dataskyddsbedömning du kanske redan gör.

Vad en FRIA är

En FRIA är en strukturerad bedömning av hur ett AI-system kan påverka människors grundläggande rättigheter, gjord innan systemet tas i drift. Där en teknisk granskning frågar om systemet fungerar, frågar en FRIA vad systemet gör med de människor det berör – och om det riskerar rättigheter som icke-diskriminering, personlig integritet eller rätten till en rättvis behandling.

Poängen är att fånga sådana risker i förväg, medan det fortfarande går att ändra utformningen, i stället för att upptäcka dem när systemet redan påverkar riktiga människor.

Vem träffas

Skyldigheten är avgränsad, och det är viktigt att veta om den gäller dig. FRIA krävs av offentliga aktörer och vissa privata verksamheter innan de tar ett högrisksystem enligt förordningens Bilaga III i drift.

Två villkor ska alltså vara uppfyllda samtidigt: att du hör till kretsen av aktörer som omfattas, och att systemet är klassat som högrisk. Bilaga III listar de användningsområden som räknas som högrisk – bland annat vissa system inom rekrytering, utbildning, kreditbedömning och myndighetsutövning. Är båda villkoren uppfyllda ska bedömningen vara gjord före idriftsättning.

Det är värt att stanna vid ordet “innan”. Kravet är inte att dokumentera i efterhand att systemet var lämpligt, utan att göra bedömningen medan valet fortfarande står öppet. Landar din tillämpning nära någon av kategorierna i Bilaga III är den säkra hållningen att förbereda en FRIA tidigt, även om den slutliga klassningen ännu inte är spikad.

Relationen till DPIA

Om du redan arbetar med dataskydd känner du till DPIA, konsekvensbedömningen enligt GDPR. En vanlig fråga är hur FRIA förhåller sig till den. Svaret är att de kompletterar varandra.

En DPIA fokuserar på risker för personuppgifter: hur data samlas in, behandlas och skyddas. En FRIA vidgar linsen till grundläggande rättigheter i stort – även sådana som inte handlar om personuppgifter, som risken för diskriminering eller inskränkt rätt till en rättvis process. De överlappar, men täcker olika saker.

Det praktiska rådet är därför tydligt: kör dem i samma arbetsflöde i stället för i två separata spår. Mycket av kartläggningsarbetet – vilka berörs, vilka data, vilka risker – är gemensamt. Att dela upp det i två frånkopplade processer skapar dubbelarbete och risk för att bedömningarna säger emot varandra.

Ha mallen klar innan högriskfallet dyker upp

Ett mönster är värt att lyfta. I alla fyra leverantörsgenomgångar i vårt underlag lägger leverantören FRIA-mallen på beställarens bord som en okryssad ruta – ett åtagande som pekas ut som ditt, inte deras. Med andra ord: leverantören påminner om att en FRIA kan behövas, men själva bedömningen är din.

Slutsatsen är att ha mallen klar i förväg. Ett konkret scenario: ett projekt rullar på, och sent i processen visar det sig att systemet faller under Bilaga III. Om FRIA-mallen redan finns framme blir den en naturlig del av designarbetet. Saknas den blir den i stället en bromskloss precis före lansering, när tiden är som knappast. Förberedelse flyttar bedömningen från slutspurten till ritbordet.

Vad bedömningen dokumenterar

Konkret dokumenterar en FRIA fyra saker: vilka grupper som berörs av systemet, vilka risker för deras rättigheter som finns, hur den mänskliga tillsynen är utformad och vilken eskaleringsväg som gäller när något går snett. Tillsammans utgör det ett spårbart underlag som visar att riskerna vägts innan systemet togs i bruk.

Notera att en tom mall inte är en genomförd FRIA. Den blir ett underlag först när den fyllts med er verklighet – era grupper, era flöden, er tillsyn. Vill du ha hjälp att lägga upp AI-arbetet så att den här typen av bedömningar blir en del av designen från början, läs mer om vårt arbete med AI eller hör av dig.