FRIA w AI Act — ocena wpływu na prawa podstawowe i nowe terminy stosowania

Stan prawny: 2026-10-17. Pogłębiona analiza WILIŃSKI LEGAL.

Odpowiedź w skrócie

Art. 27 AI Act przewiduje ocenę wpływu na prawa podstawowe dla określonych podmiotów stosujących systemy AI wysokiego ryzyka. Po nowelizacji z 2026 r. stosowanie odpowiednich przepisów dotyczących systemów z załącznika III odroczono do 2 grudnia 2027 r., a systemów produktowych z załącznika I do 2 sierpnia 2028 r. FRIA nie jest ogólnym obowiązkiem każdej firmy korzystającej z AI.

Czym różni się FRIA od DPIA

Ocena wpływu na prawa podstawowe obejmuje znacznie szerszy zakres niż zwykłe bezpieczeństwo przetwarzania danych. Może dotyczyć ryzyka dyskryminacji, ograniczenia dostępu do świadczeń, braku skutecznej kontroli człowieka, wolności wyrażania poglądów i prawa do skutecznego środka ochrony. DPIA z art. 35 RODO koncentruje się na ochronie danych osobowych. Te procedury mogą się uzupełniać, ale nie powinny być utożsamiane. Znowelizowany art. 27 pozwala wykorzystywać odpowiednie ustalenia DPIA poprzez odwołania.

Zakres podmiotowy obowiązku

Art. 27 nie obejmuje wszystkich użytkowników popularnych modeli językowych. Odnosi się do określonych podmiotów stosujących systemy wysokiego ryzyka, w szczególności organów publicznych, części podmiotów świadczących usługi publiczne oraz wskazanych podmiotów prywatnych używających określonych systemów. Prawidłowa analiza wymaga ustalenia roli podmiotu jako deployera, klasyfikacji systemu i zastosowania konkretnej kategorii z załącznika III. Ogólna etykieta „AI w firmie” nie jest dostateczną podstawą do uznania, że FRIA jest obowiązkowa.

Odroczenie do grudnia 2027 r.

Rozporządzenie (UE) 2026/1744 zmieniło kalendarz stosowania przepisów rozdziału III dotyczących systemów wysokiego ryzyka. Dla samodzielnych systemów klasyfikowanych na podstawie art. 6 ust. 2 i załącznika III nowa zasadnicza data to 2 grudnia 2027 r. Nie wolno przedstawiać obowiązku z art. 27 jako powszechnie egzekwowalnego już w październiku 2026 r. Organizacje mogą przygotowywać się wcześniej, ale powinny odróżniać obowiązujące przepisy od przyszłych wymagań.

Systemy produktowe i sierpień 2028 r.

Dla systemów wysokiego ryzyka powiązanych z regulowanymi produktami z załącznika I, klasyfikowanych według art. 6 ust. 1, ustawodawca przewidział termin 2 sierpnia 2028 r. Nie można mechanicznie przenosić tej daty na każdą usługę publiczną czy każdy system rekrutacyjny. W praktyce duże znaczenie ma poprawna klasyfikacja i identyfikacja daty właściwej dla konkretnych obowiązków. Niektóre inne przepisy AI Act obowiązują już wcześniej, niezależnie od tego odroczenia.

Co powinna obejmować przyszła ocena

Analiza FRIA powinna opisywać proces, w którym system ma być używany, czas i częstotliwość zastosowania, kategorie osób dotkniętych oraz potencjalne szkody dla ich praw. Potrzebne są mechanizmy nadzoru człowieka, zarządzanie skargami i sposoby ograniczania ryzyk. Nie wystarczy wypełnić ankiety o zakupionym produkcie ani przepisać zapewnień dostawcy. Ocena musi odpowiadać faktycznej praktyce instytucji, danym wejściowym i skutkom decyzji podejmowanych przy użyciu systemu.

Dlaczego kontekst wdrożenia jest kluczowy

Identyczny model może być wykorzystywany w różnych procesach organizacyjnych, z odmiennym wpływem na ludzi. System wspierający selekcję kandydatów do pracy ma inne ryzyka niż rozwiązanie do organizowania dokumentacji urzędowej. FRIA powinna oceniać funkcję systemu, możliwość zakwestionowania decyzji i potencjalne grupy narażone na negatywne skutki. Brak takiego kontekstu sprowadza proces do listy abstrakcyjnych zagrożeń i nie pozwala właściwie dobierać środków zaradczych.

Kontrola człowieka i wyjaśnianie decyzji

Ocena powinna szczegółowo ustalać, kiedy człowiek może zatrzymać działanie systemu, skorygować wynik i przeprowadzić kontrolę podstaw decyzji. Samo umieszczenie przycisku „zatwierdź” nie oznacza skutecznego nadzoru, jeśli operator nie rozumie ograniczeń modelu. Organizacja powinna zapewnić odpowiednie szkolenia i udokumentować możliwość reakcji na błędy. Szczególnie w procesach decydujących o dostępie do usług publicznych ważna jest realna ścieżka odwoławcza.

Zgłaszanie i aktualizacja oceny

Art. 27 przewiduje określone zasady dokonania oceny, jej aktualizowania i zawiadamiania organu zgodnie z odpowiednią procedurą. Nie należy zakładać, że raz sporządzona FRIA na zawsze pokrywa wszystkie późniejsze zmiany modelu lub celu zastosowania. Aktualizacji mogą wymagać nowe kategorie danych, zmienione grupy odbiorców i istotne zmiany sposobu nadzoru. Warto już dziś zaplanować właściciela procesu, rejestr wersji i sposób dokumentowania decyzji o zmianie systemu.

Przykład i konkluzja

Organ planuje w 2027 r. zastosować system oceniający wnioski o określone świadczenia. Przed wdrożeniem powinien ustalić, czy system jest wysokiego ryzyka, jaka data stosowania obowiązków jest właściwa i czy instytucja należy do podmiotów objętych art. 27. Następnie należy ocenić ryzyko błędnego wykluczenia, niejawnej dyskryminacji i możliwości odwołania. Dobra FRIA ma znaczenie operacyjne; nie jest dekoracyjnym dokumentem compliance.

Lista kontrolna i dokumenty

1. Ustal właściwy stan prawny, terminy i zakres zastosowania przepisu.
2. Odtwórz fakty oraz przygotuj dokumentację źródłową.
3. Rozdziel prawa i obowiązki zainteresowanych podmiotów.
4. Zidentyfikuj wyjątki, kontrargumenty i skutki proceduralne.
5. Sprawdź wdrożenie obowiązków w praktyce i sposób dokumentowania wyniku.

Źródła urzędowe

Art. 27 i 113 rozporządzenia (UE) 2024/1689, zmienionego rozporządzeniem (UE) 2026/1744 (Digital Omnibus on AI).

• Oficjalny akt prawny
• Ustawa zmieniająca / nowelizacja

Artykuł stanowi materiał informacyjny, nie zastępuje analizy indywidualnej sprawy.