Mi a különbség a DPIA és a FRIA között, és összevonható-e a kettő?
Más a védett érdek, a kötelezett és a kiváltó ok. A DPIA az adatkezelőt terheli, tárgya a személyesadat-kezelés; a FRIA az alkalmazót, tárgya az alapjogi hatás. Egyik sem váltja ki a másikat, de a 27. cikk (4) kiegészítő viszonyt ír elő, így egyetlen, kétfejezetes dokumentumban elvégezhetők.
A FRIA kötelezetti köre szűk. A 27. cikk (1) szerint közjogi szervek és közszolgáltatást nyújtó magánszervezetek magas kockázatú rendszereinél kötelező, továbbá bármely alkalmazónál a hitelképesség-értékelő, illetve az élet- és egészségbiztosítási kockázatértékelő rendszereknél. Egy átlagos magyar KKV-t tehát jellemzően nem érint.
Tartalma hat pont: az alkalmazási folyamatok leírása, a használat időtartama és gyakorisága, az érintett személyek és csoportok kategóriái, a rájuk háruló konkrét kárkockázatok, az emberi felügyelet megvalósítása, és a kockázat bekövetkezésére szóló intézkedések a belső panaszkezeléssel együtt. Az eredményről a piacfelügyeleti hatóságot értesíteni kell.
A 27. cikk (4) szerint, ha valamely kötelezettség már teljesült a DPIA keretében, a FRIA azt kiegészíti. A 26. cikk (9) a tükörszabály. Gyakorlati javaslat: egy dokumentum, két elkülönített, egymásra hivatkozó rész — mert az értesítési kötelezettség és a felülvizsgálati trigger eltér. A FRIA eredményéről az AI-Hivatal sablonján kell értesíteni a hatóságot, a DPIA-nál ilyen általános bejelentési kötelezettség nincs.
Nem biztos benne, hogy ez Önökre vonatkozik?
Két perc, tizenkét kérdés, és megkapja, hogy a cége mely kötelezettségek alá esik — regisztráció nélkül.
AI Act ellenőrzés indításaKapcsolódó kérdések
- Kell-e FRIA-t készítenie egy magáncégnek?
- Mi az alapjogi hatásvizsgálat tartalma?
- Kiváltja-e a DPIA a FRIA-t?
- Kinek kell bejelenteni a FRIA eredményét?
- Mikor kötelező adatvédelmi hatásvizsgálat AI-nál?
- Van-e hivatalos FRIA-sablon?
Tovább a tudásbázisban
- Milyen kötelezettségei vannak az alkalmazónak magas kockázatú AI-rendszernél?A 26. cikk tizenkét bekezdést tartalmaz, de nem mind kötelezettség és nem mind mindenkire szól. Egy vásárló magáncégre a mag: a használati útmutató szerinti használat, kompetens emberi felügyelet, a bemeneti adatok relevanciája, a működés monitorozása, a naplók legalább hat hónapos megőrzése, és a hatósággal való együttműködés.
- Hogyan viszonyul egymáshoz az EU AI Act és a GDPR?Párhuzamosan, egymás mellett alkalmazandók — egyik sem váltja ki a másikat. Az AI Act termékbiztonsági logikájú, a GDPR jogalap-logikájú. Egy rendszer lehet AI Act-konform és mégis GDPR-sértő, és fordítva is. A 2. cikk (7) bekezdés kimondja, hogy a rendelet nem érinti az uniós adatvédelmi jogot.
- Magas kockázatú AI-nak számít az önéletrajz-szűrő vagy a HR-értékelő rendszer?Igen. A III. melléklet 4. pontja a toborzástól a munkaviszony megszűnéséig terjedő teljes életciklust lefedi: célzott álláshirdetés-megjelenítés, jelentkezésszűrés, jelöltértékelés, előléptetés, elbocsátás, viselkedés- vagy személyiségalapú feladatkiosztás, valamint a munkavégzés megfigyelése és értékelése. Ez a legtipikusabb vállalati magas kockázatú eset. A megfelelési határidő 2027. december 2., a besorolási döntést viszont már most érdemes írásba foglalni.