DPIA eller FRIA — hva er forskjellen?

To vurderinger, to hjemler

DPIA (personvernkonsekvensvurdering) følger av GDPR artikkel 35 og handler om risiko for de registrerte når personopplysninger behandles.

FRIA (Fundamental Rights Impact Assessment) følger av KI-forordningen og handler om hvordan bruk av et høyrisiko-KI-system påvirker grunnleggende rettigheter — likebehandling, ytringsfrihet, rettssikkerhet, tilgang til tjenester.

Hvem må gjøre FRIA?

Plikten treffer særlig offentlige organer og private som utfører offentlige oppgaver eller leverer visse tjenester, når de tar i bruk et høyrisiko-system. Kommuner, NAV-lignende tjenester, utdanning og helse er typiske tilfeller.

Slik henger de sammen

Behandler systemet personopplysninger og er høy risiko, trenger du begge. Deler av arbeidet kan gjenbrukes: systembeskrivelse, kartlegging av berørte grupper, tiltaksliste og styringsmodell er felles.

Det FRIA krever i tillegg

• Beskrivelse av prosessen systemet skal brukes i, og i hvilken periode
• Hvilke grupper som berøres, og hvordan
• Særskilt vurdering av risiko for skjevhet og forskjellsbehandling
• Menneskelig tilsyn: hvem kan overstyre, og på hvilket grunnlag
• Klage- og rettemuligheter for de berørte

Praktisk rekkefølge

1. Klassifiser systemet etter KI-forordningen.
2. Er det høy risiko og du er ibruktaker i offentlig sektor: planlegg FRIA.
3. Behandles personopplysninger: vurder DPIA parallelt.
4. Skriv én systembeskrivelse som begge vurderingene bygger på.
5. Samle tiltakene i én liste med eier og frist.

Én tiltaksliste på tvers av DPIA og FRIA er den enkleste måten å unngå dobbeltarbeid.