FRIA a DPIA – czym różni się ocena wpływu AI na prawa podstawowe od oceny skutków dla ochrony danych?

Wdrożenie systemu AI w jednostce sektora finansów publicznych (JSFP) może prowadzić do konieczności przeprowadzenia dwóch różnych ocen:

• FRIA – oceny wpływu systemu AI wysokiego ryzyka na prawa podstawowe;
• DPIA – oceny skutków dla ochrony danych osobowych.

Obie dotyczą ryzyka dla ludzi. Obie powinny poprzedzać określone zastosowanie technologii. Obie mogą korzystać z tych samych informacji o systemie, procesie, danych i zabezpieczeniach.

Nie są jednak jednym obowiązkiem.

DPIA z art. 35 RODO koncentruje się na operacjach przetwarzania danych osobowych i wynikającym z nich wysokim ryzyku dla praw i wolności osób.

FRIA z art. 27 AI Act służy natomiast ocenie wpływu określonego zastosowania systemu AI wysokiego ryzyka na szerzej rozumiane prawa podstawowe osób i grup.

DPIA nie zastępuje automatycznie FRIA, a FRIA nie zastępuje DPIA. Obie oceny można jednak prowadzić w jednym procesie i ponownie wykorzystywać wspólne ustalenia.

Po zmianach wprowadzonych rozporządzeniem (UE) 2026/1744 art. 27 ust. 4 pozwala przy FRIA odwoływać się do odpowiednich części DPIA albo włączać je bezpośrednio do FRIA. Dotyczy to zarówno DPIA z art. 35 RODO, jak i oceny skutków przewidzianej w art. 27 dyrektywy (UE) 2016/680.

Stan prawny: 7 września 2026 r.

FRIA i DPIA – różnica w jednym zdaniu

DPIA pyta:

Jak planowane przetwarzanie danych osobowych może naruszyć prawa i wolności osób i jak to ryzyko ograniczymy?

FRIA pyta:

Jak wykorzystanie tego systemu AI wysokiego ryzyka w naszym konkretnym procesie może wpłynąć na prawa podstawowe osób lub grup i jak temu przeciwdziałamy?

DPIA patrzy więc przede wszystkim na przetwarzanie danych.

FRIA – na skutki zastosowania systemu AI w rzeczywistym procesie organizacyjnym i decyzyjnym.

FRIA nie dotyczy każdego systemu AI wysokiego ryzyka

Art. 27 AI Act przewiduje ocenę wpływu systemu AI wysokiego ryzyka na prawa podstawowe przed jego wdrożeniem przez określone kategorie podmiotów stosujących.

Obowiązek ten nie dotyczy jednak każdego podmiotu stosującego każdy system wysokiego ryzyka.

Art. 27 ust. 1 obejmuje systemy wysokiego ryzyka z art. 6 ust. 2, czyli zasadniczo przypadki użycia z załącznika III, z wyjątkiem systemów przeznaczonych do zastosowań z pkt 2 tego załącznika. Adresatami są m.in. podmioty stosujące będące podmiotami prawa publicznego lub prywatnymi podmiotami świadczącymi usługi publiczne, a także podmioty stosujące systemy z załącznika III pkt 5 lit. b i c.

Ale sama obecność przypadku użycia w załączniku III nie kończy kwalifikacji.

Kluczowy etap: art. 6 ust. 3

Art. 6 ust. 3 przewiduje, że system odpowiadający przypadkowi z załącznika III może mimo to nie zostać uznany za system wysokiego ryzyka, jeżeli nie stwarza znaczącego ryzyka szkody dla zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych, w tym nie wpływa istotnie na wynik procesu decyzyjnego.

Może to dotyczyć m.in. systemu, który:

• wykonuje wąsko określone zadanie proceduralne;
• poprawia wynik wcześniej zakończonej czynności człowieka;
• wykrywa wzorce lub odstępstwa od wcześniejszych decyzji, bez zastępowania lub wpływania na wcześniejszą ocenę człowieka bez odpowiedniej weryfikacji;
• wykonuje zadanie przygotowawcze do oceny właściwej dla przypadku z załącznika III.

Jeżeli system z załącznika III profiluje osoby fizyczne, zawsze uznaje się go za system wysokiego ryzyka — wyjątek przewidziany w art. 6 ust. 3 nie znajduje wówczas zastosowania.

Dostawca, który uznaje na podstawie art. 6 ust. 3, że system wymieniony w załączniku III nie jest systemem wysokiego ryzyka, musi przed wprowadzeniem go do obrotu lub oddaniem do użytku udokumentować swoją ocenę.

Praktyczna ścieżka kwalifikacji wygląda więc tak:

czy to system AI → art. 5 → art. 6 ust. 1 lub 2 → jeżeli załącznik III: art. 6 ust. 3 → rola podmiotu → przesłanki art. 27.

Dopiero wtedy można odpowiedzieć, czy FRIA będzie wymagana.

Kiedy obowiązek FRIA zacznie być generalnie stosowany?

Art. 27 znajduje się w sekcjach 1–3 rozdziału III. Po zmianach z 2026 r. przepisy te – z wyjątkiem art. 6 ust. 5 – będą stosowane do systemów klasyfikowanych jako wysokiego ryzyka na podstawie art. 6 ust. 2 i załącznika III od 2 grudnia 2027 r.

Dlatego dalszy opis FRIA przedstawia przede wszystkim docelowy reżim art. 27, który dla typowych systemów z załącznika III zacznie być stosowany od tej daty.

Nie oznacza to, że we wrześniu 2026 r. każda JSFP ma już ustawowy obowiązek wykonania FRIA dla każdego planowanego systemu z załącznika III.

Warto jednak przygotowywać analizę wcześniej – szczególnie gdy postępowanie zakupowe, pilotaż lub integracja rozpoczynają się przed datą rozpoczęcia stosowania obowiązków.

Systemy istniejące – trzeba dodatkowo sprawdzić art. 111

Przy systemach wprowadzonych do obrotu lub oddanych do użytku przed właściwą datą stosowania rozdziału III należy dodatkowo przeanalizować art. 111 AI Act.

Zgodnie z art. 111 ust. 2 wobec takich istniejących systemów wysokiego ryzyka zastosowanie ma szczególny reżim przejściowy. Co do zasady znaczenie ma m.in. to, czy po właściwej dacie system zostanie poddany znaczącym zmianom konstrukcji.

Niezależnie od tego dostawcy i podmioty stosujące systemy wysokiego ryzyka przeznaczone do używania przez organy publiczne mają podjąć niezbędne działania prowadzące do zgodności najpóźniej do 2 sierpnia 2030 r.

Nie można więc automatycznie zakładać, że każdy starszy system używany przez administrację zostanie objęty identycznym reżimem dokładnie 2 grudnia 2027 r.

Szczególny przypadek obowiązujący już obecnie

AI Act przewiduje szczególny przypadek dotyczący stosowania zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznie dostępnej do celów ścigania przestępstw.

W określonych, ściśle ograniczonych sytuacjach art. 5 uzależnia dopuszczalność takiego użycia m.in. od wcześniejszego przeprowadzenia FRIA zgodnie z art. 27.

Jest to jednak szczególny reżim, a nie typowy przypadek wykorzystywania AI przez JSFP.

DPIA – obowiązek, który działa już dziś

DPIA (data protection impact assessment) wynika z art. 35 RODO.

Administrator musi przeprowadzić DPIA przed rozpoczęciem przetwarzania, jeżeli dany rodzaj przetwarzania – w szczególności z wykorzystaniem nowych technologii – ze względu na charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych.

Sam fakt wykorzystania AI nie przesądza więc o obowiązku DPIA. Trzeba badać konkretne operacje przetwarzania.

Art. 35 RODO zwraca szczególną uwagę m.in. na:

• systematyczną i kompleksową ocenę czynników osobowych opartą na zautomatyzowanym przetwarzaniu, gdy stanowi ona podstawę decyzji wywołujących skutki prawne lub podobnie istotnie wpływających na osobę;
• przetwarzanie na dużą skalę szczególnych kategorii danych;
• systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie.

FRIA a DPIA – najważniejsze różnice

W odniesieniu do FRIA tabela przedstawia docelowy reżim art. 27 stosowany do właściwych systemów z załącznika III od 2 grudnia 2027 r., z zastrzeżeniem szczególnych przypadków wynikających z AI Act.

Zakresy obu ocen przecinają się, ale się nie pokrywają.

Co analizuje FRIA?

Art. 27 ust. 1 wymaga uwzględnienia m.in.:

• procesów, w których system będzie wykorzystywany;
• czasu i częstotliwości używania;
• kategorii osób i grup, na które system może oddziaływać;
• konkretnych rodzajów ryzyka szkody;
• sposobu realizacji nadzoru człowieka;
• środków podejmowanych w razie materializacji ryzyka, w tym mechanizmów zarządzania i skarg.

FRIA wychodzi więc poza pytanie o ochronę danych. Może obejmować m.in. ryzyko nierównego traktowania, dyskryminacji, ograniczenia dostępu do świadczeń lub usług, nadmiernego polegania pracownika na rekomendacji AI, braku skutecznej możliwości zakwestionowania wyniku lub szczególnie niekorzystnego wpływu na określoną grupę.

Co analizuje DPIA?

DPIA obejmuje co najmniej:

• opis planowanych operacji przetwarzania i ich celów;
• ocenę niezbędności i proporcjonalności;
• ocenę ryzyka dla praw i wolności osób;
• środki ograniczające ryzyko i zabezpieczenia zapewniające zgodność.

W przypadku systemu AI w praktyce trzeba często przeanalizować również podstawę prawną, źródła i kategorie danych, minimalizację, retencję, dostęp i odbiorców, relację administrator–podmiot przetwarzający, transfery danych, bezpieczeństwo, realizację praw osób, profilowanie i zautomatyzowane podejmowanie decyzji.

FRIA sama w sobie tych obowiązków nie zastępuje.

Status JSFP a „podmiot prawa publicznego”

Jednostka sektora finansów publicznych jest kategorią polskiego prawa krajowego. Art. 27 AI Act posługuje się natomiast unijnym pojęciem „podmiotu prawa publicznego”.

Nie należy więc automatycznie przyjmować:

JSFP = podmiot prawa publicznego na potrzeby art. 27.

AI Act nie zawiera w art. 3 odrębnej definicji tego pojęcia ani wyraźnego odesłania w art. 27 do dyrektyw zamówieniowych.

Istotnym punktem odniesienia mogą być kryteria znane z prawa zamówień publicznych UE. Dyrektywa 2014/24/UE określa „podmiot prawa publicznego” jako podmiot utworzony w celu zaspokajania potrzeb w interesie ogólnym niemających charakteru przemysłowego ani handlowego, posiadający osobowość prawną oraz spełniający dodatkowe kryteria dotyczące finansowania, nadzoru lub sposobu powoływania organów.

Nie oznacza to jednak, że kwalifikację z prawa zamówień można mechanicznie przenieść do art. 27 AI Act. Kryteria te należy traktować jako istotny punkt odniesienia, a nie automatyczne rozstrzygnięcie.

Praktyczna analiza powinna uwzględniać m.in.:

1. charakter i podstawę zadań podmiotu;
2. jego formę organizacyjną i osobowość prawną;
3. sposób finansowania;
4. zakres kontroli ze strony władz publicznych;
5. sposób obsady organów;
6. konkretną funkcję wykonywaną przy użyciu AI.

Wynik takiej analizy warto udokumentować.

Przykład: AI wspiera przyznawanie świadczenia

Załóżmy, że organ publiczny wdraża system analizujący informacje zawarte we wnioskach i wspierający pracownika w ocenie kwalifikowalności osoby.

Załącznik III pkt 5 lit. a obejmuje systemy przeznaczone do wykorzystywania przez organy publiczne lub w ich imieniu do oceny kwalifikowalności osób fizycznych do „podstawowych świadczeń i usług publicznych, w tym opieki zdrowotnej”, a także do przyznawania, ograniczania, odwoływania lub żądania zwrotu takich świadczeń i usług.

Nie każde świadczenie publiczne automatycznie należy więc do tej kategorii.

Po dopasowaniu przypadku do załącznika III trzeba dodatkowo przeprowadzić test art. 6 ust. 3. Należy zbadać m.in., czy system wykonuje tylko wąskie zadanie proceduralne albo przygotowawcze i czy istotnie wpływa na wynik procesu decyzyjnego.

Jeżeli system profiluje osoby fizyczne, wyjątek przewidziany w art. 6 ust. 3 nie znajduje zastosowania.

Jeżeli po tej analizie system pozostaje wysokiego ryzyka, a podmiot stosujący jest objęty art. 27, po rozpoczęciu stosowania tego przepisu potrzebna będzie FRIA – z uwzględnieniem przepisów przejściowych art. 111.

Równolegle należy przeprowadzić test konieczności DPIA.

FRIA będzie pytać m.in.:

• jakie grupy osób mogą zostać dotknięte błędem;
• czy wynik może ograniczać dostęp do świadczenia;
• czy określone grupy są bardziej narażone na błędną ocenę;
• czy pracownik może odrzucić rekomendację;
• jakie istnieją mechanizmy skargowe i korygujące.

DPIA będzie pytać dodatkowo:

• jakie dane osobowe są używane i na jakiej podstawie;
• czy są niezbędne i czy występują szczególne kategorie danych;
• kto ma dostęp i jak długo dane są przechowywane;
• czy dostawca działa jako podmiot przetwarzający;
• jakie zabezpieczenia zastosowano.

Ten przykład dobrze pokazuje, dlaczego jedna wspólna baza faktów jest racjonalna, ale jedna analiza prawna nie wystarczy.

Czy DPIA może zastąpić FRIA?

Nie automatycznie.

Po zmianie art. 27 ust. 4, jeżeli niektóre obowiązki wymagane w FRIA zostały już spełnione w DPIA z art. 35 RODO albo w ocenie przeprowadzonej na podstawie art. 27 dyrektywy 2016/680, podmiot stosujący może:

• odwołać się do odpowiednich sekcji tej oceny;
• albo włączyć odpowiednie części do FRIA.

Nie oznacza to:

„mamy DPIA, więc mamy FRIA”.

Trzeba nadal sprawdzić wszystkie elementy wymagane przez art. 27.

UODO dodatkowo podkreśla, że opublikowane przez urząd checklisty dla wdrażania AI nie zastępują ani analizy ryzyka, ani DPIA, ani oceny wpływu na prawa podstawowe.

A co z dyrektywą policyjną?

Artykuł koncentruje się na DPIA z art. 35 RODO, ponieważ będzie to najczęstsza sytuacja w JSFP.

Trzeba jednak pamiętać, że art. 27 ust. 4 AI Act odwołuje się również do art. 27 dyrektywy (UE) 2016/680.

W działalności właściwych organów związanej z zapobieganiem, wykrywaniem, ściganiem i zwalczaniem przestępczości zastosowanie może więc mieć odrębny reżim ochrony danych. Dyrektywa również przewiduje obowiązek wcześniejszej oceny skutków dla ochrony danych przy przetwarzaniu mogącym powodować wysokie ryzyko dla praw i wolności osób.

Nie należy więc utożsamiać każdej oceny skutków w sektorze publicznym wyłącznie z art. 35 RODO.

Podmiot stosujący nie zawsze jest administratorem

FRIA wykonuje podmiot stosujący objęty art. 27. DPIA wykonuje administrator danych osobowych.

Często będzie to ta sama organizacja, ale nie zawsze. Dlatego przed rozpoczęciem ocen warto przygotować dwie oddzielne macierze:

role na gruncie AI Act
oraz
role na gruncie RODO lub innego właściwego reżimu ochrony danych.

Nie wolno jednej roli automatycznie wyprowadzać z drugiej.

Dostawca pomaga, ale nie przejmuje odpowiedzialności za FRIA

Art. 27 pozwala przy podobnych przypadkach opierać się na wcześniej wykonanych FRIA lub istniejących ocenach wpływu przygotowanych przez dostawcę.

Nie przenosi to jednak obowiązku FRIA z podmiotu stosującego na dostawcę.

Dokumentacja dostawcy może dobrze opisywać architekturę, ograniczenia, jakość systemu, znane ryzyka i mechanizmy nadzoru. Nie musi jednak obejmować konkretnego procesu administracyjnego, lokalnej populacji, rzeczywistej roli pracowników, dostępnych środków odwoławczych, lokalnych uwarunkowań dostępności ani konkretnego wpływu na osoby i grupy.

Materiał dostawcy jest więc wkładem do FRIA, a nie automatycznie jej wykonaniem.

FRIA i DPIA – jeden proces, dwa wyniki

Najbardziej efektywny model dla JSFP to jeden proces oceny wpływu z dwiema ścieżkami prawnymi.

1. Opisz przypadek użycia

Zbierz raz informacje o systemie i dostawcy, celu, procesie, użytkownikach, osobach potencjalnie dotkniętych wpływem, źródłach danych, przewidywanych wynikach oraz roli wyniku AI w końcowej decyzji.

2. Wykonaj kwalifikację AI Act

system AI → art. 5 → art. 6 ust. 1 lub 2 → załącznik III → art. 6 ust. 3 → status podmiotu → art. 27 → art. 111.

3. Wykonaj screening DPIA

dane osobowe → właściwy reżim ochrony danych → administrator → charakter, zakres, kontekst i cele → wysokie ryzyko.

4. Zbuduj wspólną bazę faktów

Nie opisuj dwa razy systemu, procesu, osób, danych, zabezpieczeń i mechanizmów nadzoru.

5. Rozwiń dwie analizy

DPIA: legalność i proporcjonalność przetwarzania, minimalizacja, retencja, bezpieczeństwo, prawa osób.

FRIA: szerszy wpływ na prawa podstawowe, grupy dotknięte, nadzór człowieka, mechanizmy skargowe i działania na wypadek materializacji ryzyka.

6. Przyjmij wspólny plan zabezpieczeń

Ten sam środek może ograniczać ryzyka w obu ocenach. Przykładowo pracownik przed wykorzystaniem rekomendacji AI sprawdza materiał źródłowy i może ją odrzucić. Może to ograniczać jednocześnie ryzyko błędnego rozstrzygnięcia, nadmiernego polegania na automatyzacji, dyskryminacji i naruszenia praw osoby.

7. Zamknij obowiązki odrębnie

DPIA: dokumentacja administratora oraz – gdy występują przesłanki – uprzednie konsultacje z art. 36 RODO.

FRIA: po rozpoczęciu stosowania art. 27 – kompletna ocena oraz co do zasady powiadomienie organu nadzoru rynku o jej wynikach, z uwzględnieniem przewidzianych wyjątków. Art. 27 ust. 3 przewiduje takie powiadomienie po wykonaniu oceny.

Jedna baza faktów → dwa testy prawne → wspólne zabezpieczenia → odrębne dowody wykonania obowiązków.

Checklista: FRIA, DPIA czy obie?

Test AI Act

• ☐ Czy rozwiązanie jest systemem AI?
• ☐ Czy sprawdzono art. 5?
• ☐ Czy system odpowiada przypadkowi z art. 6 ust. 2 i załącznika III?
• ☐ Czy przeprowadzono test art. 6 ust. 3?
• ☐ Czy system profiluje osoby fizyczne, co wyklucza skorzystanie z wyjątku przewidzianego w art. 6 ust. 3?
• ☐ Czy przypadek nie należy do wyłączenia dotyczącego załącznika III pkt 2?
• ☐ Czy ustalono status podmiotu stosującego na potrzeby art. 27?
• ☐ Czy przeanalizowano art. 111 dla systemów istniejących?
• ☐ Czy po rozpoczęciu stosowania art. 27 powstanie obowiązek FRIA?

Test ochrony danych

• ☐ Czy przetwarzane są dane osobowe?
• ☐ Jaki reżim ma zastosowanie: RODO czy szczególny reżim właściwych organów?
• ☐ Kto jest administratorem?
• ☐ Czy przeprowadzono test wysokiego ryzyka?
• ☐ Czy występuje profilowanie lub automatyczna ocena osób?
• ☐ Czy przetwarzane są szczególne kategorie danych?
• ☐ Czy DPIA jest wymagana?

Wspólny proces

• ☐ Czy istnieje jeden aktualny opis systemu i przypadku użycia?
• ☐ Czy obie analizy korzystają z tej samej bazy faktów?
• ☐ Czy sekcje DPIA wykorzystane w FRIA są jednoznacznie wskazane?
• ☐ Czy FRIA obejmuje ryzyka dla praw podstawowych niewystarczająco opisane w DPIA?
• ☐ Czy zabezpieczenia są zarządzane w jednym planie działań?
• ☐ Czy oddzielnie zamknięto formalne obowiązki obu reżimów?
• ☐ Czy określono zdarzenia wymagające ponownego przeglądu ocen?

Podsumowanie

FRIA i DPIA są blisko powiązane, ale odpowiadają na różne pytania.

DPIA analizuje przede wszystkim ryzyko wynikające z przetwarzania danych osobowych. FRIA analizuje szerszy wpływ konkretnego zastosowania systemu AI wysokiego ryzyka na prawa podstawowe osób i grup.

Dlatego pytanie nie powinno brzmieć:

„FRIA czy DPIA?”

lecz:

„Czy w tym przypadku spełnione są przesłanki FRIA, DPIA albo obu ocen – i które elementy możemy przeanalizować wspólnie?”

Najbardziej efektywny model dla JSFP to: jeden proces analityczny, wspólna baza faktów i zabezpieczeń, ale dwa odrębne testy prawne i odrębne dowody zgodności.

Podstawy prawne i materiały

• AI Act – tekst skonsolidowany na 27 lipca 2026 r.
• Rozporządzenie (UE) 2026/1744 zmieniające AI Act
• RODO – tekst urzędowy
• Dyrektywa (UE) 2016/680 – tekst urzędowy
• UODO – „Zanim wdrożysz narzędzie AI, sprawdź, czy jest ono zgodne z zasadami RODO”