Vad är en FRIA-bedömning och när behöver man göra den?

En FRIA (Fundamental Rights Impact Assessment) är en bedömning av hur ett högrisk-AI-system påverkar enskildas grundläggande rättigheter, som driftsansvariga inom offentlig sektor måste göra innan systemet tas i bruk. Kravet följer av artikel 27 i EU:s AI-förordning.

Varför det spelar roll

En FRIA är skillnaden mellan att kontrollera ett AI-systems tekniska risk och att kontrollera dess mänskliga risk. Ett kreditbeslut, ett biståndsbeslut eller en prioritering i en vårdkö fattas inte i ett vakuum. Det träffar en person som har rätt till likabehandling, till att förstå beslutet och till att överklaga det. FRIA tvingar fram den frågan innan systemet rör en enda verklig medborgare.

För offentlig sektor är detta inte en formalitet vid sidan av. Det är myndighetsutövning i ny form. När en kommun låter ett AI-system stödja beslut om försörjningsstöd står rättssäkerheten på spel på ett sätt som ett rent dataskyddsperspektiv inte fångar. DPIA frågar om uppgifterna behandlas rätt. FRIA frågar om människan behandlas rätt.

Tidslinjen gör frågan akut just nu, av ett skäl som är lätt att missförstå. Det ursprungliga datumet för högrisk-skyldigheterna är 2 augusti 2026. I maj 2026 enades rådet och Europaparlamentet preliminärt om att skjuta upp dem till 2 december 2027 inom förenklingspaketet Digital Omnibus (källa: Consilium, 2026-05-07). Men uppskovet är ännu inte lag. Det kräver formellt antagande och publicering i EU:s officiella tidning. En svensk aktör som planerar mot det uppskjutna datumet bygger på regler som ännu inte är beslutade.

Hur det fungerar

En FRIA är en kvalitativ rättighetsanalys, inte en kryssruta. Artikel 27.1 i AI-förordningen anger sex innehållsdelar som varje bedömning måste täcka. De fungerar som en arbetsgång.

Steg	Vad ni dokumenterar	Källa i artikel 27.1
1. Process	Era processer där systemet ska användas enligt avsett ändamål	(a)
2. Tidsperiod	Hur länge och hur ofta systemet ska användas	(b)
3. Berörda	Kategorier av personer och grupper som sannolikt påverkas	(c)
4. Risker	Specifika risker för skada för dessa grupper, med leverantörens information som underlag	(d)
5. Tillsyn	Hur mänsklig tillsyn genomförs enligt bruksanvisningen	(e)
6. Åtgärder	Vad ni gör om en risk materialiseras, inklusive intern styrning och klagomålsmekanism	(f)

När bedömningen är klar ska ni anmäla resultaten till marknadskontrollmyndigheten (källa: AI-förordningen artikel 27.3, 2024). I Sverige föreslår SOU 2025:101 att Post- och telestyrelsen får huvudansvaret för marknadskontroll, medan Integritetsskyddsmyndigheten och Finansinspektionen delar ansvar inom sina områden (källa: SOU 2025:101, 2025-10-06).

Har ni redan gjort en DPIA enligt artikel 35 GDPR ska FRIA komplettera den, inte ersätta den. Det betyder att överlappande delar, kartläggningen av berörda personer, riskidentifieringen, kan återanvändas. FRIA lägger till rättighetsperspektivet ovanpå.

När det passar

FRIA passar varje gång er organisation tar i bruk ett högrisk-AI-system enligt Annex III. Den gäller om ni dessutom är en av de driftsansvariga som artikel 27 pekar ut. I praktiken handlar det om offentlig sektor och om beslut som rör människors livssituation.

• En kommun som inför AI-stöd i handläggning av ekonomiskt bistånd.
• En region som använder AI för prioritering i vårdköer.
• En myndighet som tar i bruk biometrisk identifiering eller riskprofilering.
• En bank eller försäkringsgivare som automatiserar kreditbedömning eller premiesättning.

Den passar också när ni vill bygga kapacitet i förväg. En FRIA är en analys som tar månader att lära sig göra väl. Att öva på den nu, innan plikten är skarp, är den ansvarsfulla hållningen, inte minst eftersom DPIA-arbetet enligt GDPR ändå måste göras.

När det inte passar

En FRIA är fel verktyg om systemet inte är högrisk. AI-förordningen är riskbaserad. Ett internt schemaläggningsverktyg eller en chattbot som svarar på allmänna frågor utlöser ingen FRIA-skyldighet. Att göra en full rättighetsbedömning för varje AI-användning är slöseri som dessutom döljer var de verkliga riskerna sitter.

Den passar inte heller som ersättning för en DPIA. De två bedömningarna svarar på olika frågor, och en FRIA löser inte era dataskyddskrav. Gör båda där båda krävs.

Och den passar inte som efterhandskonstruktion. Artikel 27 kräver att bedömningen görs innan systemet används första gången. En FRIA som skrivs ihop efter driftstart för att bocka av en revision missar hela poängen: att fånga rättighetsrisken medan ni fortfarande kan ändra på den.

Slutligen är ren transparensskyldighet inte samma sak. Skyldigheten i artikel 50 att informera den som interagerar med ett AI-system gäller från 2 augusti 2026 och påverkas inte av uppskovet för högrisk (källa: Gibson Dunn, 2026-05-27). Den löser ni med en upplysning, inte med en FRIA.

Konkret exempel

Tänk er en mellanstor svensk kommun. Den vill införa ett AI-system som förutsäger vilka hushåll som riskerar långvarigt försörjningsstöd, så att socialtjänsten kan rikta tidiga insatser. Systemet klassas som högrisk eftersom det påverkar tillgången till en offentlig förmån.

Kommunen är driftsansvarig och offentligrättsligt organ. FRIA-skyldigheten gäller. Arbetsgången blir konkret. I steg tre identifierar kommunen att systemet sannolikt träffar grupper som redan är överrepresenterade i statistiken, ensamstående föräldrar, nyanlända, personer med funktionsnedsättning. I steg fyra blir den specifika risken tydlig: att modellen lär sig av historiska mönster och därmed cementerar en bias mot just dessa grupper. I steg fem fastställer kommunen att en handläggare alltid fattar det faktiska beslutet, aldrig systemet. I steg sex bygger kommunen in en klagomålsväg så att en enskild kan begära att beslutet omprövas av en människa.

Resultatet är inte att systemet stoppas. Resultatet är att kommunen vet var risken sitter och har dokumenterat hur den hanteras, innan första hushållet bedöms. Det är skillnaden mellan ansvarsfull AI på papperet och i drift.

På Digitalist möter vi den här typen av bedömningar genom vårt arbete med AI-styrning för offentlig sektor. Vi är ISO/IEC 42001-certifierade av DNV Business Assurance, vilket innebär att riskbedömning, mänsklig tillsyn och klagomålshantering redan är inbyggt i hur vi tar fram AI-system, inte påklistrat efteråt.

Vanliga missförstånd

“Uppskovet ger oss tid att vänta.” Den preliminära Digital Omnibus-överenskommelsen från maj 2026 skjuter på datumet, men den är ännu inte lag. Tills den antas och publiceras i EU:s officiella tidning gäller 2 augusti 2026 rättsligt (källa: Covington/Inside Privacy, 2026). En organisation som väntar in det uppskjutna datumet planerar mot regler som ännu inte finns.

“FRIA är bara en DPIA till.” De överlappar i underlag men inte i syfte. DPIA skyddar personuppgifter, FRIA skyddar grundläggande rättigheter. Civilsamhällesorganisationer som ECNL har dessutom kritiserat uppskovet just för att det riskerar att försvaga rättighetsskyddet (källa: ECNL, 2026). Den som behandlar FRIA som en formalitet missar varför den finns.

“Leverantören sköter det åt oss.” Artikel 27 lägger skyldigheten på driftsansvarig. Leverantörens information om systemets risker är ett obligatoriskt underlag i steg fyra, men bedömningen av er faktiska användning kan ingen annan göra åt er.

Den färska, ansvarsfulla positionen 2026 är inte att vänta in ett datum som ännu inte är beslutat. Det är att kartlägga era högrisk-system, öva på rättighetsanalysen och ha kapaciteten på plats den dag plikten blir skarp.