A avaliação de impacto em direitos fundamentais (FRIA) é o documento em que quem implanta um sistema de IA de alto risco descreve o uso, as pessoas afetadas, os riscos de dano aos seus direitos, a supervisão humana e as medidas se os riscos se concretizarem. O art. 27 do AI Act europeu a exige de órgãos públicos, de quem presta serviço público e de quem usa IA para crédito ou seguro de vida e de saúde.
Como usar
- Informe o sistema, quem o implanta e a finalidade prevista, ou importe do RIPD ou do classificador de risco.
- Responda à triagem: o sistema é de alto risco e o perfil de quem implanta está no alcance do art. 27?
- Descreva os processos, o período e a frequência de uso e as pessoas e grupos afetados, incluindo os vulneráveis.
- Liste os riscos por direito fundamental com probabilidade, gravidade e a medida que reduz cada um.
- Registre a supervisão humana, a governança e o canal de reclamação, e exporte o rascunho em DOCX e a tabela em CSV.
O que cada campo pede
| Campo | O que preencher |
|---|---|
| Nome do sistema de IA | Como o sistema é conhecido na organização. |
| Responsável pela implantação | A organização que usa o sistema sob a sua autoridade. |
| Finalidade prevista | O que o sistema faz, conforme as instruções de uso do fornecedor. |
| O sistema é de alto risco pelo AI Act? | Use a sua classificação ou o resultado do classificador de risco do AI Act. |
| Perfil de quem implanta | Marque o que se aplica. Sem nenhum, o art. 27 não exige a FRIA. |
| a) Processos em que o sistema é usado | Como o sistema entra no processo de trabalho, quem usa o resultado e o que é decidido. |
| b) Período de uso | Desde quando e por quanto tempo o sistema será usado. |
| b) Frequência de uso | Escolha |
| c) Pessoas e grupos afetados | Categorias de pessoas físicas e grupos que o uso pode afetar. Uma por linha. |
| c) Grupos vulneráveis entre os afetados | Marque os grupos que pedem cuidado específico. |
| Medidas específicas para grupos vulneráveis | O que muda no processo para proteger esses grupos. |
| Direito afetado | |
| Dano possível e grupo afetado | Ex.: taxa de recusa maior para certas faixas etárias |
| Probabilidade | |
| Gravidade | |
| Medida | Ex.: teste de viés por grupo a cada trimestre |
| e) Responsável pela supervisão humana | O cargo de quem responde pela supervisão, não o nome da pessoa. |
| e) Medidas de supervisão humana | Como as pessoas acompanham e corrigem o sistema, conforme as instruções de uso. |
| f) Medidas se os riscos se concretizarem | Governança interna: quem decide, como suspender o sistema, como corrigir e comunicar. |
| f) Há canal de reclamação para as pessoas afetadas? | Escolha |
| Existe RIPD (DPIA) para este uso? | A FRIA pode reaproveitar ou incorporar o RIPD. |
| Data da próxima revisão | Ex.: 30/04/2027 |
Exemplo
Uma varejista fictícia usa um sistema comprado de um fornecedor para pontuar pedidos de crédito parcelado, uso de alto risco do anexo III com perfil de crédito: a FRIA é exigida. Dos quatro riscos listados, o de discriminação tem nível inerente alto e cai para médio com o teste de viés trimestral; o de privacidade cai para baixo; o de acesso a serviços fica em médio porque a gravidade é alta; o de recurso efetivo, sem medida, fica em médio e gera aviso. O risco residual geral é médio, os seis elementos do art. 27(1) estão preenchidos e os próximos passos incluem definir a medida que falta e comunicar o resultado à autoridade.
Quando usar
- Antes do primeiro uso de um sistema de alto risco por um órgão público ou por quem presta serviço público.
- Quando um banco, uma varejista ou uma seguradora passa a usar IA para crédito ou para seguro de vida e de saúde.
- Quando o RIPD de um sistema de IA já existe e falta cobrir os direitos além da proteção de dados.
- Quando o uso muda: nova finalidade, novo grupo de pessoas afetadas ou nova versão do sistema.
Perguntas frequentes
Quem precisa fazer a FRIA?
Pelo art. 27 do AI Act, quem implanta um sistema de alto risco do anexo III e é organismo de direito público ou entidade privada que presta serviço público. Também quem usa o sistema para avaliar crédito de pessoas ou para precificar seguro de vida e de saúde. Sistemas usados só em infraestrutura crítica ficam fora.
Qual a diferença entre FRIA e RIPD (DPIA)?
O RIPD avalia riscos do tratamento de dados pessoais. A FRIA olha todos os direitos fundamentais afetados pelo uso do sistema, como não discriminação, acesso a serviços e recurso efetivo, e cobre supervisão humana e reclamações. Pelo AI Act, alterado pelo Regulamento (UE) 2026/1744, a FRIA pode reaproveitar ou incorporar o RIPD.
Como a ferramenta calcula o risco de cada direito?
O nível inerente é a probabilidade vezes a gravidade, cada uma de 1 a 3. Com medida registrada, o residual desce um nível, mas gravidade alta nunca fica abaixo de médio. O residual geral é o maior residual e sobe um nível se faltar responsável pela supervisão humana ou canal de reclamação.
Preciso comunicar a FRIA a alguma autoridade?
O art. 27 pede que quem implanta comunique o resultado à autoridade de fiscalização do mercado, e o AI Office fornece um modelo de questionário para isso. Confira no texto oficial o procedimento vigente.
E se a FRIA não for exigida no meu caso?
A ferramenta diz quando o art. 27 não exige a avaliação. Mesmo assim, fazê-la pode ser boa prática quando o sistema afeta pessoas de forma relevante, e o documento serve como evidência de diligência.
O resultado é parecer jurídico ou garante conformidade?
Não. É uma ferramenta educativa que gera um rascunho estruturado. Não é auditoria nem certificação da organização. Revise com a assessoria jurídica e confira as regras vigentes do AI Act, que foram alteradas.
Qual certificação DPCert cobre a FRIA?
A RAIP (Responsible AI Practitioner) avalia a avaliação de risco e de impacto de sistemas de IA, incluindo a FRIA. A DPAI (Data Protection & AI Professional) aprofunda a privacidade em IA e a ligação com o RIPD. A certificação demonstra o conhecimento das pessoas, não a conformidade da organização.