Grundrechte-Folgenabschätzung nach Art. 27 AI Act: Leitfaden

Das Wichtigste in Kürze: Die KI-Verordnung (VO (EU) 2024/1689) verpflichtet bestimmte Betreiber von Hochrisiko-KI-Systemen, vor dem erstmaligen Einsatz eine Grundrechte-Folgenabschätzung (Fundamental Rights Impact Assessment, FRIA) durchzuführen. Art. 27 richtet sich an öffentliche Stellen und an private Betreiber in sensiblen Bereichen wie Kreditwesen, Versicherungen und Gesundheitsversorgung. Der Artikel regelt präzise, was die Bewertung enthalten muss, und verlangt in bestimmten Fällen eine Meldung an die zuständige Marktüberwachungsbehörde. Dieser Leitfaden erklärt, wen die Pflicht trifft, welche sieben Inhaltspunkte abgedeckt werden müssen und wie Sie die FRIA in sechs Schritten praktisch umsetzen.

Mit dem AI Act hat die EU erstmals ein umfassendes Regelwerk für Künstliche Intelligenz geschaffen. Während viele Unternehmen sich bereits mit den Pflichten rund um Risikoklassifizierung, Transparenz und KI-Kompetenz auseinandersetzen, bleibt ein zentrales Instrument häufig unter dem Radar: die Grundrechte-Folgenabschätzung nach Art. 27.

Die FRIA ist kein optionales Best-Practice-Dokument. Sie ist eine gesetzliche Pflicht mit klarer Frist -- sie muss vor dem ersten Einsatz des Hochrisiko-KI-Systems durchgeführt werden. Wer sie unterlässt, riskiert Sanktionen nach Art. 99 Abs. 4 VO (EU) 2024/1689 von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.

Dieser Leitfaden erklärt alles, was Sie wissen müssen: von der Frage, ob Ihre Organisation überhaupt betroffen ist, über die konkreten Pflichtinhalte bis hin zur praktischen Durchführung.

Was ist eine Grundrechte-Folgenabschätzung?

Die Grundrechte-Folgenabschätzung (englisch: Fundamental Rights Impact Assessment, FRIA) ist ein strukturiertes Verfahren, mit dem Betreiber von Hochrisiko-KI-Systemen die Auswirkungen des konkreten Einsatzes auf die Grundrechte der betroffenen Personen bewerten. Sie ist in Art. 27 VO (EU) 2024/1689 geregelt.

Im Unterschied zur Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO betrachtet die FRIA nicht nur Datenschutzrisiken, sondern das gesamte Spektrum der Grundrechte: Gleichbehandlung, Nichtdiskriminierung, Menschenwürde, Zugang zu wesentlichen Dienstleistungen, Rechte von Kindern, Verbraucherschutz und weitere in der EU-Grundrechtecharta verankerte Rechte.

Die FRIA ist keine abstrakte Bewertung des KI-Systems an sich -- sie bezieht sich auf den konkreten Einsatzkontext des jeweiligen Betreibers. Zwei Betreiber, die dasselbe KI-System für unterschiedliche Zwecke einsetzen, müssen jeweils eine eigene FRIA durchführen.

Wer muss eine FRIA durchführen?

Art. 27 Abs. 1 VO (EU) 2024/1689 definiert den Adressatenkreis präzise. Die Pflicht trifft nicht alle Betreiber von Hochrisiko-KI-Systemen, sondern zwei spezifische Gruppen:

1. Einrichtungen des öffentlichen Rechts

Alle Behörden, öffentliche Einrichtungen und sonstige Stellen, die öffentliche Aufgaben wahrnehmen, müssen vor dem Einsatz eines Hochrisiko-KI-Systems eine FRIA durchführen. Das betrifft unter anderem:

• Bundes-, Landes- und Kommunalbehörden
• Öffentlich-rechtliche Körperschaften, Anstalten und Stiftungen
• Einrichtungen der Sozialversicherung
• Öffentliche Krankenhäuser und Universitäten
• Unternehmen, die mit der Wahrnehmung öffentlicher Aufgaben betraut sind

2. Private Betreiber in regulierten Sektoren

Bestimmte private Betreiber sind ebenfalls zur FRIA verpflichtet, wenn sie Hochrisiko-KI-Systeme einsetzen. Art. 27 Abs. 1 verweist auf Betreiber, die in Anhang III der Verordnung genannte Hochrisiko-KI-Systeme betreiben und dabei als Einrichtungen privaten Rechts tätig sind. Konkret betroffen sind private Betreiber, die KI-Systeme in folgenden Bereichen einsetzen:

• Kreditinstitute -- z. B. bei der Kreditwürdigkeitsprüfung (Anhang III Nr. 5 lit. b)
• Versicherungsunternehmen -- z. B. beim Risiko-Scoring und der Prämienberechnung
• Gesundheitsdienstleister -- z. B. bei KI-gestützter Diagnose oder Triage
• Personaldienstleister und Arbeitgeber -- z. B. bei KI-gestützter Bewerberauswahl (Anhang III Nr. 4)
• Bildungseinrichtungen -- z. B. bei KI-gestützter Prüfungsbewertung (Anhang III Nr. 3)
• Anbieter wesentlicher privater Dienstleistungen -- z. B. bei Bonitätsprüfungen, die den Zugang zu Dienstleistungen bestimmen

Wer ist nicht betroffen?

Betreiber, die Hochrisiko-KI-Systeme ausschließlich für interne Zwecke nutzen, die nicht in die oben genannten Kategorien fallen, sind von der FRIA-Pflicht nach Art. 27 ausgenommen. Beispiel: Ein Industrieunternehmen, das KI zur vorausschauenden Wartung seiner Maschinen einsetzt, muss keine FRIA durchführen -- sofern keine personenbezogenen Daten in einer grundrechtsrelevanten Weise verarbeitet werden.

Wichtig: Auch wenn keine FRIA-Pflicht besteht, kann dennoch eine DSFA nach Art. 35 DSGVO erforderlich sein. Beide Instrumente haben unterschiedliche Auslöser und ergänzen sich.

Die 7 Pflichtinhalte nach Art. 27 Abs. 3

Art. 27 Abs. 3 VO (EU) 2024/1689 legt fest, welche Mindestinhalte eine Grundrechte-Folgenabschätzung abdecken muss. Die sieben Punkte sind abschließend aufgezählt:

1. Beschreibung der Betreiberprozesse

Eine Beschreibung der Prozesse des Betreibers, bei denen das Hochrisiko-KI-System im Einklang mit seiner Zweckbestimmung eingesetzt wird. Hier müssen Sie konkret darlegen, wie Sie das KI-System in Ihre Arbeitsabläufe integrieren, welche Daten eingegeben werden und wie die Ausgaben verwendet werden.

2. Häufigkeit und Zeitraum des Einsatzes

Angaben darüber, in welchem Zeitraum und mit welcher Häufigkeit das Hochrisiko-KI-System voraussichtlich eingesetzt wird. Ein KI-System, das täglich tausende Entscheidungen trifft, birgt andere Risiken als eines, das nur quartalsweise genutzt wird.

3. Kategorien betroffener natürlicher Personen und Gruppen

Welche Personengruppen sind von der Nutzung des KI-Systems betroffen? Hier müssen Sie differenziert aufschlüsseln, ob besonders schutzbedürftige Gruppen betroffen sind -- etwa Kinder, Menschen mit Behinderungen, Sozialhilfeempfänger oder Personen in Abhängigkeitsverhältnissen.

4. Spezifische Schadensrisiken

Eine Beschreibung der spezifischen Schadensrisiken, die sich auf die in Punkt 3 ermittelten Personengruppen auswirken können. Die Risikobewertung muss sich an den Grundrechten der EU-Grundrechtecharta orientieren und dabei insbesondere berücksichtigen:

• Recht auf Menschenwürde (Art. 1 GRCh)
• Achtung des Privatlebens (Art. 7 GRCh)
• Schutz personenbezogener Daten (Art. 8 GRCh)
• Nichtdiskriminierung (Art. 21 GRCh)
• Gleichstellung von Männern und Frauen (Art. 23 GRCh)
• Rechte des Kindes (Art. 24 GRCh)
• Recht auf einen wirksamen Rechtsbehelf (Art. 47 GRCh)

5. Beschreibung der Umsetzung von Maßnahmen der menschlichen Aufsicht

Wie wird die in Art. 14 VO (EU) 2024/1689 vorgeschriebene menschliche Aufsicht konkret umgesetzt? Sie müssen darlegen, welche natürlichen Personen die Aufsicht ausüben, wie sie geschult sind, welche Befugnisse sie haben und in welchen Fällen sie eingreifen können oder müssen.

6. Maßnahmen bei Grundrechtsrisiken

Welche Maßnahmen werden ergriffen, wenn sich die identifizierten Risiken materialisieren? Dieser Punkt verlangt einen konkreten Maßnahmenplan: Eskalationsprozesse, Korrekturmaßnahmen, Benachrichtigungswege für betroffene Personen und gegebenenfalls Abschaltmechanismen.

7. Governance- und Beschwerdeverfahren

Eine Beschreibung der Governance-Strukturen und der Beschwerdeverfahren, die betroffenen natürlichen Personen zur Verfügung stehen. Betroffene müssen wissen, an wen sie sich wenden können, wenn sie der Auffassung sind, dass ihre Grundrechte durch den Einsatz des KI-Systems verletzt wurden.

FRIA vs. DSFA: Die Unterschiede im Überblick

Viele Unternehmen fragen sich, ob die FRIA die DSFA ersetzt oder umgekehrt. Die Antwort: Nein -- beide Instrumente bestehen nebeneinander und haben unterschiedliche Zwecke. Art. 27 Abs. 2 VO (EU) 2024/1689 stellt ausdrücklich klar, dass die FRIA die DSFA nach Art. 35 DSGVO ergänzt, nicht ersetzt.

Praxistipp: Wenn Ihr Hochrisiko-KI-System personenbezogene Daten verarbeitet -- was in den allermeisten Fällen zutrifft --, benötigen Sie beide Bewertungen. Es empfiehlt sich, FRIA und DSFA in einem integrierten Prozess durchzuführen, um Doppelarbeit zu vermeiden. Art. 27 Abs. 2 erlaubt ausdrücklich, die FRIA mit der DSFA zu kombinieren.

Schritt-für-Schritt: FRIA durchführen in 6 Schritten

Schritt 1: Pflichtprüfung -- Sind Sie überhaupt betroffen?

Bevor Sie in die inhaltliche Arbeit einsteigen, prüfen Sie zwei Fragen:

1. Handelt es sich um ein Hochrisiko-KI-System? Prüfen Sie anhand von Art. 6 und Anhang III VO (EU) 2024/1689, ob Ihr KI-System als hochriskant eingestuft ist.
2. Fallen Sie unter den Adressatenkreis von Art. 27 Abs. 1? Sind Sie eine öffentliche Stelle oder ein privater Betreiber in einem der genannten sensiblen Sektoren?

Nur wenn beide Fragen mit Ja beantwortet werden, ist die FRIA verpflichtend. Dokumentieren Sie auch ein negatives Ergebnis -- es dient als Nachweis, dass Sie die Prüfung vorgenommen haben.

Schritt 2: Einsatzkontext dokumentieren

Beschreiben Sie den konkreten Einsatzkontext Ihres KI-Systems umfassend. Dieser Schritt deckt die Pflichtinhalte Nr. 1 und Nr. 2 aus Art. 27 Abs. 3 ab:

• Prozessbeschreibung: In welchen Geschäftsprozessen wird das System eingesetzt? Wie werden Eingabedaten erzeugt? Wie werden Ausgaben weiterverarbeitet?
• Einsatzhäufigkeit: Wie oft wird das System genutzt? Wie viele Entscheidungen trifft es pro Tag, Woche, Monat?
• Zweckbestimmung: Nutzen Sie das System innerhalb der vom Anbieter vorgesehenen Zweckbestimmung?
• Technische Integration: Wie ist das System in Ihre IT-Landschaft eingebunden?

Schritt 3: Betroffene Personen und Grundrechtsrisiken identifizieren

Dieser Schritt adressiert die Pflichtinhalte Nr. 3 und Nr. 4. Gehen Sie systematisch vor:

Betroffene Personengruppen ermitteln:

• Wer sind die unmittelbar betroffenen Personen (z. B. Kreditantragsteller, Patienten, Bewerber)?
• Gibt es mittelbar betroffene Personen (z. B. Familienangehörige, Bürgen)?
• Sind besonders schutzbedürftige Gruppen betroffen?

Grundrechtsrisiken bewerten: Prüfen Sie für jede Personengruppe systematisch, welche Grundrechte der EU-Grundrechtecharta potenziell betroffen sind. Bewerten Sie für jedes identifizierte Risiko die Eintrittswahrscheinlichkeit und die Schwere der möglichen Auswirkungen. Verwenden Sie eine einheitliche Skala (z. B. gering / mittel / hoch / sehr hoch).

Typische Grundrechtsrisiken bei KI-Systemen:

• Diskriminierung durch verzerrte Trainingsdaten (Art. 21 GRCh)
• Verletzung der Privatsphäre durch übermäßige Datenverarbeitung (Art. 7, 8 GRCh)
• Ungleichbehandlung bestimmter demographischer Gruppen (Art. 20, 21 GRCh)
• Einschränkung des Zugangs zu wesentlichen Dienstleistungen (Art. 34, 36 GRCh)
• Fehlende Überprüfbarkeit automatisierter Entscheidungen (Art. 47 GRCh)

Schritt 4: Schutzmaßnahmen und menschliche Aufsicht definieren

Jetzt geht es um die Pflichtinhalte Nr. 5 und Nr. 6. Für jedes identifizierte Risiko müssen Sie konkrete Gegenmaßnahmen festlegen:

• Menschliche Aufsicht: Wer prüft die KI-Ausgaben? In welchen Fällen ist eine manuelle Überprüfung zwingend? Haben die aufsichtführenden Personen die Befugnis und technische Möglichkeit, KI-Entscheidungen zu überstimmen?
• Technische Maßnahmen: Gibt es Schwellenwerte, ab denen automatisch eine menschliche Prüfung ausgelöst wird? Werden Bias-Tests regelmäßig durchgeführt? Gibt es einen Kill-Switch?
• Organisatorische Maßnahmen: Sind Eskalationsprozesse definiert? Werden betroffene Personen über den KI-Einsatz informiert? Gibt es Schulungen für das Aufsichtspersonal?
• Korrekturmaßnahmen: Was passiert, wenn ein Grundrechtsverstoß festgestellt wird? Wie werden Betroffene benachrichtigt? Wie wird der Schaden behoben?

Schritt 5: Governance und Beschwerdemechanismen einrichten

Pflichtinhalt Nr. 7 verlangt transparente Governance-Strukturen und zugängliche Beschwerdeverfahren:

• Verantwortlichkeiten: Wer ist intern für den Betrieb des KI-Systems verantwortlich? Wer entscheidet über Maßnahmen bei Grundrechtsverletzungen?
• Beschwerdeverfahren: Betroffene Personen müssen einen klaren, einfach zugänglichen Weg haben, um Bedenken oder Beschwerden vorzubringen. Das kann ein Online-Formular, eine dedizierte E-Mail-Adresse oder eine Anlaufstelle sein.
• Bearbeitungsfristen: Definieren Sie verbindliche Fristen für die Bearbeitung von Beschwerden.
• Dokumentation: Alle Beschwerden und deren Bearbeitung müssen nachvollziehbar dokumentiert werden.

Schritt 6: Dokumentation fertigstellen und Meldepflicht prüfen

Fassen Sie alle Ergebnisse in einem strukturierten Dokument zusammen. Die FRIA muss nachvollziehbar, aktuell und auf Anfrage vorlegbar sein. Prüfen Sie anschließend, ob eine Meldepflicht nach Art. 27 Abs. 4 besteht (dazu mehr im nächsten Abschnitt).

Denken Sie an die Aktualisierung: Die FRIA ist kein einmaliger Vorgang. Wenn sich der Einsatzkontext wesentlich ändert -- etwa durch neue Datenquellen, geänderte Einsatzbereiche oder ein Update des KI-Systems --, muss die FRIA aktualisiert werden.

Meldepflicht an die Marktüberwachungsbehörde

Art. 27 Abs. 4 VO (EU) 2024/1689 enthält eine oft übersehene Pflicht: Betreiber müssen das Ergebnis der Grundrechte-Folgenabschätzung der zuständigen Marktüberwachungsbehörde mitteilen. Dabei reicht es nicht aus, die FRIA lediglich intern abzulegen -- sie muss aktiv gemeldet werden.

Was muss gemeldet werden?

• Das ausgefüllte Formular der Grundrechte-Folgenabschätzung gemäß Art. 27 Abs. 3 (unter Verwendung des von der Kommission bereitgestellten Musters)
• Die relevanten Eingabedaten nur soweit erforderlich

An wen wird gemeldet?

In Deutschland ist die zuständige Marktüberwachungsbehörde die Bundesnetzagentur (BNetzA), die als nationale Aufsichtsbehörde für den AI Act benannt wurde. Für Hochrisiko-KI-Systeme im Bereich Strafverfolgung, Grenzkontrolle und Justiz gelten besondere Zuständigkeiten.

Wann muss gemeldet werden?

Die Meldung muss vor dem erstmaligen Einsatz des Hochrisiko-KI-Systems erfolgen. Bei wesentlichen Änderungen ist eine erneute Meldung erforderlich.

Praxishinweis: Die Europäische Kommission wird gemäß Art. 27 Abs. 5 ein Standardformular bereitstellen, das die Durchführung und Meldung der FRIA vereinfacht. Bis dieses Formular verfügbar ist, orientieren Sie sich an den sieben Pflichtinhalten des Art. 27 Abs. 3.

Häufig gestellte Fragen (FAQ)

1. Ab wann gilt die FRIA-Pflicht?

Die Pflicht zur Grundrechte-Folgenabschätzung gilt ab dem 2. August 2027 -- dem Zeitpunkt, ab dem die Vorschriften für Hochrisiko-KI-Systeme vollständig anwendbar sind (Art. 113 Abs. 3 VO (EU) 2024/1689). Betreiber sollten sich jedoch frühzeitig vorbereiten, da die Erstellung einer FRIA erfahrungsgemäß mehrere Wochen in Anspruch nimmt.

2. Kann ich die FRIA mit der DSFA zusammenlegen?

Ja. Art. 27 Abs. 2 VO (EU) 2024/1689 erlaubt ausdrücklich, die Grundrechte-Folgenabschätzung mit der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO zu kombinieren. Das ist sogar empfehlenswert, da sich viele Prüfungspunkte überschneiden. Achten Sie jedoch darauf, dass beide Pflichtenkataloge vollständig abgedeckt werden -- die FRIA verlangt eine breitere Grundrechtsperspektive, die über den reinen Datenschutz hinausgeht.

3. Brauche ich als KMU auch eine FRIA?

Die FRIA-Pflicht knüpft nicht an die Unternehmensgröße, sondern an die Art des Betreibers und den Einsatzzweck. Ein kleines Kreditinstitut, das KI zur Kreditwürdigkeitsprüfung einsetzt, ist genauso betroffen wie eine Großbank. Allerdings wird der Umfang der FRIA in der Praxis dem Risiko und der Komplexität des Einsatzes angemessen sein -- ein KMU mit einem einzigen KI-System wird eine weniger umfangreiche FRIA erstellen als ein Konzern mit dutzenden Hochrisiko-Anwendungen.

4. Was passiert, wenn ich keine FRIA durchführe?

Die unterlassene Durchführung einer FRIA stellt einen Verstoß gegen die Betreiberpflichten des AI Act dar. Art. 99 Abs. 4 VO (EU) 2024/1689 sieht Geldbußen von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes vor -- je nachdem, welcher Betrag höher ist. Daneben drohen behördliche Anordnungen, die den Einsatz des KI-Systems untersagen können.

5. Wer sollte die FRIA intern durchführen?

Die FRIA erfordert interdisziplinäre Expertise. In der Praxis empfiehlt sich ein Team aus Compliance/Recht, Datenschutz, IT/Data Science und dem Fachbereich, der das KI-System einsetzt. Anders als bei der DSFA schreibt Art. 27 keine verpflichtende Einbindung des Datenschutzbeauftragten vor -- es ist jedoch ratsam, ihn einzubeziehen, insbesondere wenn FRIA und DSFA gemeinsam durchgeführt werden.

Jetzt vorbereiten: Grundrechte-Folgenabschätzung mit KI Comply

Die Grundrechte-Folgenabschätzung nach Art. 27 AI Act ist mehr als ein bürokratischer Aufwand -- sie ist ein zentrales Instrument, um den verantwortungsvollen Einsatz von KI sicherzustellen und Ihr Unternehmen rechtlich abzusichern.

Beginnen Sie jetzt mit der Vorbereitung:

1. Inventarisieren Sie Ihre KI-Systeme und prüfen Sie, welche als Hochrisiko eingestuft sind.
2. Identifizieren Sie die betroffenen Grundrechte und Personengruppen.
3. Schulen Sie Ihre Mitarbeiter in den Grundlagen des AI Act und der Grundrechte-Folgenabschätzung.

KI Comply unterstützt Sie dabei: Unsere Plattform bietet maßgeschneiderte KI-Compliance-Schulungen, die Ihre Teams auf die Anforderungen des AI Act vorbereiten -- von der Risikoklassifizierung über die FRIA-Pflicht bis hin zur laufenden Überwachung. Starten Sie jetzt mit KI Comply und stellen Sie sicher, dass Ihr Unternehmen bereit ist, wenn die FRIA-Pflicht ab August 2027 greift.