Was ist eine Grundrechte-Folgenabschätzung?

Eine strukturierte Abschätzung, die ein Betreiber vor der Inbetriebnahme eines gelisteten Hochrisiko-KI-Systems durchführt. Sie umfasst die Prozesse, in denen das System eingesetzt wird, Zeitraum und Häufigkeit der Nutzung, die voraussichtlich betroffenen Personengruppen, die konkreten Schadensrisiken, die menschliche Aufsicht und die Maßnahmen bei Verwirklichung der Risiken.

Wer muss sie durchführen?

Einrichtungen des öffentlichen Rechts und private Stellen, die öffentliche Dienste erbringen, sowie Betreiber der beiden Anwendungsfälle aus Anhang III Nummer 5 Buchstaben b und c: Kreditwürdigkeitsprüfung sowie Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung. Einen Bereich nimmt Artikel 27 Absatz 1 ganz aus – die Systeme der kritischen Infrastruktur aus Anhang III Nummer 2. Die Ergebnisse werden der Marktüberwachungsbehörde gemeldet.

Deckt eine DSFA das ab?

Sie ergänzt sie nach Artikel 27(4), ersetzt sie aber nicht. Die beiden Abschätzungen stellen verschiedene Fragen: die eine zu den Daten, die andere zu der Person, an der das System eingesetzt wird.

Wie oft muss sie erneuert werden?

Die Pflicht gilt für die erste Verwendung, danach sobald sich eines der bewerteten Elemente geändert hat oder nicht mehr aktuell ist. Artikel 27 Absatz 2 erlaubt dem Betreiber außerdem, sich in ähnlichen Fällen auf eine bereits durchgeführte Abschätzung oder auf eine des Anbieters zu stützen – ein zweiter vergleichbarer Einsatz bedeutet also nicht von selbst eine zweite Abschätzung von vorn. Praktisch heißt das, sie als lebendes Dokument an der Konfiguration zu führen statt als einmalige Unterlage zum Start.

Artikel 27 FRIA

Die Grundrechte-Folgenabschätzung: wen sie trifft, und was hineingehört.

Gilt für Betreiber gelisteter Hochrisikosysteme

Zuletzt geprüft: 5. Oktober 2026

Artikel 27 stellt eine andere Frage als eine Datenschutz-Folgenabschätzung. Es geht nicht um das Risiko für die Daten, sondern um das Risiko für die Menschen, an denen das System eingesetzt wird: Diskriminierung, Würde, Zugang zu einer Leistung. Bestimmte Betreiber von in Anhang III gelisteten Hochrisikosystemen (ausgenommen ein Bereich dieser Liste, die Systeme der kritischen Infrastruktur aus Nummer 2) müssen diese Abschätzung vor der ersten Nutzung durchführen, das Ergebnis der Marktüberwachungsbehörde melden und sie aktualisieren, sobald sich die Nutzung ändert.

Was das Gesetz verlangt

Vor der Inbetriebnahme eines Hochrisiko-KI-Systems gemäß Artikel 6 Absatz 2 müssen bestimmte Betreiber eine Abschätzung der Auswirkungen auf die Grundrechte durchführen. Ausgenommen sind Systeme, die in dem in Anhang III Nummer 2 aufgeführten Bereich – der kritischen Infrastruktur – verwendet werden sollen.: Verordnung (EU) 2024/1689, Art. 27(1)
Die Abschätzung umfasst die Prozesse des Betreibers, in denen das System eingesetzt wird, Zeitraum und Häufigkeit der beabsichtigten Nutzung, die voraussichtlich betroffenen Personengruppen, die konkreten Schadensrisiken für sie, die Maßnahmen der menschlichen Aufsicht und die Maßnahmen für den Fall, dass sich diese Risiken verwirklichen.: Verordnung (EU) 2024/1689, Art. 27(1)(a)-(f)
Die Pflicht trifft Einrichtungen des öffentlichen Rechts und private Stellen, die öffentliche Dienste erbringen, sowie Betreiber der beiden Anwendungsfälle aus Anhang III Nummer 5 Buchstaben b und c: Kreditwürdigkeitsprüfung beziehungsweise Ermittlung der Kreditwürdigkeit, sowie Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung.: Verordnung (EU) 2024/1689, Art. 27(1)
Die Pflicht gilt für die erste Verwendung des Systems. In ähnlichen Fällen kann sich der Betreiber auf eine bereits durchgeführte Grundrechte-Folgenabschätzung oder auf eine vom Anbieter durchgeführte Abschätzung stützen. Hat sich eines der bewerteten Elemente geändert oder ist es nicht mehr auf dem neuesten Stand, muss der Betreiber die erforderlichen Schritte unternehmen, um die Informationen zu aktualisieren.: Verordnung (EU) 2024/1689, Art. 27(2)
Nach Durchführung meldet der Betreiber der Marktüberwachungsbehörde die Ergebnisse und nutzt dafür den vom KI-Büro bereitgestellten Fragebogen.: Verordnung (EU) 2024/1689, Art. 27(3) und 27(5)
Soweit eine Datenschutz-Folgenabschätzung nach der DSGVO bereits Teile abdeckt, ergänzt die Grundrechte-Folgenabschätzung sie, statt sie zu ersetzen.: Verordnung (EU) 2024/1689, Art. 27(4)

Was Audact dazu tut

Die Datensätze, auf die eine Grundrechte-Folgenabschätzung verweisen muss (Offenlegungen, Richtlinienentscheide, Vorfälle, wer wann betroffen war), entstehen heute schon bei jeder gesteuerten Interaktion.: In kontrollierten Tests
Eine Grundrechte-Folgenabschätzung, vorab ausgefüllt aus Ihrer Konfiguration. Auf Anfrage erstellt; Generator: Geplant.: Auf Anfrage erstellt
Der Risikoteil verweist auf tatsächliche Datensätze statt auf Absichten: die eingetretenen Vorfälle, die getroffenen Entscheide, die erfolgten Offenlegungen.: In Entwicklung
Export mit den Prüfsummen der zugrunde liegenden Datensätze, sodass eine Behörde prüfen kann, dass der genannte Nachweis der vorgehaltene ist.: In Entwicklung

Keine DSFA

Zwei Abschätzungen, zwei Fragen, ein System.

Eine Datenschutz-Folgenabschätzung fragt, was mit den personenbezogenen Daten schiefgehen kann: unbefugter Zugriff, zu lange Speicherung, eine fehlende Rechtsgrundlage. Eine Grundrechte-Folgenabschätzung fragt, was für die Person schiefgehen kann: eine verweigerte Leistung, eine schlechtere Einstufung, eine unterschiedliche Behandlung aus einem Grund, der keine Rolle hätte spielen dürfen.

Derselbe Einsatz braucht oft beide, und Artikel 27(4) sagt genau das – wo die Datenschutzabschätzung Boden abdeckt, baut die Grundrechteabschätzung darauf auf. Was sie nicht kann, ist deren Schlussfolgerungen erben. Ein System kann datenschutzrechtlich einwandfrei sein und trotzdem ein Ergebnis erzeugen, für dessen Erkennung die Grundrechteabschätzung geschrieben wurde.

Wen es trifft

Der Anwendungsfall zieht Sie hinein, nicht die Technik.

Artikel 27 erfasst nicht jeden Betreiber jedes KI-Systems. Er knüpft an die Hochrisikosysteme des Artikels 6 Absatz 2 an – die Liste in Anhang III – und nimmt daraus einen Bereich sofort wieder heraus: Systeme, die in dem in Anhang III Nummer 2 aufgeführten Bereich, der kritischen Infrastruktur, verwendet werden sollen. Innerhalb des Rests trifft er einen bestimmten Kreis von Betreibern: Einrichtungen des öffentlichen Rechts, private Stellen mit öffentlichen Diensten, und Betreiber der beiden Anwendungsfälle aus Nummer 5 Buchstaben b und c, Kreditwürdigkeitsprüfung sowie Preisbildung in der Lebens- und Krankenversicherung.

Für die meisten Sprach-Einsätze (Terminvergabe, Betreuung, Vorqualifizierung, Nachfassen) ist das nicht die Lage. Zur Lage wird es, wenn der Agent zu einer Entscheidung über Zugang, Anspruch oder Preis beiträgt. Klären Sie vorher, welches von beiden Sie bauen, nicht wenn die Abschätzung schon eilt.

Hinweis

Information, keine Rechtsberatung.

Diese Seite gibt die Regeln so wieder, wie wir sie lesen, mit den Artikelnummern, damit Sie uns nachprüfen können. Sie ist keine Rechtsberatung, und Ihre eigene Lage hängt von Umständen ab, die diese Seite nicht kennt. Holen Sie qualifizierten Rat ein, bevor Sie sich darauf stützen.

Fragen

Was ist eine Grundrechte-Folgenabschätzung?: Eine strukturierte Abschätzung, die ein Betreiber vor der Inbetriebnahme eines gelisteten Hochrisiko-KI-Systems durchführt. Sie umfasst die Prozesse, in denen das System eingesetzt wird, Zeitraum und Häufigkeit der Nutzung, die voraussichtlich betroffenen Personengruppen, die konkreten Schadensrisiken, die menschliche Aufsicht und die Maßnahmen bei Verwirklichung der Risiken.
Wer muss sie durchführen?: Einrichtungen des öffentlichen Rechts und private Stellen, die öffentliche Dienste erbringen, sowie Betreiber der beiden Anwendungsfälle aus Anhang III Nummer 5 Buchstaben b und c: Kreditwürdigkeitsprüfung sowie Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung. Einen Bereich nimmt Artikel 27 Absatz 1 ganz aus – die Systeme der kritischen Infrastruktur aus Anhang III Nummer 2. Die Ergebnisse werden der Marktüberwachungsbehörde gemeldet.
Deckt eine DSFA das ab?: Sie ergänzt sie nach Artikel 27(4), ersetzt sie aber nicht. Die beiden Abschätzungen stellen verschiedene Fragen: die eine zu den Daten, die andere zu der Person, an der das System eingesetzt wird.
Wie oft muss sie erneuert werden?: Die Pflicht gilt für die erste Verwendung, danach sobald sich eines der bewerteten Elemente geändert hat oder nicht mehr aktuell ist. Artikel 27 Absatz 2 erlaubt dem Betreiber außerdem, sich in ähnlichen Fällen auf eine bereits durchgeführte Abschätzung oder auf eine des Anbieters zu stützen – ein zweiter vergleichbarer Einsatz bedeutet also nicht von selbst eine zweite Abschätzung von vorn. Praktisch heißt das, sie als lebendes Dokument an der Konfiguration zu führen statt als einmalige Unterlage zum Start.

Eine Abschätzung ist so gut wie die Datensätze darunter

Proof zeigt, was eine gesteuerte Interaktion hinterlässt und welche Teile davon ein Dritter nachrechnen kann: genau das Material, auf das eine Grundrechte-Folgenabschätzung verweisen können muss.

Eine Quittung ansehen