Fundamental Rights Impact Assessment (Grundrechtsfolgenabschätzung)

Ausführliche Erklärung

Die Grundrechtsfolgenabschätzung ist ein präventives Instrument des AI Act. Wer sie durchführen muss, prüft vor der Inbetriebnahme eines Hochrisiko-KI-Systems systematisch, welche Grundrechte natürlicher Personen durch den Einsatz betroffen sein können. Anders als die Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO, die auf die Datenverarbeitung blickt, erfasst die FRIA das gesamte Spektrum der EU-Grundrechtecharta – von der Menschenwürde über Gleichbehandlung und Nichtdiskriminierung bis zum Zugang zu wirksamen Rechtsbehelfen.

Der Kreis der Verpflichteten ist eng und wird in der Praxis häufig zu weit gezogen. Nach Artikel 27 Absatz 1 trifft die Pflicht nur drei Gruppen: Einrichtungen des öffentlichen Rechts; private Einrichtungen, die öffentliche Dienste erbringen; und Betreiber von Hochrisiko-KI-Systemen nach Anhang III Nummer 5 lit. b und c, also bei der Bewertung der Kreditwürdigkeit natürlicher Personen sowie bei Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung. Ausgenommen sind Systeme nach Anhang III Nummer 2 (kritische Infrastruktur). Daraus folgt die wichtigste Abgrenzung für die Mehrheit der Unternehmen: Wer KI zur Vorauswahl von Bewerbungen einsetzt, betreibt zwar ein Hochrisiko-System nach Anhang III Nummer 4 und braucht in der Regel eine Datenschutz-Folgenabschätzung – eine FRIA ist dieses Unternehmen aber nicht verpflichtet zu erstellen.

Inhaltlich verlangt Artikel 27 Absatz 1 sechs Elemente: eine Beschreibung der Prozesse, in denen das System zweckentsprechend eingesetzt wird; Zeitraum und Häufigkeit der Nutzung; die Kategorien betroffener Personen und Gruppen; die konkreten Schadensrisiken für diese Gruppen; die Umsetzung der menschlichen Aufsicht gemäß Gebrauchsanweisung; und die Maßnahmen für den Fall, dass sich die Risiken verwirklichen, einschließlich interner Governance und Beschwerdewege. Die Abschätzung ist bei der erstmaligen Nutzung zu erstellen; in gleichartigen Fällen darf auf früher durchgeführte Abschätzungen zurückgegriffen werden, und bei Änderungen relevanter Elemente ist sie zu aktualisieren. Nach Artikel 27 Absatz 4 können einschlägige Teile einer bereits durchgeführten Datenschutz-Folgenabschätzung übernommen werden; die FRIA ergänzt die DSFA, ersetzt sie aber nicht.

Nach Abschluss sind die Ergebnisse der zuständigen Marktüberwachungsbehörde zu melden, und zwar mit dem ausgefüllten Muster nach Artikel 27 Absatz 5; in den Fällen des Artikels 46 Absatz 1 kann von der Meldung abgesehen werden. Dieses Muster – ein Fragebogen, auch als automatisiertes Werkzeug – soll das Büro für Künstliche Intelligenz (AI Office) bereitstellen; ob es vorliegt, war bei Erstellung dieses Eintrags (Stand: November 2026) nicht belegt. Betreiber sollten die sechs Elemente daher zunächst in eigener Struktur dokumentieren. Welche Stelle in Österreich Marktüberwachungsbehörde ist, regelt das nationale Durchführungsrecht; die KI-Servicestelle bei der RTR-GmbH informiert, ist aber keine Aufsichtsbehörde. Unabhängig davon können die nach Artikel 77 benannten Behörden zum Schutz der Grundrechte Dokumentation anfordern und einsehen.

Zeitlich ist die Pflicht an die Anwendbarkeit der Hochrisiko-Vorschriften gekoppelt: Nach der Verschiebung durch den Digital Omnibus (Verordnung (EU) 2026/1744) gilt Artikel 27 ab 2. Dezember 2027. Wer in die genannten Gruppen fällt, sollte die Abschätzung mit dem Projekt planen und nicht erst zur Inbetriebnahme beginnen.