Skip to main content

Grundrechte-Folgenabschätzung (FRIA) nach Artikel 27

Welche Betreiber vor der ersten Nutzung eine FRIA durchführen müssen, was sie umfasst und wie sie zur DSFA der DSGVO steht.

Bestimmte Betreiber von Hochrisiko-KI-Systemen müssen vor der ersten Nutzung die Auswirkungen auf die Grundrechte bewerten (Artikel 27). Erfasst sind Einrichtungen des öffentlichen Rechts und private Einrichtungen, die öffentliche Dienste erbringen. Erfasst sind auch Betreiber von Systemen zur Kreditwürdigkeitsprüfung und zur Risikobewertung bei Lebens- und Krankenversicherungen (Anhang III Nummer 5 Buchstaben b und c). Systeme nach Anhang III Nummer 2 sind ausgenommen.

Die Pflicht gilt ab dem 2. Dezember 2027. Der Betreiber meldet die Ergebnisse dann der Marktüberwachungsbehörde. Artikel 99 Absatz 4 nennt Artikel 27 nicht, daher richten sich die Sanktionen nach nationalem Recht (Artikel 99 Absatz 1). Nächster Schritt: Prüfen Sie, ob Artikel 27 für Sie gilt, und starten Sie dann die Bewertung.

Drei Gruppen von Betreibern müssen eine FRIA durchführen

Artikel 27 gilt für Hochrisiko-KI-Systeme nach Artikel 6 Absatz 2, also den Weg über Anhang III, mit Ausnahme von Anhang III Nummer 2 (kritische Infrastruktur). Anhang-I-Systeme erfasst er nicht. Drei Gruppen von Betreibern müssen die Folgenabschätzung durchführen.

  • Einrichtungen des öffentlichen Rechts

    Betreiber, die öffentlich-rechtliche Einrichtungen sind, müssen für jedes Anhang-III-Hochrisiko-KI-System, das sie einsetzen, eine FRIA durchführen, mit Ausnahme von Nummer 2.

  • Private Einrichtungen, die öffentliche Dienste erbringen

    Private Einrichtungen, die öffentliche Dienste erbringen, müssen für dieselben Systeme eine FRIA durchführen.

  • Betreiber von Kreditwürdigkeits- und Versicherungssystemen

    Jeder Betreiber eines Systems, das die Kreditwürdigkeit natürlicher Personen bewertet oder deren Kredit-Score ermittelt (Anhang III Nummer 5 Buchstabe b), oder das für die Risikobewertung und Preisgestaltung bei Lebens- und Krankenversicherungen verwendet wird (Buchstabe c), muss eine FRIA durchführen. Systeme, die nur der Aufdeckung von Finanzbetrug dienen, fallen nicht unter Buchstabe b.

Die FRIA umfasst sechs Elemente, danach melden Sie der Behörde

  1. 1

    1. Ihre Prozesse

    Beschreiben Sie die Prozesse, in denen Sie das System entsprechend seiner Zweckbestimmung verwenden werden (Artikel 27 Absatz 1 Buchstabe a).

  2. 2

    2. Dauer und Häufigkeit der Nutzung

    Beschreiben Sie den Zeitraum und die Häufigkeit, in dem und mit der jedes System verwendet werden soll (Buchstabe b).

  3. 3

    3. Betroffene Personen

    Bestimmen Sie die Kategorien natürlicher Personen und Gruppen, die von der Nutzung im konkreten Kontext voraussichtlich betroffen sind (Buchstabe c).

  4. 4

    4. Konkrete Schadensrisiken

    Bestimmen Sie die konkreten Schadensrisiken für diese Kategorien unter Berücksichtigung der Informationen, die der Anbieter nach Artikel 13 bereitstellt (Buchstabe d).

  5. 5

    5. Menschliche Aufsicht

    Beschreiben Sie, wie die menschliche Aufsicht entsprechend der Betriebsanleitung umgesetzt wird (Buchstabe e).

  6. 6

    6. Maßnahmen bei Eintritt der Risiken

    Legen Sie die Maßnahmen fest, die zu ergreifen sind, wenn die Risiken eintreten, einschließlich der internen Governance-Regelungen und Beschwerdemechanismen (Buchstabe f).

  7. 7

    7. Behörde informieren

    Melden Sie der Marktüberwachungsbehörde die Ergebnisse und reichen Sie dabei die ausgefüllte Vorlage ein (Artikel 27 Absatz 3). In dem Fall nach Artikel 46 Absatz 1 können Betreiber von dieser Meldepflicht befreit sein.

Die FRIA kann wiederverwendet, aktualisiert und mit einer DSFA verknüpft werden

  • Wiederverwendung und Aktualisierung

    Die Pflicht gilt für die erste Nutzung des Systems. In ähnlichen Fällen darf der Betreiber auf bereits durchgeführte Grundrechte-Folgenabschätzungen oder auf vorhandene Folgenabschätzungen des Anbieters zurückgreifen. Ändert sich während der Nutzung ein Element oder ist es nicht mehr aktuell, muss der Betreiber die nötigen Schritte zur Aktualisierung unternehmen (Artikel 27 Absatz 2).

  • Verbindung zur Datenschutz-Folgenabschätzung

    Ist eine Pflicht aus Artikel 27 bereits durch eine Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 oder Artikel 27 der Richtlinie (EU) 2016/680 erfüllt, darf die FRIA darauf verweisen oder die einschlägigen Teile übernehmen (Artikel 27 Absatz 4 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung). Das Büro für Künstliche Intelligenz erarbeitet eine Fragebogenvorlage, auch als automatisiertes Werkzeug, die Betreibern die Einhaltung erleichtert (Artikel 27 Absatz 5).

  • Behörden registrieren die Ergebnisse zusätzlich

    Betreiber, die Behörden sind, registrieren ihre Nutzung des Systems in der EU-Datenbank, einschließlich einer Zusammenfassung der FRIA-Ergebnisse (Artikel 49 Absatz 3 und Anhang VIII Abschnitt C Nummer 4). Für Anhang III Nummern 1, 6 und 7 in den Bereichen Strafverfolgung, Migration, Asyl und Grenzkontrolle steht der Eintrag in einem gesicherten nicht öffentlichen Bereich und enthält diese Zusammenfassung nicht (Artikel 49 Absatz 4).

Wie Scanara bei Ihrer FRIA unterstützt

Scanara entscheidet nicht, ob Artikel 27 für Sie gilt, und meldet nichts an die Behörde. Beides liegt bei Ihnen.

Geführte FRIA-Bewertung

Die Fragen folgen den sechs Elementen von Artikel 27 Absatz 1. Scanara entwirft den FRIA-Bericht aus Ihren Antworten und legt eine neue Version an, wenn sich ein Element ändert (Artikel 27 Absatz 2).

Verknüpfung mit einer DSFA

Sie können eine genehmigte Datenschutz-Folgenabschätzung (DSFA) desselben Systems mit der FRIA verknüpfen. Die FRIA kann dann darauf verweisen (Artikel 27 Absatz 4).

Dokument für die Meldung

Scanara exportiert ein Dokument für die Meldung an die Marktüberwachungsbehörde (Artikel 27 Absatz 3). Sie senden es selbst ab.

Scanara-Demo öffnen

Mehr zu den umliegenden Regeln

Häufige Fragen zur FRIA

Ersetzt eine DSGVO-Datenschutz-Folgenabschätzung die FRIA?

Nein. Eine Datenschutz-Folgenabschätzung kann Teile der FRIA liefern, denn Artikel 27 Absatz 4 erlaubt dem Betreiber, darauf zu verweisen oder die einschlägigen Teile zu übernehmen, aber nur für Pflichten aus Artikel 27, die sie bereits erfüllt. Die FRIA muss weiterhin jedes Element aus Artikel 27 Absatz 1 abdecken.

Wie oft muss eine FRIA aktualisiert werden?

Artikel 27 legt keinen festen Turnus fest. Die Pflicht gilt für die erste Nutzung eines Systems, und der Betreiber muss die FRIA aktualisieren, wenn er der Ansicht ist, dass sich ein Element geändert hat oder nicht mehr aktuell ist (Artikel 27 Absatz 2).

Was passiert, wenn ein Betreiber die FRIA auslässt?

Wer eine vorgeschriebene FRIA auslässt, verstößt gegen die Verordnung. Artikel 99 Absatz 4 nennt die Betreiberpflichten nach Artikel 26, aber nicht Artikel 27. Die Mitgliedstaaten legen die Sanktionsregeln für jeden Verstoß gegen die Verordnung fest (Artikel 99 Absatz 1); prüfen Sie daher die nationalen Vorschriften Ihres Mitgliedstaats. Ist das KI-Büro nach Artikel 75 Absatz 1 zuständig, kann es für den Verstoß gegen jede anwendbare Bestimmung, auch eine nicht in Artikel 99 Absatz 4 aufgeführte, Geldbußen im Sinne von Artikel 99 Absatz 4 verhängen (Artikel 75c Absatz 4 Buchstabe a).

Wird die FRIA veröffentlicht?

Der Betreiber muss die Ergebnisse der Marktüberwachungsbehörde melden (Artikel 27 Absatz 3). Betreiber, die Behörden sind, registrieren zusätzlich eine Zusammenfassung der Ergebnisse in der EU-Datenbank (Artikel 49 Absatz 3, Anhang VIII Abschnitt C Nummer 4). Andere Betreiber müssen ihre FRIA nach der Verordnung nicht veröffentlichen.

Scanara bereitet Nachweise aus Ihren Repositorien vor

Scanara liest Ihre verbundenen GitHub-Repositorien und führt regelbasierte Scans auf gängige KI- und Machine-Learning-Muster durch. Unübliche Codemuster kann es übersehen. Getrennt davon erzeugt es aus Vorlagen und Ihren Antworten in der Bewertung Dokumentationsentwürfe als Nachweise für Ihre Compliance-Arbeit. Die Einstufung entscheiden Sie.