Grundrechte-Folgenabschätzung (FRIA) — Artikel 27
Wie man eine Grundrechte-Folgenabschätzung nach Artikel 27 der EU-KI-Verordnung durchführt. Methodik, wer sie durchführen muss, und eine FRIA-Arbeitsblattvorlage.
Eine Grundrechte-Folgenabschätzung (FRIA) ist eine strukturierte Analyse, die die EU-KI-Verordnung in Artikel 27 für Betreiber von Hochrisiko-KI-Systemen vorschreibt, die Einrichtungen des öffentlichen Rechts oder private Einrichtungen sind, die öffentliche Dienste erbringen. Die FRIA dokumentiert, wie das KI-System Grundrechte — darunter Würde, Gleichheit, Privatsphäre und Nichtdiskriminierung — beeinträchtigen kann, bevor das System in Betrieb genommen wird. Sie muss der zuständigen Marktüberwachungsbehörde vorgelegt werden. Die Durchsetzung beginnt am 2. August 2026 mit Bußgeldern von bis zu 15 Mio. € oder 3 % des Umsatzes.
Wer muss eine FRIA durchführen?
Artikel 27 schreibt eine FRIA vor für Betreiber von Anhang-III-Hochrisiko-KI-Systemen, die Folgendes sind:
Einrichtungen des öffentlichen Rechts
Behörden, Kommunen, öffentliche Universitäten, öffentliche Krankenhäuser und vergleichbare Einrichtungen, die dem öffentlichen Recht unterliegen.
Private Einrichtungen, die öffentliche Dienste erbringen
Private Organisationen, die im Auftrag des Staates öffentliche Dienste erbringen — Sozialleistungsträger, Arbeitsvermittlungen, regulierte Versorgungsunternehmen.
Hinweis: Private Unternehmen, die Hochrisiko-KI im Beschäftigungskontext einsetzen (z. B. HR-Screening, Mitarbeiterüberwachung), fallen nicht automatisch unter Artikel 27, sofern sie keine öffentlichen Stellen oder beauftragte Diensterbringer sind. Viele führen dennoch freiwillige FRIAs zu Due-Diligence-Zwecken durch.
FRIA-Methodik in 7 Schritten
KI-System und Einsatzkontext beschreiben
Dokumentieren Sie Name, Version und Zweckbestimmung des KI-Systems sowie den konkreten Einsatzkontext — einschließlich betroffener Personengruppen, Entscheidungsarten und geografischer Reichweite. Verweisen Sie, sofern verfügbar, auf die Anhang-IV-Dokumentation des Anbieters.
Relevante Grundrechte identifizieren
Ordnen Sie den Einsatzkontext der Charta der Grundrechte der EU zu. Identifizieren Sie, welche Rechte potenziell betroffen sind — darunter Menschenwürde (Art. 1), Nichtdiskriminierung (Art. 21), Datenschutz (Art. 8), faires Verfahren (Art. 47) und Rechte des Kindes (Art. 24).
Risiko von Grundrechtsverletzungen bewerten
Bewerten Sie für jedes identifizierte Recht Wahrscheinlichkeit und Schwere potenzieller Verletzungen. Berücksichtigen Sie direkte Auswirkungen (Entscheidungen des KI-Systems) und indirekte Auswirkungen (Verlass menschlicher Entscheider auf das System). Dokumentieren Sie die Evidenzgrundlage jeder Bewertung.
Datenverarbeitung und DSGVO-Pflichten prüfen
Prüfen Sie, ob das KI-System personenbezogene Daten verarbeitet. Falls ja, klären Sie, ob zusätzlich eine DPIA nach Artikel 35 DSGVO erforderlich ist. Identifizieren Sie Rechtsgrundlagen für die Verarbeitung und dokumentieren Sie Datenminimierungsmaßnahmen. Beachten Sie Überschneidungen von FRIA und DPIA, um Doppelarbeit zu vermeiden.
Minderungsmaßnahmen entwerfen
Identifizieren Sie für jedes wesentliche Grundrechtsrisiko konkrete Minderungsmaßnahmen: Anforderungen an menschliche Überprüfung, Beschwerdemechanismen, Rechte auf Datenberichtigung, Audit-Protokollierung betroffener Entscheidungen, Transparenzhinweise an betroffene Personen.
Betroffene Gruppen und Vertretungen konsultieren
Artikel 27(5) empfiehlt bei KI im Beschäftigungskontext die Konsultation von Arbeitnehmervertretungen. Dokumentieren Sie durchgeführte Konsultationen, erhaltenes Feedback und dessen Einfluss auf die FRIA-Schlussfolgerungen.
Dokumentieren, registrieren und melden
Stellen Sie das FRIA-Dokument fertig und registrieren Sie es gemäß Artikel 49 in der EU-Datenbank der KI-Verordnung. Melden Sie es gemäß Artikel 27(7) der zuständigen Marktüberwachungsbehörde. Bewahren Sie die FRIA für die Betriebsdauer des Systems plus 10 Jahre auf.
FRIA-Arbeitsblatt-Vorlage
Scanara enthält ein strukturiertes FRIA-Arbeitsblatt im Compliance-Dossier — vorausgefüllt mit dem Einsatzkontext Ihres Systems aus dem Scan und mit Anleitungen zu jedem Artikel-27-Element. Export als PDF oder DOCX für die Einreichung bei Behörden.
FRIA-Arbeitsblatt erhalten →Wie Scanara die FRIA-Vorbereitung automatisiert
Erkennung des Betreiberkontexts
Scanara identifiziert betreiberspezifische Pflichten in Ihrer Codebasis — und markiert fehlende Transparenzhinweise, Beschwerdemechanismen und Implementierungen menschlicher Aufsicht, die nach Artikel 26/27 erforderlich sind.
FRIA-Vorlagenerstellung
Befüllen Sie das FRIA-Arbeitsblatt automatisch mit Systemdetails aus Ihrer technischen Anhang-IV-Dokumentation — Ihr Team ergänzt nur noch kontextspezifische Freitextfelder.
Kennzeichnung von DPIA-Überschneidungen
Scanara markiert, wo voraussichtlich zusätzlich eine DPIA nach Art. 35 DSGVO erforderlich ist — so koordinieren Sie beide Assessments und vermeiden Doppelarbeit in Ihrem Compliance-Programm.
Häufig gestellte Fragen
So hilft Scanara
Scanara automatisiert die EU AI Act Compliance vom Code bis zum Dossier. Verbinden Sie Ihre GitHub-Repos und erhalten Sie Compliance-Berichte in Minuten.