Skip to main content

Artikel 27: Grundrechte-Folgenabschätzung (FRIA)

Artikel 27 der KI-Verordnung: welche Betreiber eine Grundrechte-Folgenabschätzung durchführen müssen, was sie umfasst, wann sie fällig ist und wie die Marktüberwachungsbehörde informiert wird.

Bestimmte Betreiber von Hochrisiko-KI-Systemen müssen vor der ersten Nutzung eine Grundrechte-Folgenabschätzung (FRIA) durchführen (Artikel 27).

Es betrifft Einrichtungen des öffentlichen Rechts und private Einrichtungen, die öffentliche Dienste erbringen. Es betrifft auch Betreiber von Systemen zur Kreditwürdigkeitsprüfung oder zur Risikobewertung bei Lebens- und Krankenversicherungen (Anhang III Nummer 5 Buchstaben b und c). Systeme für kritische Infrastruktur (Anhang III Nummer 2) sind ausgenommen. Die Pflicht gilt ab dem 2. Dezember 2027. Anschließend melden die Betreiber die Ergebnisse der Marktüberwachungsbehörde. Artikel 99 Absatz 4 nennt Artikel 27 nicht. Geldbußen richten sich nach nationalem Recht oder nach dem KI-Büro (Artikel 99 Absatz 1, Artikel 75c). Nächster Schritt: Prüfen Sie, ob Sie zu dieser Gruppe gehören.

Wer eine FRIA durchführen muss

Artikel 27 gilt für Hochrisiko-Systeme nach Artikel 6 Absatz 2, also den Weg über Anhang III, mit Ausnahme von Anhang III Nummer 2 (kritische Infrastruktur). Anhang-I-Systeme erfasst er nicht. Drei Gruppen von Betreibern müssen die Folgenabschätzung durchführen.

Einrichtungen des öffentlichen Rechts

Betreiber, die öffentlich-rechtliche Einrichtungen sind, müssen für jedes Anhang-III-Hochrisiko-System, das sie einsetzen, eine FRIA durchführen, mit Ausnahme von Nummer 2.

Private Einrichtungen, die öffentliche Dienste erbringen

Private Einrichtungen, die öffentliche Dienste erbringen, müssen für dieselben Systeme eine FRIA durchführen.

Betreiber von Kreditwürdigkeits- und Versicherungssystemen

Jeder Betreiber eines Systems, das die Kreditwürdigkeit natürlicher Personen bewertet oder deren Kredit-Score ermittelt (Anhang III Nummer 5 Buchstabe b), oder das für die Risikobewertung und Preisgestaltung bei Lebens- und Krankenversicherungen verwendet wird (Buchstabe c), muss eine FRIA durchführen. Systeme, die nur der Aufdeckung von Finanzbetrug dienen, fallen nicht unter Buchstabe b.

Die FRIA umfasst sechs Elemente, danach melden Sie der Behörde

1. Ihre Prozesse

Beschreiben Sie die Prozesse, in denen Sie das System entsprechend seiner Zweckbestimmung verwenden werden (Artikel 27 Absatz 1 Buchstabe a).

2. Dauer und Häufigkeit der Nutzung

Beschreiben Sie den Zeitraum und die Häufigkeit, in dem und mit der jedes System verwendet werden soll (Buchstabe b).

3. Betroffene Personen

Bestimmen Sie die Kategorien natürlicher Personen und Gruppen, die von der Nutzung im konkreten Kontext voraussichtlich betroffen sind (Buchstabe c).

4. Konkrete Schadensrisiken

Bestimmen Sie die konkreten Schadensrisiken für diese Kategorien unter Berücksichtigung der Informationen, die der Anbieter nach Artikel 13 bereitstellt (Buchstabe d).

5. Menschliche Aufsicht

Beschreiben Sie, wie die menschliche Aufsicht entsprechend der Betriebsanleitung umgesetzt wird (Buchstabe e).

6. Maßnahmen bei Eintritt der Risiken

Legen Sie die Maßnahmen fest, die zu ergreifen sind, wenn die Risiken eintreten, einschließlich der internen Governance-Regelungen und Beschwerdemechanismen (Buchstabe f).

7. Behörde informieren

Melden Sie der Marktüberwachungsbehörde die Ergebnisse und reichen Sie dabei die ausgefüllte Vorlage ein (Artikel 27 Absatz 3). In dem Fall nach Artikel 46 Absatz 1 können Betreiber von dieser Meldepflicht befreit sein.

Die FRIA ist vor der ersten Nutzung fällig und bleibt aktuell

Wiederverwendung und Aktualisierung

Die Pflicht gilt für die erste Nutzung des Systems. In ähnlichen Fällen darf der Betreiber auf bereits durchgeführte Grundrechte-Folgenabschätzungen oder auf vorhandene Folgenabschätzungen des Anbieters zurückgreifen. Ändert sich während der Nutzung ein Element oder ist es nicht mehr aktuell, muss der Betreiber die nötigen Schritte zur Aktualisierung unternehmen (Artikel 27 Absatz 2).

Verbindung zur Datenschutz-Folgenabschätzung

Ist eine Pflicht aus Artikel 27 bereits durch eine Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 oder Artikel 27 der Richtlinie (EU) 2016/680 erfüllt, darf die FRIA darauf verweisen oder die einschlägigen Teile übernehmen (Artikel 27 Absatz 4 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung). Das Büro für Künstliche Intelligenz erarbeitet eine Fragebogenvorlage, auch als automatisiertes Werkzeug, die Betreibern die Einhaltung erleichtert (Artikel 27 Absatz 5).

Behörden registrieren die Ergebnisse zusätzlich

Betreiber, die Behörden sind, registrieren ihre Nutzung des Systems in der EU-Datenbank, einschließlich einer Zusammenfassung der FRIA-Ergebnisse (Artikel 49 Absatz 3 und Anhang VIII Abschnitt C Nummer 4). Für Anhang III Nummern 1, 6 und 7 in den Bereichen Strafverfolgung, Migration, Asyl und Grenzkontrolle steht der Eintrag in einem gesicherten nicht öffentlichen Bereich und enthält diese Zusammenfassung nicht (Artikel 49 Absatz 4).

Wie Scanara bei Ihrer FRIA unterstützt

Scanara führt eine geführte FRIA-Bewertung durch, die die sechs Elemente strukturiert und aus Ihren Antworten den FRIA-Bericht entwirft. Eine verknüpfte Datenschutz-Folgenabschätzung kann Querverweise liefern. Sie entscheiden, ob Sie betroffen sind, ergänzen den Inhalt und melden der Behörde selbst.

Häufige Fragen zur FRIA

Ersetzt eine DSGVO-Datenschutz-Folgenabschätzung die FRIA?

Nein. Eine Datenschutz-Folgenabschätzung kann Teile der FRIA liefern, denn Artikel 27 Absatz 4 erlaubt dem Betreiber, darauf zu verweisen oder die einschlägigen Teile zu übernehmen, aber nur für Pflichten aus Artikel 27, die sie bereits erfüllt. Die FRIA muss weiterhin jedes Element aus Artikel 27 Absatz 1 abdecken.

Wie oft muss eine FRIA aktualisiert werden?

Artikel 27 legt keinen festen Turnus fest. Die Pflicht gilt für die erste Nutzung eines Systems, und der Betreiber muss die FRIA aktualisieren, wenn er der Ansicht ist, dass sich ein Element geändert hat oder nicht mehr aktuell ist (Artikel 27 Absatz 2).

Was passiert, wenn ein Betreiber die FRIA auslässt?

Wer eine vorgeschriebene FRIA auslässt, verstößt gegen die Verordnung. Artikel 99 Absatz 4 nennt die Betreiberpflichten nach Artikel 26, aber nicht Artikel 27. Die Mitgliedstaaten legen die Sanktionsregeln für jeden Verstoß gegen die Verordnung fest (Artikel 99 Absatz 1); prüfen Sie daher die nationalen Vorschriften Ihres Mitgliedstaats. Ist das KI-Büro nach Artikel 75 Absatz 1 zuständig, kann es für den Verstoß gegen jede anwendbare Bestimmung, auch eine nicht in Artikel 99 Absatz 4 aufgeführte, Geldbußen im Sinne von Artikel 99 Absatz 4 verhängen (Artikel 75c Absatz 4 Buchstabe a).

Wird die FRIA veröffentlicht?

Der Betreiber muss die Ergebnisse der Marktüberwachungsbehörde melden (Artikel 27 Absatz 3). Betreiber, die Behörden sind, registrieren zusätzlich eine Zusammenfassung der Ergebnisse in der EU-Datenbank (Artikel 49 Absatz 3, Anhang VIII Abschnitt C Nummer 4). Andere Betreiber müssen ihre FRIA nach der Verordnung nicht veröffentlichen.

Mehr zu den umliegenden Regeln

Scanara bereitet Nachweise aus Ihren Repositorien vor

Scanara liest Ihre verbundenen GitHub-Repositorien und führt regelbasierte Scans auf gängige KI- und Machine-Learning-Muster durch. Unübliche Codemuster kann es übersehen. Getrennt davon erzeugt es aus Vorlagen und Ihren Antworten in der Bewertung Dokumentationsentwürfe als Nachweise für Ihre Compliance-Arbeit. Die Einstufung entscheiden Sie.