Die Frist im August 2026 für Betreiber von KI-Systemen mit hohem Risiko rückt schnell näher, und die meisten Organisationen haben noch nicht damit begonnen.
Eine Bank setzt ein KI-Modell zur Bewertung von Kreditanträgen ein. Damit werden wöchentlich Tausende von Entscheidungen verarbeitet. Die Produktivität steigt. Das Team ist zufrieden.
Achtzehn Monate später macht eine interne Prüfung auf etwas aufmerksam, das niemand programmiert oder genehmigt hat. Bewerber aus bestimmten Postleitzahlgebieten werden in einem Umfang abgelehnt, der weit über dem statistischen Durchschnittswert liegt. Das Muster deutet unverkennbar auf eine indirekte Diskriminierung hin.
Das macht dieses Szenario so gefährlich: Die Datenverarbeitung erfolgte vorschriftsmäßig. Die Modelldokumentation war auf dem neuesten Stand. Alle Kriterien der Datenschutz-Folgenabschätzung (DPIA) waren erfüllt. Die Organisation war überzeugt, alles richtig gemacht zu haben.
Doch das war nicht der Fall, denn es gibt eine Risikokategorie, auf deren Erfassung ihre Datenschutz-Folgenabschätzung (DPIA) von vornherein nicht ausgelegt war. Im Rahmen des EU-KI-Gesetzes hat diese Lücke einen Namen, eine gesetzliche Frist und ist mit einer erheblichen Geldstrafe verbunden: die Grundrechte-Folgenabschätzung (FRIA).
Was ist eine Grundrechtsverträglichkeitsprüfung (FRIA)?
Eine Grundrechte-Folgenabschätzung (FRIA) ist eine strukturierte Überprüfung vor der Inbetriebnahme, die gemäß Artikel 27 des EU-KI-Gesetzes für bestimmte Betreiber von KI-Systemen mit hohem Risiko vorgeschrieben ist. Sie tritt am 2. August 2026 in Kraft.
Während sich eine Datenschutz-Folgenabschätzung (DPIA) auf Daten konzentriert (welche Daten Sie erheben, wie Sie diese speichern und ob die Verarbeitung rechtmäßig ist), steht bei einer FRIA der Mensch im Mittelpunkt: ob Ihr System die Betroffenen fair behandelt, ob es zu systemischen Benachteiligungen führt und ob die von den Entscheidungen Betroffenen eine sinnvolle Möglichkeit haben, diese anzufechten.
Bei einer FRIA müssen Sie fünf Fragen beantworten, die in Ihrer DPIA nicht gestellt werden:
- Welche Grundrechte sind von diesem KI-System betroffen?
- Inwiefern könnte dies die Würde, die Gleichheit, die Privatsphäre oder den Zugang zu Rechtsmitteln beeinträchtigen?
- Was passiert mit einzelnen Personen, wenn das System versagt?
- Wer ist für diese Ergebnisse verantwortlich, und welche Kontrollmechanismen gibt es?
- Wie kann eine betroffene Person gegen eine sie betreffende Entscheidung Einspruch einlegen?
Das sind die Fragen, die Ihre Kunden, Aufsichtsbehörden und Ihr Vorstand stellen werden, wenn einmal etwas schiefgeht. Im Rahmen der FRIA bereiten Sie die Antworten vor, bevor Sie sie benötigen.
Wer fällt unter Artikel 27?
Die FRIA-Verpflichtung gilt für:
- Öffentliche Stellen, die risikoreiche KI-Systeme einsetzen
- Private Organisationen, die öffentliche Dienstleistungen erbringen, wie beispielsweise Versorgungsunternehmen, Verkehrsbetriebe oder öffentliche Infrastruktur
- Unternehmen, die in regulierten Hochrisikobereichen tätig sind, darunter Bonitätsbewertung sowie Preisgestaltung bei Lebens- und Krankenversicherungen
Wenn Ihre Organisation unter eine dieser Kategorien fällt und ein KI-System mit hohem Risiko im Sinne von Anhang III des EU-KI-Gesetzes einsetzt, gilt Artikel 27 für Sie.
FRIA vs. DPIA: Den Unterschied verstehen
Die meisten Compliance-Teams gehen davon aus, dass ihre bestehende Datenschutz-Folgenabschätzung (DPIA) alle Aspekte abdeckt. Sie deckt zwar einen Teil davon ab, doch genau bei dieser Annahme entsteht die Lücke.
Die Bank in unserem einleitenden Szenario verfügte mit ziemlicher Sicherheit über eine datenschutzkonforme Datenverarbeitung. Das von ihrer KI erzeugte Diskriminierungsmuster hatte nichts mit der Datenspeicherung zu tun, sondern hing ausschließlich davon ab, worauf das Modell optimiert war. Eine DPIA hätte dies nicht aufgedeckt. Eine FRIA hingegen schon.
Das EU-KI-Gesetz erlaubt es den Anwendern, eine FRIA mit einer bestehenden DPIA zu kombinieren, sofern sich deren Anwendungsbereiche überschneiden; die FRIA muss jedoch weiterhin Rechte berücksichtigen, die im Rahmen einer DPIA nie bewertet wurden: Nichtdiskriminierung, Meinungsfreiheit, Zugang zur Justiz und das Recht auf eine ordnungsgemäße Verwaltung.
Ein System kann alle Datenschutzanforderungen erfüllen und dennoch Ergebnisse liefern, die Menschen in einer Weise schaden, für deren Erkennung Ihr bestehendes Compliance-Rahmenwerk nie ausgelegt war.
Die Kosten der Nichteinhaltung
Die Aufsichtsbehörden in ganz Europa bauen ihre Prüfungskapazitäten aus, um den Zeitplan für die Umsetzung des Gesetzes einzuhalten. Die Zahlen sind nicht rein theoretischer Natur.
Bei Nichteinhaltung von Artikel 27 drohen Organisationen Geldbußen in Höhe von bis zu 30 Millionen Euro oder 6 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Abgesehen von der Geldstrafe können die Aufsichtsbehörden die Aussetzung eines Systems bis zur Behebung der Mängel anordnen. Für jedes Unternehmen, bei dem dieses System einen zentralen Geschäftsprozess stützt, können die betrieblichen Beeinträchtigungen die Höhe der Geldstrafe selbst bei weitem übersteigen.
Unternehmen mit dokumentierten FRIA-Prozessen werden behördliche Gespräche zügig abschließen können. Diejenigen, die über keine solchen Prozesse verfügen, werden die erste Woche jeder Untersuchung damit verbringen, zu erklären, warum die entsprechenden Unterlagen nicht vorliegen.
Über die Einhaltung von Vorschriften hinaus: Warum FRIAs KI-Systeme verbessern
Die meisten Compliance-Teams betrachten die FRIA lediglich als einen Punkt auf einer Checkliste für die Einführung. Durch diese Sichtweise bleibt ein erheblicher Mehrwert ungenutzt.
Eine gründliche FRIA zwingt die Abteilungen für Recht, Personalwesen, Produktentwicklung, Datenwissenschaft und Risikomanagement dazu, sich an einen Tisch zu setzen und sich darauf zu einigen, was das System leistet, wen es betrifft und wie ein akzeptables Risiko aussieht. In diesem Gespräch kommen Annahmen zum Vorschein, die die Teams bisher getrennt voneinander vertreten haben. Dabei werden Randfälle identifiziert, die das technische Team übersehen hat, weil es sich auf die Leistungsbewertung konzentriert hat und niemand es gebeten hat, die Auswirkungen auf den Menschen zu bewerten.
Unternehmen, die FRIA-Verfahren einsetzen, berichten durchweg von demselben Ergebnis: Der Prozess verbessert das KI-System selbst.Bereits vor der Einführung werden Einschränkungen hinzugefügt. Zielfunktionen werden angepasst. Kontrollmechanismen werden bereits in der Entwurfsphase integriert und nicht erst unter Zeitdruck nachgerüstet.
Das KI-Gesetz fördert die Einbeziehung von Interessengruppen, darunter betroffene Gruppen, unabhängige Experten und die Zivilgesellschaft, soweit dies angemessen ist. Die Organisationen, die den größten Nutzen aus den FRIAs ziehen, betrachten dies nicht als reine Dokumentationsaufgabe, sondern als Konzeptionprüfung.
Was Sie bis August 2026 tun müssen
Artikel 27 tritt am 2. August 2026 in Kraft – in weniger als fünf Monaten. Das AI-Büro wird eine FRIA-Vorlage veröffentlichen, um die Verantwortlichen zu unterstützen, und Organisationen können auf bereits von Anbietern durchgeführte Bewertungen zurückgreifen und FRIA-Bewertungen mit bestehenden Datenschutz-Folgenabschätzungen (DPIA) kombinieren, sofern echte Überschneidungen bestehen.
Die strukturellen Rahmenbedingungen für die Einhaltung der Vorschriften sind bereits vorhanden. Die Frage ist, ob Ihr Team den Prozess jetzt aufbaut – mit ausreichend Zeit, um ihn ordnungsgemäß umzusetzen – oder ob es unter dem Druck der Aufsichtsbehörden erst wenige Wochen vor Ablauf der Frist Vorlagen fertigstellt.
Ein praktischer Ausgangspunkt:
- Ermitteln Sie, welche Ihrer KI-Anwendungen unter die Hochrisikokategorien gemäß Anhang III fallen
- Erfassen Sie die Grundrechte, die durch die einzelnen Systeme potenziell beeinträchtigt werden könnten
- Schaffung funktionsübergreifender Zuständigkeiten: Rechtsabteilung, Data Science, Personalwesen, Risikomanagement und Produktentwicklung
- Prüfen Sie, ob Ihre bestehende DPIA-Dokumentation als Grundlage dienen kann
- Dokumentieren Sie Ihre Bewertung, Ihre Ergebnisse und Ihre Abhilfemaßnahmen vor der Inbetriebnahme.
Unternehmen, die jetzt damit beginnen, werden über etwas verfügen, was anderen fehlt: eine Erfolgsbilanz im Bereich der Unternehmensführung, die bereits vor dem regulatorischen Druck besteht. Das ist wichtiger, als die meisten Compliance-Teams derzeit erkennen.
Erstellen Sie Ihren FRIA-Prozess mit Archer
Archer unterstützt Unternehmen dabei, FRIA-Prozesse zu entwickeln, die sich in ihre übergeordneten Rahmenwerke für KI-Governance und Risikomanagement integrieren lassen, und verwandelt so eine regulatorische Anforderung in eine wiederholbare, überprüfbare Funktion.
Erfahren Sie mehr über Archer AI Governance →
Sprechen Sie mit unserem Team über KI-Governance für Ihr Unternehmen →
Häufig gestellte Fragen
Was ist eine Grundrechte-Folgenabschätzung (FRIA) im Sinne des EU-KI-Gesetzes?
Eine Grundrechte-Folgenabschätzung (FRIA) ist eine gemäß Artikel 27 des EU-KI-Gesetzes vorgeschriebene Bewertung für bestimmte KI-Systeme mit hohem Risiko. Dabei wird ermittelt, inwiefern ein KI-System die Grundrechte von Personen beeinträchtigen könnte, darunter das Recht auf Privatsphäre, das Recht auf Nichtdiskriminierung und den Zugang zur Justiz. Die FRIA muss vor der Inbetriebnahme durchgeführt werden und umfasst die Bewertung von Risiken, betroffenen Gruppen sowie Maßnahmen zur Risikominderung, um einen verantwortungsvollen Einsatz von KI zu gewährleisten.
Wer ist gemäß Artikel 27 des EU-KI-Gesetzes zur Durchführung einer FRIA verpflichtet?
Eine FRIA muss von Betreibern hochriskanter KI-Systeme durchgeführt werden, insbesondere von Organisationen des öffentlichen Sektors und privaten Einrichtungen, die öffentliche Dienstleistungen erbringen. Sie gilt auch für bestimmte Anwendungsfälle, die sensible Entscheidungsprozesse beinhalten, wie beispielsweise die Bonitätsprüfung oder die Risikobewertung im Versicherungswesen. Diese Organisationen müssen die FRIA vor der ersten Nutzung durchführen und aktualisieren, wenn sich das System oder dessen Nutzung ändert.
Inwiefern unterscheidet sich eine FRIA von einer Datenschutz-Folgenabschätzung (DPIA)?
Während sich eine Datenschutz-Folgenabschätzung (DPIA) auf Risiken für personenbezogene Daten im Rahmen der DSGVO konzentriert, hat eine FRIA einen breiteren Anwendungsbereich. Sie bewertet die Auswirkungen von KI-Systemen auf eine Vielzahl von Grundrechten, wie beispielsweise Fairness, Würde und Nichtdiskriminierung. In einigen Fällen kann eine DPIA eine FRIA ergänzen, doch die FRIA befasst sich speziell mit den gesellschaftlichen und ethischen Auswirkungen des KI-Einsatzes im Rahmen des EU-KI-Gesetzes.
