Kurzdefinition: Die Grundrechte-Folgenabschätzung ist die Pflicht bestimmter Betreiber, vor der Inbetriebnahme eines Hochrisiko-KI-Systems dessen Auswirkungen auf die Grundrechte zu bewerten. Art. 27 KI-VO regelt Voraussetzungen und Inhalt. [N-KI-VO-27]
Der Normwortlaut
Art. 27 Abs. 1 KI-VO verlangt, dass bestimmte Betreiber „Vor der Inbetriebnahme eines Hochrisiko-KI-Systems“ eine „Abschätzung der Auswirkungen, die die Verwendung eines solchen Systems auf die Grundrechte haben kann“, durchführen. [N-KI-VO-27]
Wer muss die Abschätzung durchführen?
Öffentliche Stellen und bestimmte private Betreiber. Nach Art. 27 KI-VO trifft die Pflicht Betreiber, die Einrichtungen des öffentlichen Rechts sind oder als private Einrichtungen öffentliche Dienste erbringen, sowie Betreiber von Hochrisiko-KI-Systemen in bestimmten Bereichen des Anhangs III (etwa Kreditwürdigkeitsprüfung und Risikobewertung in der Lebens- und Krankenversicherung). Nicht jeder Betreiber ist erfasst. [N-KI-VO-27]
Was umfasst die Grundrechte-Folgenabschätzung?
Eine strukturierte Risikoanalyse. Die Abschätzung umfasst unter anderem die Verfahren, in denen das System verwendet wird, die betroffenen Personengruppen, die spezifischen Schadensrisiken für diese Personen, die Maßnahmen der menschlichen Aufsicht sowie die Maßnahmen, die bei Eintritt der Risiken zu ergreifen sind. [N-KI-VO-27]
Wie verhält sie sich zur Datenschutz-Folgenabschätzung?
Sie ergänzt sie. Die Grundrechte-Folgenabschätzung nach Art. 27 KI-VO und die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO überschneiden sich teilweise, verfolgen aber unterschiedliche Schutzrichtungen: Die eine betrifft die Grundrechte insgesamt, die andere den Datenschutz. Bereits durchgeführte Abschätzungen können einbezogen werden. [N-KI-VO-27] [N-DSGVO-35]
Welche Betreiber trifft die Pflicht konkret?
Bestimmte. Erfasst sind Einrichtungen des öffentlichen Rechts oder private Erbringer öffentlicher Dienste sowie Betreiber von Hochrisiko-KI zur Kreditwürdigkeitsprüfung und zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung (Anhang III Nummer 5 Buchstaben b und c). Nicht jeder KI-Betreiber muss die Abschätzung durchführen. [N-KI-VO-27]
Bis wann ist die Abschätzung durchzuführen?
Vor der Inbetriebnahme. Art. 27 Abs. 1 KI-VO verlangt die Grundrechte-Folgenabschätzung ausdrücklich vor der Inbetriebnahme des Hochrisiko-KI-Systems. Ein Nachholen nach dem Start erfüllt die Pflicht nicht. [N-KI-VO-27]
Häufige Fehlannahmen
- „Jeder KI-Betreiber muss eine Grundrechte-Folgenabschätzung durchführen.“ Nein. Art. 27 KI-VO erfasst nur bestimmte Betreiber. [N-KI-VO-27]
- „Sie kann nach der Inbetriebnahme nachgeholt werden.“ Nein. Sie ist vor der Inbetriebnahme durchzuführen. [N-KI-VO-27]
- „Sie ist mit der Datenschutz-Folgenabschätzung identisch.“ Nein. Beide ergänzen einander, sind aber eigenständig. [N-KI-VO-27]
- „Nur klassische Behörden sind betroffen.“ Nein. Erfasst sind Einrichtungen des öffentlichen Rechts oder private Erbringer öffentlicher Dienste sowie Betreiber von Hochrisiko-KI zur Kreditwürdigkeitsprüfung und zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung (Anhang III Nummer 5 Buchstaben b und c). [N-KI-VO-27]
- „Die Abschätzung ist ein formloses internes Dokument.“ Nein. Sie umfasst unter anderem die Verfahren, die betroffenen Personengruppen, die spezifischen Schadensrisiken, die menschliche Aufsicht und die Maßnahmen bei Eintritt von Risiken. [N-KI-VO-27]
- „Die Abschätzung betrifft allein den Datenschutz.“ Nein. Sie betrifft die Auswirkungen der Verwendung auf die Grundrechte insgesamt. [N-KI-VO-27]
Was die Geschäftsleitung tun sollte
- Betroffenheit prüfen. Klären, ob das Unternehmen ein erfasster Betreiber ist.
- Vor Inbetriebnahme handeln. Die Abschätzung rechtzeitig durchführen.
- Risiken bewerten. Betroffene Gruppen, Schadensrisiken und Aufsicht analysieren.
- Mit DSFA verzahnen. Vorhandene Datenschutz-Folgenabschätzungen einbeziehen.
Für die Geschäftsleitung
Die Grundrechte-Folgenabschätzung nach Art. 27 KI-VO verpflichtet bestimmte Betreiber, vor dem Einsatz einer Hochrisiko-KI deren Wirkung auf die Grundrechte zu prüfen. Für betroffene Unternehmen — etwa im öffentlichen Sektor oder bei bestimmten Hochrisiko-Einsatzfällen der Lebens- und Krankenversicherung — ist sie ein der Datenschutz-Folgenabschätzung verwandter Pflichtenschritt vor der Inbetriebnahme.
Quellen
- [N-KI-VO-27] Art. 27 KI-VO (Grundrechte-Folgenabschätzung für Hochrisiko-KI-Systeme), Abs. 1 bis 5. Verordnung (EU) 2024/1689, CELEX 32024R1689. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689
- [N-DSGVO-35] Art. 35 DSGVO (Datenschutz-Folgenabschätzung). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
