Die KI-Verordnung führt ein wirksames neues Compliance-Instrument ein, das viele Organisationen gerade erst zu verstehen beginnen: die Grundrechte-Folgenabschätzung, kurz FRIA (Fundamental Rights Impact Assessment). Anders als technische Konformitätsbewertungen, die sich auf Systemspezifikationen konzentrieren, verlangt die FRIA von Betreibern, zu prüfen, wie ihre KI-Systeme die Grundrechte realer Menschen berühren – vom Schutz der Privatsphäre und dem Diskriminierungsverbot bis zur Menschenwürde und zum Zugang zur Justiz. Da die Hochrisiko-Pflichten im Zuge der gestaffelten Anwendung der KI-Verordnung greifen, müssen Organisationen, die Hochrisiko-KI-Systeme betreiben, wissen, was eine FRIA ist und wie sie wirksam durchgeführt wird. Dieser Leitfaden bietet einen umfassenden Rahmen, praktische Vorlagen und branchenspezifische Beispiele, damit Sie Ihre Pflichten nach Artikel 27 der KI-Verordnung erfüllen. Vorab ein Hinweis zum Zeitplan: Der am 29. Juni 2026 angenommene Digital Omnibus zur KI hat den Geltungsbeginn der Hochrisiko-Pflichten, dem die FRIA folgt, für eigenständige Systeme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027 verschoben. Die Pflicht aus Artikel 27 selbst bleibt unverändert. Der erste Abschnitt verweist auf vier ausgefüllte FRIAs (Kreditwürdigkeitsprüfung, Lebens- und Krankenversicherung, ein französischer Betreiber und ein Agent für die Triage von Geldwäsche-Alerts), ein späterer Abschnitt verfolgt ein Risiko vom Schaden bis zum Nachweis. Mit unserem kostenlosen FRIA-Generator erstellen Sie in wenigen Minuten einen Entwurf. Die FRIA ist Teil eines umfassenderen Stacks aus Compliance-Software für die KI-Verordnung, neben technischer Dokumentation, Laufzeitkontrollen und Prüfnachweisen.
Ausgearbeitete FRIA-Beispiele: Kredit, Versicherung, Frankreich und Geldwäschebekämpfung
Beginnen Sie mit dem ausgefüllten Beispiel, das Ihrem Einsatz am nächsten kommt. Jedes füllt alle sechs Abschnitte nach Artikel 27 Absatz 1 für einen fiktiven Betreiber aus und gibt an, ob die Pflicht aus Artikel 27 für diesen Einsatz gilt oder ob die Abschätzung freiwillig erfolgt.
Als wir im September 2026 anonymisierte Lesersitzungen zu diesem Leitfaden auswerteten, gingen die Leser direkt zu den Beispieltexten: Ein englischsprachiger Leser wählte das Beispiel für Finanzdienstleistungen eine Sekunde nach dem Aufruf aus, ein französischsprachiger Leser markierte eine Passage nach der anderen. Deshalb stehen die ausgefüllten Beispiele in dieser Überarbeitung am Anfang. Dieselbe Auswertung zeigte, dass unsere italienische Seite des FRIA-Generators ein englisches Formular in italienischen Text einbettete. Seitdem haben wir Felder, ausgearbeitetes Beispiel und Exporte in allen fünf Sprachen der Website lokalisiert.
Für einen Start ohne Vorlage laden Sie die Vorlage herunter oder erstellen Sie einen Entwurf im FRIA-Generator. Das kommentierte Beispiel weiter unten verfolgt ein Risiko vom Schaden bis zu dem Nachweis, der zeigt, dass die zugehörige Kontrolle wirkt.
| Beispiel | Betreiber und Einsatz | Stellung nach Artikel 27 | Was es beiträgt |
|---|---|---|---|
| Kreditwürdigkeitsprüfung | Eine Bank bewertet Antragsteller für Verbraucherkredite | Pflicht: Anhang III Nummer 5 Buchstabe b | Schäden im Verbraucherkredit, Begründungen bei Ablehnung und ein vollständiges Risikoregister |
| Lebens- und Krankenversicherung | Ein Versicherer kalkuliert Prämien und zeichnet Lebens- und Krankenversicherungen | Pflicht: Anhang III Nummer 5 Buchstabe c | Welche Versicherungssparten erfasst sind sowie Gesundheits- und genetische Daten |
| Frankreich und die CNIL | Ein französischer Betreiber, der bereits AIPDs (die französische DSFA nach DSGVO) durchführt | Hängt vom Einsatz ab; behandelt die Weiterverwendung nach Artikel 27 Absatz 4 | Wie sich eine AIPD weiterverwenden lässt und welche französische Behörde die Mitteilung erhält |
| Agent für die Triage von Geldwäsche-Alerts | Eine Privatbank setzt einen Agenten zur Triage von Alerts aus dem Transaktionsmonitoring ein | Freiwillig: Die Triage von Geldwäsche-Alerts fällt nicht unter Anhang III Nummer 5 Buchstaben b und c | Eine ausgefüllte Abschätzung zum Herunterladen, mit Aufsichtsmaßnahmen, die im Moment der Aktion greifen |
Was ist eine Grundrechte-Folgenabschätzung (FRIA)?
Eine Grundrechte-Folgenabschätzung ist ein systematisches Bewertungsverfahren, mit dem mögliche nachteilige Auswirkungen von Hochrisiko-KI-Systemen auf die Grundrechte von Personen ermittelt, bewertet und gemindert werden. Die nach Artikel 27 der KI-Verordnung vorgeschriebene FRIA ist die weltweit erste rechtsverbindliche Folgenabschätzung, die sich speziell auf KI und Grundrechte richtet.
Die FRIA prüft mögliche Auswirkungen auf das gesamte Spektrum der Rechte aus der Charta der Grundrechte der Europäischen Union, darunter die Würde des Menschen (Artikel 1), das Recht auf Leben und Unversehrtheit (Artikel 2–3), die Achtung des Privat- und Familienlebens (Artikel 7), den Schutz personenbezogener Daten (Artikel 8), die Nichtdiskriminierung (Artikel 21), die Gleichheit von Frauen und Männern (Artikel 23), die Rechte des Kindes, älterer Menschen und von Menschen mit Behinderung (Artikel 24–26), die Freiheit der Meinungsäußerung (Artikel 11) sowie das Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren (Artikel 47).
Die Abschätzung ist eine vorausschauende Maßnahme: Sie hilft Organisationen, mögliche Schäden zu erkennen und anzugehen, bevor sie eintreten. Richtig durchgeführt sichert eine FRIA die Einhaltung der Vorschriften, gibt ethische Gewissheit und verschafft eine belastbare Position gegenüber Aufsichtsbehörden und Gerichten.
FRIA und DSFA: die wichtigsten Unterschiede
Viele Organisationen nehmen fälschlich an, die FRIA sei nur ein neuer Name für die Datenschutz-Folgenabschätzung (DSFA), die die DSGVO bereits verlangt. Beide Abschätzungen bewerten Risiken und ähneln sich methodisch, unterscheiden sich aber deutlich in Umfang und Schwerpunkt.
Die DSFA nach Artikel 35 DSGVO richtet sich vor allem auf Datenschutz und Privatsphäre (Artikel 7–8 der Charta), wird durch eine Verarbeitung personenbezogener Daten mit hohem Risiko ausgelöst und liegt in der Verantwortung des Verantwortlichen. Die FRIA nach Artikel 27 der KI-Verordnung umfasst alle Grundrechte der Charta, wird durch den Einsatz von Hochrisiko-KI-Systemen ausgelöst und liegt in der Verantwortung des Betreibers – und sie gilt unabhängig davon, ob personenbezogene Daten verarbeitet werden.
Die KI-Verordnung erkennt dieses ergänzende Verhältnis ausdrücklich an. Nach Artikel 27 Absatz 4 ergänzt die FRIA eine nach der DSGVO durchgeführte DSFA, wenn Pflichten der FRIA bereits durch diese erfüllt werden. In der Praxis führen Organisationen beide Abschätzungen oft parallel durch und fassen sie mitunter in einem gemeinsamen Bericht zusammen – der Umfang der FRIA ist jedoch grundlegend breiter.
Ein wesentlicher methodischer Unterschied: Die FRIA verlangt eine Bewertung je Grundrecht. Eine negative Auswirkung auf ein Recht (etwa die Nichtdiskriminierung) darf nicht mit einer positiven Auswirkung auf einen anderen Belang (etwa die betriebliche Effizienz) verrechnet werden. Jedes Recht ist eigenständig zu bewerten.
| Dimension | DSFA (Artikel 35 DSGVO) | FRIA (Artikel 27 KI-Verordnung) |
|---|---|---|
| Schwerpunkt | Datenschutz und Privatsphäre (Artikel 7–8 der Charta) | Alle Grundrechte der Charta |
| Auslöser | Verarbeitung personenbezogener Daten mit hohem Risiko | Einsatz eines erfassten Hochrisiko-KI-Systems |
| Verantwortlich | Verantwortlicher | Betreiber |
| Personenbezogene Daten erforderlich? | Ja: Die Abschätzung betrifft personenbezogene Daten | Nein: gilt auch, wenn keine personenbezogenen Daten verarbeitet werden |
| Bewertungsmethode | Gesamtrisiko für die betroffenen Personen | Recht für Recht; keine Verrechnung eines Rechts mit einem anderen |
| Verhältnis | Kann als Grundlage für eine FRIA weiterverwendet werden | Ergänzt eine DSFA, ersetzt sie nicht (Art. 27 Abs. 4) |
Wann verlangt die KI-Verordnung eine FRIA?
Die Pflicht zur FRIA gilt nicht für jeden Betreiber eines Hochrisiko-KI-Systems. Artikel 27 legt bestimmte Gruppen von Betreibern fest, die diese Abschätzung durchführen müssen.
Einrichtungen des öffentlichen Rechts müssen vor dem Einsatz von Hochrisiko-KI-Systemen nach Anhang III eine FRIA durchführen. Solche Einrichtungen wurden zu dem Zweck gegründet, im Allgemeininteresse liegende Aufgaben zu erfüllen, besitzen Rechtspersönlichkeit, werden überwiegend vom Staat oder von Behörden finanziert oder unterliegen hinsichtlich ihrer Leitung der Aufsicht durch Behörden.
Private Einrichtungen, die öffentliche Dienste erbringen, sind ebenfalls erfasst. Dazu zählen Einrichtungen in Bildung, Gesundheitswesen, Sozialdiensten, Wohnungswesen und Rechtspflege. Dass der weite Begriff „öffentliche Dienste“ ohne Abgrenzungskriterien verwendet wird, deutet darauf hin, dass der Gesetzgeber jeden Betreiber erfassen will, dessen Dienste das öffentliche Interesse spürbar berühren.
Unabhängig vom öffentlichen oder privaten Status müssen Betreiber FRIAs für KI-Systeme durchführen, die die Kreditwürdigkeit bewerten oder die Bonität feststellen sollen (mit Ausnahme von Systemen zur Aufdeckung von Finanzbetrug), sowie für KI-Systeme zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung.
- Einrichtungen des öffentlichen Rechts, die Hochrisiko-KI für öffentliche Dienste einsetzen
- Private Einrichtungen, die grundlegende Dienste erbringen (Bildung, Gesundheitswesen, Sozialdienste, Wohnungswesen)
- Alle Betreiber, die KI zur Kreditwürdigkeitsprüfung oder Bonitätsbewertung einsetzen
- Alle Betreiber, die KI zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung einsetzen
Hochrisiko-KI-Kategorien, für die eine FRIA gilt
Für Einrichtungen des öffentlichen Rechts und private Einrichtungen, die öffentliche Dienste erbringen, sind FRIAs für KI-Systeme aus den meisten Kategorien des Anhangs III erforderlich.
Kategorie 1 (Biometrie) umfasst biometrische Fernidentifizierungssysteme, biometrische Kategorisierung nach sensiblen Merkmalen und Systeme zur Emotionserkennung. Kategorie 3 (Bildung) umfasst Systeme, die über den Zugang oder die Zulassung zu Bildungseinrichtungen entscheiden, Lernergebnisse bewerten, das angemessene Bildungsniveau einschätzen und verbotenes Verhalten bei Prüfungen überwachen.
Kategorie 4 (Beschäftigung) umfasst Systeme für Einstellung und Auswahl, Systeme, die arbeitsbezogene Entscheidungen beeinflussen (Beförderung, Kündigung, Aufgabenzuweisung), sowie Systeme zur Leistungsüberwachung und -bewertung. Kategorie 5 (grundlegende Dienste) umfasst Systeme, die den Anspruch auf öffentliche Unterstützungsleistungen prüfen, die Kreditwürdigkeit bewerten, Risiken in der Lebens- und Krankenversicherung einschätzen sowie Notrufe einstufen und Einsätze disponieren.
Kategorie 6 (Strafverfolgung) umfasst die Risikobewertung für Opfer, Lügendetektoren und ähnliche Instrumente, die Bewertung der Verlässlichkeit von Beweismitteln, die Bewertung des Risikos von Straftaten und Profiling-Systeme. Kategorie 7 (Migration) umfasst Systeme zur Risikobewertung, zur Prüfung von Asyl- und Visumanträgen und zur Identifizierung. Kategorie 8 (Rechtspflege) umfasst Systeme, die Justizbehörden unterstützen, und die alternative Streitbeilegung.
Eine wichtige Ausnahme: KI-Systeme, die als Sicherheitsbauteile in kritischer digitaler Infrastruktur, im Straßenverkehr oder in der Versorgung eingesetzt werden, unterliegen keiner FRIA-Pflicht.
FRIA-Vorlage: Schlüsselabschnitte
Artikel 27 Absatz 1 legt die Pflichtbestandteile jeder FRIA fest. Nach Artikel 27 Absatz 5 muss das Europäische Büro für Künstliche Intelligenz einen amtlichen Muster-Fragebogen (einschließlich eines automatisierten Werkzeugs) ausarbeiten. Stand Oktober 2026 ist er nicht veröffentlicht, und sein Fehlen entbindet nicht von der Pflicht. Der Omnibus hat Artikel 27 Absatz 5 so geändert, dass das Muster auf die einschlägigen Teile einer Datenschutz-Folgenabschätzung nach der DSGVO verweisen oder diese enthalten kann (AI Act Service Desk). Bis dahin gliedern Sie Ihre Abschätzung nach den sechs unten genannten Pflichtbestandteilen. Das European Center for Not-for-Profit Law (ECNL) und das Danish Institute for Human Rights haben zudem A Guide to Fundamental Rights Impact Assessments (Dezember 2025) veröffentlicht, mit einer herunterladbaren Vorlage und einer Methodik in fünf Phasen, die direkt auf den Bestandteilen von Artikel 27 Absatz 1 aufbaut: eine nützliche Praxishilfe, solange das amtliche Werkzeug aussteht (es handelt sich um eine Leitlinie der Zivilgesellschaft, nicht um eine verbindliche EU-Vorlage). Für einen schnellen strukturierten Entwurf nutzen Sie unseren kostenlosen FRIA-Generator oder laden Sie die Vorlage herunter.
Abschnitt 1 behandelt Systembeschreibung und Zweckbestimmung. Dokumentieren Sie die Verfahren des Betreibers, in denen das KI-System entsprechend seiner vom Anbieter festgelegten Zweckbestimmung eingesetzt wird. Erforderlich sind Name und Version des KI-Systems, Kontaktdaten des Anbieters, eine klare Beschreibung der Zweckbestimmung, die konkreten Anwendungsfälle in Ihrer Organisation, der betriebliche Kontext und das Umfeld sowie technische Spezifikationen, die für Auswirkungen auf Rechte relevant sind.
Abschnitt 2 behandelt Dauer und Häufigkeit der Verwendung. Dokumentieren Sie den geplanten Einsatzbeginn, die erwartete Dauer (unbefristet, befristet, Pilot), die Nutzungshäufigkeit (kontinuierlich, periodisch, ereignisgesteuert), Mengenkennzahlen (Anzahl der Entscheidungen pro Tag, Woche oder Monat) und den geografischen Geltungsbereich.
Abschnitt 3 behandelt Kategorien betroffener Personen. Ermitteln Sie direkte Nutzer, Personen, die KI-gestützten Entscheidungen unterliegen, mittelbar betroffene Dritte und bestimmte demografische Gruppen. Zu den schutzbedürftigen Gruppen, die besondere Aufmerksamkeit erfordern, gehören Kinder, ältere Menschen, Menschen mit Behinderung, sozioökonomisch benachteiligte Gruppen, ethnische oder religiöse Minderheiten, Personen mit anderer Muttersprache und Personen mit geringer digitaler Kompetenz.
Abschnitt 4 behandelt spezifische Risiken für Grundrechte. Bewerten Sie für jedes möglicherweise betroffene Recht die Wahrscheinlichkeit (selten bis nahezu sicher), die Schwere (vernachlässigbar bis katastrophal), die Umkehrbarkeit (leicht umkehrbar bis unumkehrbar) und den Umfang der betroffenen Bevölkerung (Einzelperson bis gesamte Gesellschaft).
Abschnitt 5 behandelt Maßnahmen der menschlichen Aufsicht. Dokumentieren Sie die für die Aufsicht benannten Personen, Qualifikations- und Schulungsanforderungen, Eingriffsmöglichkeiten, Eskalationsverfahren, Überwachungsprotokolle und Dokumentationsanforderungen.
Abschnitt 6 behandelt Maßnahmen zur Risikominderung. Dazu gehören technische Maßnahmen (Bias-Tests, Genauigkeitsschwellen, Datenqualitätskontrollen, Protokollierung), organisatorische Maßnahmen (Governance-Strukturen, Richtlinien, Schulungen, Überprüfungszyklen) und verfahrensrechtliche Schutzvorkehrungen (Recht auf menschliche Überprüfung, Beschwerdemechanismen, zugängliche Rechtsbehelfe, Rückfallverfahren).
| Abschnitt | Was zu dokumentieren ist | Grundlage |
|---|---|---|
| 1. Systembeschreibung und Zweckbestimmung | Verfahren des Betreibers, Zweckbestimmung, Anbieter, betrieblicher Kontext | Art. 27 Abs. 1 Buchst. a |
| 2. Dauer und Häufigkeit der Verwendung | Startdatum, Dauer, Häufigkeit, Volumen, geografischer Geltungsbereich | Art. 27 Abs. 1 Buchst. b |
| 3. Kategorien betroffener Personen | Direkt Betroffene, Dritte und schutzbedürftige Gruppen | Art. 27 Abs. 1 Buchst. c |
| 4. Spezifische Risiken für Grundrechte | Risikoregister: jedes Recht, Schadensszenario, Wahrscheinlichkeit, Schwere, Minderung, Restrisiko | Art. 27 Abs. 1 Buchst. d |
| 5. Maßnahmen der menschlichen Aufsicht | Aufsichtsrollen, Eingriffsbefugnisse, Qualifikationen und Schulung | Art. 27 Abs. 1 Buchst. e |
| 6. Maßnahmen bei Eintritt der Risiken | Technische und organisatorische Maßnahmen, Beschwerde und Abhilfe, Mitteilung an die Behörde | Art. 27 Abs. 1 Buchst. f |
Eine FRIA durchführen: Schritt für Schritt
Schritt 1: FRIA-Pflicht feststellen. Bestätigen Sie, dass eine FRIA erforderlich ist: Prüfen Sie, ob Ihr KI-System nach Artikel 6 und Anhang III als hochriskant eingestuft ist, ob Ihre Organisation eine Einrichtung des öffentlichen Rechts oder eine private Einrichtung ist, die öffentliche Dienste erbringt, oder ob das KI-System für die Kredit- oder Versicherungsbewertung unter Anhang III Nummer 5 Buchstabe b oder c fällt.
Schritt 2: Informationen vom KI-Anbieter einholen. Die FRIA stützt sich stark auf Informationen, die Anbieter nach den Artikeln 11–13 bereitstellen müssen, darunter die technische Dokumentation nach Anhang IV, die Betriebsanleitung, Fähigkeiten und Grenzen des Systems, bekannte Risiken und Minderungsmaßnahmen sowie Angaben zu Trainingsdatensätzen und möglichen Verzerrungen.
Schritt 3: Das Bewertungsteam zusammenstellen. FRIAs erfordern vielfältige Fachkenntnisse, darunter Rechts- und Compliance-Fachleute, Datenschutzbeauftragte, technische Fachleute, Fachexperten (Personal, Gesundheitswesen, Finanzen), Vertreter, die die betroffenen Gemeinschaften verstehen, und Fachleute für Risikomanagement.
Schritt 4: Betroffene Personen und Rechte erfassen. Listen Sie alle Gruppen von Personen auf, die mit dem System interagieren oder von ihm betroffen sind, ermitteln Sie für jede Gruppe, welche Grundrechte berührt sein könnten, und berücksichtigen Sie unmittelbare und mittelbare Auswirkungen.
Schritt 5: Die Risikobewertung durchführen. Beschreiben Sie für jedes gefährdete Recht das mögliche Schadensszenario, bewerten Sie Wahrscheinlichkeit und Schwere, ordnen Sie eine Risikostufe zu und dokumentieren Sie Begründung und Belege.
Schritt 6: Minderungsmaßnahmen entwerfen. Schlagen Sie für jedes ermittelte Risiko konkrete Maßnahmen vor, prüfen Sie ihre Umsetzbarkeit, bewerten Sie das Restrisiko nach der Minderung, legen Sie die Verantwortung für die Umsetzung fest und richten Sie Überwachungsmechanismen ein.
Schritte 7–9: Dokumentieren Sie die Regelungen zur menschlichen Aufsicht, richten Sie Beschwerde- und Abhilfemechanismen ein und lassen Sie die Abschätzung von der Rechtsberatung und der Leitung prüfen und freigeben.
Schritt 10 – Die Marktüberwachungsbehörde unterrichten. Nach Artikel 27 Absatz 3 muss der Betreiber nach Durchführung der FRIA die zuständige Marktüberwachungsbehörde über die Ergebnisse unterrichten und dabei das ausgefüllte Muster nach Artikel 27 Absatz 5 einreichen (und bis zu dessen Veröffentlichung die eigene Dokumentation anhand der Kriterien aus Artikel 27 Absatz 1). Die Mitteilung informiert die Behörde darüber, dass ein Hochrisiko-System im Einsatz ist und eine Grundrechtebewertung abgeschlossen wurde. Die einzige Ausnahme ist der eng gefasste Fall nach Artikel 46 Absatz 1 (wenn eine Behörde das Inverkehrbringen eines Systems aus außergewöhnlichen Gründen wie der öffentlichen Sicherheit oder dem Schutz von Leben und Gesundheit genehmigt hat), und auch dann nur für einen begrenzten Zeitraum. Routineeinsätze sind nicht ausgenommen; eine allgemeine Ausnahme für „Strafverfolgung“ oder „betriebliche Vertraulichkeit“ gibt es nicht.
FRIA-Beispiele nach Branche
Beispiel Finanzdienstleistungen, Kreditwürdigkeitsprüfung: Eine Bank, die KI zur Bewertung der Kreditwürdigkeit einsetzt, muss die betroffenen Gruppen ermitteln (Kreditantragsteller, mit höherem Risiko für historisch unterversorgte Bevölkerungsgruppen), die vorrangig gefährdeten Rechte (Nichtdiskriminierung, Recht auf Eigentum, Zugang zu grundlegenden Diensten), die Risikofaktoren (Trainingsdaten können historische Verzerrungen widerspiegeln, Stellvertretervariablen können mit geschützten Merkmalen korrelieren) und Minderungsmaßnahmen umsetzen, darunter regelmäßige Bias-Audits, alternative Bewertungswege, menschliche Prüfung von Grenzfällen und klare Erläuterungen der Entscheidungsfaktoren.
Beispiel KI-Triage im Gesundheitswesen: Eine Notaufnahme, die KI zur Priorisierung der Patientenversorgung einsetzt, muss die betroffenen Gruppen berücksichtigen (alle Notfallpatienten, mit besonderem Augenmerk auf ältere Menschen, Menschen mit Behinderung und Personen mit anderer Muttersprache), die vorrangigen Rechte (Recht auf Leben, Zugang zur Gesundheitsversorgung, Menschenwürde, Nichtdiskriminierung) und die Risikofaktoren (mögliche Verzerrungen bei der Symptomerkennung zwischen demografischen Gruppen), und sie muss sicherstellen, dass die KI nur als Entscheidungsunterstützung dient, mit verpflichtender ärztlicher Beurteilung durch einen Menschen.
Beispiel Bewerbervorauswahl im Personalwesen: Ein Unternehmen, das KI zur Sichtung von Lebensläufen einsetzt, muss die betroffenen Gruppen berücksichtigen (alle Bewerber, insbesondere solche mit untypischem Werdegang, Lücken im Lebenslauf oder ausländischen Abschlüssen), die vorrangigen Rechte (Nichtdiskriminierung, Recht zu arbeiten, Gleichheit von Frauen und Männern) und die Risikofaktoren (historische Einstellungsdaten können Verzerrungen enthalten), und es muss Maßnahmen umsetzen, darunter die Anonymisierung geschützter Merkmale, regelmäßige Bias-Tests und die menschliche Prüfung abgelehnter Bewerbungen aus unterrepräsentierten Gruppen.
FRIA-Risiken bewerten: Wahrscheinlichkeit × Schwere
Bewerten Sie für jedes ermittelte Risiko die Wahrscheinlichkeit, dass der Schaden eintritt, und seine Schwere, falls er eintritt. Eine einfache Matrix macht aus diesen beiden Einschätzungen eine Risikostufe, die Sie priorisieren und verfolgen können. Verwenden Sie in der gesamten Abschätzung dieselbe Skala und halten Sie die Begründung jeder Einstufung fest – Aufsichtsbehörden interessieren sich für Ihre Methode ebenso wie für Ihre Ergebnisse.
| Wahrscheinlichkeit / Schwere | Vernachlässigbar | Gering | Mittel | Erheblich | Katastrophal |
|---|---|---|---|---|---|
| Selten | Niedrig | Niedrig | Niedrig | Mittel | Mittel |
| Unwahrscheinlich | Niedrig | Niedrig | Mittel | Mittel | Hoch |
| Möglich | Niedrig | Mittel | Mittel | Hoch | Hoch |
| Wahrscheinlich | Mittel | Mittel | Hoch | Hoch | Kritisch |
| Nahezu sicher | Mittel | Hoch | Hoch | Kritisch | Kritisch |
Ausgearbeitetes Beispiel: ein ausgefülltes FRIA-Risikoregister
In Abschnitt 4 wird eine FRIA konkret. Das folgende Register zeigt, wie eine Bank, die ein KI-System zur Kreditwürdigkeitsprüfung einsetzt, ihre Risiken dokumentieren könnte: jedes betroffene Grundrecht, das Schadensszenario, eine Einstufung von Wahrscheinlichkeit und Schwere, die Minderung und das danach verbleibende Restrisiko. Der FRIA-Generator erstellt ein Register mit denselben Spalten. Das kommentierte Beispiel unten verfolgt die erste Zeile bis zu ihrem Verantwortlichen, ihrer Kontrolle und ihrem Nachweis.
| Grundrecht | Schadensszenario | Wahrscheinlichkeit | Schwere | Risiko | Minderung | Rest |
|---|---|---|---|---|---|---|
| Nichtdiskriminierung (Art. 21) | Trainingsdaten spiegeln historische Verzerrungen; Stellvertretervariablen (z. B. Postleitzahl) korrelieren mit geschützten Merkmalen und führen zu ungleichen Ablehnungsquoten. | Möglich | Erheblich | Hoch | Vierteljährliche Tests auf ungleiche Auswirkungen; Stellvertretermerkmale entfernen oder umwandeln; menschliche Prüfung aller Ablehnungen bei unterrepräsentierten Gruppen. | Mittel |
| Zugang zu grundlegenden Diensten / Eigentum | Ein fehlerhaft niedriger Score führt zu einer unberechtigten Kreditablehnung und schränkt den Zugang zu Wohnraum oder notwendigen Anschaffungen ein. | Unwahrscheinlich | Erheblich | Mittel | Alternativer Weg mit manueller Bewertung; menschliche Übersteuerung; klare Begründung der Ablehnung gegenüber dem Antragsteller. | Niedrig |
| Schutz personenbezogener Daten (Art. 8) | Übermäßige oder unrichtige personenbezogene Daten beeinträchtigen Fairness und Genauigkeit der Entscheidung. | Möglich | Mittel | Mittel | Prüfung der Datenminimierung; Verzahnung mit der DSFA nach DSGVO; Datenqualitätskontrollen gemäß Artikel 10. | Niedrig |
Kommentiertes Beispiel: ein Schaden, verfolgt bis zu Verantwortlichem, Kontrolle und Nachweis
Ein Register lässt sich leichter prüfen, wenn jede Zeile vom Schaden bis zu dem Datensatz verfolgt werden kann, der die Wirksamkeit der Kontrolle zeigt. Die folgende Nachverfolgung nimmt die erste Zeile des Registers zur Kreditwürdigkeitsprüfung und ergänzt, was ein Prüfer verlangt: wem das Risiko gehört, welche Kontrolle darauf wirkt, woher der Nachweis stammt und wer das verbleibende Risiko akzeptiert hat. Bank, Rollen und Feststellungen sind fiktiv.
Halten Sie drei Bewertungen auseinander. Das bewertete Risiko ist die Einstufung vor der Minderung. Das Restrisiko ist die Einstufung nach der Minderung, und es gilt nur, solange die Nachweise zeigen, dass die Kontrollen wirken. Die Prüfentscheidung hält fest, wer das Restrisiko unter welchen Bedingungen akzeptiert hat und wann die Entscheidung überprüft wird. Ein Register, das die drei vermischt, lässt einen Prüfer im Unklaren, wer das Risiko akzeptiert hat.
Läuft die Bewertung innerhalb eines gesteuerten Process, lässt sich Kontrolle 3 als Richtlinienergebnis require_approval durchsetzen, und jede Entscheidung des Kreditsachbearbeiters wird zusammen mit der freigegebenen Aktion aufbewahrt. Das Beispiel eines Ausführungsdatensatzes zeigt die Felder eines solchen Datensatzes.
| Feld | Eintrag | Anmerkung |
|---|---|---|
| Schaden | Merkmale zu Postleitzahl und Beschäftigungsverlauf wirken als Stellvertreter für die ethnische Herkunft und erhöhen die Ablehnungsquoten für Antragsteller aus zwei Postleitzahlgebieten. | Beschreiben Sie den Mechanismus und die betroffene Gruppe. „Mögliche Verzerrung“ gibt einem Prüfer nichts, was er testen kann. |
| Betroffenes Recht | Nichtdiskriminierung (Artikel 21 der Charta). Verbundenes Recht: Zugang zu grundlegenden Diensten. | Bewerten Sie jedes Recht einzeln. Artikel 27 Absatz 1 Buchstabe d verlangt die spezifischen Schadensrisiken für die in Abschnitt 3 ermittelten Personen. |
| Betroffene Personen | Antragsteller für Verbraucherkredite, mit höherer Betroffenheit für Antragsteller aus den beiden Postleitzahlgebieten und Antragsteller mit Lücken im Lebenslauf. | Verknüpft die Zeile mit Abschnitt 3, Artikel 27 Absatz 1 Buchstabe c. |
| Bewertetes Risiko | Möglich × Erheblich = Hoch. | Vor der Minderung anhand der Matrix oben eingestuft. Halten Sie die Begründung fest, hier die Lücke bei den Ablehnungsquoten im Validierungsbericht des Anbieters. |
| Risikoverantwortlicher | Leitung Governance der Kreditrisikomodelle. | Eine benannte Rolle mit der Befugnis, den Einsatz zu ändern oder zu stoppen. Ein Gremium kann das Risiko prüfen; eine Rolle trägt es. |
| Kontrollen | 1. Vierteljährlicher Test auf ungleiche Auswirkungen. 2. Stellvertretermerkmale werden vor jedem Release entfernt oder umgewandelt. 3. Jede automatisierte Ablehnung in einem markierten Segment geht an einen Kreditsachbearbeiter, bevor der Antragsteller informiert wird. | Geben Sie an, wann jede Kontrolle läuft und worauf sie wirkt. Kontrolle 3 ist zugleich eine Maßnahme der menschlichen Aufsicht für Abschnitt 5, Artikel 27 Absatz 1 Buchstabe e. |
| Nachweisquelle | Testberichte, die mit jedem Modell-Release abgelegt werden; der Entscheidungsdatensatz des Kreditsachbearbeiters für jede weitergeleitete Ablehnung, mit Prüfer, Zeitpunkt und Ergebnis; eine monatliche Zählung weitergeleiteter und aufgehobener Ablehnungen. | Verweisen Sie auf Datensätze, die beim Ausführen der Kontrolle entstehen. Eine Richtlinie zeigt die Absicht; Entscheidungsdatensätze zeigen, dass die Kontrolle wirkt. |
| Restrisiko | Mittel, solange der vierteljährliche Test innerhalb des vereinbarten Schwellenwerts bleibt. | Nennen Sie die Bedingung. Schlägt ein vierteljährlicher Test fehl, steigt die Einstufung wieder auf Hoch und die Prüfentscheidung wird neu eröffnet. |
| Prüfentscheidung | Vom Chief Risk Officer mit den Kontrollen 1–3 als Bedingungen akzeptiert. Überprüfung nach dem ersten vierteljährlichen Test oder nach einem Modell-Release, je nachdem, was zuerst eintritt. | Der Nachweis der Akzeptanz: Freigebender, Bedingungen und Auslöser für die nächste Überprüfung. |
| Mitteilung | Ergebnisse nach Artikel 27 Absatz 3 der Marktüberwachungsbehörde mitgeteilt, mit Angabe der Version der Abschätzung, auf die sie sich beziehen. | Bewahren Sie die Mitteilung zusammen mit der FRIA-Version auf, über die sie berichtet. |
Die FRIA mit anderen Compliance-Anforderungen verzahnen
Abstimmung mit der DSFA nach DSGVO: Verarbeitet ein KI-System personenbezogene Daten, brauchen Sie wahrscheinlich sowohl eine DSFA als auch eine FRIA. Bewährt haben sich die parallele Durchführung, der Ausbau einer bestehenden DSFA um weitere Rechte, einheitliche Rahmen für die Risikobewertung, eine zusammengeführte Dokumentation und abgestimmte Aufsichtsmaßnahmen.
Bezug zur technischen Dokumentation nach Anhang IV: Betreiber, die FRIAs durchführen, sollten die Dokumentation nach Anhang IV beim Anbieter anfordern, dessen Risikobewertungen als Grundlage nutzen, prüfen, ob die vom Anbieter dokumentierten Maßnahmen in ihrem Einsatzkontext umgesetzt sind, und einsatzspezifische Risiken dokumentieren, die die Unterlagen des Anbieters nicht abdecken.
Verhältnis zur Konformitätsbewertung: Die Konformitätsbewertung ist in erster Linie eine Pflicht des Anbieters. Betreiber sollten dennoch prüfen, ob das KI-System die Konformitätsbewertung durchlaufen hat, verstehen, was sie abgedeckt hat, und beachten, dass die Konformitätsbewertung technische Anforderungen behandelt, während die FRIA die einsatzspezifischen Auswirkungen auf Grundrechte behandelt.
Registrierung in der EU-Datenbank: Hochrisiko-KI-Systeme müssen nach Artikel 71 in der EU-Datenbank registriert werden. Stellen Sie sicher, dass der Anbieter Ihr System ordnungsgemäß registriert hat und die Registrierungsangaben mit Ihrer FRIA-Dokumentation übereinstimmen.
Sanktionen und Durchsetzung
Verstöße gegen Betreiberpflichten setzen Organisationen der mittleren Sanktionsstufe der KI-Verordnung aus: Geldbußen von bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Das liegt unter der höchsten Stufe von 35 Mio. EUR oder 7 % für Verstöße gegen die Verbote aus Artikel 5 (Artikel 99 Absatz 3). Eine Feinheit, auf die der Genauigkeit halber hinzuweisen ist: Artikel 99 Absatz 4 nennt die Vorschrift zu den Betreiberpflichten (Artikel 26), erwähnt Artikel 27 (die FRIA) aber nicht ausdrücklich. In der Praxis wird überwiegend angenommen, dass ein Versäumnis bei der FRIA ein Verstoß gegen Betreiberpflichten in derselben Stufe von 15 Mio. EUR bzw. 3 % ist; die Lücke im Wortlaut besteht jedoch, und es gelten zusätzlich die Sanktionsvorschriften der Mitgliedstaaten (Artikel 99 Absätze 1–2). Für KMU und Start-ups gilt jeweils der niedrigere Wert aus Prozentsatz und Festbetrag (Artikel 99 Absatz 6). Marktüberwachungsbehörden sind befugt, Untersuchungen durchzuführen und Korrekturmaßnahmen anzuordnen.
Über förmliche Sanktionen hinaus entstehen bei fehlenden oder mangelhaften FRIAs Reputationsrisiken durch Grundrechtsverletzungen, Haftungsrisiken bei eintretenden Schäden und betriebliche Risiken, wenn Behörden Änderungen oder die Einstellung des Systems verlangen.
Zeitplan und nächste Schritte
Die KI-Verordnung gilt gestaffelt. Die Verbote aus Artikel 5 und die Pflichten zur KI-Kompetenz gelten seit dem 2. Februar 2025; die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), die Governance-Vorschriften und der Sanktionsrahmen seit dem 2. August 2025. Die Hochrisiko-Pflichten (einschließlich der FRIA nach Artikel 27) sollten ursprünglich ab dem 2. August 2026 für eigenständige Systeme nach Anhang III gelten und ab dem 2. August 2027 für Hochrisiko-KI in regulierten Produkten.
Im November 2025 hat die Kommission das Vereinfachungspaket Digital Omnibus vorgeschlagen. Rat und Europäisches Parlament erzielten um den 7. Mai 2026 eine politische Einigung, das Parlament billigte den vereinbarten Text am 16. Juni 2026 und der Rat nahm ihn am 29. Juni 2026 an. Die ändernde Verordnung, Verordnung (EU) 2026/1744, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Sie legt zwei feste Termine für die Hochrisiko-Pflichten fest: den 2. Dezember 2027 für eigenständige Systeme nach Anhang III und den 2. August 2028 für in Produkte eingebettete Systeme. Die FRIA folgt dem Termin für Anhang III; planen Sie also mit dem 2. Dezember 2027. Die Omnibus-Zeitleiste führt jeden verschobenen Termin auf.
Beachten Sie, was der Omnibus nicht verschiebt: Die Transparenzpflichten aus Artikel 50 (offenlegen, dass Nutzer mit einer KI interagieren, und KI-generierte Inhalte sowie Deepfakes kennzeichnen) gelten weiterhin ab dem 2. August 2026. Einziges Zugeständnis ist eine kurze Übergangsfrist für die maschinenlesbare Kennzeichnung generativer Systeme, die bereits auf dem Markt sind, verlängert bis zum 2. Dezember 2026. Zudem hat der Omnibus zwei Verbote in Artikel 5 ergänzt, für KI, die Darstellungen sexuellen Missbrauchs von Kindern oder nicht einvernehmliche intime Bilder erzeugt; sie gelten ab dem 2. Dezember 2026.
| Pflicht | Ursprünglicher Termin | Nach dem Digital Omnibus |
|---|---|---|
| Verbotene Praktiken (Art. 5) + KI-Kompetenz | 2. Feb. 2025 | Unverändert |
| GPAI-Modelle, Governance, Sanktionen | 2. Aug. 2025 | Unverändert |
| Transparenz (Art. 50) | 2. Aug. 2026 | Unverändert (Übergangsfrist für Kennzeichnung bis 2. Dez. 2026) |
| FRIA + Hochrisiko, eigenständig (Anhang III) | 2. Aug. 2026 | 2. Dez. 2027 |
| Registrierung nach Artikel 49 + EU-Datenbank nach Artikel 71 | 2. Aug. 2026 | 2. Dez. 2027 |
| KI-Reallabore in Betrieb (Art. 57) | 2. Aug. 2026 | 2. Aug. 2027 |
| Hochrisiko in Produkten (Anhang I) | 2. Aug. 2027 | 2. Aug. 2028 |
Ein praktischer Fahrplan zur FRIA-Vorbereitung
12 Monate oder mehr vor Ihrem maßgeblichen Termin: Erfassen Sie alle KI-Systeme, stufen Sie sie nach Risiko ein, ermitteln Sie, welche eine FRIA erfordern, beginnen Sie, Informationen von Anbietern einzuholen, und richten Sie Governance-Strukturen ein.
6–12 Monate vorher: Entwickeln Sie FRIA-Vorlagen und -Verfahren, schulen Sie das Personal, führen Sie Pilot-FRIAs durch und setzen Sie technische Maßnahmen für die menschliche Aufsicht um.
3–6 Monate vorher: Schließen Sie die FRIAs für alle erfassten Systeme ab, dokumentieren Sie die Minderungsmaßnahmen und prüfen Sie deren Umsetzung, richten Sie Beschwerde- und Abhilfemechanismen ein und bereiten Sie Ihre Mitteilungen nach Artikel 27 Absatz 3 vor.
Laufend nach Erreichen der Compliance: Überwachen Sie KI-Systeme auf Änderungen, die eine Aktualisierung der FRIA erfordern, verfolgen Sie Leitlinien des Büros für Künstliche Intelligenz (einschließlich des erwarteten amtlichen Musters), führen Sie regelmäßige Überprüfungen durch und pflegen Sie Dokumentation und Audit-Trails.
Häufig gestellte Fragen
Worin unterscheiden sich FRIA und DSFA?
Die DSFA nach Artikel 35 DSGVO richtet sich speziell auf Datenschutz und Privatsphäre bei der Verarbeitung personenbezogener Daten. Die FRIA nach Artikel 27 der KI-Verordnung ist breiter angelegt und bewertet Auswirkungen auf alle Grundrechte der Charta – darunter Nichtdiskriminierung, Würde, Meinungsfreiheit, Zugang zur Justiz und viele weitere. Zudem kann eine FRIA auch dann erforderlich sein, wenn keine personenbezogenen Daten verarbeitet werden. Organisationen können beide Abschätzungen zusammenführen, die FRIA verlangt aber in der Regel zusätzliche Analysen über die DSFA hinaus.
Wer ist für die Durchführung der FRIA verantwortlich?
Die FRIA-Pflicht trifft die Betreiber von Hochrisiko-KI-Systemen, nicht die Anbieter. Anbieter unterstützen jedoch, indem sie die Informationen liefern, die Betreiber für ihre Abschätzungen benötigen. In der Praxis können sich Betreiber auf bereits durchgeführte FRIAs oder Folgenabschätzungen von Anbietern stützen, wenn die Umstände hinreichend ähnlich sind – die letztliche Verantwortung und Rechenschaftspflicht bleibt jedoch beim Betreiber.
Wie oft muss die FRIA aktualisiert werden?
Die FRIA muss vor der ersten Inbetriebnahme des Hochrisiko-KI-Systems durchgeführt werden. Eine Aktualisierung ist immer dann erforderlich, wenn der Betreiber feststellt, dass sich bewertete Elemente geändert haben oder nicht mehr aktuell sind. Das umfasst Änderungen am KI-System selbst, am Einsatzkontext, an den betroffenen Bevölkerungsgruppen oder neue Erkenntnisse über Risiken. Organisationen sollten regelmäßige Überprüfungszyklen einrichten, um Aktualisierungsbedarf frühzeitig zu erkennen.
Stellt das Büro für Künstliche Intelligenz eine amtliche FRIA-Vorlage bereit?
Artikel 27 Absatz 5 verpflichtet das Europäische Büro für Künstliche Intelligenz, einen Muster-Fragebogen einschließlich eines automatisierten Werkzeugs auszuarbeiten, der Betreibern die Erfüllung ihrer Pflichten erleichtert. Stand Oktober 2026 ist dieses amtliche Muster nicht veröffentlicht, und die Verordnung setzt dafür keine Frist – sein Fehlen entbindet jedoch nicht von der FRIA-Pflicht. Bis dahin gliedern Sie Ihre Abschätzung nach den Bestandteilen aus Artikel 27 Absatz 1. ECNL und das Danish Institute for Human Rights haben A Guide to Fundamental Rights Impact Assessments (Dezember 2025) mit einer Praxisvorlage veröffentlicht, und mit unserem kostenlosen FRIA-Generator erstellen Sie schon jetzt einen strukturierten Entwurf. Sobald das amtliche Muster erscheint, richten Sie Ihre Abschätzungen daran aus.
Hat der Digital Omnibus die FRIA-Frist verschoben?
Ja. Der Digital Omnibus zur KI, vom Europäischen Parlament am 16. Juni 2026 gebilligt und vom Rat am 29. Juni 2026 angenommen, verschiebt den Geltungsbeginn der Hochrisiko-Pflichten, dem die FRIA folgt, für eigenständige Systeme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027. Der Omnibus ändert den Zeitpunkt von Artikel 27. Sein Inhalt bleibt unverändert, und die Abschätzung muss weiterhin erstellt werden, während der Einsatz geplant wird.
Muss nach Abschluss einer FRIA jemand unterrichtet werden?
Ja. Nach Artikel 27 Absatz 3 muss der Betreiber nach Durchführung der FRIA die zuständige Marktüberwachungsbehörde über die Ergebnisse unterrichten und dabei das Muster nach Artikel 27 Absatz 5 einreichen, sobald es vorliegt (bis dahin die eigene Dokumentation). Die einzige Ausnahme ist der eng gefasste Fall nach Artikel 46 Absatz 1 – ein System, das aus außergewöhnlichen Gründen wie der öffentlichen Sicherheit oder dem Schutz von Leben und Gesundheit genehmigt wurde – und auch das nur für einen begrenzten Zeitraum. Routineeinsätze sind nicht ausgenommen.
Können wir eine bestehende DSFA für die FRIA-Anforderungen nutzen?
Teilweise. Nach Artikel 27 Absatz 4 können Betreiber bei der FRIA auf bestehenden DSFAs aufbauen. Sind bestimmte FRIA-Pflichten bereits durch eine DSFA erfüllt, ergänzt die FRIA diese Abschätzung, statt sie zu wiederholen. Da die FRIA jedoch alle Grundrechte umfasst (und nicht nur den Datenschutz), sind fast immer zusätzliche Analysen über die DSFA hinaus erforderlich.
Was geschieht, wenn wir hohe Risiken feststellen, die sich nicht mindern lassen?
Anders als die DSFA nach DSGVO ist die FRIA in erster Linie eine Dokumentationspflicht und kann den Einsatz eines Hochrisiko-KI-Systems unabhängig von den festgestellten Risiken nicht verhindern. Der Einsatz von Systemen mit nicht geminderten hohen Risiken für Grundrechte schafft jedoch erhebliche rechtliche, reputationsbezogene und betriebliche Risiken. Organisationen sollten sorgfältig abwägen, ob ein Einsatz ratsam ist, wenn sich erhebliche Risiken nicht angemessen beherrschen lassen.
Die wichtigsten Erkenntnisse
Die FRIA ist eine bedeutende neue Compliance-Anforderung und zugleich eine Gelegenheit, einen verantwortungsvollen KI-Einsatz zu belegen und Vertrauen bei Kunden, Aufsichtsbehörden und Öffentlichkeit aufzubauen. Organisationen, die in gründliche, durchdachte FRIAs investieren, erkennen Risiken früher, setzen wirksame Schutzvorkehrungen um und finden sich im sich wandelnden Rechtsrahmen besser zurecht. Der Digital Omnibus zur KI hat den Termin für Hochrisiko-Systeme und damit für die FRIA auf den 2. Dezember 2027 verschoben. Die Vorbereitung bleibt dieselbe, und der sinnvolle Schritt ebenso: jetzt beginnen. Erfassen Sie Ihre KI-Systeme, ermitteln Sie, welche eine FRIA erfordern, und erstellen Sie einen ersten Entwurf mit dem kostenlosen FRIA-Generator oder der herunterladbaren Vorlage. Dieser Artikel dient ausschließlich der allgemeinen Information und ist keine Rechtsberatung. Klären Sie Ihre Pflichten nach Artikel 27 mit qualifizierter Rechtsberatung und prüfen Sie den Regulierungsstand erneut, bevor Sie sich auf eine Frist verlassen.