Mit dem EU-KI-Gesetz wird ein leistungsstarkes neues Compliance-Tool eingeführt, das viele Organisationen erst langsam verstehen: die Folgenabschätzung zu Grundrechten oder FRIA. Im Gegensatz zu technischen Konformitätsbewertungen, die sich auf Systemspezifikationen konzentrieren, verlangt die FRIA von Betreibern, zu prüfen, wie sich ihre KI-Systeme auf die Grundrechte realer Menschen auswirken – von Privatsphäre und Nichtdiskriminierung bis hin zu Menschenwürde und Zugang zur Justiz. Angesichts der mit der schrittweisen Einführung des EU-KI-Gesetzes einhergehenden hochriskanten Verpflichtungen müssen Organisationen, die hochriskante KI-Systeme einsetzen, verstehen, was ein FRIA ist und wie man ihn effektiv durchführt. Dieser Leitfaden bietet einen umfassenden Rahmen, praktische Vorlagen und branchenspezifische Beispiele, die Ihnen dabei helfen, Ihren Verpflichtungen gemäß Artikel 27 des EU-KI-Gesetzes nachzukommen. Eine zeitliche Anmerkung vorab: Der am 29. Juni 2026 verabschiedete Digital Omnibus zur KI hat das Hochrisiko-Anwendungsdatum, dem die FRIA folgt, von 2. August 2026 auf 2. Dezember 2027 für eigenständige Annex-III-Systeme verschoben. Die Verpflichtung nach Artikel 27 selbst bleibt unverändert. Mit unserem kostenlosen FRIA-Generator können Sie in wenigen Minuten einen Bewertungsentwurf erstellen. Die FRIA befindet sich neben technischer Dokumentation, Laufzeitkontrollen und Prüfnachweisen in einem breiteren EU-AI-Act-Compliance-Software-Stack.
Was ist eine Grundrechte-Folgenabschätzung (FRIA)?
Eine Grundrechte-Folgenabschätzung ist ein systematischer Bewertungsprozess, der darauf abzielt, potenzielle negative Auswirkungen von KI-Systemen mit hohem Risiko auf die Grundrechte des Einzelnen zu identifizieren, zu bewerten und abzumildern. Die FRIA ist gemäß Artikel 27 des EU-KI-Gesetzes vorgeschrieben und stellt die weltweit erste rechtsverbindliche Folgenabschätzung dar, die sich speziell auf KI und Grundrechte konzentriert.
Die FRIA untersucht mögliche Auswirkungen auf das gesamte Spektrum der durch die EU-Charta der Grundrechte geschützten Rechte, einschließlich Menschenwürde (Artikel 1), Recht auf Leben und Integrität (Artikel 2-3), Achtung des Privat- und Familienlebens (Artikel 7), Schutz personenbezogener Daten (Artikel 8), Nichtdiskriminierung (Artikel 21) und Gleichstellung von Frauen und Männer (Artikel 23), Rechte von Kindern, älteren Menschen und Menschen mit Behinderungen (Artikel 24-26), Meinungsfreiheit (Artikel 11) und Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren (Artikel 47).
Die Bewertung dient als proaktive Maßnahme und hilft Organisationen, potenzielle Schäden zu erkennen und zu beheben, bevor sie auftreten. Bei ordnungsgemäßer Durchführung stellt eine FRIA nicht nur die Einhaltung gesetzlicher Vorschriften sicher, sondern bietet auch ethische Sicherheit und eine vertretbare Position gegenüber Aufsichtsbehörden und Gerichten.
FRIA vs. DPIA: Die wichtigsten Unterschiede verstehen
Viele Organisationen gehen fälschlicherweise davon aus, dass eine FRIA lediglich ein neuer Name für die Datenschutz-Folgenabschätzung (DPIA) ist, die bereits gemäß der DSGVO erforderlich ist. Obwohl beide Bewertungen das Risiko bewerten und methodische Ähnlichkeiten aufweisen, unterscheiden sie sich erheblich in Umfang und Schwerpunkt.
Die DPIA gemäß DSGVO-Artikel 35 konzentriert sich in erster Linie auf Datenschutz und Privatsphäre (Artikel 7-8 der Charta), ausgelöst durch die risikoreiche Verarbeitung personenbezogener Daten, wobei der Datenverantwortliche die verantwortliche Partei ist. Die FRIA gemäß Artikel 27 des KI-Gesetzes deckt alle Grundrechte der EU-Charta ab, die durch den Einsatz von Hochrisiko-KI-Systemen ausgelöst werden, wobei der Betreiber der Verantwortliche ist – und gilt unabhängig davon, ob es sich um personenbezogene Daten handelt.
Das EU-KI-Gesetz erkennt dieses komplementäre Verhältnis ausdrücklich an. Artikel 27(4) besagt, dass, wenn Verpflichtungen aus dem FRIA bereits durch eine gemäß der DSGVO durchgeführte DPIA erfüllt werden, das FRIA diese Bewertung ergänzen sollte. In der Praxis führen Organisationen häufig beide Bewertungen gleichzeitig durch und konsolidieren sie möglicherweise in einem einzigen integrierten Bericht – der FRIA-Umfang ist jedoch grundsätzlich umfassender.
Ein entscheidender methodischer Unterschied besteht darin, dass das FRIA eine Bewertung nach Grundrecht erfordert. Es ist nicht zulässig, eine negative Auswirkung auf ein Recht (z. B. Nichtdiskriminierung) mit einer positiven Auswirkung auf ein anderes Recht (z. B. betriebliche Effizienz) auszugleichen. Jedes Recht muss unabhängig beurteilt werden.
| Dimension | DPIA (DSGVO-Artikel 35 | FRIA) AI Act Artikel 27 |
|---|---|---|
| Hauptfokus | Datenschutz und Privatsphäre (Charterartikel 7-8) | Alle Grundrechte in der EU-Charta |
| Auslösen | Hochriskante Verarbeitung personenbezogener Daten | Bereitstellung eines relevanten KI-Systems mit hohem Risiko |
| Verantwortlicher | Datenverantwortlicher | Bereitsteller |
| Persönliche Daten erforderlich? | Ja: Bei der Beurteilung geht es um personenbezogene Daten | Nein: gilt auch dann, wenn keine personenbezogenen Daten verarbeitet werden |
| Bewertungsmethode | Gesamtrisiko für betroffene Personen | Rechts für Rechts; keine Aufrechnung eines Rechts gegen ein anderes |
| Beziehung | Kann als Eingabe für ein FRIA wiederverwendet werden | Ergänzt (ersetzt) eine DPIA (Art. 27(4)) |
Wann ist FRIA nach dem EU-KI-Gesetz erforderlich?
Die Verpflichtung zur Durchführung einer FRIA gilt nicht für jeden Betreiber eines Hochrisiko-KI-Systems. Artikel 27 legt bestimmte Kategorien von Entwicklern fest, die diese Bewertung absolvieren müssen.
Öffentliche Einrichtungen, die dem öffentlichen Recht unterliegen, müssen eine FRIA durchführen, bevor sie die in Anhang III aufgeführten Hochrisiko-KI-Systeme einsetzen. Solche Einrichtungen werden zur Befriedigung von Aufgaben im Allgemeininteresse gegründet, verfügen über Rechtspersönlichkeit, werden überwiegend vom Staat oder von öffentlichen Stellen finanziert oder unterliegen der Verwaltungsaufsicht durch öffentliche Stellen.
Private Unternehmen, die öffentliche Dienstleistungen erbringen, fallen ebenfalls in den Geltungsbereich. Dazu gehören Einrichtungen, die in den Bereichen Bildung, Gesundheitswesen, soziale Dienste, Wohnungswesen und Justizverwaltung tätig sind. Der weit gefasste Begriff „öffentliche Dienste“ ohne Definition von Kriterien deutet auf die Absicht des Gesetzgebers hin, jeden Anbieter abzudecken, dessen Dienste das öffentliche Interesse angemessen beeinträchtigen.
Unabhängig vom öffentlichen oder privaten Status müssen Betreiber FRIAs für KI-Systeme zur Bewertung der Kreditwürdigkeit oder zur Erstellung von Kredit-Scores (mit Ausnahme derjenigen, die zur Erkennung von Finanzbetrug verwendet werden) und für KI-Systeme zur Risikobewertung und Preisgestaltung in Lebens- und Krankenversicherungen durchführen.
- Öffentliche Stellen nutzen Hochrisiko-KI für öffentliche Dienste
- Private Einrichtungen, die wesentliche Dienstleistungen erbringen (Bildung, Gesundheitsversorgung, soziale Dienste, Wohnen)
- Alle Anbieter, die KI zur Kreditwürdigkeitsbewertung oder Kreditwürdigkeitsbewertung nutzen
- Alle Betreiber nutzen KI für die Risikobewertung und Preisgestaltung von Lebens- und Krankenversicherungen
KI-Kategorien mit hohem Risiko unterliegen der FRIA
Für öffentliche Einrichtungen und private Einrichtungen, die öffentliche Dienstleistungen erbringen, sind FRIAs für KI-Systeme in den meisten Anhang III-Kategorien erforderlich.
Kategorie 1 (Biometrie) umfasst biometrische Fernidentifizierungssysteme, biometrische Kategorisierung basierend auf sensiblen Attributen und Emotionserkennungssysteme. Kategorie 3 (Bildung) umfasst Systeme, die den Zugang oder die Zulassung zu Bildungseinrichtungen bestimmen, Lernergebnisse bewerten, angemessene Bildungsniveaus bewerten und verbotenes Verhalten bei Tests überwachen.
Kategorie 4 (Beschäftigung) umfasst Rekrutierungs- und Auswahlsysteme, Systeme, die sich auf arbeitsbezogene Entscheidungen (Beförderung, Kündigung, Aufgabenverteilung) auswirken, sowie Systeme zur Leistungsüberwachung und -bewertung. Kategorie 5 (Grundlegende Dienstleistungen) umfasst Systeme zur Bewertung der Berechtigung für Sozialhilfeleistungen, zur Bonitätsbewertung, zur Risikobewertung von Lebens- und Krankenversicherungen sowie zur Klassifizierung und Weiterleitung von Notrufen.
Kategorie 6 (Strafverfolgung) umfasst Opferrisikobewertung, Lügendetektorsysteme, Bewertung der Beweiszuverlässigkeit, Risikobewertung von Straftaten und Profilierungssysteme. Kategorie 7 (Migration) umfasst Risikobewertungssysteme, Asyl- und Visumantragsprüfung sowie Identifikationssysteme. Kategorie 8 (Justiz) umfasst Systeme zur Unterstützung von Justizbehörden und alternativer Streitbeilegung.
Eine bemerkenswerte Ausnahme: KI-Systeme, die als Sicherheitskomponenten in kritischer digitaler Infrastruktur, im Straßenverkehr oder in der Versorgungsversorgung eingesetzt werden, unterliegen nicht den FRIA-Anforderungen.
FRIA-Vorlage: Schlüsselabschnitte
Artikel 27(1) gibt die obligatorischen Elemente an, die jeder FRIA enthalten muss. Gemäß Artikel 27(5) muss das Europäische KI-Büro einen offiziellen Musterfragebogen (einschließlich eines automatisierten Tools) entwickeln, der jedoch Stand Juli 2026 noch nicht veröffentlicht ist und sein Fehlen keine Entschuldigung für die Verpflichtung darstellt. Strukturieren Sie in der Zwischenzeit Ihre Bewertung anhand der folgenden sechs erforderlichen Komponenten. Das Europäische Zentrum für gemeinnütziges Recht (ECNL) und das Dänische Institut für Menschenrechte haben außerdem A Guide to Fundamental Rights Impact Assessments (Dezember 2025) veröffentlicht, mit einer herunterladbaren Vorlage und einer Fünf-Phasen-Methodik, die direkt auf den Artikeln 27(1) aufbaut EU-Vorlage). Um schnell einen strukturierten Entwurf zu erstellen, nutzen Sie unseren kostenlosen FRIA-Generator oder laden Sie die Vorlage herunter.
Abschnitt 1 behandelt Systembeschreibung und beabsichtigten Zweck. Dokumentieren Sie die Prozesse des Bereitstellers, in denen das KI-System verwendet wird, ausgerichtet auf den vom Anbieter definierten beabsichtigten Zweck. Zu den erforderlichen Informationen gehören Name und Version des KI-Systems, Kontaktinformationen des Anbieters, eine klare Beschreibung des beabsichtigten Zwecks, spezifische Anwendungsfälle innerhalb Ihrer Organisation, Betriebskontext und -umgebung sowie technische Spezifikationen, die für die Auswirkungen auf Rechte relevant sind.
Abschnitt 2 behandelt Dauer und Häufigkeit der Nutzung. Dokumentieren Sie das geplante Startdatum der Bereitstellung, die voraussichtliche Dauer (unbestimmt, befristet, Pilotprojekt), die Häufigkeit der Systemnutzung (kontinuierlich, periodisch, ereignisgesteuert), Volumenmetriken (Anzahl der Entscheidungen pro Tag/Woche/Monat) und den geografischen Geltungsbereich.
Abschnitt 3 behandelt Kategorien betroffener Personen. Identifizieren Sie direkte Benutzer, Personen, die KI-gesteuerten Entscheidungen unterliegen, indirekt betroffene Dritte und bestimmte demografische Gruppen. Gefährdete Bevölkerungsgruppen, die besondere Aufmerksamkeit erfordern, umfassen Kinder, ältere Menschen, Menschen mit Behinderungen, sozioökonomisch benachteiligte Gruppen, ethnische oder religiöse Minderheitengruppen, Nicht-Muttersprachler und Personen mit eingeschränkten digitalen Kenntnissen.
Abschnitt 4 behandelt Spezifische Risiken für Grundrechte. Bewerten Sie für jedes potenziell betroffene Recht die Wahrscheinlichkeit (selten bis fast sicher), den Schweregrad (vernachlässigbar bis katastrophal), die Reversibilität (leicht umkehrbar bis irreversibel) und den Umfang der betroffenen Bevölkerung (individuell bis gesamtgesellschaftlich).
Abschnitt 5 behandelt Menschenaufsichtsmaßnahmen. Dokumentieren Sie benannte Personen, die für Aufsicht, Qualifikationen und Schulungsanforderungen, Interventionsfähigkeiten, Eskalationsverfahren, Überwachungsprotokolle und Dokumentationsanforderungen verantwortlich sind.
Abschnitt 6 behandelt Risikominderungsmaßnahmen. Dazu gehören technische Maßnahmen (Bias-Tests, Genauigkeitsschwellen, Datenqualitätskontrollen, Protokollierung), organisatorische Maßnahmen (Governance-Strukturen, Richtlinien, Schulungen, Überprüfungszyklen) und Verfahrensgarantien (Recht auf menschliche Überprüfung, Beschwerdemechanismen, zugängliche Rechtsbehelfskanäle, Fallback-Verfahren).
| Abschnitt | Was zu dokumentieren ist | Grundlage |
|---|---|---|
| 1. Systembeschreibung und Verwendungszweck | Prozesse des Bereitstellers, beabsichtigter Zweck, Anbieter, Betriebskontext | Art. 27 Abs. 1 Buchst. a |
| 2. Dauer und Häufigkeit der Nutzung | Startdatum, Dauer, Häufigkeit, Volumen, geografische Reichweite | Artikel 27 Absatz 1 Buchstabe b |
| 3. Kategorien der betroffenen Personen | Direkte Subjekte, Dritte und gefährdete Gruppen | Artikel 27 Absatz 1 Buchstabe c |
| 4. Spezifische Risiken für die Grundrechte | Risikoregister: jedes Recht, Schadensszenario, Wahrscheinlichkeit, Schwere, Minderung, Restrisiko | Artikel 27 Absatz 1 Buchstabe d |
| 5. Menschliche Aufsichtsmaßnahmen | Aufsichtsfunktionen, Interventionsbefugnisse, Qualifikationen und Ausbildung | Art. 27 Abs. 1 Buchst. e |
| 6. Maßnahmen bei Eintritt von Risiken | Technische und organisatorische Maßnahmen, Beschwerde/Abhilfe, behördliche Benachrichtigung | Art. 27 Abs. 1 Buchst. f |
So führen Sie eine FRIA durch: Schritt-für-Schritt-Anleitung
Schritt 1: Bestimmen Sie die FRIA-Anwendbarkeit. Bestätigen Sie, dass eine FRIA erforderlich ist, indem Sie prüfen, ob Ihr KI-System gemäß Artikel 6 und Anhang III als Hochrisikosystem eingestuft ist, ob Ihre Organisation eine öffentliche Einrichtung oder eine private Einrichtung ist, die öffentliche Dienstleistungen erbringt, oder ob das KI-System für die Bonitäts- oder Versicherungsbewertung unter Anhang III Punkt 5(b) oder (c) fällt.
Schritt 2: Sammeln Sie Informationen vom KI-Anbieter. Der FRIA-Prozess hängt stark von den Informationen ab, die Anbieter gemäß den Artikeln 11-13, bereitstellen müssen, einschließlich technischer Dokumentation gemäß Anhang IV, Gebrauchsanweisungen, Systemfunktionen und -beschränkungen, bekannten Risiken und Abhilfemaßnahmen sowie Daten über Trainingsdatensätze und potenzielle Verzerrungen.
Schritt 3: Stellen Sie Ihr Bewertungsteam zusammen. FRIAs erfordern vielfältiges Fachwissen, darunter Rechts-/Compliance-Experten, Datenschutzbeauftragte, technische Experten, Fachexperten (Personalwesen, Gesundheitswesen, Finanzen), Vertreter, die die betroffenen Gemeinschaften verstehen, und Risikomanagementexperten.
Schritt 4: Betroffene Personen und Rechte zuordnen. Listen Sie alle Kategorien von Personen auf, die mit dem System interagieren oder davon betroffen sind, ermitteln Sie, welche Grundrechte für jede Kategorie beeinträchtigt werden könnten, und berücksichtigen Sie sowohl direkte als auch indirekte Auswirkungen.
Schritt 5: Führen Sie die Risikobewertung durch. Beschreiben Sie für jedes identifizierte Risikorecht das potenzielle Schadensszenario, bewerten Sie Wahrscheinlichkeit und Schwere, weisen Sie eine Risikostufe zu und dokumentieren Sie Ihre Begründung und Beweise.
Schritt 6: Entwerfen von Abhilfemaßnahmen. Schlagen Sie für jedes identifizierte Risiko spezifische Maßnahmen vor, bewerten Sie die Durchführbarkeit, bewerten Sie das Restrisiko nach der Risikominderung, dokumentieren Sie die Verantwortung für die Umsetzung und richten Sie Überwachungsmechanismen ein.
Schritte 7-9: Dokumentieren Sie Vereinbarungen zur menschlichen Aufsicht, richten Sie Beschwerde- und Rechtsbehelfsmechanismen ein und holen Sie eine Überprüfung und Genehmigung von der Rechtsberatung und der Organisationsleitung ein.
Schritt 10 – Benachrichtigen Sie die Marktüberwachungsbehörde. Gemäß Artikel 27(3) muss der Betreiber nach Durchführung des FRIA die entsprechende Marktüberwachungsbehörde über seine Ergebnisse informieren und als Teil der Benachrichtigung die ausgefüllte Vorlage für Artikel 27(5) einreichen (und bis zur Veröffentlichung dieser Vorlage Ihre eigene Dokumentation zum Artikel 27(1) Kriterien). Die Meldung teilt der Behörde mit, dass ein Hochrisikosystem im Einsatz ist und dass eine Rechtebewertung abgeschlossen wurde. Die einzige Ausnahme ist der enge Fall in Artikel 46(1) (wo eine Behörde das Inverkehrbringen eines Systems aus außergewöhnlichen Gründen wie der öffentlichen Sicherheit oder dem Schutz von Leben und Gesundheit genehmigt hat) und selbst dann nur für einen begrenzten Zeitraum. Routineeinsätze sind nicht ausgenommen; Es gibt keine allgemeine Ausnahmeregelung für „Strafverfolgung“ oder „Betriebsgeheimnis“.
FRIA-Beispiele nach Branchen
Beispiel für die Bonitätsbewertung von Finanzdienstleistungen: Eine Bank, die KI für die Bonitätsbewertung einsetzt, muss betroffene Gruppen (Kreditantragsteller, mit einem höheren Risiko für historisch unterversorgte Bevölkerungsgruppen), primär gefährdete Rechte (Nichtdiskriminierung, Recht auf Eigentum, Zugang zu wesentlichen Dienstleistungen), Risikofaktoren (Schulungsdaten können historische Verzerrungen widerspiegeln, Proxy-Variablen könnten mit geschützten Merkmalen korrelieren) identifizieren und Abhilfemaßnahmen umsetzen, einschließlich regelmäßiger Voreingenommenheitsprüfungen, alternativer Bewertungspfade, menschlicher Überprüfung bei Grenzfällen und klarer Erläuterungen zu Entscheidungsfaktoren.
Beispiel für KI-Triage im Gesundheitswesen: Eine Notaufnahme eines Krankenhauses, die KI zur Priorisierung der Patientenversorgung einsetzt, muss betroffene Gruppen (alle Notfallpatienten, mit erhöhter Sorge um ältere Menschen, Behinderte, Nicht-Muttersprachler), Primärrechte (Recht auf Leben, Zugang zur Gesundheitsversorgung, Menschenwürde, Nichtdiskriminierung) und Risikofaktoren (potenzielle Verzerrung bei der Symptomerkennung über demografische Gruppen hinweg) ansprechen und sicherstellen, dass KI als Nur Entscheidungsunterstützung mit obligatorischer klinischer Beurteilung am Menschen dient.
Beispiel für ein HR-Rekrutierungsscreening: Ein Unternehmen, das KI zum Screening von Lebensläufen einsetzt, muss betroffene Gruppen (alle Bewerber, insbesondere solche mit nicht-traditionellem Hintergrund, Karrierelücken, ausländischen Qualifikationen), primäre Rechte (Nichtdiskriminierung, Recht auf Arbeit, Gleichstellung von Frauen und Männern), Risikofaktoren (historische Einstellungsdaten können Vorurteile verschlüsseln) berücksichtigen und Maßnahmen wie die Anonymisierung geschützter Merkmale, regelmäßige Bias-Tests und die menschliche Überprüfung abgelehnter Bewerbungen in unterrepräsentierten Gruppen umsetzen.
Bewertung von FRIA-Risiken: Wahrscheinlichkeit x Schweregrad
Bewerten Sie für jedes identifizierte Risiko die Wahrscheinlichkeit, dass der Schaden eintritt, und dessen Schweregrad, falls dies der Fall ist. Eine einfache Matrix wandelt diese beiden Beurteilungen in eine einzige Risikostufe um, die Sie priorisieren und verfolgen können. Verwenden Sie während der gesamten Bewertung eine konsistente Skala und notieren Sie die Gründe für jede Bewertung – den Aufsichtsbehörden liegt Ihre Methode genauso am Herzen wie Ihre Schlussfolgerungen.
| Wahrscheinlichkeit/Schweregrad | Vernachlässigbar | Moll | Mäßig | Schwerwiegend | Katastrophal |
|---|---|---|---|---|---|
| Selten | Niedrig | Niedrig | Niedrig | Mittel | Mittel |
| Unwahrscheinlich | Niedrig | Niedrig | Mittel | Mittel | Hoch |
| Möglich | Niedrig | Mittel | Mittel | Hoch | Hoch |
| Wahrscheinlich | Mittel | Mittel | Hoch | Hoch | Kritisch |
| Fast sicher | Mittel | Hoch | Hoch | Kritisch | Kritisch |
Arbeitsbeispiel: Ein ausgefülltes FRIA-Risikoregister
Im Abschnitt 4 wird ein FRIA konkret. Das folgende Register zeigt, wie eine Bank, die ein KI-System zur Bonitätsprüfung einsetzt, ihre Risiken dokumentieren könnte – jedes betroffene Grundrecht, das Schadensszenario, eine Wahrscheinlichkeits- und Schweregradbewertung, die Schadensminderung und das danach verbleibende Restrisiko. Dies ist das Maß an Spezifität, das Regulierungsbehörden und Gerichte erwarten, und genau das, was der FRIA-Generator erzeugt.
| Grundrecht | Schadensszenario | Wahrscheinlichkeit | Schweregrad | Risiko | Schadensbegrenzung | Rest |
|---|---|---|---|---|---|---|
| Nichtdiskriminierung (Art 21) | Trainingsdaten spiegeln historische Tendenzen wider; Proxy-Variablen (z. B. Postleitzahl) korrelieren mit geschützten Merkmalen und führen zu unterschiedlichen Rückgangsraten. | Möglich | Schwerwiegend | Hoch | Vierteljährliche Tests auf unterschiedliche Auswirkungen; Proxy-Funktionen entfernen oder umwandeln; Menschliche Überprüfung aller Ablehnungen für unterrepräsentierte Gruppen. | Mittel |
| Zugang zu wesentlichen Dienstleistungen/Eigentum | Ein fälschlicherweise niedriger Score verweigert fälschlicherweise Kredite und schränkt den Zugang zu Wohnraum oder wesentlichen Einkäufen ein. | Unwahrscheinlich | Schwerwiegend | Mittel | Alternativer manueller Bewertungsweg; menschliche Übersteuerung; klare Erklärung der nachteiligen Maßnahme gegenüber dem Antragsteller. | Niedrig |
| Schutz personenbezogener Daten (Art 8) | Übermäßige oder ungenaue personenbezogene Daten beeinträchtigen die Fairness und Genauigkeit der Entscheidung. | Möglich | Mäßig | Mittel | Überprüfung der Datenminimierung; Integration mit der DSGVO DPIA; Datenqualitätskontrollen im Einklang mit Artikel 10. | Niedrig |
Integration von FRIA mit anderen Compliance-Anforderungen
Anpassung an die DS-GVO DPIA: Wenn ein KI-System personenbezogene Daten verarbeitet, benötigen Sie wahrscheinlich sowohl eine DSFA als auch eine FRIA. Zu den Strategien gehören die gleichzeitige Durchführung, der Aufbau auf der bestehenden DSFA und die Ausweitung auf zusätzliche Rechte, die Verwendung konsistenter Risikobewertungsrahmen, die Konsolidierung der Dokumentation und die Koordinierung von Aufsichtsmaßnahmen.
Verbindung zur technischen Dokumentation nach Anhang IV: Betreiber, die FRIAs durchführen, sollten von Anbietern Anhang-IV-Dokumentation anfordern, Anbieter-Risikobewertungen als Eingabe verwenden, überprüfen, ob vom Anbieter dokumentierte Maßnahmen in Ihrem Bereitstellungskontext implementiert werden, und alle bereitstellungsspezifischen Risiken dokumentieren, die nicht in der Anbieterdokumentation abgedeckt sind.
Beziehung zur Konformitätsbewertung: Während die Konformitätsbewertung in erster Linie eine Verpflichtung des Anbieters ist, sollten Betreiber überprüfen, ob das KI-System die Konformitätsbewertung abgeschlossen hat, verstehen, was es abdeckt, und anerkennen, dass die Konformitätsbewertung technische Anforderungen berücksichtigt, während sich FRIA mit einsatzspezifischen Auswirkungen auf Grundrechte befasst.
EU-Datenbankregistrierung: KI-Systeme mit hohem Risiko müssen gemäß Artikel 71. in der EU-Datenbank registriert werden. Stellen Sie sicher, dass Ihr System ordnungsgemäß vom Anbieter registriert ist und dass die Registrierungsinformationen mit Ihrer FRIA-Dokumentation übereinstimmen.
Strafen und Durchsetzung
Bei Nichteinhaltung der Betreiberpflichten unterliegen Organisationen der mittleren Strafstufe des EU-KI-Gesetzes: Bußgelder bis zu 15 Millionen EUR oder 3% des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 99(4)). Dies liegt unterhalb der obersten Stufe von 35 Millionen EUR oder 7%, die für Verstöße gegen die Verbote gemäß Artikel 5 (Artikel 99(3)) reserviert ist. Eine Nuance, die aus Gründen der Genauigkeit hervorgehoben werden sollte: Artikel 99(4) zählt die Bereitstellungsverpflichtungsbestimmung auf (Artikel 26), nennt aber Artikel 27 (die FRIA) nicht ausdrücklich. Die vorherrschende Lesart in der Praxis ist, dass es sich bei einem FRIA-Fehler um einen Verstoß gegen die Verpflichtung des Betreibers handelt, der in die gleiche Stufe EUR 15M / 3% fällt. Die Textlücke ist jedoch real und es gelten auch die Strafvorschriften der Mitgliedstaaten (Artikel 99(1)-(2)). Für KMU und Start-ups ist die Obergrenze entweder auf den Prozentsatz oder den Festbetrag begrenzt (Artikel 99(6)). Marktüberwachungsbehörden haben die Befugnis, Nachforschungen anzustellen und Korrekturmaßnahmen zu verlangen.
Über formelle Strafen hinaus schafft das Versäumnis, ordnungsgemäße FRIAs durchzuführen, Reputationsrisiken durch Grundrechtsverletzungen, rechtliche Haftung bei eintretenden Schäden und Betriebsrisiken, wenn Behörden Systemänderungen oder die Einstellung verlangen.
Zeitleiste und nächste Schritte
Das EU-KI-Gesetz gilt gestaffelt. Die Verbote des Artikels 5 und die Pflicht zur KI-Kenntnisse gelten seit 2. Februar 2025; Modellverpflichtungen für allgemeine KI (GPAI), die Governance-Regeln und der Strafrahmen seit 2. August 2025. Hochrisikoverpflichtungen (einschließlich des Artikels 27 FRIA) sollten ursprünglich ab 2. August 2026 für eigenständige Annex-III-Systeme und ab 2. August 2027 für in regulierte Produkte eingebettete Hochrisiko-KI gelten.
Im November 2025 schlug die Kommission das Vereinfachungspaket Digital Omnibus vor. Der Rat und das Europäische Parlament haben am ~7. Mai 2026, eine politische Einigung erzielt, das Parlament hat den vereinbarten Text am 16. Juni 2026 gebilligt und der Rat hat ihn am 29. Juni 2026 angenommen. Die Änderungsverordnung, Verordnung (EU) 2026/1744,, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und tritt am 27. Juli 2026 in Kraft. Sie legt zwei feste Termine für Verpflichtungen mit hohem Risiko fest: 2. Dezember 2027 für eigenständige Annex-III-Systeme und 2. August 2028 für produktintegrierte Systeme diejenigen. Der FRIA folgt dem Anhang-III-Datum, daher ist 2. Dezember 2027 das Datum, gegen das man planen sollte. Die Omnibus-Zeitleiste listet jedes Datum auf, das verschoben wurde.
Beachten Sie, was der Omnibus nicht aufschiebt: Die Transparenzverpflichtungen des Artikels 50 (Offenlegung, dass Benutzer mit KI interagieren, und Kennzeichnung von KI-generierten Inhalten und Deepfakes) gelten weiterhin ab 2. August 2026. Das einzige Zugeständnis ist eine kurze Schonfrist für die maschinenlesbare Kennzeichnung bereits auf dem Markt befindlicher generativer Systeme, verlängert bis 2. Dezember 2026. Der Omnibus fügte außerdem zwei Verbote gemäß Artikel 5 hinzu, die sich auf KI beziehen, die Material über sexuellen Kindesmissbrauch und nicht einvernehmliche intime Bilder erzeugt und ab 2. Dezember 2026 gilt.
| Verpflichtung | Ursprüngliches Datum | Nach dem digitalen Omnibus |
|---|---|---|
| Verbotene Praktiken (Art 5) + KI-Kenntnisse | 2 Feb. 2025 | Unverändert |
| GPAI-Modelle, Governance, Strafen | 2 Aug. 2025 | Unverändert |
| Transparenz (Art 50) | 2 Aug. 2026 | Unverändert (Markierung von 2 Dec 2026) |
| FRIA + Hochrisiko, eigenständig (Anhang III) | 2 Aug. 2026 | 2 Dez. 2027 |
| Registrierung des Artikels 49 + EU-Datenbank des Artikels 71 | 2 Aug. 2026 | 2 Dez. 2027 |
| KI-Regulierungssandboxen in Betrieb (Art. 57) | 2 Aug. 2026 | 2 Aug. 2027 |
| Hohes Risiko in Produkten (Anhang I) | 2 Aug. 2027 | 2 Aug. 2028 |
Eine praktische FRIA-Vorbereitungs-Roadmap
12+ Monate vor Ihrem geltenden Datum: Führen Sie eine Bestandsaufnahme aller KI-Systeme durch, klassifizieren Sie diese nach Risikostufe, identifizieren Sie, welche FRIAs erfordern, beginnen Sie mit dem Sammeln von Informationen von Anbietern und richten Sie Governance-Strukturen ein.
6-12 Monate vorher: Entwickeln Sie FRIA-Vorlagen und -Verfahren, schulen Sie Personal, führen Sie Pilot-FRIAs durch und implementieren Sie technische Maßnahmen für die menschliche Aufsicht.
3-6 Monate vorher: Füllen Sie FRIAs für alle in den Geltungsbereich fallenden Systeme aus, dokumentieren Sie Abhilfemaßnahmen und überprüfen Sie die Umsetzung, richten Sie Beschwerde- und Rechtsbehelfsmechanismen ein und bereiten Sie Ihre Artikel-27(3)-Benachrichtigungseinreichungen vor.
Fortlaufend nach Compliance: Überwachen Sie KI-Systeme auf Änderungen, die FRIA-Aktualisierungen erfordern, verfolgen Sie die regulatorischen Leitlinien des AI Office (einschließlich der erwarteten offiziellen Vorlage), führen Sie regelmäßige Überprüfungen durch und pflegen Sie Dokumentation und Prüfpfade.
Häufig gestellte Fragen
Was ist der Unterschied zwischen FRIA und DPIA?
Die DPIA gemäß DSGVO-Artikel 35 konzentriert sich speziell auf Datenschutz und Persönlichkeitsrechte bei der Verarbeitung personenbezogener Daten. Die FRIA gemäß Artikel 27 des AI Act hat einen breiteren Anwendungsbereich und bewertet die Auswirkungen auf alle Grundrechte in der EU-Charta – einschließlich Nichtdiskriminierung, Würde, Meinungsfreiheit, Zugang zur Justiz und viele andere. Darüber hinaus können FRIAs auch dann erforderlich sein, wenn keine personenbezogenen Daten verarbeitet werden. Während Organisationen beide Bewertungen integrieren können, erfordert die FRIA in der Regel zusätzliche Analysen, die über den Umfang einer DPIA hinausgehen.
Wer ist für die Durchführung von FRIA verantwortlich?
Die FRIA-Verpflichtung liegt bei Betreibern von Hochrisiko-KI-Systemen, nicht bei Anbietern. Allerdings spielen die Anbieter eine unterstützende Rolle, indem sie den Betreibern die Informationen liefern, die sie für die Durchführung ihrer Bewertungen benötigen. In der Praxis können sich Betreiber auf zuvor durchgeführte FRIAs oder Folgenabschätzungen von Anbietern verlassen, wenn die Umstände hinreichend ähnlich sind – die letztendliche Verantwortung und Rechenschaftspflicht verbleibt jedoch beim Betreiber.
Wie oft muss FRIA aktualisiert werden?
Die FRIA muss vor dem ersten Einsatz des Hochrisiko-KI-Systems durchgeführt werden. Aktualisierungen sind immer dann erforderlich, wenn der Bereitsteller feststellt, dass bewertete Elemente geändert wurden oder nicht mehr aktuell sind. Dazu gehören Änderungen am KI-System selbst, Änderungen im Einsatzkontext, Änderungen in den betroffenen Bevölkerungsgruppen oder neue Informationen über Risiken. Organisationen sollten regelmäßige Überprüfungszyklen einrichten, um proaktiv zu erkennen, wann Aktualisierungen erforderlich sind.
Stellt das AI Office eine offizielle FRIA-Vorlage zur Verfügung?
Artikel 27(5) verlangt vom Europäischen KI-Büro, einen Musterfragebogen zu entwickeln, einschließlich eines automatisierten Tools, um Betreiber bei der Einhaltung zu unterstützen. Stand Juli 2026 wurde diese offizielle Vorlage noch nicht veröffentlicht, und es gibt keine feste Frist dafür – aber ihr Fehlen entschuldigt nicht die FRIA-Pflicht. Bauen Sie in der Zwischenzeit Ihre Bewertung auf den Elementen des Artikels 27(1) auf. Das ECNL und das Dänische Institut für Menschenrechte haben A Guide to Fundamental Rights Impact Assessments (Dezember 2025) mit einer Vorlage für Praktiker veröffentlicht, und Sie können jetzt einen strukturierten Entwurf mit unserem kostenlosen FRIA-Generator erstellen. Wenn die offizielle Vorlage veröffentlicht wird, richten Sie Ihre Bewertungen daran aus.
Hat der Digital Omnibus die FRIA-Frist verzögert?
Ja. Der Digital Omnibus zur KI, der am 16. Juni 2026 vom Europäischen Parlament gebilligt und am 29. Juni 2026, vom Rat angenommen wurde, verschiebt das Hochrisikoanwendungsdatum, das die FRIA verfolgt, von 2. August 2026 auf 2. Dezember 2027 für eigenständige Annex-III-Systeme. Der Omnibus ändert den Zeitpunkt des Artikels 27.. Sein Inhalt bleibt unverändert, und die Bewertung muss noch während der Planung des Einsatzes erstellt werden.
Müssen Sie nach Abschluss eines FRIA jemanden benachrichtigen?
Ja. Gemäß Artikel 27(3) muss der Betreiber nach der Durchführung des FRIA die entsprechende Marktüberwachungsbehörde über seine Ergebnisse informieren und die Vorlage für Artikel 27(5) einreichen, sobald diese vorliegt (und bis dahin Ihre eigene Dokumentation). Die einzige Ausnahme ist der enge Fall des Artikels 46(1) – ein System, das aus außergewöhnlichen Gründen wie der öffentlichen Sicherheit oder dem Schutz von Leben und Gesundheit zugelassen ist – und nur für einen begrenzten Zeitraum. Routineeinsätze sind nicht ausgenommen.
Können wir eine bestehende DPIA nutzen, um die FRIA-Anforderungen zu erfüllen?
Teilweise. Artikel 27(4) ermöglicht es Betreibern, bei der Durchführung von FRIAs auf bestehenden DPIAs aufzubauen. Wenn bestimmte FRIA-Verpflichtungen bereits durch eine DPIA erfüllt werden, sollte die FRIA diese Bewertung ergänzen, anstatt sie zu duplizieren. Angesichts des breiteren Anwendungsbereichs der FRIA, der alle Grundrechte (nicht nur den Datenschutz) abdeckt, sind jedoch fast immer zusätzliche Analysen erforderlich, die über den Umfang einer DPIA hinausgehen.
Was passiert, wenn wir hohe Risiken erkennen, die nicht gemindert werden können?
Im Gegensatz zu DSGVO-DSFAs handelt es sich bei der FRIA in erster Linie um eine Dokumentationspflicht und sie ist nicht befugt, den Einsatz eines Hochrisiko-KI-Systems ungeachtet identifizierter Risiken zu blockieren. Allerdings führt der Einsatz von Systemen mit unvermindert hohen Risiken für Grundrechte zu erheblichen rechtlichen, rufschädigenden und betrieblichen Risiken. Organisationen sollten sorgfältig abwägen, ob der Einsatz ratsam ist, wenn erhebliche Risiken nicht angemessen bewältigt werden können.
Die wichtigsten Erkenntnisse
Die FRIA stellt eine wichtige neue Compliance-Anforderung dar, bietet aber auch die Möglichkeit, den verantwortungsvollen KI-Einsatz zu demonstrieren und Vertrauen bei Kunden, Regulierungsbehörden und der Öffentlichkeit aufzubauen. Organisationen, die in gründliche, durchdachte FRIAs investieren, sind besser in der Lage, Risiken frühzeitig zu erkennen, wirksame Schutzmaßnahmen zu implementieren und sich in der sich entwickelnden Regulierungslandschaft zurechtzufinden. Der Digital Omnibus zum Thema KI hat das Hochrisiko- und damit FRIA-Datum auf 2. Dezember 2027 verschoben. Die Vorbereitungsarbeiten sind unverändert und der sinnvolle Schritt ist derselbe: Beginnen Sie jetzt. Inventarisieren Sie Ihre KI-Systeme, identifizieren Sie, welche FRIAs erfordern, und erstellen Sie einen ersten Entwurf mit dem kostenlosen FRIA-Generator oder der herunterladbaren Vorlage. Dieser Artikel dient nur der allgemeinen Information und stellt keine Rechtsberatung dar; Bestätigen Sie Ihre Verpflichtungen gemäß Artikel 27 mit einem qualifizierten Berater und überprüfen Sie den Regulierungsstatus erneut, bevor Sie sich auf eine Frist verlassen.