Die Grundrechte-Folgenabschätzung ist eine der Pflichten des AI Act, die nicht beim Hersteller, sondern beim Anwender liegen. Sie verlangt von bestimmten Betreibern, vor dem Einsatz eines Hochrisiko-Systems systematisch zu prüfen, wen das System wie treffen kann.
Wer sie durchführen muss
Nach Art. 27 AI Act trifft die Pflicht Betreiber, die Einrichtungen des öffentlichen Rechts sind oder private Einrichtungen, die öffentliche Dienste erbringen, wenn sie Hochrisiko-Systeme nach Anhang III einsetzen. Zusätzlich trifft sie Betreiber von Systemen zur Kreditwürdigkeitsprüfung natürlicher Personen und zur Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen. Ein gewöhnliches Unternehmen, das ein Hochrisiko-System im Personalwesen nutzt, ist nicht automatisch erfasst; es hat aber die übrigen Betreiberpflichten.
Was sie enthält
Eine Beschreibung der Prozesse, in denen das System eingesetzt wird, Zeitraum und Häufigkeit der Verwendung, die Kategorien betroffener Personen und Gruppen, die spezifischen Schadensrisiken für diese Personen unter Berücksichtigung der Informationen des Anbieters, die Massnahmen der menschlichen Aufsicht und die Massnahmen für den Fall, dass sich Risiken verwirklichen, einschliesslich interner Governance und Beschwerdewegen. Das Ergebnis ist der Marktüberwachungsbehörde mitzuteilen; das KI-Büro der Kommission stellt dafür eine Vorlage bereit.
FRIA und DSFA
Die Datenschutz-Folgenabschätzung nach DSGVO fragt nach Risiken für die Rechte der Betroffenen aus der Bearbeitung personenbezogener Daten. Die FRIA fragt breiter nach Grundrechten, etwa Nichtdiskriminierung, Zugang zu Leistungen oder Meinungsfreiheit, auch wo keine Personendaten im Zentrum stehen. Wo bereits eine DSFA besteht, ergänzt die FRIA sie, statt sie zu ersetzen. In der Praxis lohnt es sich, beide in einem gemeinsamen Ablauf zu erstellen.
Zeitpunkt
Die FRIA ist an die Hochrisiko-Pflichten nach Anhang III geknüpft. Diese gelten nach dem Digital-Omnibus ab Dezember 2027. Wer ein betroffenes System bereits einsetzt oder einführt, gewinnt nichts durch Abwarten: Die Inhalte der FRIA sind dieselben, die für eine verantwortbare Einführung ohnehin geklärt werden müssen, und die Vorbereitung braucht Zeit, weil Fachbereiche, Datenschutz und Recht beteiligt sind.
Umsetzung
Eine FRIA ist kein Formular, das eine Person allein ausfüllt. Sie braucht die Fachseite, die den Prozess kennt, die Angaben des Anbieters zu Grenzen und Risiken des Systems und eine Stelle, die Massnahmen verantwortet. Unser FRIA-und-DSFA-Paket führt beide Abschätzungen zusammen.