Der AI Act legt die meisten Pflichten den Anbietern von KI-Systemen auf. Die Grundrechte-Folgenabschätzung ist eine Ausnahme: Sie trifft die Betreiber, also die Organisationen, die ein Hochrisiko-KI-System einsetzen, weil erst beim Einsatz sichtbar wird, wen das System betrifft und wie.
Wer sie durchführen muss
Verpflichtet sind Betreiber, die Einrichtungen des öffentlichen Rechts sind oder private Einrichtungen, die öffentliche Dienstleistungen erbringen, sowie Betreiber bestimmter Hochrisiko-Systeme nach Anhang III, insbesondere zur Bewertung der Kreditwürdigkeit natürlicher Personen und zur Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen. Nach dem Digital-Omnibus gelten die Pflichten für Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027.
Was sie enthält
Eine Beschreibung der Prozesse, in denen das System eingesetzt wird, Zeitraum und Häufigkeit des Einsatzes, die Kategorien betroffener Personen und Gruppen, die spezifischen Schadensrisiken für diese Gruppen, die Massnahmen der menschlichen Aufsicht und die Vorkehrungen, falls sich die Risiken verwirklichen, einschliesslich interner Governance und Beschwerdewege. Das Ergebnis ist der Marktüberwachungsbehörde mitzuteilen.
Verhältnis zur DSFA
Wo bereits eine Datenschutz-Folgenabschätzung nach DSGVO oder DSG durchgeführt wurde, ergänzt die Grundrechte-Folgenabschätzung diese, statt sie zu wiederholen. Die DSFA betrachtet Risiken für den Schutz personenbezogener Daten, die FRIA breiter Grundrechte wie Nichtdiskriminierung, Zugang zu Leistungen oder Rechtsschutz. Wie sich beide sinnvoll verbinden lassen, beschreibt unser Beitrag FRIA und DSFA.
Bezug zur Schweiz
Schweizer Unternehmen sind betroffen, wenn sie als Betreiber eines Hochrisiko-Systems in der EU tätig sind oder die Ergebnisse dort verwendet werden. Für eine Schweizer Versicherung mit EU-Kundschaft oder einen Kreditanbieter mit Geschäft in Deutschland ist die Frage deshalb konkret.