Wer ein Hochrisiko-KI-System einsetzt, das Personendaten verarbeitet, kann zwei Folgenabschätzungen schulden: eine Datenschutz-Folgenabschätzung nach Datenschutzrecht und eine Grundrechte-Folgenabschätzung nach dem AI Act. Beide fragen nach Risiken für Menschen, aber nicht nach denselben. Wer sie getrennt erstellt, arbeitet doppelt. Wer sie verwechselt, deckt eine Pflicht nicht ab.
Die Datenschutz-Folgenabschätzung
Eine DSFA ist nach Art. 22 DSG und Art. 35 DSGVO nötig, wenn eine Bearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen mit sich bringt, etwa bei umfangreicher Bearbeitung besonders schützenswerter Daten oder systematischer Überwachung. Sie beschreibt die Bearbeitung, bewertet die Risiken für die Betroffenen und legt Massnahmen fest. Bleibt ein hohes Restrisiko, ist nach Schweizer Recht der EDÖB zu konsultieren.
Die Grundrechte-Folgenabschätzung
Die Grundrechte-Folgenabschätzung nach Art. 27 AI Act trifft bestimmte Betreiber von Hochrisiko-KI: öffentliche Stellen, private Anbieter öffentlicher Dienstleistungen und Betreiber von Systemen zur Kreditwürdigkeitsprüfung oder zur Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen. Sie betrachtet nicht nur den Datenschutz, sondern Grundrechte insgesamt: Nichtdiskriminierung, Zugang zu Leistungen, faire Verfahren, Rechtsschutz. Nach dem Digital-Omnibus gilt sie für Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027.
Die Unterschiede
- Auslöser: Die DSFA knüpft an die Bearbeitung von Personendaten mit hohem Risiko an, die FRIA an den Einsatz eines Hochrisiko-KI-Systems durch bestimmte Betreiber.
- Blickwinkel: Die DSFA fragt nach dem Schutz der Persönlichkeit und der Daten, die FRIA nach allen betroffenen Grundrechten, auch ohne Personendatenbezug im engeren Sinn.
- Adressat: Die DSFA geht im Konfliktfall an den EDÖB oder die Datenschutzbehörde, das Ergebnis der FRIA wird der Marktüberwachungsbehörde mitgeteilt.
- Inhalt: Die FRIA verlangt ausdrücklich Angaben zu Einsatzprozess, Häufigkeit, betroffenen Gruppen, menschlicher Aufsicht und Beschwerdewegen.
Ein Ablauf, zwei Ergebnisse
Der AI Act sieht ausdrücklich vor, dass die FRIA eine bestehende DSFA ergänzt. In der Praxis bewährt sich ein gemeinsamer Ablauf: eine Beschreibung des Systems und seines Einsatzes, die beide Abschätzungen nutzen; eine Risikoanalyse, die Datenschutzrisiken und weitere Grundrechtsrisiken nebeneinander führt; ein gemeinsamer Massnahmenkatalog; und zwei Ausgaben, die jeweils die Mindestinhalte der einen und der anderen Pflicht erfüllen. Grundlage für beide ist die Dokumentation des Anbieters, insbesondere die technische Dokumentation und die Gebrauchsanweisung.
Zeitpunkt
Beide Abschätzungen erfolgen vor der Inbetriebnahme und werden aktualisiert, wenn sich wesentliche Umstände ändern. Wer ein KI-System heute einführt, das ab Dezember 2027 unter die Hochrisiko-Pflichten fällt, sollte die FRIA-Inhalte schon jetzt in der DSFA mitdenken, statt später nachzurüsten.
Bezug zur Schweiz
Für Schweizer Unternehmen gilt die DSFA nach DSG unabhängig vom AI Act. Die FRIA wird relevant, wenn sie als Betreiber eines Hochrisiko-Systems in der EU tätig sind oder die Ergebnisse dort verwendet werden. Die Einstufung des Systems prüft unsere Checkliste zur Hochrisiko-Einstufung; alle Inhalte zum Thema bündelt die Themenwelt KI-Regulierung.