Definition: Grundrechte-Folgenabschätzung (FRIA)
Eine Grundrechte-Folgenabschätzung (FRIA) ist eine vor der Inbetriebnahme durchzuführende Prüfung nach Art. 27 der EU-KI-Verordnung, in der ein Betreiber dokumentiert, wie ein konkretes Hochrisiko-KI-System die Grundrechte der betroffenen Personen beeinflusst, bevor das System erstmals eingesetzt wird.
Kernmerkmale der Grundrechte-Folgenabschätzung (FRIA)
Eine FRIA bewertet den konkreten Einsatzkontext, nicht die technische Bauweise des Systems.
- Fokus auf die eigenen Prozesse des Betreibers und die betroffenen Personen
- Deckt mehr als Datenschutz ab, unter anderem Diskriminierungsschutz
- Wird bei jeder wesentlichen Änderung des Einsatzzwecks erneut geprüft
- Ergebnisse werden der Marktüberwachungsbehörde gemeldet
Grundrechte-Folgenabschätzung (FRIA) vs. Datenschutz-Folgenabschätzung (DSFA)
Eine Datenschutz-Folgenabschätzung (DSFA) bewertet Datenschutzrisiken nach Art. 35 DSGVO, sobald eine Verarbeitung voraussichtlich ein hohes Risiko birgt. Eine FRIA deckt ein breiteres Spektrum an Grundrechten ab, gilt aber nur für die in Art. 27 genannten Betreiber. Art. 27(4) erlaubt es, eine bestehende DSFA zur FRIA zu erweitern, statt doppelte Arbeit zu leisten.
Bedeutung der FRIA im Enterprise-KI-Umfeld
Der Geltungsbereich der FRIA ist eng, doch genau die betroffenen Organisationen, Banken, Versicherer, Anbieter öffentlicher Dienstleistungen, setzen KI-Scoring-Tools besonders intensiv ein. Eine Secure-Privacy-Umfrage ergab, dass 78 % der Unternehmen bis April 2026 keine ernsthaften Compliance-Schritte zur EU-KI-Verordnung unternommen hatten.
Methoden und Verfahren für die Grundrechte-Folgenabschätzung (FRIA)
Drei Schritte klären, ob eine FRIA erforderlich ist und wie sie erstellt wird.
Geltungsbereichsprüfung
- Status als öffentliche Stelle oder private Anbieterin einer öffentlichen Dienstleistung klären
- Prüfen, ob das KI-System Kreditwürdigkeitsprüfung oder Versicherungspreisbildung nach Anhang III Nr. 5b oder 5c betrifft
- Die Scoping-Entscheidung dokumentieren, auch wenn keine FRIA erforderlich ist
Erstellung der sechs Pflichtelemente
Art. 27(1) verlangt sechs Elemente: die Prozesse des Betreibers, Zeitraum und Häufigkeit der Nutzung, die betroffenen Personengruppen, die konkreten Schadensrisiken, die Maßnahmen zur menschlichen Aufsicht und die Governance- und Beschwerderegelungen für den Fall, dass ein Risiko eintritt.
Meldung und DSFA-Integration
Der KI-Betreiber meldet die Ergebnisse der zuständigen Marktüberwachungsbehörde über die standardisierte Vorlage. Eine bestehende DSFA kann erweitert werden, sobald sie alle sechs Elemente abdeckt.
Wichtige Kennzahlen für die Grundrechte-Folgenabschätzung (FRIA)
Die FRIA-Bereitschaft lässt sich lange vor der ersten Inbetriebnahme messen.
Scoping- und Dokumentationsabdeckung
- Scoping-Entscheidungen: 100 % der Kredit-, Versicherungs- oder öffentlichen Dienstleistungs-KI-Systeme geprüft
- FRIA-Abschluss: 100 % der betroffenen Systeme vor Erstinbetriebnahme bewertet
- Vorlagen-Aktualität: FRIA an der aktuellen Fragebogenversion des KI-Büros ausgerichtet
- Meldungsverfolgung: Einreichungsdatum und Behördenantwort je Meldung dokumentiert
Strategische Governance-Kennzahlen
Aufsichtsgremien in regulierter Kredit- oder Versicherungs-KI fragen zunehmend, wie viele Systeme Art. 27 auslösen, neben der üblichen KI-Governance-Berichterstattung.
Beschwerde- und Aufsichtsqualität
Die Governance einer FRIA ist nur so belastbar wie ihr Beschwerdemechanismus. Erfasste und bearbeitete Beschwerden, nicht die bloße Existenz eines Verfahrens, ist das, worauf Aufsichtsbehörden achten.
Risikofaktoren und Kontrollen bei der Grundrechte-Folgenabschätzung (FRIA)
Geltungsbereich falsch eingeschätzt
Der häufigste Fehler ist die Annahme, FRIA-Pflichten gälten nur für Behörden, obwohl jeder Betreiber, der KI zur Kreditwürdigkeitsprüfung oder Versicherungspreisbildung einsetzt, unabhängig von der Unternehmensgröße betroffen ist.
- Kredit- oder versicherungspreisbezogene KI-Systeme durch eine rechtliche Prüfung gegen Anhang III 5(b)/5(c) leiten
- Geltungsbereich neu bewerten, sobald sich der Einsatzzweck eines Kreditvergabe-Tools erweitert
- Die Scoping-Begründung dokumentieren, auch wenn keine FRIA erforderlich ist
Generische Risikobeschreibungen, die Art. 27(1) nicht erfüllen
Eine FRIA, die nur abstrakte Risikokategorien nennt, ohne die konkreten betroffenen Gruppen und Schäden zu benennen, erfüllt Art. 27 nicht.
Beschwerdemechanismen, die nur auf dem Papier existieren
Ein nie getesteter Beschwerdeprozess erzeugt trügerische Sicherheit und setzt den Betreiber bei einer Prüfung Feststellungen zur KI-Compliance aus.
Praxisbeispiel
Eine 210 Mitarbeiter starke Genossenschaftsbank in Bayern setzte ein KI-basiertes Bonitätsbewertungstool für KMU-Kreditanträge ein, das Antragsteller anhand von Bilanzdaten und Zahlungshistorie nach Rückzahlungsrisiko einordnete. Die Rechtsabteilung stufte das Tool als Anwendungsfall nach Anhang III 5(b) ein, wodurch Art. 27 unabhängig von der Bankgröße griff, und die Bank erweiterte ihre bestehende DSGVO-DSFA zu einem kombinierten DSFA/FRIA-Dokument.
- Schriftliche Scoping-Begründung, geprüft von Rechtsabteilung und Kreditrisikomanagement
- Kombiniertes DSFA/FRIA-Dokument, das alle sechs Elemente nach Art. 27 abdeckt
- Prüfschleife für Anträge, die unter einem festgelegten Konfidenzschwellenwert bewertet werden
- Dokumentierter, getesteter Beschwerdekanal für angefochtene Bewertungen
Aktuelle Entwicklungen und Auswirkungen
Digital-Omnibus-Verschiebung auf Dezember 2027
Der Digital Omnibus, im Juni 2026 vom Europäischen Parlament gebilligt und kurz danach vom Rat endgültig verabschiedet, verschiebt die Pflichten nach Art. 27 vom 2. August 2026 auf den 2. Dezember 2027.
- Die Verschiebung wird erst mit Veröffentlichung im Amtsblatt rechtswirksam
- Betreiberpflichten nach Art. 26 und Transparenzpflichten nach Art. 50 bleiben beim ursprünglichen Termin
- Wer die FRIA-Vorbereitung jetzt aussetzt, riskiert später einen komprimierten Nachholbedarf
Fragebogen-Vorlage des KI-Büros reift
Das europäische KI-Büro erarbeitet derzeit die standardisierte Meldevorlage. Betreiber können ihre Prüfungen bereits an den sechs gesetzlichen Elementen ausrichten, ohne auf das endgültige Format zu warten.
Deutsche Marktüberwachungszuständigkeiten nehmen Form an
Das deutsche KI-MIG weist der Bundesnetzagentur die allgemeine Marktüberwachungszuständigkeit zu, während die BaFin für KI im Finanzsektor zuständig bleibt.
Fazit
Die FRIA ist eng begrenzt, aber folgenreich: Die meisten Mittelstandsunternehmen lösen sie nie aus, doch Banken, Versicherer und Anbieter öffentlicher Dienstleistungen tragen eine Dokumentationspflicht, die Unkenntnis des Geltungsbereichs nicht entschuldigt. Die Digital-Omnibus-Verschiebung verschafft Zeit zur Vorbereitung, keine Befreiung. Wer eine bestehende DSFA zu einem kombinierten Dokument erweitert, vermeidet doppelte Arbeit, und wer das Scoping als festen Prüfpunkt statt als einmaligen Kraftakt behandelt, hält regulierte KI-Einsätze rechtssicher.
Häufig gestellte Fragen
Wer muss eigentlich eine Grundrechte-Folgenabschätzung durchführen?
Öffentliche Stellen, die Hochrisiko-KI nach Anhang III einsetzen, private Anbieter öffentlicher Dienstleistungen wie Bildung oder Gesundheit sowie jeder Betreiber, der KI zur Kreditwürdigkeitsprüfung oder Versicherungspreisbildung nutzt.
Braucht ein Mittelstandsunternehmen mit 200 Mitarbeitern überhaupt eine FRIA?
Nur, wenn es KI zur Bonitätsbewertung, Versicherungspreisbildung einsetzt oder als privater Anbieter einer öffentlichen Dienstleistung auftritt. Die meisten Fertigungs- und Großhandelsbetriebe fallen aus diesen Kategorien heraus.
Wie hängt die FRIA mit der DSGVO und einer bestehenden DSFA zusammen?
Art. 27(4) erlaubt es, eine bestehende DSGVO-DSFA zur FRIA zu erweitern, statt zwei parallele Prüfungen durchzuführen, sodass eine aktuelle DSFA für ein Scoring-Tool bereits den Großteil der Arbeit abdeckt.
Was bedeutet die Digital-Omnibus-Verschiebung für unseren FRIA-Zeitplan?
Die Pflicht verschiebt sich vom 2. August 2026 auf den 2. Dezember 2027, sobald die Änderung im Amtsblatt veröffentlicht ist, während Pflichten nach Art. 26 und Art. 50 beim ursprünglichen Termin bleiben.
Brauchen wir ein eigenes Compliance-Team, um eine FRIA durchzuführen?
Eine eigene Abteilung ist nicht erforderlich. Die meisten betroffenen Banken und Versicherer im Mittelstand kombinieren Rechts- oder Compliance-Personal mit einem externen Partner für Scoping und Ausarbeitung.
Was passiert, wenn ein betroffener Betreiber die FRIA einfach auslässt?
Aufsichtsbehörden können verlangen, dass das System bis zur gültigen FRIA und Meldung vom Markt genommen wird. Angesichts des eng begrenzten Geltungsbereichs von Art. 27 gilt eine fehlende FRIA bei einem klar betroffenen Einsatz als eindeutiger Compliance-Verstoß.
