FRIA-Template für Anhang III, 4 (Beschäftigung)

Hauptartikel: FRIA Art. 27 (Glossar) — die Begriffserklärung zur Grundrechte-Folgenabschätzung nach Art. 27 KI-VO.

Pflicht oder Praxisvorlage? So ordnen Sie dieses Template ein

Die sieben Felder unten folgen den Pflichtinhalten der FRIA nach Art. 27 KI-VO; die Pflicht selbst trifft bei Anhang III, 4 ausschließlich Betreiber, die Einrichtungen des öffentlichen Rechts sind oder als private Einrichtungen öffentliche Dienste erbringen — unabhängig von der Trägerschaft daneben nur Betreiber nach Anhang III Nr. 5 lit. b/c (Kreditwürdigkeit, Kranken-/Lebensversicherung). Die Ausfüllhinweise in den Feldern sind Praxisempfehlungen, soweit sie keine Norm nennen; wo Verwechslungsgefahr mit einer gesetzlichen Frist besteht — etwa beim Quartalsrhythmus in Feld 7 —, ist das ausdrücklich gekennzeichnet. Wer nicht darunterfällt, kann das Raster als Dokumentationshilfe nutzen — es strukturiert dann die Nachweise zu den Betreiberpflichten aus Art. 26 und zur nationalen Diskriminierungshaftung, nicht eine Art.-27-Pflicht. Prüfen Sie zuerst Ihre Trägerschaft und die Anhang-III-Ziffer (Feld 1) — davon hängt ab, ob die folgenden sieben Felder eine Pflicht dokumentieren oder eine freiwillige Nachweisstruktur.

Zum Zeitpunkt: Die FRIA-Pflicht aus Art. 27 gehört zu Kapitel III Abschnitt 3 und gilt für Anhang-III-Systeme ab dem 02.12.2027. Grundlage ist die Verordnung (EU) 2026/1744 (Digital-Omnibus KI) vom 8. Juli 2026, in Kraft seit 27. Juli 2026: Sie verschiebt die Hochrisiko-Pflichten der Kapitel III Abschnitte 1 bis 3 für Anhang-III-Systeme auf den 02.12.2027 und für Anhang-I-Systeme auf den 02.08.2028. Der allgemeine Geltungsbeginn der KI-VO am 02.08.2026 bleibt unverändert. Maßgeblich sind damit feste Kalenderdaten (Art. 113 Abs. 3 KI-VO in der seit 27. Juli 2026 geltenden Fassung); die Fundstellen stehen im Quellenblock.

Die folgende Tabelle nennt ausschließlich Pflichten aus der KI-VO; die mittlere Spalte gibt den Adressatenkreis wieder, den die jeweils genannte Norm selbst bestimmt.

Welche HR-Systeme fallen unter Anhang III Nr. 4?

Erfasst sind bewertende Systeme, nicht informierende. Anhang III Nr. 4 der KI-VO bezeichnet den Bereich „Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit“: Anhang III Nr. 4 lit. a deckt KI für die Einstellung oder Auswahl natürlicher Personen ab (etwa gezielte Stellenanzeigen, CV-Match-Scoring, Sichten und Filtern von Bewerbungen, Bewertung von Bewerbern), Nr. 4 lit. b KI für Entscheidungen, die Arbeitsbedingungen, Beförderungen oder Kündigungen beeinflussen, für die Zuweisung von Aufgaben aufgrund von Verhalten oder persönlichen Merkmalen sowie für die Beobachtung und Bewertung von Leistung und Verhalten der Beschäftigten (etwa Performance-Scoring, Workforce-Planning mit Beförderungs- oder Kündigungsempfehlungen, Mitarbeiterüberwachung). Reine Informationssysteme wie ein HR-FAQ-Chatbot oder ein Termin-Buchungs-Bot für Bewerber fallen nicht darunter — beim Buchungs-Bot über die eng auszulegende Ausnahme des Art. 6 Abs. 3 (spezifische, eng begrenzte Aufgabe). Erzeugt das System Empfehlungen oder Bewertungen, die menschliche Entscheidungen wesentlich beeinflussen können, bleibt es Hochrisiko-KI.

1. Beschreibung der Bereitstellung

In Feld 1 beschreiben Sie, welches System Sie in welcher Rolle wofür einsetzen. Welcher Use Case (Recruiting, Performance-Bewertung, etc.), Anbieter, Modell-Version, Einsatz-Frequenz.

Ergänzen Sie in diesem Feld vier Angaben, die später jede weitere Zeile der FRIA tragen. Erstens die Rolle: Anbieter nach Art. 3 Nr. 3 oder Betreiber nach Art. 3 Nr. 4 — bei wesentlicher Änderung von Zweck oder Funktionalität oder beim Inverkehrbringen unter eigenem Namen wechselt ein Betreiber nach Art. 25 in die Anbieterrolle und trägt dann Risikomanagement (Art. 9), technische Dokumentation nach Anhang IV (Art. 11), Konformitätsbewertung (Art. 43) und EU-Datenbank-Eintrag (Art. 49). Zweitens die Anhang-III-Ziffer samt Buchstabe (Nr. 4 lit. a oder lit. b). Drittens das Prüfergebnis zu Art. 6 Abs. 3 mit Begründung, warum die Ausnahme greift oder nicht. Viertens die Abgrenzung zu den verbotenen Praktiken: Emotionserkennung am Arbeitsplatz ist nach Art. 5 Abs. 1 lit. f untersagt, das Verbot ist seit dem 02.02.2025 anwendbar. Halten Sie deshalb ausdrücklich fest, welche Funktionen des Systems Sie geprüft und ausgeschlossen haben.

2. Zeitraum + Häufigkeit

In Feld 2 halten Sie fest, über welchen Zeitraum und wie häufig das System läuft. Pilot vs. Produktiv, geschätzte Use Cases pro Monat, Lebenszeit-Erwartung.

Der dokumentierte Zeitraum entscheidet darüber, welche Nachweise Sie später vorlegen können. Art. 26 Abs. 6 verlangt vom Betreiber die Aufbewahrung der automatisch erzeugten Protokolle für mindestens sechs Monate — ein Bewertungszeitraum, der weiter zurückreicht als die konfigurierte Log-Retention, lässt sich im Nachhinein nicht belegen. Praxisempfehlung: die Log-Aufbewahrung mindestens an den in der FRIA dokumentierten Zeitraum koppeln und die eingestellte Dauer in diesem Feld mitschreiben; das Mindestmaß von sechs Monaten ist gesetzlich, jede längere Frist eine Festlegung Ihres Hauses. Führen Sie Pilot- und Produktivphase getrennt: Zeitraum und Häufigkeit bilden eines der in Art. 27 Abs. 1 aufgeführten Elemente, ihre Änderung löst nach Art. 27 Abs. 2 die Aktualisierungspflicht aus. Halten Sie deshalb auch fest, ab welcher Fallzahl pro Monat Sie eine erneute Bewertung ansetzen.

3. Betroffene Personen-Kategorien

In Feld 3 halten Sie fest, welche Personengruppen das System bewertet und wie viele es pro Jahr sind. Bewerber, Beschäftigte, Vorgesetzte. Anzahl pro Jahr. Vulnerable Gruppen identifizieren (schwerbehinderte Menschen, Schwangere, ältere Beschäftigte).

Die Personenkategorien bestimmen, welche Diskriminierungsgründe überhaupt in Betracht kommen — dieses Feld ist deshalb die Brücke zu Feld 4. In Deutschland nennt § 1 AGG die geschützten Gründe: Rasse oder ethnische Herkunft, Geschlecht, Religion oder Weltanschauung, Behinderung, Alter und sexuelle Identität. In Österreich verbieten § 3 GlBG (Geschlecht) und § 17 GlBG (ethnische Zugehörigkeit, Religion oder Weltanschauung, Alter, sexuelle Orientierung) die Diskriminierung im Zusammenhang mit einem Arbeitsverhältnis. Notieren Sie zusätzlich, ob besondere Kategorien nach Art. 9 DSGVO verarbeitet werden — Gesundheitsdaten, ethnische Herkunft, Gewerkschaftszugehörigkeit, biometrische Daten unterliegen einem grundsätzlichen Verarbeitungsverbot mit engen Ausnahmen. Für vulnerable Gruppen gilt eine harte Grenze: Nach Art. 5 Abs. 1 lit. b ist die Ausnutzung von Vulnerabilitäten aufgrund von Alter, Behinderung oder sozialer bzw. wirtschaftlicher Lage verboten.

4. Spezifische Risiken für Grundrechte

In Feld 4 bewerten Sie je Grundrecht, welches Risiko der Einsatz auslöst und wie schwer der Schaden wiegt. CFR Art. 21 (Diskriminierung), Art. 8 (Datenschutz), Art. 31 (gerechte Arbeitsbedingungen). Pro Risiko: Eintrittswahrscheinlichkeit + Schadens-Schwere.

Machen Sie die Charta-Artikel über die einschlägigen nationalen Tatbestände greifbar, sonst bleibt die Risikozeile unbewertbar. Zu unterscheiden sind die unmittelbare Benachteiligung (weniger günstige Behandlung wegen eines geschützten Grundes) und die mittelbare (dem Anschein nach neutrale Vorschriften, die Personen in besonderer Weise benachteiligen können) — in Deutschland § 3 Abs. 1 bis 4 AGG, in Österreich § 5 und § 6 bzw. § 19 GlBG, die dort auch Belästigung und die Anweisung zur Diskriminierung als eigene Tatbestände erfassen. Beschreiben Sie einen Match-Score, der an ein dem Anschein nach neutrales Merkmal anknüpft und Träger eines geschützten Merkmals besonders benachteiligen kann, entsprechend als Fall mittelbarer Benachteiligung — nicht als „Modellungenauigkeit“.

Die Schadens-Schwere lässt sich beziffern: In Deutschland schuldet der Arbeitgeber nach § 15 Abs. 1 und 2 AGG Ersatz des Schadens — sofern er die Pflichtverletzung zu vertreten hat — und eine angemessene Geldentschädigung; bei Nichteinstellung ist sie auf drei Monatsgehälter begrenzt, wenn die Person auch bei benachteiligungsfreier Auswahl nicht eingestellt worden wäre. In Österreich sehen § 12 und § 26 GlBG gesetzliche Mindest- und Höchstbeträge vor: mindestens zwei Monatsentgelte, wenn die Stelle bei diskriminierungsfreier Auswahl erlangt worden wäre, höchstens 500 Euro, wenn der Schaden nur in der Nichtberücksichtigung der Bewerbung besteht, und mindestens 1.000 Euro bei sexueller oder geschlechtsbezogener Belästigung (§ 12 Abs. 11 GlBG) bzw. bei Belästigung nach § 26 Abs. 11 GlBG. Die für die Durchsetzung maßgeblichen Beweisregeln unterscheiden sich zwischen Deutschland und Österreich — siehe den DE/AT-Abschnitt unten. Die Zeile zu Art. 31 CFR (gerechte Arbeitsbedingungen) füllen Sie vor allem bei Systemen nach Anhang III Nr. 4 lit. b (Mitarbeiterüberwachung): Halten Sie dort Umfang und Dauer der Überwachung fest sowie, wie die Beschäftigten nach Art. 26 Abs. 7 informiert werden. Die Zeile zu Art. 8 CFR (Schutz personenbezogener Daten) füllen Sie aus den in Feld 3 erhobenen Datenarten: Halten Sie fest, ob besondere Kategorien nach Art. 9 DSGVO verarbeitet werden, welche Betroffenenrechte nach Art. 15 bis 22 DSGVO ausgelöst werden (Reaktionsfrist siehe Feld 6) und ob für dieselbe Verarbeitung eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO läuft — dann verweisen Sie hier auf sie, statt sie zu wiederholen. Praxisempfehlung: Die Stufung der Eintrittswahrscheinlichkeit ist eine hausinterne Festlegung. Leiten Sie sie nachvollziehbar aus der in Feld 2 dokumentierten Fallzahl pro Monat und der Zahl der betroffenen Personen aus Feld 3 ab und halten Sie die verwendete Stufung schriftlich fest.

5. Maßnahmen menschliche Aufsicht

In Feld 5 dokumentieren Sie namentlich, wer welchen Output prüft, mit welcher Eingriffsbefugnis und mit welchem Schulungsstand. Wer prüft jeden Output? Welche Eingriffsbefugnis? Schulungsstand der Reviewer? Eskalations-Mechanismus.

Beantworten Sie die vier Fragen namentlich und mit Befugnis, nicht mit Funktionsbezeichnungen. Die menschliche Aufsicht (Art. 14) gehört zu den Anforderungen, die das Anhang-III-Regime an Hochrisiko-KI stellt — was die Norm im Einzelnen verlangt, behandelt der Glossar-Eintrag „Human Oversight Art. 14“ (unten unter „Verwandte Artikel“ verlinkt); betreiberseitig kommen die Prüfung der Eingabedaten-Relevanz (Art. 26 Abs. 4) und die Protokollaufbewahrung (Art. 26 Abs. 6) hinzu. Praxisempfehlung: Nutzen Sie beides als Nachweis dafür, dass die Aufsicht tatsächlich stattgefunden hat. Welche Eingriffsbefugnis der einzelne Reviewer hat, legen Sie fest — sie gehört in dieselbe Zeile wie sein Name, sonst bleibt offen, was die Aufsicht im Ernstfall bewirken kann. Der Schulungsstand hat eine eigene Rechtsgrundlage: Die KI-Kompetenz nach Art. 4 ist seit dem 02.02.2025 anwendbar; Anbieter und Betreiber ergreifen danach Maßnahmen, um die KI-Kompetenz ihres Personals und der Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind — ein bestimmtes Kompetenzniveau schreibt Art. 4 Abs. 1 in der seit 27. Juli 2026 geltenden Fassung nicht vor. Typische Schulungsinhalte in der Praxis sind KI-Definition, Risikoklassen, verbotene Praktiken, Transparenzpflichten und menschliche Aufsicht. Praxisempfehlung: Dokumentieren Sie pro Reviewer Datum und Umfang der Schulung. Die Stufen des Eskalationswegs — wer bei Widerspruch zwischen Score und Reviewer-Urteil entscheidet, wer den Betrieb stoppt — legen Sie selbst fest; kennzeichnen Sie sie in der FRIA ausdrücklich als Praxisempfehlung Ihres Hauses.

6. Maßnahmen Risikominderung

In Feld 6 listen Sie die Maßnahmen auf, mit denen Sie die Risiken aus Feld 4 senken. Bias-Tests + Frequenz, Anonymisierte Erst-Auswahl, Beschwerde-Mechanismus, Transparenz für Bewerber.

Zwei der vier genannten Maßnahmen haben einen unmittelbaren rechtlichen Anker — der Beschwerde-Mechanismus und die Transparenz. Beschwerde-Mechanismus: In Deutschland haben Beschäftigte nach § 13 Abs. 1 AGG das Recht, sich bei der zuständigen Stelle des Betriebs zu beschweren; die Beschwerde ist zu prüfen und das Ergebnis mitzuteilen, und nach § 12 Abs. 5 AGG sind Gesetz und zuständige Stelle im Betrieb bekannt zu machen. In Österreich berät und unterstützt die Gleichbehandlungsanwaltschaft (GAW) Personen, die sich diskriminiert fühlen (§ 3 GBK/GAW-Gesetz). Organisationspflicht: In Deutschland verlangt § 12 Abs. 1 bis 3 AGG erforderliche, auch vorbeugende Maßnahmen; eine geeignete Schulung der Beschäftigten gilt als Erfüllung dieser Pflicht. Transparenz: Beschäftigte sind nach Art. 26 Abs. 7 zu informieren. Interagiert das System direkt mit Bewerbern, müssen Anbieter nach Art. 50 Abs. 1 sicherstellen, dass die Person darüber informiert wird, dass sie mit einem KI-System interagiert — prüfen Sie, ob das eingekaufte Tool diesen Hinweis tatsächlich ausspielt. Auf Anträge betroffener Personen nach Art. 15 bis 22 DSGVO ist nach Art. 12 Abs. 3 DSGVO unverzüglich, spätestens binnen eines Monats zu reagieren; die Frist ist in komplexen Fällen um zwei Monate verlängerbar. Schon die Ausschreibung gehört hierher: § 11 AGG in Deutschland; in Österreich verlangt § 9 GlBG die geschlechtsneutrale Stellenausschreibung — schreibt ein Arbeitgeber eine Stelle nur für Männer oder nur für Frauen aus, ist er beim ersten Verstoß zu ermahnen und bei weiteren Verstößen mit Geldstrafe bis 360 Euro zu bestrafen (§ 10 Abs. 3 GlBG). Praxisempfehlung: Halten Sie beim Bias-Test fest, gegen welche Gründe getestet wird — in Deutschland die Gründe des § 1 AGG, in Österreich die des § 3 und § 17 GlBG — und ob der Test auf unmittelbare oder auf mittelbare Benachteiligung zielt (Feld 4). Für die anonymisierte Erst-Auswahl notieren Sie, welche Merkmale entfernt werden und welche Stellvertretermerkmale trotzdem im Score verbleiben; genau diese sind der Ansatzpunkt für eine mittelbare Benachteiligung. Frequenz, Testverfahren und Durchführungsdatum legen Sie selbst fest; halten Sie sie schriftlich fest, damit die Maßnahme prüfbar bleibt.

7. Re-Evaluation

In Feld 7 legen Sie Turnus und Auslöser der erneuten Bewertung fest. Quartalsweise Re-Evaluation. Bei wesentlichen Änderungen am Modell / Verwendungszweck: neue FRIA.

Der Quartalsrhythmus ist eine Praxisempfehlung, keine gesetzliche Frist. Den gesetzlichen Auslöser nennt Art. 27 Abs. 2: Die FRIA ist zu aktualisieren, sobald sich eines der in Art. 27 Abs. 1 aufgeführten Elemente geändert hat oder nicht mehr auf dem neuesten Stand ist. Legen Sie deshalb neben dem Termin auch die Auslöser fest: neue Modellversion, geänderter Verwendungszweck, neue Personenkategorie, veränderte Fallzahl, neuer Anbieter. Bei einer wesentlichen Änderung von Zweck oder Funktionalität greift zusätzlich Art. 25 — dann sind Sie Anbieter und schulden die in Feld 1 genannten Anbieterpflichten. Halten Sie in diesem Feld fest, wer die Auslöser überwacht und wohin das Ergebnis geht; die Mitteilung an die Marktüberwachungsbehörde nach Art. 27 Abs. 3 und Abs. 5 ist der Adressat.

Nach der FRIA: aktualisieren, mitteilen, aufbewahren

Nach der ersten Fassung folgen drei gesetzlich verankerte Schritte — und eine Lücke, die Sie selbst schließen müssen. Aktualisieren: Art. 27 Abs. 2 (siehe Feld 7). Mitteilen: Nach Art. 27 Abs. 3 und Abs. 5 sind die Ergebnisse der Marktüberwachungsbehörde mitzuteilen, und zwar mittels des Muster-Fragebogens des Büros für Künstliche Intelligenz. Welche Behörde das ist, regeln die Mitgliedstaaten: Jeder Mitgliedstaat benennt nach Art. 70 mindestens eine Marktüberwachungsbehörde, darunter eine als zentrale Anlaufstelle, deren Kontaktdaten bis zum 02.08.2025 öffentlich zugänglich zu machen waren. Aufbewahren: Für die Protokolle gilt die Sechs-Monats-Untergrenze aus Art. 26 Abs. 6, für die Anbieterdokumentation die Zehn-Jahres-Frist aus Art. 18 Abs. 1.

Die Lücke: Art. 27 KI-VO nennt keine Aufbewahrungsfrist für die FRIA selbst. Die verbreitete Faustregel „solange die KI eingesetzt wird + 5 Jahre danach“ ist eine Praxis-Empfehlung ohne gesetzliche Grundlage — verwenden Sie sie, wenn Sie wollen, aber schreiben Sie sie als hausinterne Festlegung nieder und nicht als Frist der KI-VO.

FRIA und DSFA: getrennte Grundlagen, gemeinsame Datenbasis

FRIA und Datenschutz-Folgenabschätzung sind zwei Prüfungen mit unterschiedlichen Anknüpfungspunkten. Art. 35 Abs. 1 DSGVO knüpft an die Verarbeitung an: Hat eine Verarbeitungsform — insbesondere bei neuen Technologien — voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, ist vorab eine DSFA durchzuführen; nach Art. 35 Abs. 3 DSGVO ist sie insbesondere bei systematischer umfassender Bewertung persönlicher Aspekte mit Rechtswirkung sowie bei umfangreicher Verarbeitung besonderer Datenkategorien erforderlich. Art. 27 KI-VO knüpft demgegenüber an den Betrieb eines Hochrisiko-KI-Systems durch bestimmte Betreiber an.

Praktisch überschneiden sich die Inhalte erheblich: Betroffenenkategorien, Datenarten, Risiken und Schutzmaßnahmen erheben Sie einmal und verwenden sie in beiden Dokumenten — die Bewertung führen Sie getrennt und mit der jeweiligen Rechtsgrundlage. Beachten Sie dabei die Benennungspflicht für Datenschutzbeauftragte: In Deutschland ist nach § 38 Abs. 1 BDSG — ergänzend zu Art. 37 Abs. 1 lit. b und c DSGVO — ein Datenschutzbeauftragter zu benennen, soweit in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, und unabhängig von der Personenzahl, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen. Österreich sieht keine über Art. 37 DSGVO hinausgehende zahlenmäßige Schwelle vor; die Pflicht folgt dort unmittelbar aus Art. 37 DSGVO.

Deutschland und Österreich: identische KI-VO, unterschiedliche Diskriminierungshaftung

Die KI-VO gilt in beiden Ländern gleich — die Unterschiede liegen im Diskriminierungsrecht. Als unmittelbar anwendbare EU-Verordnung gelten Anhang III, die Ausnahme in Art. 6 Abs. 3, die Anbieter- und Betreiberpflichten (Art. 9, 11, 26, 27, 43, 49) sowie die Fristen in Österreich identisch wie in Deutschland; national geregelt werden nur die zuständigen Behörden (Art. 70) und das Sanktionsregime im Rahmen von Art. 99 Abs. 1. Das Template oben ist damit ohne Paragrafen-Umbau übertragbar. Anders die Haftung im HR-Fall: Sie läuft in Österreich nicht über das AGG, sondern über das Gleichbehandlungsgesetz (GlBG).

Für die FRIA heißt das: Feld 4 (Grundrechts-Risiken) und Feld 6 (Risikominderung) sind je Rechtsraum getrennt zu füllen, wenn Sie in beiden Ländern beschäftigen. Zuständig sind in Österreich die Gleichbehandlungsanwaltschaft, die Gleichbehandlungskommission und die Arbeits- und Sozialgerichte — nicht die Antidiskriminierungsstelle des Bundes.