FRIA (Fundamental Rights Impact Assessment)
Grundrechte-Folgenabschätzung nach Art. 27 EU AI Act
TL;DR
Eine Fundamental Rights Impact Assessment (FRIA) ist nach Art. 27 EU AI Act Pflicht für Betreiber von Hochrisiko-KI-Systemen in: öffentlichen Stellen, privaten Einrichtungen mit öffentlichen Aufgaben, sowie Anhang III Nr. 5 lit. b (Kreditscoring) und Nr. 5 lit. c (Lebens-/Krankenversicherungs-Scoring). Inhalt: Beschreibung des KI-Einsatzes, betroffene Personen, Risiken für Grundrechte, Schutzmaßnahmen.
Was ist FRIA (Fundamental Rights Impact Assessment)?
Die FRIA nach Art. 27 ist NICHT die DSFA nach Art. 35 DSGVO — die FRIA ergänzt aber eine bereits durchgeführte DSFA (Art. 27 Abs. 4 KI-VO).
Pflichtige Betreiber:
- Öffentliche Stellen aller Art
- Private Stellen, die öffentliche Aufgaben erfüllen
- Anhang III Nr. 5 lit. b: Kreditwürdigkeitsbewertung (Banken, Kredit-Scoring-Anbieter)
- Anhang III Nr. 5 lit. c: Lebens- und Krankenversicherungs-Scoring
Anwendungsbeginn: 02.12.2027 für Anhang-III-Systeme — Art. 27 gehört zu Kapitel III Abschnitt 3 (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026).
Notifikationspflicht: FRIA-Ergebnis ist der Marktüberwachungsbehörde zu melden (Art. 27 Abs. 3).
Geltungsraum Deutschland/Österreich: Art. 27 ist Teil der unmittelbar geltenden EU-Verordnung 2024/1689 (KI-VO). Die FRIA-Pflicht gilt in Deutschland und Österreich gleichermaßen — der Verordnungstext ist in beiden Mitgliedstaaten wortgleich anwendbar; es gibt keine abweichenden nationalen Paragraphen.
Praxisbeispiel
Praktisches Beispiel: Eine Sparkasse setzt KI-basiertes Kreditscoring ein.
- Beschreibung: Modell zur Bonitätsbewertung von Privatkunden
- Betroffene: Antragsteller (Privatkunden)
- Grundrechte-Risiken: Diskriminierung (Geschlecht, Herkunft), informationelle Selbstbestimmung, Recht auf Erklärung
- Schutzmaßnahmen: Bias-Tests, menschliche Letzt-Entscheidung, Erklärbarkeits-Modul, Beschwerdekanal
- Notifikation an BaFin (sektorale Aufsicht) + Marktüberwachung