FRIA für KI-Systeme: AP rät zur Vorbereitung

Die Grundrechte-Folgenabschätzung für Künstliche Intelligenz (KI) rückt näher. Die niederländische Datenschutzaufsicht Autoriteit Persoonsgegevens (AP) fordert Organisationen deshalb auf, sich bereits jetzt auf die sogenannte Fundamental Rights Impact Assessment (FRIA) vorzubereiten. Ab Dezember 2027 müssen unter anderem öffentliche Stellen vor dem Einsatz bestimmter Hochrisiko-KI-Systeme prüfen, welche Auswirkungen diese auf die Grundrechte von Menschen haben können.

Die FRIA soll damit nicht erst reagieren, wenn durch ein KI-System bereits Probleme entstanden sind. Risiken für Betroffene sollen vielmehr vor dem Einsatz erkannt, bewertet und durch geeignete Maßnahmen begrenzt werden.

Für wen wird die FRIA verpflichtend?

Nach den Hinweisen der AP betrifft die Verpflichtung insbesondere öffentliche Stellen sowie private Organisationen, die öffentliche Dienstleistungen erbringen und bestimmte Hochrisiko-KI-Systeme einsetzen wollen.

Auch bei bestimmten Systemen zur Bewertung finanzieller Risiken kann eine FRIA erforderlich werden. Entscheidend ist damit nicht allein, dass eine Organisation KI verwendet. Die Pflicht knüpft an bestimmte Hochrisiko-Anwendungen und deren konkreten Einsatz an.

Die AP empfiehlt betroffenen Organisationen dennoch, nicht bis zum Inkrafttreten der Verpflichtung zu warten. Wer sich frühzeitig mit der FRIA beschäftigt, kann besser nachvollziehen, welche KI-Systeme bereits eingesetzt werden und welche Auswirkungen diese auf Betroffene haben können.

Was untersucht eine FRIA?

Mit einer FRIA sollen Organisationen vor dem Einsatz eines Hochrisiko-KI-Systems untersuchen, welche Folgen dieses für Grundrechte haben kann.

Dabei geht es nicht ausschließlich um Datenschutz. Nach den Hinweisen der AP können beispielsweise das Recht auf Gleichbehandlung, die Menschenwürde, die Privatsphäre oder der Zugang zu wesentlichen Dienstleistungen betroffen sein.

Organisationen müssen sich deshalb damit auseinandersetzen, welche Risiken aus dem konkreten KI-Einsatz entstehen können und wie diese begrenzt werden sollen. Über die Folgenabschätzung und die vorgesehenen Maßnahmen ist zudem gegenüber der zuständigen Aufsicht zu berichten.

Die FRIA macht Grundrechtsschutz damit zu einem Bestandteil der Vorbereitung eines KI-Einsatzes und nicht erst zu einer Frage der nachträglichen Kontrolle.

FRIA und Datenschutz-Folgenabschätzung unterscheiden sich

Besonders wichtig ist die Abgrenzung zur Datenschutz-Folgenabschätzung (DSFA). Die beiden Instrumente verfolgen zwar einen ähnlichen präventiven Ansatz, haben aber unterschiedliche Schwerpunkte.

Eine DSFA untersucht insbesondere hohe Risiken einer Verarbeitung personenbezogener Daten. Die FRIA betrachtet dagegen breiter die möglichen Auswirkungen eines Hochrisiko-KI-Systems auf sämtliche relevanten Grundrechte.

Die AP bezeichnet die FRIA deshalb als Ergänzung zur DSFA. Je nach KI-Anwendung können Organisationen somit mit beiden Prüfungen konfrontiert sein. Eine bereits durchgeführte Datenschutz-Folgenabschätzung bedeutet nicht automatisch, dass damit auch sämtliche Anforderungen einer FRIA erfüllt sind.

AP empfiehlt Vorbereitung schon vor 2027

Obwohl die Verpflichtung erst ab Dezember 2027 greifen soll, rät die AP dazu, bereits jetzt praktische Erfahrungen zu sammeln.

Dafür stellt sie ein Informationsdokument zur Verfügung, das Organisationen mit der FRIA-Pflicht vertraut machen soll. Zusätzlich startet die Datenschutzaufsicht eine Pilotphase, in der teilnehmende Organisationen Erfahrungen mit dem europäischen Berichtsformat für die FRIA sammeln können.

Die Teilnehmer sollen dabei auch Rückmeldungen zu ihrem Vorgehen erhalten. Damit möchte die AP frühzeitig Erkenntnisse darüber gewinnen, wie die zukünftige Berichtspflicht in der Praxis umgesetzt werden kann.

Für Organisationen bietet die frühe Vorbereitung zugleich die Möglichkeit, bestehende KI-Anwendungen zu erfassen, Zuständigkeiten festzulegen und Grundrechtsrisiken systematisch in die eigenen Entscheidungsprozesse einzubeziehen.

FRIA wird Teil der KI-Governance

Die neuen Hinweise verdeutlichen, dass die Einführung von Hochrisiko-KI nicht allein eine technische Entscheidung sein kann. Organisationen müssen künftig bereits vor dem Einsatz berücksichtigen, welche Folgen ein System für Menschen haben kann und wie diese Risiken kontrolliert werden.

Damit wird die FRIA auch zu einer organisatorischen Aufgabe. Zuständigkeiten, Dokumentation und Risikobewertung sollten nicht erst kurz vor dem gesetzlichen Stichtag aufgebaut werden.

Fazit

Die Autoriteit Persoonsgegevens macht deutlich: Auch wenn die FRIA-Pflicht erst ab Dezember 2027 gilt, sollte die Vorbereitung deutlich früher beginnen.

Die Grundrechte-Folgenabschätzung erweitert den Blick über klassische Datenschutzrisiken hinaus. Organisationen müssen bei bestimmten Hochrisiko-KI-Systemen künftig systematisch prüfen, welche Auswirkungen auf Grundrechte entstehen und wie diese begrenzt werden können.

Wer sich frühzeitig mit der FRIA auseinandersetzt, kann die notwendigen Strukturen schaffen und vermeiden, dass die Grundrechtsprüfung erst unmittelbar vor dem Einsatz eines KI-Systems beginnt.