Grundrechte-Folgenabschätzung (FRIA) – Wann Sie eine durchführen müssen

Über 60.000 öffentliche Einrichtungen gibt es allein in Deutschland – und viele von ihnen glauben, mit dem Kauf eines geprüften KI-Systems sei ihre Compliance-Arbeit erledigt. Ein Irrtum. Denn wer als Betreiber ein Hochrisiko-KI-System einsetzt, kann zu einer eigenständigen, formalen Pflicht verdonnert sein: der Grundrechte-Folgenabschätzung nach Art. 27 AI Act. Die gute Nachricht: Nicht jeder Hochrisiko-Betreiber ist betroffen. Die schlechte: Wer betroffen ist und die FRIA vergisst, riskiert empfindliche Bußgelder – und setzt Grundrechte realer Menschen aufs Spiel.

Dieser Artikel klärt präzise, wer wirklich zur Grundrechte-Folgenabschätzung verpflichtet ist, was in eine FRIA gehört und wie Sie sie Schritt für Schritt umsetzen.

Was ist die Grundrechte-Folgenabschätzung (FRIA)?

Die Grundrechte-Folgenabschätzung – englisch Fundamental Rights Impact Assessment (FRIA) – ist in Art. 27 AI Act geregelt. Sie verpflichtet bestimmte Betreiber von Hochrisiko-KI-Systemen, vor dem Einsatz systematisch zu prüfen, welche Auswirkungen das System auf die Grundrechte betroffener Personen haben kann.

Definition und Zweck

Der Zweck ist klar umrissen: Bevor eine KI in einem sensiblen Kontext – etwa bei der Vergabe von Sozialleistungen oder der Kreditwürdigkeitsprüfung – über Menschen entscheidet oder Entscheidungen vorbereitet, soll der Betreiber die konkreten Risiken für die betroffenen Personen identifizieren und Gegenmaßnahmen definieren. Es geht um einen vorgelagerten, dokumentierten Nachweis der Risikoreflexion.

Abgrenzung: Wessen Rechte werden geschützt?

Ein häufiges Missverständnis: Die FRIA schützt nicht das Unternehmen vor Haftung oder Reputationsschäden. Schutzgut sind die Grundrechte der betroffenen natürlichen Personen – etwa das Recht auf Nichtdiskriminierung, auf Privatsphäre, auf ein faires Verfahren oder auf menschliche Würde. Die FRIA ist damit ein Instrument des Grundrechtsschutzes, kein Compliance-Feigenblatt.

Zeitpunkt: vor der ersten Inbetriebnahme

Art. 27 stellt klar: Die FRIA ist vor der ersten Nutzung des Hochrisiko-Systems durchzuführen. Sie ist keine nachträgliche Dokumentationsübung, sondern Voraussetzung für den rechtmäßigen Betrieb.

Wer muss eine Grundrechte-Folgenabschätzung (FRIA) durchführen?

Hier liegt der entscheidende Punkt, den viele übersehen: Die FRIA-Pflicht trifft nicht alle Betreiber von Hochrisiko-KI. Art. 27 Abs. 1 benennt einen klar abgegrenzten Kreis:

Betreiber, die Einrichtungen des öffentlichen Rechts sind – also Behörden, Ministerien, Kommunen, Ämter und vergleichbare staatliche Stellen.
Private Betreiber, die öffentliche Dienste erbringen – etwa Krankenhäuser, Bildungseinrichtungen, Sozialleistungsträger oder Versorgungsunternehmen, sofern sie öffentliche Aufgaben wahrnehmen.
Betreiber von Systemen zur Kreditwürdigkeitsprüfung und Bonitätsbewertung (Annex III Nr. 5 Buchstabe b).
Betreiber von Systemen zur Risikobewertung und Preisgestaltung in der Lebens- und Krankenversicherung (Annex III Nr. 5 Buchstabe c).

Wichtig: Betreiberpflicht, nicht Anbieterpflicht

Die FRIA ist eine reine Betreiberpflicht. Der Anbieter (Hersteller) eines Hochrisiko-Systems hat andere Verpflichtungen – etwa das Konformitätsbewertungsverfahren, die technische Dokumentation und die Grundrechtsbewertung auf Produktebene. Die FRIA hingegen betrifft den konkreten Einsatzkontext, den nur der Betreiber kennt. Wer die beiden Rollen verwechselt, riskiert doppelte oder fehlende Pflichten. Eine saubere Zuordnung leistet unser Beitrag zur Abgrenzung von Anbieter- und Betreiberpflichten.

Wann greift die FRIA-Pflicht konkret?

Auslösende Annex-III-Anwendungsfälle

Die FRIA setzt voraus, dass ein System überhaupt als Hochrisiko im Sinne von Annex III eingestuft ist. Für öffentliche Stellen und Anbieter öffentlicher Dienste kann das beispielsweise betreffen:

Systeme im Bereich Bildung (z. B. Bewertung von Prüfungsleistungen),
Systeme zur Vergabe öffentlicher Sozialleistungen und -dienste,
Systeme in Beschäftigung und Personalauswahl,
bestimmte Anwendungen im Bereich Strafverfolgung, Migration und Justiz.

Welche Systeme genau unter Annex III fallen, erläutern wir ausführlich im Beitrag Hochrisiko-KI nach Annex III erklärt. Für private Betreiber sind es vor allem die genannten Anwendungen im Finanz- und Versicherungssektor.

Ab wann gilt die FRIA-Pflicht?

Die Pflichten für Hochrisiko-Systeme aus Annex III – und damit auch die FRIA – gelten ab dem 2. Dezember 2027. Der ursprünglich vorgesehene Termin 2. August 2026 wurde durch den Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) verschoben; der neue Termin ist ein festes Datum. Bis dahin müssen betroffene Betreiber ihre Prozesse aufgebaut haben. Details zum Fristenregime lesen Sie in unserem Überblick zu den Hochrisiko-Fristen. Wer erst am Stichtag mit der Vorbereitung beginnt, gerät unter Druck: Eine belastbare FRIA entsteht nicht über Nacht.

Praxisbeispiele

Behörde: Ein kommunales Jobcenter setzt ein KI-System ein, das die Wahrscheinlichkeit von Langzeitarbeitslosigkeit prognostiziert und daraus Fördermaßnahmen ableitet. Als öffentliche Stelle mit einem Annex-III-System ist die Behörde FRIA-pflichtig.
Bank: Ein Kreditinstitut nutzt ein KI-basiertes Scoring zur Bonitätsprüfung von Privatkunden. Über Annex III Nr. 5 Buchstabe b greift die FRIA-Pflicht – unabhängig davon, dass die Bank privatwirtschaftlich handelt.
Versicherung: Ein Lebensversicherer setzt KI zur Risikoeinstufung und Prämienkalkulation ein. Über Annex III Nr. 5 Buchstabe c ist eine FRIA erforderlich. Branchenspezifische Hinweise finden Sie in unseren Branchenlösungen für den Finanzsektor.

Inhalte einer FRIA nach Art. 27 – die Pflichtbestandteile

Art. 27 Abs. 1 listet sechs verpflichtende Bestandteile auf. Alle sechs müssen abgedeckt sein:

#	Pflichtbestandteil	Kernfrage
1	Beschreibung der Betreiberprozesse	In welchen Prozessen wird das System entsprechend seiner Zweckbestimmung eingesetzt?
2	Zeitraum und Häufigkeit der Nutzung	Wie lange und wie oft wird das System verwendet?
3	Betroffene Personengruppen	Welche Kategorien natürlicher Personen und Gruppen sind voraussichtlich betroffen?
4	Spezifische Grundrechte-Risiken	Welche konkreten Schadensrisiken drohen den identifizierten Personen?
5	Menschliche Aufsicht	Wie werden die Maßnahmen zur menschlichen Aufsicht gemäß Betriebsanleitung umgesetzt?
6	Maßnahmen bei Risikoeintritt	Was geschieht, wenn ein Risiko eintritt – inklusive interner Governance und Beschwerdemechanismen?

Detaillierung der Bestandteile

Zu Nr. 1 gehört eine ehrliche Prozesslandkarte: Wo genau greift die KI in Entscheidungsabläufe ein? Nr. 2 verlangt keine Prognose auf den Tag genau, aber eine realistische Einschätzung – etwa „dauerhaft, im laufenden Antragsverfahren, ca. 5.000 Fälle pro Monat“.

Bei Nr. 3 und Nr. 4 liegt der inhaltliche Kern: Ein Kredit-Scoring betrifft z. B. Antragsteller mit niedrigem Einkommen, Menschen mit Migrationshintergrund oder junge Erwachsene ohne Kredithistorie – mit Risiken der Diskriminierung und des Ausschlusses von Finanzdienstleistungen.

Nr. 5 verweist auf die konkrete Ausgestaltung der menschlichen Aufsicht: Wer prüft die KI-Empfehlung, mit welcher Kompetenz, und kann diese Person die Entscheidung tatsächlich überstimmen? Nr. 6 schließlich verlangt eine funktionierende Eskalations- und Beschwerdestruktur – nicht nur auf dem Papier.

FRIA vs. DSFA – wo überschneiden sie sich?

Viele Organisationen kennen bereits die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO. Die Instrumente ähneln sich, sind aber nicht deckungsgleich.

Unterschiede in Schutzgut und Rechtsgrundlage

Kriterium	FRIA (Art. 27 AI Act)	DSFA (Art. 35 DSGVO)
Rechtsgrundlage	Art. 27 AI Act	Art. 35 DSGVO
Schutzgut	Alle relevanten Grundrechte	Schutz personenbezogener Daten
Auslöser	Bestimmte Betreiber + Annex-III-System	Voraussichtlich hohes Datenschutzrisiko
Adressat	Betroffene Personen	Betroffene Personen
Meldung	Marktüberwachungsbehörde	i. d. R. keine (nur Konsultation bei Restrisiko)

Die FRIA denkt breiter: Sie umfasst neben dem Datenschutz auch Diskriminierung, Meinungsfreiheit, Zugang zu Diensten und weitere Grundrechte.

Ergänzung statt Doppelarbeit

Art. 27 Abs. 4 stellt ausdrücklich klar: Wurden einzelne Pflichten bereits im Rahmen einer DSFA nach Art. 35 DSGVO erfüllt, können Sie in der FRIA auf die betreffenden Abschnitte der DSFA verweisen oder diese Teile übernehmen. Sie müssen also nicht doppelt dokumentieren, was bereits vorliegt. In der Praxis empfiehlt sich eine kombinierte Durchführung: ein gemeinsames Verfahren, das datenschutzrechtliche und grundrechtliche Aspekte integriert. Wie das gelingt, zeigt unser Beitrag zur Datenschutz-Folgenabschätzung bei KI.

Schritt-für-Schritt: FRIA durchführen

Schritt 1 – Vorbereitung: KI-Inventar und Rollenklärung

Ohne Überblick keine FRIA. Erstellen Sie zunächst ein vollständiges KI-Inventar, das alle eingesetzten und geplanten KI-Systeme erfasst. Klären Sie dann pro System:

Ist es ein Hochrisiko-System nach Annex III?
Sind wir Betreiber oder Anbieter?
Fallen wir in den verpflichteten Kreis (öffentliche Stelle, öffentlicher Dienst, Kredit, Versicherung)?

Nur wenn alle drei Fragen zutreffen, besteht FRIA-Pflicht.

Schritt 2 – Durchführung und Dokumentation

Arbeiten Sie die sechs Pflichtbestandteile systematisch ab. Beziehen Sie interdisziplinäre Expertise ein: Fachbereich, Datenschutz, Rechtsabteilung und – wo sinnvoll – Vertreter potenziell betroffener Gruppen. Dokumentieren Sie Annahmen, Risikoeinschätzungen und Gegenmaßnahmen nachvollziehbar. Diese Dokumentation ist Ihr Nachweis gegenüber der Behörde.

Schritt 3 – Meldung an die Marktüberwachungsbehörde

Nach Art. 27 Abs. 3 muss der Betreiber die Ergebnisse der FRIA der Marktüberwachungsbehörde melden. Dazu ist ein ausgefülltes Template zu übermitteln. Das AI Office stellt hierfür gemäß Art. 27 Abs. 5 ein standardisiertes Fragebogen-Template bereit – auch in Form eines automatisierten Tools. Nutzen Sie dieses Template, sobald es verfügbar ist, um Formfehler zu vermeiden. Welche Stelle in Deutschland zuständig ist, erläutert unser Beitrag zur Marktüberwachungsbehörde.

Schritt 4 – Aktualisierung bei Änderungen

Die FRIA ist kein einmaliges Dokument. Ändern sich während des Betriebs relevante Faktoren – etwa der Nutzungszweck, die betroffenen Personengruppen oder die Risikolage –, müssen Sie die FRIA aktualisieren. Art. 27 Abs. 2 erlaubt zugleich, sich in ähnlich gelagerten Fällen auf bereits durchgeführte FRIAs zu stützen und diese fortzuschreiben, statt jedes Mal bei null zu beginnen.

Eine FRIA ist selten ein einzelnes Dokument. Sie greift auf Inventar, Risikoeinstufung und Betroffenenanalyse zu, die ohnehin gepflegt werden müssen. Wer diese Grundlagen an einer Stelle führt, hat die FRIA weitgehend beisammen. Was ein solches Werkzeug abdecken sollte, steht unter Software für die AI-Act-Dokumentation.

Häufige Fehler und Bußgeldrisiken

FRIA vergessen oder zu spät durchgeführt

Der klassische Fehler: Das System geht in Betrieb, die FRIA folgt „irgendwann später“. Das ist nicht rechtskonform – die FRIA muss vor der ersten Nutzung vorliegen. Besonders öffentliche Stellen unterschätzen, dass sie über den Betreiberstatus in die Pflicht geraten.

Unvollständige Risikobeschreibung

Ein zweiter Klassiker sind oberflächliche Risikobeschreibungen. Ein Satz wie „Diskriminierungsrisiken bestehen“ genügt nicht. Gefordert sind konkrete, auf die betroffenen Gruppen bezogene Risiken samt Gegenmaßnahmen. Fehlen Bestandteile 3, 4 oder 6, ist die FRIA angreifbar.

Konsequenzen bei Verstößen

Verstöße gegen Betreiberpflichten können mit erheblichen Bußgeldern geahndet werden – der AI Act sieht für Betreiber-Verstöße Sanktionen von bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes vor (je nachdem, welcher Betrag höher ist). Hinzu kommen aufsichtsrechtliche Anordnungen und Reputationsschäden. Bei öffentlichen Stellen drohen zudem interne Haftungs- und Verantwortlichkeitsfragen.

Fazit

Die Grundrechte-Folgenabschätzung nach Art. 27 AI Act ist ein präzise adressiertes Instrument: Sie trifft öffentliche Einrichtungen, Anbieter öffentlicher Dienste sowie Betreiber von KI zur Kreditwürdigkeitsprüfung und zur Risikobewertung in der Lebens- und Krankenversicherung. Wer dazugehört, muss vor der ersten Inbetriebnahme alle sechs Pflichtbestandteile dokumentieren, die Ergebnisse der Marktüberwachungsbehörde melden und die FRIA bei Änderungen aktualisieren. Eine bestehende DSFA lässt sich klug integrieren – doppelte Arbeit ist vermeidbar. Wer dagegen die Pflicht ignoriert, riskiert nicht nur Bußgelder, sondern verfehlt den eigentlichen Zweck: den Schutz der Grundrechte realer Menschen.