Grundrechte-Folgenabschätzung (Art. 27 KI-VO)

Die Grundrechte-Folgenabschätzung ist in Artikel 27 der KI-Verordnung (englisch AI Act) geregelt.

Wen die Pflicht trifft

Artikel 27 Absatz 1 benennt drei Gruppen von Betreibern eines Hochrisiko-KI-Systems nach Art. 6 Abs. 2:

• Einrichtungen des öffentlichen Rechts,
• private Einrichtungen, die öffentliche Dienste erbringen,
• Betreiber von Hochrisiko-KI-Systemen nach Anhang III Nummer 5 Buchstaben b und c. Das sind: Systeme für die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen (Buchstabe b, ausgenommen Systeme zur Aufdeckung von Finanzbetrug) und Systeme für die Risikobewertung und Preisbildung in Bezug auf natürliche Personen bei Lebens- und Krankenversicherungen (Buchstabe c).

Ausgenommen sind Hochrisiko-KI-Systeme im Bereich der Nummer 2 des Anhangs III, also Systeme, die als Sicherheitsbauteile bei Verwaltung und Betrieb kritischer digitaler Infrastruktur, des Straßenverkehrs oder der Wasser-, Gas-, Wärme- oder Stromversorgung eingesetzt werden.

Die Pflicht knüpft ausschließlich an Art. 6 Abs. 2 an, betrifft also die eigenständigen Systeme nach Anhang III — nicht die eingebetteten nach Anhang I.

Was die Abschätzung enthalten muss

Absatz 1 zählt sechs Elemente auf: die Verfahren des Betreibers, bei denen das System bestimmungsgemäß verwendet wird; Zeitraum und Häufigkeit der Verwendung; die Kategorien betroffener natürlicher Personen und Personengruppen; die spezifischen Schadensrisiken für diese Kategorien unter Berücksichtigung der Anbieterinformationen nach Art. 13; die Umsetzung der menschlichen Aufsicht entsprechend den Betriebsanleitungen; sowie die Maßnahmen beim Eintreten der Risiken, einschließlich interner Unternehmensführung und Beschwerdemechanismen.

Zeitpunkt und Wiederholung

Nach Absatz 2 gilt die Pflicht für die erste Verwendung. In ähnlichen Fällen kann sich der Betreiber auf zuvor durchgeführte Grundrechte-Folgenabschätzungen oder auf bereits vorhandene Folgenabschätzungen des Anbieters stützen. Ändert sich während der Verwendung eines der Elemente oder ist es nicht mehr auf dem neuesten Stand, sind die Informationen zu aktualisieren.

Mitteilungspflicht

Nach Absatz 3 teilt der Betreiber der Marktüberwachungsbehörde die Ergebnisse mit und übermittelt dazu das ausgefüllte Muster nach Absatz 5. Im Fall des Art. 46 Abs. 1 können Betreiber von der Mitteilungspflicht befreit werden.

Verhältnis zur Datenschutz-Folgenabschätzung

Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO besteht daneben fort. Das Verhältnis beider Prüfungen wurde durch die Digital-Omnibus-Verordnung geändert.

Stammfassung des Absatzes 4: Wird eine Pflicht aus Art. 27 bereits infolge einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO oder Art. 27 der Richtlinie (EU) 2016/680 erfüllt, so ergänzt die Grundrechte-Folgenabschätzung diese Datenschutz-Folgenabschätzung.

Geänderte Fassung: Der Betreiber kann in diesem Fall Verweise auf die einschlägigen Abschnitte der Datenschutz-Folgenabschätzung oder die einschlägigen Teile ebendieser in die Grundrechte-Folgenabschätzung aufnehmen.

Absatz 5 wurde entsprechend ergänzt: Das Muster des Büros für Künstliche Intelligenz soll den Betreibern gegebenenfalls die Möglichkeit geben, solche Verweise aufzunehmen.

Geltungsbeginn

Artikel 27 steht in Kapitel III Abschnitt 3 und folgt damit dem verschobenen Geltungsbeginn.