Grundrechte-Folgenabschätzung (GRFA)

Einleitung

Die Grundrechte-Folgenabschätzung (GRFA) ist die Pflicht-Prüfung, mit der Unternehmen vor der Inbetriebnahme bestimmter Hochrisiko-KI-Systeme Risiken für Grundrechte erkennen, bewerten und wirksam beherrschen. Dieser Leitfaden zeigt Ihnen Schritt für Schritt, wie Sie eine GRFA aufsetzen, dokumentieren und in Ihre Governance integrieren – inklusive Abgrenzung zur Datenschutz-Folgenabschätzung (Art. 35 DSGVO), typischer Stolpersteine und aktueller Entwicklungen rund um die KI-Verordnung (KI-VO).

Dieser Beitrag beleuchtet die Anforderungen an die Durchführung einer GRFA nach der KI-Verordnung und die daraus resultierenden Aufgaben für KI-Beauftragte, Datenschutzbeauftragte und dem Management.

Was ist eine Grundrechte-Folgenabschätzung?

Die GRFA ist eine strukturierte Risikoanalyse, die Auswirkungen eines Hochrisiko-KI-Systems auf Grundrechte (z. B. Datenschutz, Nicht-Diskriminierung, Meinungsfreiheit) identifiziert, bewertet und im Ergebnis mildert. Ergebnis ist ein dokumentierter Nachweis, dass Risiken angemessen behandelt und Überwachungs-, Beschwerde- und Abhilfemechanismen vorgesehen sind. Die Pflicht, eine GRFA durchzuführen, ergibt sich unmittelbar aus dem Normzweck der KI-Verordnung, der auf Art. 16 AEUV gestützt ist und die Wahrung der Grundrechte der Union sicherstellen soll. Sie konkretisiert die in Art. 6 ff. KI-VO geregelten Anforderungen an Hochrisiko-KI-Systeme.

Während diese Systeme grundsätzlich zugelassen sind, unterliegen sie einer besonderen Regulierung, da von ihnen erhebliche Beeinträchtigungen unionsrechtlich geschützter Grundrechte ausgehen können. Die GRFA begründet demnach die Nutzung von Hochrisiko-KI, solange deren Einsatz mit den Schutzgütern der Grundrechtecharta in Einklang gebracht werden kann.

Wann muss eine Grundrechte-Folgenabschätzung durchgeführt werden?

Sobald ein KI‑System als hoch-risikoreich eingestuft wurde, ist die GRFA vor der ersten Verwendung des Systems durchzuführen. Das ergibt sich klar aus Art. 27 Abs. 1 KI‑VO:

• Die GRFA ist nur vor dem ersten Einsatz eines Hochrisiko-KI-Systems durchzuführen.
• Damit ist die Risikoklassifizierung (also Feststellung, ob das System hochrisikoreich ist) zwingende Voraussetzung für die GRFA.

Gemäß Art. 6 KI‑VO wird ein KI-System nur dann als Hochrisiko-System eingestuft, wenn es bestimmte Voraussetzungen erfüllt:

• Es ist entweder ein Sicherheitsbestandteil eines Produkts (z.  Medizinprodukt oder Aufzug), das bereits harmonisierten EU-Rechtsvorschriften unterliegt (Anhang I) und einer Konformitätsprüfung unterzogen werden muss, oder
• Es handelt sich um eines der in Anhang III gelisteten KI-Systeme — etwa in Bereichen wie Biometrie, Bildung, Arbeitswelt, Kreditwürdigkeit.

Nur wenn diese Risikoklassifizierung positiv ausfällt — also das KI-System als „hoch-risikoreich“ eingestuft wird — greifen die Sonderpflichten des Artikels 27 KI‑VO.

Mitteilung an die Marktüberwachungsbehörde

Die Verpflichtung, die Ergebnisse der Grundrechte-Folgenabschätzung (GRFA) an eine Marktüberwachungsbehörde zu übermitteln, dient der externen Kontrolle und Nachvollziehbarkeit. Sie soll sicherstellen, dass nicht allein das Unternehmen selbst über die Angemessenheit seiner Grundrechtsschutzmaßnahmen entscheidet, sondern dass eine unabhängige Stelle die Angaben prüfen und gegebenenfalls aufsichtsrechtlich einschreiten kann. Damit ergänzt die GRFA die interne Compliance-Pflicht um eine externe Rechenschaftspflicht und stärkt zugleich das Vertrauen von Betroffenen und der Öffentlichkeit in den Einsatz von Hochrisiko-KI-Systemen.

Noch offen ist allerdings, welche Behörde in Deutschland (bzw. den Mitgliedstaaten) konkret als Marktüberwachungsbehörde fungieren wird und wie deren Aufgaben organisatorisch ausgestaltet sind. Diese Unklarheit betrifft auch die praktische Ausgestaltung der Mitteilungspflichten, etwa ob ein nationales KI-Amt, bestehende Datenschutzaufsichtsbehörden oder neue Institutionen diese Funktion übernehmen werden. Bis zur finalen Festlegung bleibt daher für Unternehmen eine gewisse Rechtsunsicherheit, wie genau das Übermittlungsverfahren künftig aussieht.

Leitfaden für die Grundrechte-Folgenabschätzung

Der nachstehende Leitfaden dient als Muster für eine Grundrechte-Folgenabschätzung. Bitte beachten Sie, dass die inhaltliche Tiefe vorhanden sein muss, damit wirksam die Risiken beurteilt werden und Abhilfemaßnahmen definiert werden.

GRFA und DSFA im Vergleich

Die Grundrechte-Folgenabschätzung (GRFA) nach der KI-VO und die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO verfolgen ähnliche methodische Ansätze, unterscheiden sich aber im Regelungsgegenstand: Während die DSFA ausschließlich auf den Schutz personenbezogener Daten und die Einhaltung der DSGVO abzielt, geht die GRFA darüber hinaus und umfasst sämtliche durch den Einsatz von Hochrisiko-KI-Systemen berührten Grundrechte (z. B. Nichtdiskriminierung, Meinungsfreiheit, Recht auf ein faires Verfahren). Synergien bestehen insbesondere bei der Beschreibung des Systems, der Zwecke, der Verarbeitungskontexte, der betroffenen Personengruppen und der Risikobewertungsmethoden – diese Inhalte können in beiden Assessments deckungsgleich genutzt werden. Auch technische und organisatorische Schutzmaßnahmen (z. B. Logging, Zugriffskontrollen, menschliche Aufsicht) sind sowohl für die DSFA als auch für die GRFA relevant. Um doppelte Arbeit zu vermeiden, empfiehlt es sich daher, eine integrierte Vorgehensweise zu wählen: Die DSFA liefert die datenschutzrechtliche Tiefenschärfe, die GRFA ergänzt sie um grundrechtliche Breite. So können Unternehmen ein konsistentes Risikobewertungsdokument erstellen, das beide Pflichten abdeckt und sowohl Aufsichtsbehörden als auch internen Compliance-Anforderungen dient. Hier erfahren Sie mehr über die Synergien zwischen der DSGVO und der KI-VO.

Fazit

Die Grundrechte-Folgenabschätzung (GRFA) wird für Unternehmen zum entscheidenden Prüfstein beim Einsatz von Hochrisiko-KI: Sie zwingt dazu, mögliche Eingriffe in Grundrechte frühzeitig zu erkennen, abzusichern und transparent zu dokumentieren. Damit entsteht nicht nur eine zusätzliche Pflicht, sondern auch die Chance, Vertrauen bei Kunden und Aufsichtsbehörden aufzubauen. Klar ist: Die GRFA greift erst nach einer Risikoklassifizierung – also nur, wenn ein System tatsächlich als Hochrisiko-KI eingestuft wird – und sie muss vor der ersten Nutzung durchgeführt werden.

Noch unklar bleibt, welche Behörde in Deutschland künftig als Marktüberwachungsbehörde fungieren wird. Unternehmen sollten diese Entwicklung eng verfolgen, um rechtzeitig ihre Prozesse an die neuen Anforderungen der KI-VO anzupassen.