Grundrechte-Folgenabschätzung (Art. 27 KI-Verordnung)
Eine Grundrechte-Folgenabschätzung nach Art. 27 KI-Verordnung brauchen Behörden, Einrichtungen des öffentlichen Rechts und private Einrichtungen mit öffentlichen Aufgaben, bevor sie ein Hochrisiko-KI-System nach Anhang III einsetzen; dazu Banken und Versicherer für Kredit- und Tarifentscheidungen. Für allgemeine KI-Assistenten ist sie nicht vorgeschrieben. Die Pflicht gilt ab dem 2. Dezember 2027. Eine vorhandene Datenschutz-Folgenabschätzung darf einbezogen werden.
Wer muss eine Grundrechte-Folgenabschätzung machen?
Art. 27 Abs. 1 KI-Verordnung verpflichtet Betreiber eines Hochrisiko-KI-Systems nach Art. 6 Abs. 2 (Anhang III), und zwar:
- Einrichtungen des öffentlichen Rechts, etwa Kommunen, Landesbehörden, Körperschaften wie Kassen oder Kammern,
- private Einrichtungen, die öffentliche Dienste erbringen, nach den Erwägungsgründen etwa in Bildung, Gesundheit, Sozialdiensten oder Wohnungswesen,
- Betreiber von Systemen nach Anhang III Nr. 5 Buchst. b und c: Kreditwürdigkeit und Preise für Lebens- und Krankenversicherungen.
Ausgenommen sind Systeme der kritischen Infrastruktur (Anhang III Nr. 2). Die englische Abkürzung lautet FRIA (Fundamental Rights Impact Assessment).
Ab wann gilt die Pflicht?
Art. 27 gehört zu den Hochrisiko-Pflichten in Kapitel III. Nach der Änderung durch die Verordnung (EU) 2026/1744 gelten sie für Systeme nach Anhang III ab dem 2. Dezember 2027. Behörden, die ein solches System schon vorher im Einsatz haben, müssen es spätestens bis zum 2. August 2030 an die Verordnung anpassen (Art. 111 Abs. 2).
Was gehört hinein?
Art. 27 Abs. 1 nennt sechs Punkte:
| Punkt | Inhalt |
|---|---|
| a | Beschreibung der Abläufe, in denen das System gemäß seinem Zweck eingesetzt wird |
| b | Zeitraum und Häufigkeit der Verwendung |
| c | Gruppen von Personen, die betroffen sein können |
| d | konkrete Risiken für diese Gruppen, mit den Informationen des Anbieters nach Art. 13 |
| e | wie die menschliche Aufsicht nach Gebrauchsanweisung umgesetzt wird |
| f | Maßnahmen, wenn Risiken eintreten, einschließlich interner Zuständigkeiten und Beschwerdewegen |
Das Ergebnis teilen Sie der Marktüberwachungsbehörde mit (Abs. 3), in Deutschland in der Regel der Bundesnetzagentur. Das Büro für Künstliche Intelligenz der Kommission stellt dafür einen Fragebogen bereit, nach dem Digital-Omnibus ausdrücklich auch als automatisiertes Werkzeug (Abs. 5).
Wie hängt sie mit der DSFA zusammen?
Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO prüft Risiken der Datenverarbeitung, die Grundrechte-Folgenabschätzung alle Grundrechte: Gleichbehandlung, Zugang zu Leistungen, Menschenwürde, wirksamer Rechtsbehelf. Beide überschneiden sich. Seit dem Digital-Omnibus dürfen Sie in der Grundrechte-Folgenabschätzung auf eine vorhandene DSFA verweisen oder Teile daraus übernehmen (Art. 27 Abs. 4). Praktisch heißt das: ein Dokument mit zwei Teilen, gemeinsam gepflegt von Datenschutz und Fachbereich. Mehr zur DSFA im Ratgeber DSFA für KI.
Wie bereiten Sie sich vor?
- Einsätze sortieren: Welche KI-Anwendungen fallen unter Anhang III, welche nicht? Hilfe: Hochrisiko-KI erkennen.
- Anbieter fragen: Die Gebrauchsanweisung nach Art. 13 liefert die Grundlage für Punkt d und e.
- Betroffene einbeziehen: Fachbereich, Datenschutz, Gleichstellung, Personal- oder Betriebsrat, wo passend auch Beiräte.
- Aufsicht und Beschwerdeweg festlegen: Wer prüft Ergebnisse, wer kann widersprechen, wie wird nachgesteuert?
Wie geht das mit basebox?
basebox ist eine Plattform, kein Hochrisikosystem. Für allgemeine Aufgaben wie Entwürfe, Zusammenfassungen und Fragen an Dokumente ist deshalb keine Grundrechte-Folgenabschätzung vorgeschrieben. Für die Datenschutz-Folgenabschätzung gibt es auf Sicherheit Vorlagen für Cloud und Server, nach Art. 35 DSGVO und dem Standard-Datenschutzmodell gegliedert; die Angaben zu basebox sind schon ausgefüllt.
Keine Rechtsberatung: Stand 11. Oktober 2026. Der Fragebogen der Kommission und die Leitlinien zur Einstufung von Hochrisiko-KI können die Anforderungen noch konkretisieren.
Häufige Fragen
Brauchen wir eine Grundrechte-Folgenabschätzung für einen KI-Assistenten, der Texte entwirft?
Nein, solange der Einsatz nicht unter Anhang III fällt. Art. 27 knüpft an Hochrisiko-Systeme an. Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO kann trotzdem nötig sein, etwa bei Gesundheits- oder Sozialdaten.
Gilt die Pflicht auch für kritische Infrastruktur?
Nein. Systeme nach Anhang III Nr. 2 (kritische Infrastruktur) sind von Art. 27 ausdrücklich ausgenommen.
Muss die Folgenabschätzung bei jedem Einsatz neu gemacht werden?
Nein. Sie gilt für die erste Verwendung. In ähnlichen Fällen dürfen Sie auf eine frühere Abschätzung oder auf eine des Anbieters zurückgreifen. Ändert sich ein Punkt, aktualisieren Sie sie.
Quellen
Dieser Artikel wurde mit Unterstützung von KI erstellt, auf Grundlage der genannten Quellen. Verantwortlich für den Inhalt: basebox GmbH. Keine Rechtsberatung, keine Haftung. Stand der Recherche: 11. Oktober 2026.