Wer ist von Art. 27 betroffen?
Art. 27 AI Act richtet sich nicht an alle Betreiber von Hochrisiko-KI-Systemen. Die Pflicht zur Grundrechte-Folgenabschätzung (GRFA) trifft laut Art. 27 Abs. 1 konkret:
- Einrichtungen des öffentlichen Rechts,
- private Einrichtungen, die öffentliche Dienste erbringen, und
- Betreiber von Hochrisiko-KI-Systemen nach Anhang III Nummer 5 Buchstaben b und c (das betrifft bestimmte Systeme im Bereich Kreditwürdigkeitsprüfung und Risikobewertung/Preisbildung bei Versicherungen).
Ausgenommen sind Hochrisiko-KI-Systeme aus Anhang III Nummer 2 (kritische Infrastruktur). Wenn Sie also eine Behörde, ein Unternehmen mit öffentlichem Dienstleistungsauftrag oder ein Betreiber im Finanz- bzw. Versicherungskontext sind, sollten Sie prüfen, ob Ihr System in den Anwendungsbereich fällt – unabhängig davon, ob Sie Anbieter oder reiner Betreiber sind. Die Pflicht adressiert ausdrücklich Betreiber, nicht Anbieter.
Was die Folgenabschätzung enthalten muss
Art. 27 Abs. 1 listet sechs Pflichtbestandteile auf, die in der Abschätzung enthalten sein müssen:
- eine Beschreibung der Verfahren, in denen das System zweckgemäß verwendet wird (Buchst. a),
- Zeitraum und Häufigkeit der Nutzung (Buchst. b),
- die Kategorien betroffener natürlicher Personen bzw. Personengruppen (Buchst. c),
- die spezifischen Schadensrisiken für diese Gruppen, unter Berücksichtigung der Anbieterinformationen nach Art. 13 (Buchst. d),
- die Umsetzung menschlicher Aufsichtsmaßnahmen gemäß Betriebsanleitung (Buchst. e), und
- Maßnahmen bei Risikoeintritt, einschließlich interner Governance und Beschwerdemechanismen (Buchst. f).
Praktisch heißt das: Eine GRFA ist kein Freitext-Dokument, sondern muss diese sechs Elemente nachweisbar abdecken. Insbesondere Buchstabe d verlangt einen Rückgriff auf die vom Anbieter bereitgestellten Informationen nach Art. 13 – ohne belastbare technische Dokumentation des Anbieters lässt sich diese Anforderung kaum seriös erfüllen. Das ist häufig die erste Lücke: Betreiber besitzen die relevanten Anbieterunterlagen nicht in ausreichender Tiefe.
Zeitpunkt, Aktualisierung und Meldung
Die Pflicht entsteht laut Art. 27 Abs. 2 bei der ersten Verwendung eines Hochrisiko-KI-Systems – nicht bei jeder einzelnen Nutzung. Der Betreiber kann sich dabei auf frühere eigene Abschätzungen in ähnlichen Fällen oder auf bereits vorhandene Folgenabschätzungen des Anbieters stützen. Das entlastet insbesondere Organisationen, die mehrere vergleichbare Systeme desselben Anbieters einsetzen.
Wichtig ist die Aktualisierungspflicht: Stellt der Betreiber fest, dass sich eines der in Abs. 1 genannten Elemente geändert hat oder nicht mehr aktuell ist, muss er die Informationen aktualisieren (Art. 27 Abs. 2 Satz 3). Das ist kein einmaliges Dokument, sondern ein lebender Prozess, der an Änderungen im Einsatzkontext, der Nutzerzahl oder der Zweckbestimmung gekoppelt ist.
Nach Durchführung der Abschätzung teilt der Betreiber der Marktüberwachungsbehörde die Ergebnisse mit – über ein noch zu entwickelndes Muster, das laut Art. 27 Abs. 5 vom Büro für Künstliche Intelligenz ausgearbeitet wird (Art. 27 Abs. 3). Im Fall von Art. 46 Abs. 1 kann eine Befreiung von dieser Mitteilungspflicht bestehen.
Verhältnis zur DSGVO-Folgenabschätzung
Art. 27 Abs. 4 stellt klar: Wurde bereits eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO oder Art. 27 der Richtlinie (EU) 2016/680 durchgeführt und deckt diese eine der Pflichten aus Art. 27 AI Act ab, ergänzt die GRFA lediglich die DSFA. Es entsteht also kein doppeltes Dokument von Null, sondern eine Ergänzung.
In der Praxis bedeutet das: Wer bereits eine DSFA für ein KI-gestütztes Verfahren vorliegen hat, sollte prüfen, welche der sechs GRFA-Elemente dort schon abgedeckt sind – typischerweise Betroffenenkategorien und Risikobeschreibungen –, und gezielt die Lücken schließen, etwa bei menschlicher Aufsicht oder Beschwerdemechanismen. Eine unreflektierte Neuerstellung führt zu unnötigem Aufwand und Inkonsistenzen zwischen beiden Dokumenten.
Typische Lücken in der Praxis
Drei Muster zeigen sich wiederholt: Erstens fehlt der Rückgriff auf Art.-13-Informationen des Anbieters, weil diese schlicht nicht angefordert wurden. Zweitens wird die GRFA als einmaliges Projekt behandelt, ohne einen Trigger-Prozess für Aktualisierungen bei Änderungen der Nutzung oder Zielgruppe. Drittens fehlt die Verzahnung mit vorhandenen DSFA-Dokumenten, sodass Beschwerdemechanismen und Governance-Maßnahmen doppelt oder gar nicht dokumentiert werden.
Wenn Sie unsicher sind, ob Ihr Unternehmen unter Art. 27 fällt und welche Dokumentationspflichten konkret greifen, hilft Ihnen unser kostenloser Risiko-Check unter /einstufung, Ihre Einstufung nach dem AI Act strukturiert zu klären.