FRIA (Fundamental Rights Impact Assessment)

Die FRIA ergänzt die Anbieterpflichten der KI-Verordnung um eine Bewertung auf Betreiberseite. Sie betrachtet nicht das System an sich, sondern den konkreten Einsatzkontext.

Wer sie durchführen muss

Verpflichtet sind Betreiber von Hochrisiko-KI-Systemen nach Anhang III, die Einrichtungen des öffentlichen Rechts sind oder private Einrichtungen, die öffentliche Dienste erbringen. Hinzu kommen Betreiber, die KI-Systeme zur Bonitätsprüfung natürlicher Personen oder zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung einsetzen. Systeme zur Steuerung kritischer Infrastruktur sind ausgenommen.

Inhalt

Zu beschreiben sind die Prozesse, in denen das System eingesetzt wird, Zeitraum und Häufigkeit der Nutzung, die betroffenen Personengruppen, die spezifischen Schadensrisiken für diese Gruppen, die Maßnahmen der menschlichen Aufsicht sowie Governance- und Beschwerdemechanismen für den Fall, dass sich Risiken verwirklichen.

Verhältnis zur DSFA

Besteht bereits eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO, ergänzt die FRIA diese. Das Ergebnis ist der Marktaufsichtsbehörde über ein von der Kommission bereitgestelltes Formular zu übermitteln.