Wann braucht KI eine Grundrechte-Folgenabschätzung?

Das Problem

In Ihrer Gemeinde, Schule oder Firma soll eine KI Entscheide vorbereiten, die Menschen direkt betreffen: Wer erhält einen Platz, eine Leistung, einen Kredit? Jemand fragt: «Müssen wir nicht prüfen, wie sich das auf die Grundrechte der Betroffenen auswirkt?» Ein anderer erwidert: «Wir machen schon eine Datenschutz-Folgenabschätzung.» Sind das zwei Namen für dasselbe?

Nein. Die Datenschutz-Folgenabschätzung betrachtet Risiken für die Persönlichkeit und die Daten von Menschen. Die Grundrechte-Folgenabschätzung, im EU-Recht oft «FRIA» genannt, schaut breiter: Sie fragt, ob ein System etwa Diskriminierung, Zugang zu wichtigen Leistungen, Meinungsfreiheit oder Menschenwürde berühren könnte.

Der EU AI Act schreibt eine solche Prüfung nur für bestimmte Betreiber vor. Diese Seite erklärt, wann das der Fall ist, was dazugehört und wie Sie auch ohne Pflicht davon profitieren. Sie ersetzt keine Rechtsberatung, und Anwendungstermine wurden 2026 angepasst.

So lösen Sie es mit KI – Schritt für Schritt

1. Hochrisiko prüfen: Die Pflicht knüpft an Hochrisiko-Systeme an. Klären Sie zuerst, ob Ihr System dazugehört. Siehe Wann gilt eine KI als Hochrisiko-System?.
2. Betreiberart bestimmen: Nach dem Gesetzestext gilt die Pflicht für Betreiber, die öffentliche Stellen sind oder private Stellen, die öffentliche Dienste erbringen, sowie für Betreiber bestimmter Systeme zur Kreditwürdigkeit und zur Risikobewertung bei Lebens- und Krankenversicherung. Prüfen Sie, ob Sie dazugehören.
3. EU-Bezug klären: Gilt der AI Act für Sie? Siehe EU AI Act und die Schweiz.
4. Beschreiben, wie das System eingesetzt wird: Zweck, Abläufe, Häufigkeit und Dauer der Nutzung.
5. Betroffene benennen: Welche Personen oder Gruppen sind betroffen, auch indirekt? Gibt es besonders verletzliche Gruppen?
6. Risiken für Grundrechte sammeln: Wo könnten Schäden entstehen, etwa durch Benachteiligung, Fehlentscheide oder fehlenden Zugang zu Leistungen?
7. Massnahmen festlegen: Welche menschliche Aufsicht, Beschwerdewege und Korrekturen gibt es? Was geschieht, wenn Risiken eintreten?
8. Ergebnis dokumentieren und prüfen lassen: Halten Sie die Prüfung schriftlich fest. Lassen Sie sie von einer Fachperson gegenlesen und aktualisieren Sie sie bei Änderungen. Ob und wem das Ergebnis zu melden ist, klären Sie fachlich.

Vorlage zum Kopieren

Mit diesem Auftrag gliedern Sie eine freiwillige oder vorbereitende Auswirkungsprüfung. Sie liefert ein Raster, keine rechtliche Beurteilung:

Wir sind [Organisation, Art, Ort] und planen den Einsatz des KI-Systems [Name] für [Zweck] mit Auswirkungen auf [betroffene Personen, z. B. Gesuchstellende].
Erstelle ein Raster für eine Prüfung der Auswirkungen auf Grundrechte mit den Abschnitten: 1. Beschreibung des Einsatzes (Ablauf, Häufigkeit, Dauer), 2. Betroffene Personen und Gruppen, 3. Mögliche Risiken (Benachteiligung, Fehlentscheide, Zugang zu Leistungen, Privatsphäre), 4. Menschliche Aufsicht und Beschwerdewege, 5. Massnahmen bei Eintritt von Risiken, 6. Offene Punkte für die Fachprüfung.
Gib bei jedem Abschnitt drei Leitfragen. Erfinde keine Rechtsgrundlagen und nenne keine Pflichten als sicher.

Ersetzen Sie die Angaben. Füllen Sie das Raster mit den Fachleuten Ihres Hauses aus.

Worauf Sie achten müssen

• Nur für bestimmte Betreiber: Die gesetzliche Pflicht betrifft nicht jeden. Prüfen Sie Ihre Rolle genau und lassen Sie Zweifelsfälle klären.
• Nicht dasselbe wie DSFA: Die Datenschutz-Folgenabschätzung hat einen anderen Fokus. Sie können Teile der Arbeit verwenden. Siehe Datenschutz-Folgenabschätzung und DSFA-Vorlage.
• Schweizer Recht: Das Schweizer Datenschutzgesetz kennt eine Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko für die Persönlichkeit. Eine Grundrechte-Folgenabschätzung nach AI Act ist ein EU-Instrument.
• Aktuelle Fristen: Die Anwendungstermine wurden 2026 angepasst. Prüfen Sie den Stand, siehe Ab wann gelten welche Pflichten?.
• Beteiligung: Beziehen Sie, wo möglich, Betroffene oder ihre Vertretungen ein. Ihre Sicht zeigt Risiken, die Fachleute übersehen.
• Aktualisierung: Ändern sich System oder Einsatz, muss die Prüfung angepasst werden.

Auch ohne Pflicht sinnvoll: Wenn Sie KI bei Entscheiden über Menschen einsetzen, lohnt sich eine kurze Auswirkungsprüfung freiwillig. Sie zwingt dazu, Betroffene zu benennen, Beschwerdewege zu schaffen und die menschliche Aufsicht zu klären. Beginnen Sie mit zwei Seiten: Was tut das System, wen betrifft es, was könnte schiefgehen, wer prüft, wie können sich Betroffene wehren? Wiederholen Sie die Prüfung jährlich und bei wesentlichen Änderungen. Das stärkt das Vertrauen von Kundschaft, Mitarbeitenden und Behörden und hilft, spätere Auflagen leichter zu erfüllen.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Eine Gemeinde im Kanton Aargau prüft, ob ein KI-Werkzeug Gesuche um Gebührenerlass vorsortieren soll. Die Gemeinde hat Kontakt mit einer EU-Partnerstadt und fragt sich, ob für sie EU-Regeln relevant sind.

Vorher: Der Gemeindeschreiber hat den Datenschutz im Blick, aber nicht, ob jemand durch Sortierfehler vom Erlass ausgeschlossen werden könnte.

Nachher: Mit dem Raster beschreibt das Team Ablauf, Betroffene und Risiken. Es legt fest, dass jede Ablehnung von einer Person geprüft wird, dass Betroffene einen klaren Beschwerdeweg erhalten und dass die Sortierung auf Auffälligkeiten bei Gruppen kontrolliert wird. Die rechtliche Einstufung klärt die Gemeinde mit einer Fachperson, die Prüfung wird jährlich wiederholt.

So hilft Ihnen Alpasana

Damit Ihr Team Auswirkungen von KI auf Menschen sorgfältig prüfen kann, bietet absofort die KI-Weiterbildung für Unternehmen. Laut Beschreibung gehören Datenschutz, der verantwortungsbewusste Umgang mit Unternehmensdaten und bei EU-Bezug der EU AI Act zu den Lerninhalten. Es gibt eine Kontaktmöglichkeit für Firmenlösungen und Teambuchungen.

Eine rechtlich verbindliche Folgenabschätzung erstellt das Angebot nicht.

Häufige Fragen

Muss mein KMU eine Grundrechte-Folgenabschätzung machen?

Nach dem Gesetzestext betrifft die Pflicht nur bestimmte Betreiber von Hochrisiko-Systemen. Ob Sie dazugehören, klärt eine Fachperson anhand Ihres Falls.

Ersetzt die Datenschutz-Folgenabschätzung die Grundrechte-Prüfung?

Nein, sie hat einen anderen Fokus. Beide können sich ergänzen, und Teile der Arbeit lassen sich wiederverwenden.

Gilt das auch in der Schweiz?

Nicht direkt. Bei EU-Bezug kann der AI Act relevant werden. Unabhängig davon kennt das Schweizer Datenschutzrecht eine Datenschutz-Folgenabschätzung.

Wer soll die Prüfung durchführen?

Idealerweise ein kleines Team aus Fachbereich, Datenschutz, IT und gegebenenfalls Recht. Beziehen Sie Betroffene ein, soweit möglich.