Article 27 der Verordnung (EU) 2024/1689 — Grundrechte-Folgenabschätzung für Hochrisiko-KI-Systeme. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.
Zusammenfassung des offiziellen Textes
Article 27 der Verordnung (EU) 2024/1689 begründet die Pflicht für bestimmte Betreiber von Hochrisiko-KI-Systemen, vor der Inbetriebnahme solcher Systeme eine Grundrechte-Folgenabschätzung (FRIA) durchzuführen. Die Pflicht gilt für Betreiber, die öffentlich-rechtliche Körperschaften im Sinne der Richtlinie 2014/24/EU sind, sowie für Betreiber, die private Einrichtungen sind, die Dienste öffentlicher Art erbringen — insbesondere in den Bereichen Bankwesen, Versicherung, Gesundheitsversorgung, Bildung und Berufsausbildung, Beschäftigung und Arbeitnehmerverwaltung sowie Verwaltung kritischer Infrastrukturen.
Die Abschätzung muss vor der Inbetriebnahme durchgeführt werden und folgende Elemente umfassen: eine Beschreibung der Prozesse des Betreibers, in denen das Hochrisiko-KI-System eingesetzt werden soll, und deren Zweck; die Kategorien der wahrscheinlich betroffenen natürlichen Personen und Gruppen; die spezifischen Grundrechtsrisiken, die sich aus der Nutzung ergeben können; die konkreten Maßnahmen, die der Betreiber zur Minderung dieser Risiken zu ergreifen beabsichtigt; einen Hinweis darauf, ob Beschwerde- oder Rechtsbehelfsverfahren bestehen; sowie gegebenenfalls eine Beschreibung der Auswirkungen auf Kinder.
Von der Pflicht betroffene Betreiber müssen außerdem die zuständige Marktüberwachungsbehörde vor dem Einsatz bestimmter in Annex III aufgeführter Kategorien von Hochrisiko-KI-Systemen benachrichtigen. Die Abschätzung muss auf den vom Anbieter gemäß Article 13 bereitgestellten Informationen beruhen und dokumentiert und für die zuständigen Behörden verfügbar gehalten werden.
Bedeutung für die Praxis
Für Organisationen im Anwendungsbereich verlangt Article 27 einen strukturierten, dokumentierten Prozess, bevor ein Hochrisiko-KI-System in Betrieb geht. Es handelt sich nicht um eine einmalige Formalität — die FRIA muss den tatsächlichen Einsatzkontext widerspiegeln und überarbeitet werden, wenn sich dieser Kontext wesentlich ändert.
Ein öffentliches Krankenhaus, das ein KI-gestütztes Diagnose- oder Triagesystem einsetzt, muss bewerten, welche Patientengruppen unverhältnismäßig stark betroffen sein könnten, welche Rechte auf dem Spiel stehen (Würde, Nichtdiskriminierung, Zugang zur Gesundheitsversorgung) und welche Schutzmaßnahmen bestehen, wenn das System fehlerhafte Empfehlungen produziert. Eine kommunale Behörde, die ein KI-System für die Überprüfung von Leistungsansprüchen einsetzt, muss Risiken für das Recht auf sozialen Schutz und ein faires Verfahren ermitteln und dokumentieren, wie die menschliche Aufsicht in der Praxis funktioniert.
Private Einrichtungen, die öffentlich zugängliche Finanzdienstleistungen anbieten — wie Kreditscoring- oder Versicherungsannahme-Plattformen — fallen in den Anwendungsbereich, wenn sie als Betreiber von Hochrisikosystemen gemäß Annex III einzustufen sind. Ein Fintech-Unternehmen, das ein KI-Modell zur Bewertung von Kreditanträgen einsetzt, muss die demographischen Gruppen abbilden, die algorithmischen Entscheidungen ausgesetzt sind, das Risiko diskriminierender Ergebnisse bewerten und einen dokumentierten Rechtsbehelfsweg einrichten.
In der Praxis sollten Betreiber die FRIA in ihre bestehenden Arbeitsabläufe zur Datenschutz-Folgenabschätzung (DSFA) gemäß der DSGVO integrieren, wo dies relevant ist, da Article 27(4) ausdrücklich gestattet, beide Abschätzungen gemeinsam durchzuführen. Organisationen sollten einen verantwortlichen Eigentümer für die Abschätzung benennen, die technische Dokumentation und Gebrauchsanweisungen des Anbieters als Grundlage nutzen und einen versionierten Nachweis erstellen, der den Aufsichtsbehörden auf Anfrage vorgelegt werden kann.
Wesentliche Pflichten
- Vor der Inbetriebnahme eines Hochrisiko-KI-Systems im Anwendungsbereich des Betreibers eine Grundrechte-Folgenabschätzung durchführen, die den bestimmungsgemäßen Verwendungszweck, betroffene Personen, erkannte Risiken und geplante Minderungsmaßnahmen umfasst.
- Die Abschätzung schriftlich dokumentieren und für die Einsichtnahme durch zuständige Behörden und Marktüberwachungsbehörden auf Anfrage aufbewahren.
- Die zuständige Marktüberwachungsbehörde vor der Inbetriebnahme benachrichtigen, wenn dies für die betreffende Kategorie von Hochrisiko-KI-Systemen gemäß Annex III erforderlich ist.
- Die vom Anbieter des KI-Systems gemäß Article 13 bereitgestellten Informationen und Gebrauchsanweisungen als verbindliche Grundlage für die Abschätzung nutzen.
- Die Abschätzung aktualisieren, wenn sich der Einsatzkontext wesentlich ändert, einschließlich Änderungen in den Kategorien der betroffenen Personen, dem Verwendungszweck oder dem Risikoprofil des Systems.
- Wo eine Datenschutz-Folgenabschätzung gemäß Article 35 DSGVO ebenfalls erforderlich ist, können beide Abschätzungen gemeinsam durchgeführt werden, um den Verwaltungsaufwand zu reduzieren, sofern alle Elemente beider Abschätzungen abgedeckt sind.
Verhältnis zu anderen Artikeln
Article 27 befindet sich in Kapitel 3 des Titels III, das die Pflichten zwischen Anbietern und Betreibern verteilt. Er ist zusammen mit Article 26 (allgemeine Betreiberpflichten) zu lesen, der die übergeordnete Pflicht der Betreiber begründet, Hochrisikosysteme gemäß den Anweisungen des Anbieters zu nutzen und eine menschliche Aufsicht einzurichten. Die FRIA stützt sich unmittelbar auf die Informationen, die der Anbieter gemäß Article 13 (Transparenz und Bereitstellung von Informationen für Betreiber) und Article 16(d) (Anbieterpflicht zur Erstellung technischer Dokumentation) bereitstellen muss.
Article 27(4) schafft eine direkte Verfahrensverbindung zur DSGVO: Wenn eine DSFA gemäß Article 35 der Verordnung (EU) 2016/679 ebenfalls erforderlich ist, können beide Abschätzungen zusammengeführt werden. Diese Verbindung ist besonders relevant für Betreiber, die personenbezogene Daten verarbeiten, was in den meisten regulierten Kontexten nach Annex III der Fall sein wird.
Article 27 steht auch im Zusammenhang mit Article 72 (Marktüberwachung) und Article 74 (Datenzugang), da die abgeschlossene Abschätzung für zuständige Behörden, die Aufsichtsfunktionen ausüben, verfügbar sein muss.
Zeitplan für die Compliance
Der EU AI Act trat am 1. August 2024 in Kraft (zwanzig Tage nach der Veröffentlichung im Amtsblatt am 12. Juli 2024). Seine Bestimmungen gelten stufenweise:
- 2. Februar 2025 — Verbote für KI-Praktiken mit unannehmbarem Risiko (Article 5) wurden anwendbar.
- 2. August 2025 — Pflichten für Allzweck-KI-Modelle (Titel VIII, Kapitel 2) und Governance-Bestimmungen wurden anwendbar.
- 2. Dezember 2026 — Pflichten für in Annex I aufgeführte Hochrisiko-KI-Systeme (Produktsicherheitsgesetzgebung) werden anwendbar.
- 2. August 2027 — Pflichten für in Annex III aufgeführte Hochrisiko-KI-Systeme (eigenständige Hochrisikosysteme, einschließlich derjenigen, die am wahrscheinlichsten Article 27-FRIAs in Bereichen wie Beschäftigung, Bildung, biometrische Identifizierung und Zugang zu öffentlichen Diensten auslösen) werden anwendbar.
Article 27 fällt in den Rahmen der Hochrisiko-Betreiberpflichten und wird daher für Annex-III-Systeme am 2. August 2027 und für Annex-I-Systeme am 2. Dezember 2026 durchsetzbar. Betreiber sollten nicht bis zu diesen Stichtagen warten: Der frühzeitige Aufbau von FRIA-Prozessen ermöglicht es Organisationen, Grundrechtsrisiken vor Beginn der Durchsetzung zu erkennen und zu beheben und die Abschätzungen mit laufenden DSGVO-DSFA-Programmen abzustimmen.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Article 27 gilt ausdrücklich für Betreiber von Hochrisiko-KI-Systemen, die öffentlich-rechtliche Körperschaften sind, oder private Einrichtungen, die öffentliche Dienste erbringen, beispielsweise in den Bereichen Bank- und Versicherungswesen, Gesundheitsversorgung oder Bildung. Nicht alle Betreiber fallen darunter — private Unternehmen, die rein im kommerziellen Kontext ohne öffentliche Dimension tätig sind, liegen in der Regel außerhalb des Anwendungsbereichs dieser spezifischen Pflicht, unterliegen jedoch weiterhin anderen Betreiberpflichten gemäß dem AI Act.
Die Abschätzung muss vor der Inbetriebnahme des Hochrisiko-KI-Systems durchgeführt werden. Es handelt sich um eine Vorab-Pflicht, d. h. der Betreiber muss die Abschätzung vor Inbetriebnahme des Systems durchführen und dokumentieren. Sie sollte aktualisiert werden, wenn sich der Einsatzkontext oder die Nutzung des Systems wesentlich ändert.
Die Konformitätsbewertung gemäß Article 43 wird vom Anbieter oder in seinem Auftrag durchgeführt, um sicherzustellen, dass das KI-System die technischen Anforderungen von Kapitel 2 vor der Markteinführung erfüllt. Die FRIA gemäß Article 27 wird vom Betreiber durchgeführt, um die konkreten Auswirkungen auf die Grundrechte im spezifischen Einsatzkontext zu bewerten. Sie ergänzen sich gegenseitig: Die Konformitätsbewertung befasst sich mit der inhärenten Konformität des Systems, während die FRIA die realen Auswirkungen auf Einzelpersonen in einem bestimmten Anwendungsfall bewertet.
Article 27 schreibt keine externe Prüfung explizit vor. Die Abschätzung kann intern vom Betreiber durchgeführt werden. Betreiber müssen jedoch in bestimmten Fällen die zuständige Marktüberwachungsbehörde vor der Inbetriebnahme benachrichtigen, und die dokumentierte Abschätzung muss den zuständigen Behörden auf Anfrage zur Verfügung gestellt werden. Die Einbeziehung externer Expertise gilt insbesondere in komplexen oder sensiblen Einsatzkontexten als bewährte Praxis.
Betreiber müssen die vom Anbieter gemäß Article 13 (Transparenz und Bereitstellung von Informationen) und den Gebrauchsanweisungen zur Verfügung gestellten Informationen nutzen. Anbieter sind verpflichtet, ausreichende Informationen über den bestimmungsgemäßen Verwendungszweck, die Leistungsfähigkeit, die Einschränkungen und die Risiken des Systems bereitzustellen, damit Betreiber eine aussagekräftige Bewertung der Auswirkungen auf die Grundrechte durchführen können.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.