Eigenständige Prüfung
Die Grundrechte-Folgenabschätzung nach Artikel 27 der KI-Verordnung ist nicht mit der Datenschutz-Folgenabschätzung gleichzusetzen. Datenschutz ist ein wichtiger Teil, die Grundrechteprüfung betrachtet jedoch zusätzlich Diskriminierung, Arbeitsbedingungen, Menschenwürde, Zugang zu Leistungen, Barrierefreiheit, Sicherheit und wirksame Beschwerdemöglichkeiten. Bereits vorhandene Inhalte einer Datenschutz-Folgenabschätzung dürfen einbezogen oder referenziert werden, ersetzen die weitergehende Prüfung aber nicht vollständig.
KI-Governance durch Grundrechtsprüfungen stärken
Gesetzlicher Anwendungsbereich
Die formale Pflicht betrifft bestimmte Betreiber von Hochrisiko-KI-Systemen nach Anhang III. Erfasst sind insbesondere öffentlich-rechtliche Stellen, private Unternehmen, die öffentliche Leistungen erbringen, sowie bestimmte weitere Anwendungsfälle. Für die betroffenen Anhang-III-Systeme beginnt die materielle Anwendung nach der aktuellen Übergangsregelung am 2. Dezember 2027. Andere Organisationen können das Verfahren freiwillig als belastbaren Freigabeschritt nutzen.
|
| Zweck | Ist der KI-Einsatz für die Aufgabe erforderlich und angemessen? |
| Betroffene | Welche Personen und besonders schutzbedürftigen Gruppen sind betroffen? |
| Wirkung | Welche Entscheidungen oder Handlungen beeinflusst das System? |
| Schaden | Welche gesundheitlichen, sozialen oder wirtschaftlichen Nachteile sind möglich? |
| Gleichbehandlung | Können bestimmte Gruppen häufiger benachteiligt werden? |
| Aufsicht | Kann ein Mensch rechtzeitig korrigieren oder eingreifen? |
| Alternative | Gibt es einen gleichwertigen nicht automatisierten Zugang? |
| Beschwerde | Können Betroffene Entscheidungen nachvollziehen und beanstanden? |
| Restrisiko | Ist das verbleibende Risiko vertretbar und freigegeben? |
Betroffene Personengruppen
Im Facility Management können Beschäftigte, Fremdfirmen, Besucher, Mieter, Patienten, Bewohner oder andere Gebäudenutzer betroffen sein. Besondere Aufmerksamkeit benötigen Personen mit Behinderung, Sprachbarrieren oder eingeschränkter digitaler Kompetenz. Die Analyse darf sich nicht auf den durchschnittlichen Nutzer beschränken. Sie muss prüfen, ob einzelne Gruppen häufiger falsch erkannt, von Leistungen ausgeschlossen, übermäßig überwacht oder durch automatisierte Priorisierungen benachteiligt werden könnten.
Konkreter Einsatzkontext
Zu beschreiben sind Prozess, Einsatzdauer, Häufigkeit, betroffene Personen, mögliche Schäden und vorgesehene Aufsichtsmaßnahmen. Bei einer KI-gestützten Zutrittssteuerung sind beispielsweise Fehlverweigerungen, Stigmatisierung und fehlende Alternativwege zu untersuchen. Bei einem Service-Desk-System können falsche Priorisierungen sicherheitsrelevanter Störungen oder Benachteiligungen aufgrund sprachlicher Formulierungen entstehen. Die Bewertung muss sich auf den realen Gebäudebetrieb und nicht nur auf Herstellerangaben beziehen.
Maßnahmen und Entscheidung
Die Folgenabschätzung endet mit konkreten Maßnahmen: Einschränkung des Zwecks, zusätzliche menschliche Prüfung, alternative Zugangswege, bessere Daten, technische Schutzmaßnahmen oder Verzicht auf das System. Auch interne Governance und Beschwerdeverfahren gehören dazu. Ändern sich Verwendungszweck, Personengruppen, Daten oder Wirkungen, wird die Prüfung aktualisiert. Die Freigabeentscheidung und verbleibende Restrisiken sind nachvollziehbar zu dokumentieren.
