DSFA und Grundrechte-Folgenabschätzung: eine Prüfung für eine kommunale KI-Anwendung
Kurz gesagt
Eine Kommune, die KI einsetzt, hat es mit zwei Prüfungen zu tun. Die Datenschutz-Folgenabschätzung ist nach Artikel 35 DSGVO Pflicht bei hohem Risiko für Personen, und das ist bei KI mit personenbezogenen Daten fast immer der Fall. Die Grundrechte-Folgenabschätzung nach Artikel 27 der KI-Verordnung wird ab Dezember 2027 Pflicht für Behörden, die Hochrisiko-KI einsetzen. Erledigen Sie beide als ein Verfahren: dieselben Fakten, zwei Blickwinkel, dazu die Orientierungshilfe der Datenschutzkonferenz.
Zwei Prüfungen, eine Anwendung
| Prüfung | Grundlage | Wann Pflicht | Kernfrage |
|---|---|---|---|
| DSFA | DSGVO Artikel 35 | Bei voraussichtlich hohem Risiko für Personen; die Aufsichtsbehörden führen Muss-Listen | Welche personenbezogenen Daten, welches Risiko, welche Maßnahmen? |
| Grundrechte-Folgenabschätzung | KI-Verordnung Artikel 27 | Für Behörden, die Hochrisiko-KI aus Anhang III einsetzen, ab 2. Dezember 2027 | Welche Grundrechte, welche Gruppen, welche Aufsicht, welche Maßnahmen? |
| DSK-Orientierungshilfe | Datenschutzkonferenz, Mai 2024 | Keine Pflicht, aber der Maßstab der deutschen Aufsicht für Auswahl und Einsatz von KI | Ist die Anwendung datenschutzkonform ausgewählt, eingeführt und genutzt? |
Artikel 27 sagt selbst, dass die Grundrechte-Folgenabschätzung die DSFA ergänzen darf, wo diese bereits überlappt. Die Niederlande haben dafür ihr Instrument IAMA überarbeitet; in Deutschland gibt es noch keine amtliche Vorlage. Siehe Die EU-KI-Verordnung 2026 für die Fristen.
Als ein Verfahren
- Zuerst die Anwendung beschreiben. Zweck, Nutzer, Eingabe, Ausgabe, welche Entscheidung sie beeinflusst, welche Gruppen sie betrifft. Dieser Teil ist für beide gleich.
- Einordnen. Ist es ein KI-System nach der KI-Verordnung, und wenn ja, in welcher Risikoklasse? Ein Assistent für Berichte ist kein Hochrisiko; ein System, das über Leistungen oder Genehmigungen mitentscheidet, schon.
- Personenbezogene Daten. Die DSFA-Fragen: Rechtsgrundlage, Erforderlichkeit, Minimierung, Speicherdauer, Auftragsverarbeiter, Drittlandübermittlung. Bei einem öffentlichen KI-Dienst scheitert es meist schon an Übermittlung und Zweckbindung.
- Grundrechte. Gleichbehandlung, Privatsphäre, faires Verfahren, Zugang zu Leistungen. Welche Gruppen werden anders getroffen, und wie testen Sie das? Siehe Algorithmen auf Diskriminierung prüfen.
- Maßnahmen und Aufsicht. Menschliche Kontrolle, Protokollierung, Beschwerdeweg, Evaluationstermin. Festhalten, wer verantwortlich ist.
- Veröffentlichen. Die Anwendung in einem Algorithmenregister eintragen, mit Verweis auf die Prüfung. Siehe Das Algorithmenregister füllen.
Häufige Fehler
- Die Prüfung nach der Beschaffung. Dann ist jedes Risiko zum Problem des Anbieters geworden. Prüfen Sie in der Vergabe.
- Einmal und fertig. Ein neues Modell oder eine neue Quelle ist eine neue Prüfung. Planen Sie eine jährliche Überprüfung.
- Das Modell statt der Anwendung prüfen. Dasselbe Modell ist geringes Risiko für Protokolle und Hochrisiko für eine Entscheidung über Sozialleistungen.
- Keine Betroffenen gehört. Ein Beirat, der Behindertenbeauftragte oder die Bürgerbeauftragte liefern oft die schärfsten Fragen.
Wie werqly dazu passt
Eine eigene Umgebung macht die DSFA kürzer: keine Drittlandübermittlung, kein Anbieter, der Modelle mit Ihren Daten trainiert, Zugriff pro Rolle und ein Audit-Log, das die Maßnahmen nachweisbar macht. Für die Grundrechte-Folgenabschätzung liefert werqly AI Control die Fakten: welche Modelle, welche Quellen, welche Rollen, welche Nutzung. Siehe KI für Kommunen.
Häufige Fragen
Fragen zu diesem Thema
Ist eine DSFA für jede KI-Anwendung Pflicht?
Bei voraussichtlich hohem Risiko für Personen ja, und mit personenbezogenen Daten in KI ist das fast immer der Fall. Die Aufsichtsbehörden führen Listen von Verarbeitungen, für die eine DSFA immer erforderlich ist.
Was ist der Unterschied zwischen DSFA und Grundrechte-Folgenabschätzung?
Die DSFA betrachtet Risiken für personenbezogene Daten. Die Grundrechte-Folgenabschätzung nach Artikel 27 betrachtet alle Grundrechte, etwa Gleichbehandlung und faires Verfahren, und ist eine gesetzliche Pflicht für Behörden, die Hochrisiko-KI einsetzen. Beide dürfen zusammengeführt werden.
Ab wann gilt Artikel 27?
Für Hochrisiko-KI aus Anhang III ab dem 2. Dezember 2027, nach der Verschiebung durch den Digital Omnibus. Die Prüfung muss vor der ersten Nutzung abgeschlossen sein.
Braucht ein Textassistent für Protokolle auch eine Grundrechte-Folgenabschätzung?
Eine DSFA ja, wenn personenbezogene Daten in den Protokollen stehen. Die Grundrechte-Folgenabschätzung ist für Hochrisiko-Systeme gedacht; für einen Assistenten genügt meist eine kurze Prüfung und ein Eintrag im Register.
Quellen
- Datenschutzkonferenz — Orientierungshilfe KI und Datenschutz (Mai 2024)
- Artificialintelligenceact.eu — Artikel 27: Grundrechte-Folgenabschätzung
Dieser Beitrag ist eine allgemeine Information, keine Rechtsberatung. Regeln und Leitlinien ändern sich; prüfen Sie im Zweifel die genannten Quellen oder fragen Sie Ihre Rechtsabteilung oder Ihren Datenschutzbeauftragten.