Was ist die FRIA?
Art. 27 EU AI Act verlangt vor dem Einsatz bestimmter Hochrisiko-KI-Systeme eine Bewertung der Auswirkungen auf Grundrechte. Die FRIA ergänzt eine Datenschutz-Folgenabschätzung, ersetzt sie aber nicht automatisch.
Wer muss im Finanzsektor eine FRIA erstellen?
Nach Art. 27 vor allem Betreiber von Hochrisiko-KI nach Annex III 5(b) und 5(c): KI für die Kreditwürdigkeitsbewertung natürlicher Personen sowie für Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung.
| Annex III | Bereich | Typische Systeme |
|---|---|---|
| 5(b) | Zugang zu wesentlichen privaten und öffentlichen Dienstleistungen | KI-gestützte Kreditwürdigkeitsbewertung natürlicher Personen, Bonitäts-Scoring, Entscheidungsvorbereitung bei Kreditanträgen |
| 5(c) | Lebens- und Krankenversicherung | KI-gestützte Risikobewertung und Preisbildung für natürliche Personen |
| 4 | Beschäftigung | HR-KI ist hochrisikorelevant; eine FRIA-Pflicht für private Finanzinstitute ist aber gesondert anhand Art. 27 zu prüfen. |
Was muss eine FRIA nach Art. 27 enthalten?
Sieben Punkte, von der Prozessbeschreibung und Nutzungsdauer über Risiken und menschliche Aufsicht bis zur Meldung an die Marktüberwachungsbehörde.
- Beschreibung der Prozesse, in denen das KI-System verwendet wird
- Nutzungsdauer und Nutzungshäufigkeit
- Kategorien betroffener natürlicher Personen und Gruppen
- spezifische Risiken für Grundrechte im konkreten Kontext
- Maßnahmen zur menschlichen Aufsicht
- Maßnahmen für den Fall einer Risikoverwirklichung
- nach Durchführung: Meldung der Ergebnisse an die Marktüberwachungsbehörde mit dem vorgesehenen Template, soweit keine Ausnahme greift
Welche Grundrechte berührt KI im Finanzsektor besonders?
Vor allem vier: Diskriminierungsverbot, Datenschutz, wirksamer Rechtsbehelf sowie Menschenwürde und faire Behandlung.
| Grundrecht | Typische Relevanz |
|---|---|
| Diskriminierungsverbot | Bias in Kredit, Pricing, Underwriting oder HR-Prozessen |
| Schutz personenbezogener Daten | Finanzdaten, Gesundheitsdaten, Bonitätsdaten und Profiling |
| Recht auf wirksamen Rechtsbehelf | Nachvollziehbarkeit und Anfechtbarkeit KI-gestützter Entscheidungen |
| Menschenwürde und faire Behandlung | Vermeidung entwürdigender oder vollständig unkontrollierter Entscheidungen |
Wie werden FRIA und DSFA koordiniert?
Getrennt, aber abgestimmt. Wenn personenbezogene Daten verarbeitet werden und ein hohes Risiko für Betroffene besteht, ist zusätzlich die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO zu prüfen. Art. 27 EU AI Act sieht ausdrücklich vor, dass die FRIA eine DSFA ergänzt; soweit Elemente bereits in einer DSFA abgedeckt sind, kann darauf Bezug genommen werden. FRIA und DSFA bleiben dennoch unterscheidbare Prüfungen. Praktisch sinnvoll ist ein gemeinsamer Analyseprozess mit getrennt nachvollziehbaren Ergebnissen.
Wann muss die FRIA erstellt werden?
Die FRIA ist vor dem ersten Einsatz des relevanten Hochrisiko-KI-Systems durchzuführen und zu aktualisieren, wenn sich wesentliche Elemente ändern oder nicht mehr aktuell sind. Für die hier behandelten Anhang-III-Fälle gilt die Pflicht nach Art. 27 ab 2. Dezember 2027 (Verordnung (EU) 2026/1744). Für Hochrisiko-Systeme, die vor diesem Datum in Betrieb genommen wurden, ist die Übergangsregelung des Art. 111 Abs. 2 gesondert zu prüfen. Eine freiwillige, frühzeitige FRIA ist eine sinnvolle Vorbereitung, aber von einer bereits fälligen gesetzlichen Pflicht zu unterscheiden; für bereits laufende Systeme sollte sie in die AI-Governance-Roadmap aufgenommen werden.
Ing. Mag. Patrick Eiler
Patrick Eiler berät Banken und Versicherungen in Wien zu aufsichtlichem Meldewesen, Datenarchitektur und KI-Compliance. Über zwanzig Jahre in Banken, Versicherungen und Finanzdienstleistung; Vortragender beim Hypo-Verband (Fachsitzung 23. September 2026).