Artikel 27 in der Praxis: eine Grundrechte-Folgenabschätzung, die die Validierung unterschreibt

Die KI-Verordnung geht mit regulierten Finanzinstituten an vielen Stellen nachsichtig um. Wer ohnehin unter aufsichtlichen Anforderungen an die interne Governance steht, muss deren Substanz nicht ein zweites Mal aufbauen. Das Risikomanagement nach Artikel 9 darf Teil der bereits bestehenden Risikomanagementverfahren sein oder mit ihnen kombiniert werden (Artikel 9 Absatz 10). Die Pflicht zum Qualitätsmanagementsystem nach Artikel 17 gilt für Anbieter, die Finanzinstitute sind, bis auf drei Punkte als erfüllt, wenn die Regelungen zur internen Governance nach dem Finanzdienstleistungsrecht eingehalten werden (Artikel 17 Absatz 4). Für Betreiber gilt dasselbe Muster: Die Überwachungspflicht nach Artikel 26 Absatz 5 gilt als erfüllt, wenn die internen Governance-Regelungen eingehalten werden, und die automatisch erzeugten Protokolle sind nach Artikel 26 Absatz 6 schlicht Teil der Dokumentation, die ohnehin geführt wird.

Vier Anschlussklauseln, vier Türen. Der Gesetzgeber hat erkennbar nicht vor, ein zweites Modellrisikomanagement neben dem bestehenden zu errichten.

Für die Grundrechte-Folgenabschätzung nach Artikel 27 gilt das nicht. Die Vorschrift enthält keine Äquivalenzklausel zum Finanzdienstleistungsrecht. Sie enthält genau eine Anschlussmöglichkeit — und die zeigt nicht in Richtung Modellvalidierung, sondern in Richtung Datenschutz-Folgenabschätzung. Der Digital-Omnibus hat diese eine Tür im Juli 2026 sogar noch etwas weiter geöffnet und damit unfreiwillig deutlich gemacht, wo der Gesetzgeber die Grundrechte-Folgenabschätzung verortet sieht.

Das ist keine juristische Feinheit. Es ist die operative Antwort auf eine Frage, die in Instituten mit reifer Validierungskultur regelmäßig gestellt wird: Was von der KI-Verordnung ist bei uns bereits erledigt, und was nicht? Die Grundrechte-Folgenabschätzung ist das eine Artefakt, für das die Modellakte keine Vorlage bietet — auch dort, wo Material aus anderen Beständen des Hauses einfließt. Dieser Beitrag zeigt, warum das so ist, welche der sechs Pflichtinhalte trotzdem aus vorhandenem Material entstehen können, welche neu erzeugt werden müssen und in welcher Reihenfolge man sinnvollerweise vorgeht.

Wer die Abschätzung schuldet — und wofür genau

Artikel 27 Absatz 1 trifft drei Gruppen von Betreibern: Einrichtungen des öffentlichen Rechts, private Einrichtungen, die öffentliche Dienste erbringen, und — unabhängig von Rechtsform und Trägerschaft — Betreiber von Hochrisiko-KI-Systemen nach Anhang III Nummer 5 Buchstaben b und c. Die dritte Gruppe ist die für Banken und Versicherer entscheidende. Sie erfasst KI-Systeme zur Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen sowie KI-Systeme zur Risikobewertung und Preisbildung in Bezug auf natürliche Personen im Fall von Lebens- und Krankenversicherungen.

Aus dieser Formulierung folgen drei Abgrenzungen, die vor jeder weiteren Überlegung zu ziehen sind.

Erstens ist die Reichweite enger, als sie im ersten Zugriff wirkt. Anhang III Nummer 5 Buchstabe b nimmt Systeme zur Aufdeckung von Finanzbetrug ausdrücklich aus. Buchstabe c nennt Lebens- und Krankenversicherungen — nicht Kraftfahrt, nicht Sach, nicht Haftpflicht. Ein Kompositversicherer, der sein gesamtes Tarifierungsinstrumentarium unter Artikel 27 stellt, arbeitet an einer Pflicht, die er in diesem Umfang nicht hat. Ebenso liegt die Kreditwürdigkeitsprüfung juristischer Personen außerhalb des Anwendungsbereichs; Buchstabe b spricht von natürlichen Personen.

Zweitens ist die Reichweite dort, wo sie greift, nicht verhandelbar. Der Filter des Artikels 6 Absatz 3, mit dem sich Anhang-III-Systeme unter engen Voraussetzungen als nicht hochriskant einstufen lassen, steht nicht offen, wenn das System ein Profiling natürlicher Personen vornimmt: Dann gilt es stets als hochriskant. Bonitätsscoring und individualisierte Risiko- oder Prämienbewertung erfüllen den Profiling-Begriff regelmäßig — ob er im Einzelfall erfüllt ist, richtet sich nach der konkreten Funktionsweise und den verarbeiteten Merkmalen, nicht nach der Produktbezeichnung. Wo er erfüllt ist, ist die Diskussion, ob man das System nicht doch aus der Hochrisikoklasse herausargumentieren könne, beendet, bevor sie beginnt.

Drittens richtet sich die Pflicht an den Betreiber, nicht an den Anbieter. Wer ein Scoringmodell einer Auskunftei, eines Rechenzentrumsdienstleisters, einer Verbundgesellschaft oder eines spezialisierten Scoring- oder Softwareanbieters einsetzt, kann die Verantwortung für die Abschätzung nicht auf diesen übertragen. Der Anbieter liefert die Informationen nach Artikel 13, auf die Artikel 27 Absatz 1 Buchstabe d ausdrücklich verweist. Die Abschätzung selbst schuldet das Haus, das das System im eigenen Geschäftsprozess verwendet — und zwar bezogen auf genau diesen Prozess, dieses Portfolio, diese Kundschaft.

Warum die Abschätzung an der Modellvalidierung vorbeiläuft

Die aufsichtliche Modellvalidierung — nach MaRisk AT 4.3.2 und den Anforderungen an das Kreditgeschäft, nach Artikel 185 CRR und dem EZB-Leitfaden für interne Modelle, nach Artikel 124 Solvency II für interne Modelle — ist ein reifes, gut dokumentiertes Verfahren. Sie prüft Trennschärfe, Kalibrierung, Stabilität, Repräsentativität der Entwicklungsstichprobe, Backtesting, Umgang mit Overrides. Sie ist außerordentlich gut darin, eine Frage zu beantworten: Wie zuverlässig ist die Schätzung, auf die sich das Institut verlässt?

Artikel 27 stellt eine andere Frage. Nicht: Wie gut trifft das Modell? Sondern: Wen trifft es, wie, und was passiert dieser Person dann? Die Bezugsgröße des Risikobegriffs kehrt sich um. Im Validierungsbericht ist Risiko das Risiko des Instituts — Fehlklassifikation führt zu Ausfall, Fehlbepreisung führt zu Bestandsschaden. In der Grundrechte-Folgenabschätzung ist Risiko das Risiko der betroffenen Person — Kreditverweigerung, Prämienaufschlag, faktischer Ausschluss vom Produkt, Verfestigung einer Benachteiligung über die Zeit.

Beide Perspektiven arbeiten teilweise mit denselben Kennzahlen. Sie führen aber zu unterschiedlichen Auswertungsschnitten, unterschiedlichen Schwellen und unterschiedlichen Schlussfolgerungen. Ein Modell kann prudenziell einwandfrei validiert sein und gleichzeitig eine Gruppe systematisch schlechter stellen, ohne dass diese Tatsache im Validierungsbericht auftaucht — nicht weil schlecht gearbeitet wurde, sondern weil danach nicht gefragt wurde.

Genau hier liegt die Erklärung für die fehlende Äquivalenzklausel. Der Gesetzgeber konnte die Grundrechte-Folgenabschätzung nicht für erfüllt erklären, wenn die sektorale Governance eingehalten wird, weil die sektorale Governance den Gegenstand nicht abdeckt.

Was Artikel 27 stattdessen anbietet, steht in Absatz 4: die Verbindung zur Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO. In der Ursprungsfassung war das eine Ergänzungsregel — soweit Pflichten bereits über die Datenschutz-Folgenabschätzung erfüllt sind, ergänzt die Grundrechte-Folgenabschätzung diese. Der Digital-Omnibus hat die Vorschrift praktikabler gefasst: Die Grundrechte-Folgenabschätzung kann Querverweise auf die einschlägigen Abschnitte der Datenschutz-Folgenabschätzung enthalten oder Teile davon übernehmen. Der neu gefasste Absatz 5 verpflichtet das Büro für Künstliche Intelligenz, den Fragebogen — einschließlich eines automatisierten Werkzeugs — so anzulegen, dass diese Querverweise praktisch möglich werden.

Das ist eine spürbare Erleichterung im Dokumentationsaufwand. Vor allem aber ist es eine Aussage über die Verortung. Der nächste Verwandte der Grundrechte-Folgenabschätzung im Haus ist nicht die Modellakte. Es ist die Datenschutz-Folgenabschätzung — die für ein Scoringsystem in aller Regel bereits vorliegt, weil automatisierte Einzelentscheidungen und Scoring die Schwelle des Artikels 35 DSGVO regelmäßig überschreiten. Wer die Zuständigkeit für Artikel 27 verteilt, sollte das wissen: Ein erheblicher Teil des Rohmaterials liegt beim Datenschutzbeauftragten, nicht im Risikocontrolling. Der empirische Kern liegt allerdings in keinem von beiden.

Sechs Pflichtinhalte, gespiegelt an der Modellakte

Artikel 27 Absatz 1 listet sechs Inhalte auf. Die folgende Gegenüberstellung ordnet jeden davon dem Material zu, das ein Institut mit reifer Validierungspraxis typischerweise vorhält.

Es ergeben sich zwei Gruppen. Die Buchstaben a, e und f lassen sich aus vorhandenem Material aufbauen — mit Zuschnitt, Verweistechnik und einer Ergänzung bei f. Die Buchstaben b, c und d entstehen originär. Buchstabe b ist dabei nur scheinbar trivial: Er verlangt eine ausdrückliche Festlegung, wie lange und wie häufig das System eingesetzt werden soll, und dazu hat sich in den meisten Häusern noch niemand schriftlich verhalten. Substanziell sind c und d.

Buchstabe c verlangt eine Entscheidung. Welche Personengruppen sind im konkreten Einsatzkontext unterschiedlich betroffen, und woraus leitet sich diese Auswahl ab? Ausgangspunkt sind Artikel 21 der Charta der Grundrechte der Europäischen Union und die Merkmale des AGG. Wichtig ist aber, worauf die Vorschrift gerade nicht abstellt: Sie spricht von Kategorien und Gruppen, die im spezifischen Kontext betroffen sein können, nicht von geschützten Merkmalen. Der Katalog ist damit ein Anfang, kein Abschluss. Hinzu treten kontextbezogene und besonders verletzliche Gruppen — Personen mit geringer Datenhistorie, mit atypischen Erwerbsverläufen, in der Rolle als Mitdarlehensnehmer oder Bürgen — sowie mittelbare, stellvertretende und intersektionale Betroffenheiten. Wer den Kreis so weit zieht, muss zugleich festlegen, welche Gruppen empirisch gemessen und welche qualitativ bewertet werden; sonst erzeugt die Vollständigkeit eine Arbeitslast, die niemand trägt.

Buchstabe d verlangt danach Evidenz statt Behauptung. Wenn eine Gruppe benannt ist, muss gezeigt werden, welches konkrete Schadensrisiko für sie besteht. Artikel 27 schreibt dafür keine Kennzahlen vor — er bestimmt den Prüfgegenstand, nicht die Methode. Fachlich geeignet und in der Praxis kaum ersetzbar ist die gruppendifferenzierte Ergebnisverteilung: Ablehnungs- und Aufschlagsquoten, Fehlerraten je Gruppe, Stabilität dieser Größen über die Zeit, jeweils mit dokumentierten Fallzahlen, Unsicherheiten und Aussagegrenzen.

Der pauschale Einwand an dieser Stelle — besondere Kategorien personenbezogener Daten dürften für eine solche Analyse unter keinen Umständen verarbeitet werden — greift seit dem Digital-Omnibus zu kurz. Der neue Artikel 4a Absatz 2 der KI-Verordnung erfasst ausdrücklich auch Betreiber. Er eröffnet aber keine allgemeine Erlaubnis zur Erhebung geschützter Merkmale, sondern eine eng auszulegende Ausnahme unter kumulativen Voraussetzungen und dem Maßstab der strikten Erforderlichkeit; ausweislich der Erwägungsgründe ist er als Konkretisierung eines erheblichen öffentlichen Interesses im Sinne des Artikels 9 Absatz 2 Buchstabe g DSGVO zu lesen, nicht als eigenständige Erlaubnisnorm. Zweck, Alternativlosigkeit, Datenumfang, Schutzmaßnahmen, Speicherdauer, Zugriffsberechtigungen und Löschung sind vorher nachvollziehbar zu dokumentieren, und regelmäßig ist die Datenschutz-Folgenabschätzung anzupassen. Die Vorschrift steht in Kapitel I und ist seit dem 27. Juli 2026 anwendbar — sie folgt der Verschiebung der Hochrisikopflichten nicht. Eine Pflicht zur Verzerrungserkennung begründet sie ausdrücklich nicht; sie räumt ein Hindernis aus dem Weg.

An dieser Stelle setzt unsere eigene Arbeit an: Die Fairness- und Monitoring-Module von waveTest erzeugen genau diese gruppendifferenzierte Ergebnismessung — client-seitig im Container, sodass die Berechnung das Haus nicht verlässt und nur Evidenz und Bericht auf EU-residenter Infrastruktur zusammengeführt werden. Über die Frage, welche Konsequenz aus einem gemessenen Unterschied zu ziehen ist, sagt das nichts; das ist eine Entscheidung des Instituts und im Kontext interner Modelle ein aufsichtlich relevanter Vorgang eigener Art.

Für wen die Ergebnisse aufbereitet werden

Artikel 27 Absatz 3 verlangt, der Marktüberwachungsbehörde die Ergebnisse der Abschätzung mitzuteilen, unter Verwendung des Fragebogens nach Absatz 5. Das ist nicht gleichbedeutend mit der Übersendung des vollständigen internen Berichts — wohl aber mit der Anforderung, dass der interne Bericht die mitgeteilten Ergebnisse trägt.

Wer die Mitteilung entgegennimmt, bestimmt Artikel 74 Absatz 6: Für Finanzinstitute ist Marktüberwachungsbehörde nicht eine allgemeine Digitalaufsicht, sondern die für ihre Finanzaufsicht zuständige nationale Behörde — soweit die Verwendung des Systems in unmittelbarem Zusammenhang mit der Erbringung der Finanzdienstleistungen steht. Für die meisten deutschen Banken und Versicherer ist das die BaFin. Für kleinere Versicherungsvereine auf Gegenseitigkeit und öffentlich-rechtliche Versicherer unter Länderaufsicht ist es eine andere Behörde; die Zuständigkeit ist vor der Mitteilung zu klären und nicht zu unterstellen.

Diese Zuordnung hat mehr praktische Wirkung als die meisten Detailregelungen der Verordnung. Die Grundrechte-Folgenabschätzung ist kein Dokument, das im Nachhaltigkeitsbericht oder im internen Ordner endet. Sie wird im finanzaufsichtlichen Umfeld gelesen, neben Unterlagen, deren Qualitätsniveau dort bekannt ist. Für SSM-signifikante Institute kommt hinzu, dass die nationale Marktüberwachung Erkenntnisse, die für die Aufsichtsaufgaben der EZB von Bedeutung sein können, an diese weiterzugeben hat.

Daraus folgt der Qualitätsmaßstab. Ein Dokument, das Betroffenengruppen ohne Begründung benennt und Schadensrisiken ohne Zahlen behauptet, wird an diesem Ort als das gelesen, was es ist. Als fachlicher Maßstab bietet sich das Dokumentationsniveau eines Validierungsberichts an: benannte Methode, benannte Datengrundlage, benannte Grenzen der Aussage. Dass es sich dabei um dieselbe Stelle handelt, die auch die Modelle beurteilt, gilt allerdings nicht durchgehend — die Genehmigung interner Modelle SSM-signifikanter Institute liegt bei der Europäischen Zentralbank, nicht bei der nationalen Aufsicht.

Der Fragebogen selbst liegt noch nicht vor. Das ist kein Grund zu warten, denn die sechs Pflichtinhalte stehen in Absatz 1 und sind vom Format unabhängig; der Fragebogen ist die Übermittlungsform, nicht die Substanz.

Der Aufbau in sieben Schritten

1. Abgrenzen statt vermuten. Ein Inventar der eingesetzten Systeme, geprüft gegen Anhang III Nummer 5 Buchstaben b und c, mit ausdrücklicher Notiz zu den Ausnahmen — Betrugserkennung, juristische Personen, Sparten außerhalb Leben und Kranken. Das Ergebnis ist häufig kleiner als befürchtet und schärfer, als es eine pauschale Selbsteinstufung wäre.

2. Artefakte inventarisieren, nicht neu schreiben. Für die Buchstaben a, e und f gilt: verweisen, wo verwiesen werden kann. Absatz 4 erlaubt seit dem Digital-Omnibus ausdrücklich Querverweise auf die Datenschutz-Folgenabschätzung und die Übernahme von Teilen. Die erste Arbeitssitzung sollte deshalb Risikocontrolling, Fachbereich und Datenschutz gemeinsam einbeziehen.

3. Betroffenengruppen bestimmen und begründen. Buchstabe c ist der Schritt, an dem eine Entscheidung getroffen und dokumentiert wird — ausgehend von Artikel 21 der Grundrechtecharta und den AGG-Merkmalen, erweitert um die kontextbezogenen und besonders verletzlichen Gruppen des konkreten Einsatzes, mit einer Festlegung, welche Gruppen gemessen und welche qualitativ bewertet werden, und mit einer ehrlichen Notiz zu den Merkmalen, für die keine belastbare Datengrundlage besteht.

4. Schadensrisiken messen. Buchstabe d ist eine empirische Aufgabe. Gruppendifferenzierte Ergebnis- und Fehlerverteilung, dokumentierte Methodik, dokumentierte Fallzahlen und Aussagegrenzen. Rechtsgrundlage für die dafür nötige Verarbeitung ist gegebenenfalls Artikel 4a Absatz 2 — mit vorheriger Dokumentation von Zweck, Alternativlosigkeit, Datenumfang, Schutzmaßnahmen, Speicherdauer und Löschung sowie einer Anpassung der Datenschutz-Folgenabschätzung.

5. Bewerten und über das Restrisiko entscheiden. Messen ist nicht abschätzen. Für jeden gemessenen Unterschied ist zu klären, ob er durch einen sachlichen, nachvollziehbaren Grund erklärt ist und ob diese Prüfung dokumentiert wurde, wie schwer und wie weitreichend er für die Gruppe wirkt, welche vorhandene Kontrolle auf Prozessebene ihn tatsächlich mindert und wer über die Tragung des verbleibenden Restrisikos entscheidet — mit Namen und Datum. Die letzte Frage ist die, an der Abschätzungen in der Prüfung scheitern. Kontrollen und Entscheidungen bleiben dabei auf der Betreiberebene: Prozess, menschliche Aufsicht, Beschwerdeweg. Eine Anpassung des Modells selbst ist ein aufsichtlich relevanter Modelländerungsvorgang und gehört in das dafür vorgesehene Verfahren.

6. Aufsicht und Rückkanal belegen. Für Buchstabe e nicht die Kompetenzordnung, sondern deren Wirksamkeit: Artikel 14 Absatz 4 benennt die Prüfpunkte selbst — Verstehbarkeit der Ausgabe, Bewusstsein für die Neigung zum automatischen Vertrauen darauf, Befugnis zur abweichenden Entscheidung. Zu erheben sind Qualifikation, Befugnisse, verfügbare Informationen und Bearbeitungszeit sowie die ausgewerteten Übersteuerungs- und Eskalationsfälle mit ihrer Verteilung. Eine niedrige Übersteuerungsquote belegt für sich genommen nichts: Sie kann ein gutes System anzeigen oder eine wirkungslose Aufsicht. Für Buchstabe f die Herstellung des fehlenden Rückkanals — mit Zuordnung der Beschwerde zum eingesetzten System, individueller Abhilfe (bei ausschließlich automatisierten Entscheidungen ergänzt um Artikel 22 Absatz 3 DSGVO), Auslöseschwelle für eine systemische Untersuchung und benannter Zuständigkeit für die Reaktion.

7. Zeichnen und den Aktualisierungsauslöser definieren. Absatz 2 knüpft die Pflicht an die erste Verwendung, erlaubt in ähnlich gelagerten Fällen den Rückgriff auf frühere Abschätzungen und verlangt Aktualisierung, sobald ein Element nicht mehr aktuell ist. Damit ist eine Auslöserdefinition unumgänglich: Modelländerung, wesentliche Änderung der Datenbasis, Portfolio- und Populationsverschiebung, Schwellenüberschreitung im laufenden Monitoring, technischer oder organisatorischer Vorfall, Änderung der Annahme- oder Kreditrichtlinie, neue rechtliche oder tatsächliche Erkenntnisse. Der ökonomischste Ort dafür ist der bestehende Validierungszyklus — mit der Einschränkung, dass die Grundrechte-Folgenabschätzung darin nicht aufgehen darf, weil sie eine andere Frage beantwortet.

Bleibt die Zeichnung. Artikel 27 schreibt keine bestimmte organisatorische Zeichnungsfolge vor — die folgende ist eine Empfehlung, kein Gesetzesbefehl. In der Praxis konkurrieren drei Zuständigkeiten: Risikocontrolling, Compliance und Datenschutz. Jede Zuordnung an nur eine der drei erzeugt ein Dokument mit einer bekannten Schwäche — beim Datenschutz fehlt die Modellempirie, bei Compliance die Messgrundlage, beim Risikocontrolling die Grundrechtsperspektive. Der belastbare Zuschnitt trennt deshalb fachliche Erstellung, methodische Prüfung, rechtliche und datenschutzrechtliche Beteiligung und abschließende Verantwortung: erstellt von der Fachseite mit der Modellverantwortung, methodisch geprüft und mitgezeichnet von der unabhängigen Validierung, beteiligt Compliance und Datenschutz, verantwortet und freigegeben vom zuständigen Leitungsorgan als Betreiber. Ob die Freigabe durch die gesamte Geschäftsleitung oder eine delegierte Funktion erfolgt, richtet sich nach der Kompetenzordnung des Hauses. Eine Grundrechte-Folgenabschätzung, die die Validierungsfunktion nicht mitzeichnet, ist ein Dokument über ein Modell, für dessen Aussagen niemand einsteht.

Zeitliche Einordnung

Artikel 27 steht in Kapitel III Abschnitt 3 der KI-Verordnung und folgt damit der durch den Digital-Omnibus geänderten Anwendungssystematik: Für Hochrisikosysteme nach Artikel 6 Absatz 2 und Anhang III gilt der 2. Dezember 2027, für Systeme nach Artikel 6 Absatz 1 und Anhang I der 2. August 2028. Der Digital-Omnibus — Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026 — hat den Text geändert; die Anwendbarkeit richtet sich weiterhin nach Artikel 113.

Es gibt also keinen Anlass zur Eile, und dieser Beitrag argumentiert nicht mit Fristdruck. Er argumentiert mit Reihenfolge. Für die Buchstaben c und d ist eine Datengrundlage erforderlich, die sich rückwirkend häufig nur unvollständig herstellen lässt. Wer die gruppendifferenzierte Ergebnismessung erst 2027 aufsetzt, hat 2027 einen Querschnitt und keine Zeitreihe — und damit keine Aussage zu der Frage, ob sich ein gemessener Unterschied verfestigt oder abbaut. Der Aufwand für den ersten Durchlauf ist überschaubar; der Wert entsteht in der Wiederholung.

Für Systeme, die bereits vor dem Anwendungsstichtag im Einsatz sind, gelten die Übergangsregelungen des Artikels 111, die im Kern an wesentliche Änderungen der Auslegung anknüpfen. Das ist im Einzelfall gegen den konsolidierten Text zu prüfen und taugt nicht als Planungsgrundlage, weil jede substanzielle Modellüberarbeitung die Frage neu stellt.

Was als Nächstes kommt

Die Grundrechte-Folgenabschätzung ist der eine Punkt, an dem die KI-Verordnung nicht auf die vorhandene Governance verweist. Sie ist damit auch der Punkt, an dem sich am ehesten zeigt, ob ein Haus die Verordnung als Dokumentationsaufgabe oder als Betriebsfrage behandelt.

Der zweite solche Punkt ist der Erklärungsanspruch der betroffenen Person nach Artikel 86. Er ist kein Artefakt, sondern ein Prozess mit Fristen, Eskalationsstufen und Regelbetrieb — und er ist der Gegenstand des nächsten Beitrags dieser Reihe.

Prüfgerüst zum Mitnehmen

Zu diesem Beitrag gehört ein Gerüst für die Grundrechte-Folgenabschätzung als PDF: die sechs Pflichtinhalte nach Artikel 27 Absatz 1, jeweils mit dem vorhandenen Artefakt und dem verbleibenden Nachweisbedarf, dazu eine Matrix für Bewertung und Restrisikoentscheidung sowie Arbeitstabellen für Aktualisierungsauslöser und Zeichnung. Kein Registrierungsformular, keine E-Mail-Adresse, kein Newsletter — direkter Download:

→ FRIA-Gerüst nach Artikel 27 (PDF, 7 Seiten, ungated)

Wenn Sie den Zuschnitt für Ihr Haus besprechen möchten — insbesondere die Zuordnung von Erstellung, Prüfung und Zeichnung zwischen Risikocontrolling, Compliance und Datenschutz —, schreiben Sie mir formlos: valentin.mayr@waveimpact.de. Eine Antwort auf eine fachliche Frage kostet Sie nichts und verpflichtet zu nichts.

Dr. Valentin José Mayr ist Gründer und Geschäftsführer der waveImpact GmbH in Bremen. waveImpact prüft KI-Systeme auf Fairness, Transparenz und regulatorische Anschlussfähigkeit — mit einer Toolchain, deren Berechnung im Haus des Kunden bleibt.

Rechtsstand: 29. Juli 2026. Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744. Dieser Beitrag gibt eine fachliche Einschätzung wieder und ersetzt keine Rechtsberatung im Einzelfall.