Grundrechte-Folgenabschätzung ↔ DSFA: EU-CH-Mapping

Beide Rechtsräume verlangen, dass risikobehaftete Systeme vor dem Einsatz auf ihre Wirkung auf Menschen geprüft werden — die EU über die Grundrechte-Folgenabschätzung (Art. 27 EU AI Act), die Schweiz über die Datenschutz-Folgenabschätzung (DSFA, Art. 22 revDSG). Die Instrumente klingen verwandt und werden in der Praxis oft verwechselt. Sie unterscheiden sich aber in Auslöser, Schutzbereich und Adressatenkreis so deutlich, dass ein Schweizer Unternehmen mit EU-Marktzugang beide getrennt prüfen muss. Diese Seite ordnet sie einander zu und zeigt, wo eine kombinierte Analyse trägt — und wo nicht.

EU-Seite: Grundrechte-Folgenabschätzung nach Art. 27 AI Act

Art. 27 der KI-Verordnung (VO 2024/1689) verpflichtet bestimmte Deployer von Hochrisiko-KI-Systemen, vor der ersten Inbetriebnahme eine Grundrechte-Folgenabschätzung (Fundamental Rights Impact Assessment, FRIA) durchzuführen. Adressiert sind nicht alle Anwender, sondern im Kern Deployer, die öffentliche Stellen oder private Erbringer öffentlicher Dienste sind, sowie Deployer von Hochrisiko-Systemen aus bestimmten Anwendungsbereichen des Anhang III — namentlich Kreditwürdigkeitsprüfung sowie Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen. Die FRIA ist damit eine Deployer-Pflicht, getrennt von der Konformitätsbewertung, die der Provider trägt.

Inhaltlich verlangt Art. 27 eine Beschreibung der Prozesse, in denen das System eingesetzt wird, des Zeitraums und der Häufigkeit der Nutzung, der betroffenen Personengruppen, der spezifischen Schadensrisiken für diese Personen, der Massnahmen menschlicher Aufsicht sowie der Vorkehrungen für den Fall, dass sich Risiken realisieren — einschliesslich interner Governance und Beschwerdemechanismen. Das Ergebnis ist der zuständigen Marktüberwachungsbehörde mitzuteilen; das AI Office stellt hierfür ein Muster bereit. Wo bereits eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO vorliegt, ergänzt die FRIA diese, ersetzt sie aber nicht. Verbindlich durchsetzbar werden die Hochrisiko-Pflichten — und damit auch Art. 27 — mit der Durchsetzung des EU AI Act (Forcing Event 02.12.2027, Digital Omnibus).

CH-Seite: Datenschutz-Folgenabschätzung nach Art. 22 revDSG

Die Schweiz hat kein horizontales KI-Gesetz und kennt folglich keine grundrechtliche Folgenabschätzung für KI als solche. Das funktional nächste Instrument ist die DSFA des revidierten Datenschutzgesetzes (revDSG, in Kraft seit 1. September 2023). Nach Art. 22 revDSG muss der Verantwortliche vorab eine DSFA erstellen, wenn eine Bearbeitung von Personendaten ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann. Ein hohes Risiko ergibt sich insbesondere aus dem Einsatz neuer Technologien sowie aus Art, Umfang, Umständen und Zweck der Bearbeitung — ausdrücklich genannt sind die umfangreiche Bearbeitung besonders schützenswerter Personendaten und die systematische umfangreiche Überwachung öffentlicher Bereiche.

Die DSFA beschreibt die geplante Bearbeitung, bewertet die Risiken für Persönlichkeit und Grundrechte und hält die Massnahmen zu deren Schutz fest. Ergibt sie trotz Massnahmen ein hohes Restrisiko, muss der Verantwortliche vorgängig den EDÖB konsultieren (Art. 23 revDSG). Private Verantwortliche können von der Konsultation des EDÖB absehen, wenn sie ihren betrieblichen Datenschutzberater beigezogen haben. Die DSFA ist damit fest an die Bearbeitung von Personendaten geknüpft: Ohne Personendatenbezug greift Art. 22 revDSG nicht — unabhängig davon, wie risikoreich das KI-System im Übrigen ist.

Gemeinsamkeiten

Beide Instrumente sind ex ante angelegt: Sie greifen vor dem Einsatz, nicht als nachträgliche Kontrolle. Beide folgen einem risikobasierten Ansatz, verlangen eine dokumentierte Selbstbeurteilung und zielen auf den Schutz der von einem System betroffenen Menschen. Und beide kennen eine Eskalationsstufe zur Behörde: Die FRIA ist der Marktüberwachungsbehörde mitzuteilen, die DSFA löst bei hohem Restrisiko die Konsultation des EDÖB aus. In der Grundlogik — Risiko erkennen, Massnahmen festlegen, Restrisiko transparent machen — sind sich beide Verfahren nahe.

Unterschiede

• Auslöser: Die FRIA knüpft an die Rolle des KI-Systems an (Hochrisiko nach Anhang III plus bestimmte Deployer-Kategorien) — auch ohne dass zwingend Personendaten bearbeitet werden. Die DSFA knüpft an das Datenbearbeitungsrisiko an und setzt die Bearbeitung von Personendaten voraus.
• Schutzbereich: Die FRIA prüft die Grundrechte breit (Diskriminierung, Teilhabe, Verfahrensrechte). Die DSFA fokussiert auf Persönlichkeit und Grundrechte im Datenschutzkontext.
• Adressaten: Die FRIA trifft nur bestimmte Deployer (öffentliche Stellen, Erbringer öffentlicher Dienste, Kredit- und Versicherungsfälle). Die DSFA trifft jeden Verantwortlichen sektorunabhängig, sobald die Risikoschwelle erreicht ist.
• Behördeninteraktion: FRIA = Mitteilung des Ergebnisses an die Marktüberwachungsbehörde. DSFA = Konsultation des EDÖB nur bei hohem Restrisiko (oder Beizug des internen Datenschutzberaters).
• Verhältnis zur DSGVO/DPIA: In der EU sind FRIA und Datenschutz-Folgenabschätzung (Art. 35 DSGVO) zwei getrennte, sich ergänzende Instrumente. Im Schweizer Recht existiert nur die DSFA — eine eigenständige KI-Grundrechtsabschätzung fehlt.
• Zeitlicher Stand: Die DSFA gilt seit September 2023. Die FRIA wird mit der Durchsetzung des EU AI Act (02.12.2027) verbindlich durchsetzbar.

Praxis-Konsequenz

Ein Schweizer Unternehmen kann beide Instrumente gleichzeitig schulden — aber selten deckungsgleich. Wer als Deployer ein Hochrisiko-System aus den einschlägigen Anhang-III-Bereichen betreibt und in den Anwendungsbereich des EU AI Act fällt (etwa weil Ergebnisse in der EU verwendet werden, Art. 2), braucht eine FRIA nach Art. 27. Wer mit demselben System Personendaten mit hohem Risiko bearbeitet, braucht zusätzlich eine DSFA nach Art. 22 revDSG. Beide Pflichten laufen dann parallel und sind je eigenständig zu erfüllen.

Operativ empfiehlt sich, ein Folgenabschätzungs-Verfahren aufzusetzen, dessen Dokumentation beide Inhaltskataloge abdeckt — die FRIA-Elemente aus Art. 27 (Prozesse, betroffene Gruppen, Schadensrisiken, Aufsicht, Notfallmassnahmen) und die DSFA-Elemente aus Art. 22 revDSG (Bearbeitung, Risiken, Schutzmassnahmen) — statt zwei getrennte Analysen zu führen. Wichtig bleibt die saubere Abgrenzung: Viele private Schweizer Deployer fallen nicht unter die enge FRIA-Pflicht, schulden aber sehr wohl eine DSFA, sobald Personendaten mit hohem Risiko im Spiel sind. Die Reihenfolge im Alltag lautet daher: zuerst die Rolle und den FRIA-Anwendungsbereich prüfen, dann den Personendatenbezug und die DSFA-Schwelle — und die Schnittmenge in einer kombinierten, audit-fähigen Dokumentation belegen.

Die Deployer-Rolle, an die Art. 27 anknüpft, erklärt die Mapping-Seite zum Deployer. Den vollständigen Pflichtenkatalog für Hochrisiko-KI vertieft der Leitfaden auf eu-ai-verordnung.de. Die rein schweizerische Datenschutzsicht behandelt ki-regulierung.ch.

AEGIRA AI Navigator deckt EU AI Act und Schweizer Anforderungen in einer einheitlichen Trust-Infrastructure ab: aegira.ai.