KI-Folgenabschätzung: Welches Regelwerk für Sie tatsächlich gilt

Auf einen Blick

• Eine KI-Folgenabschätzung misst, was ein System den Menschen antut, und nicht, was es die Organisation kostet. Diese Ausrichtung entscheidet darüber, welche Regeln greifen.
• Sechs verschiedene Instrumente tragen denselben Namen. Nur einige binden Sie rechtlich, und welches gilt, hängt von Ihrer Rolle, Ihrer Branche und Ihrer Rechtsordnung ab.
• Die Grundrechte-Folgenabschätzung nach Artikel 27 KI-Verordnung schulden nur drei eng umrissene Betreiberkategorien, nicht jede Organisation, die KI einsetzt.
• ISO/IEC 42005 ist die Methode der Wahl, wenn kein Gesetz Sie verpflichtet. Es handelt sich um einen Leitfaden, gegen den niemand zertifizieren kann.
• Der Zeitplan hat sich verschoben. Artikel 27 gilt nun ab dem 2. Dezember 2027, und Colorado hat seine eigene Pflicht zur Folgenabschätzung im Mai 2026 gestrichen.

Was eine KI-Folgenabschätzung wirklich ist

Eine KI-Folgenabschätzung ist eine strukturierte Bewertung der Auswirkungen, die ein KI-System auf die betroffenen Menschen hat: auf die Personen, über die es entscheidet, auf die Gruppen, die es sortiert, und auf die Öffentlichkeit, die mit den Folgen lebt. Die Blickrichtung geht nach außen. Allein diese Eigenschaft unterscheidet sie von den meisten Bewertungen, die eine Organisation ohnehin durchführt.

Eine Risikobewertung fragt, was das System die Organisation kosten kann: regulatorische Exposition, Ausfallzeiten, Reputationsschäden, Modellversagen. Eine KI-Folgenabschätzung fragt, was es andere kosten kann, etwa eine abgelehnte Kreditantragstellerin, einen zu Unrecht markierten Reisenden oder eine Bewerbung, die aussortiert wird, bevor ein Mensch die Unterlagen geöffnet hat. Beide Betrachtungen überschneiden sich, weil Schaden an Menschen früher oder später zum Schaden der Organisation wird, aber sie ersetzen einander nicht. Ein Unternehmen kann ein vollständiges Register zum KI-Risiko führen und dennoch keinerlei Nachweis darüber besitzen, ob seine Systeme Menschen fair behandeln.

Die zweite bestimmende Eigenschaft der KI-Folgenabschätzung ist ihr Zeitpunkt. Sie ist ein Meilenstein der Entscheidungsfindung und kein Bericht, der nach dem Produktivstart geschrieben wird. Ihr Zweck besteht darin, die Einsatzentscheidung zu beeinflussen, solange diese noch offen ist. KI-Folgenabschätzungen, die erst nach abgeschlossener Beschaffung und unterzeichnetem Vertrag entstehen, dokumentieren Entscheidungen, statt sie zu fundieren, und genau das benennen Praktiker als häufigsten Fehlermodus.

Die öffentliche Hand hat die KI-Folgenabschätzung früher formalisiert als die Privatwirtschaft. Das Werkzeug zur Folgenabschätzung der australischen Regierung ist ein ausfüllbares Arbeitsheft, das eine Behörde durch Zweck, erwarteten Nutzen und eine Bewertung des inhärenten Risikos in acht Kategorien führt, bevor überhaupt eine Schwellenprüfung ansetzt. Diese Struktur lohnt die Nachahmung auch dort, wo keine Richtlinie dazu zwingt.

Die dritte Eigenschaft ist, dass das Ergebnis ein Nachweis ist. Unabhängig vom gewählten Rahmenwerk bleibt das Ergebnis der KI-Folgenabschätzung ein schriftliches Dokument, das das System benennt, die betroffenen Gruppen, die betrachteten Schäden, die getroffenen Minderungsmaßnahmen und die Person, die das Restrisiko akzeptiert hat. Genau dieses Dokument wird eine Aufsichtsbehörde, ein Prüfer oder ein Kläger später sehen wollen.

Sechs Regelwerke, ein Begriff

Der Begriff umfasst mindestens sechs unterschiedliche Instrumente. Sie unterscheiden sich darin, wen sie binden, was sie auslöst, was Sie erstellen müssen und ob jemand das Unterlassen sanktionieren kann.

Instrument	Verpflichtet	Auslöser	Ergebnis	Sanktionsbewehrt
Art. 27 KI-VO (GRFA)	Nur drei Betreiberkategorien	Vor der ersten Verwendung eines Hochrisikosystems nach Anhang III	Schriftliche Bewertung, Meldung an die Marktüberwachungsbehörde, öffentliche Zusammenfassung	Ja, ab 2. Dez. 2027
ISO/IEC 42005:2025	Wer sie freiwillig anwendet	Freiwillig, fortlaufend über den Lebenszyklus	Dokumentierte Bewertung im KI-Managementsystem	Nein, reiner Leitfaden
Art. 35 DSGVO (DSFA)	Jeder Verantwortliche	Verarbeitung mit voraussichtlich hohem Risiko für Rechte und Freiheiten	DSFA-Dokumentation, vorherige Konsultation bei hohem Restrisiko	Ja, seit 2018
Kanada, Richtlinie zur automatisierten Entscheidungsfindung	Bundesbehörden	Vor Produktivsetzung	Algorithmic Impact Assessment, öffentlich publiziert	Ja, als Verwaltungsvorschrift
Colorado SB 24-205 in geänderter Fassung	Betreiber in Colorado	Inkrafttreten 1. Jan. 2027	Nur Informationspflichten, die Bewertungspflicht wurde gestrichen	Teilweise
Local Law 144 New York	Arbeitgeber mit automatisierten Einstellungswerkzeugen	Jährlich, vor der Nutzung	Unabhängiges Bias-Audit, veröffentlichte Zusammenfassung	Ja, seit Juli 2023

Zwei Beobachtungen wiegen schwerer als die Tabelle selbst.

Erstens sind die einzigen Instrumente, die für ein privates Unternehmen in Europa Sanktionen tragen, die KI-Verordnung und die DSGVO, und sie setzen an unterschiedlichen Stellen an. Zweitens fällt die Mehrheit der Organisationen, die sich für das Thema interessieren, gar nicht unter Artikel 27 und wäre mit ISO/IEC 42005 als Methode besser bedient als mit einem Rechtstext, der sie nicht adressiert. Diese Frage früh zu klären erspart erhebliche Fehlarbeit. Welche Vorschrift welche Organisation erfasst, ordnet unsere Darstellung zur KI-Governance und zum Colorado AI Act ein.

Wer die Grundrechte-Folgenabschätzung nach Artikel 27 wirklich schuldet

An dieser Stelle ist die veröffentlichte Fachliteratur am ungenauesten. Artikel 27 gilt nicht für jeden Betreiber eines Hochrisikosystems, und für Anbieter gilt er überhaupt nicht.

Drei Kategorien von Betreibern müssen eine Grundrechte-Folgenabschätzung durchführen, wie das European Center for Not-for-Profit Law und das Dänische Institut für Menschenrechte in ihrem Praxisleitfaden zu dieser Pflicht darlegen:

1. Öffentliche Stellen, die Hochrisikosysteme in den Bereichen des Anhangs III einsetzen: Biometrie, allgemeine und berufliche Bildung, Beschäftigung, Zugang zu wesentlichen privaten und öffentlichen Diensten, Strafverfolgung, Migration und Grenzkontrolle sowie Rechtspflege und demokratische Prozesse.
2. Private Einrichtungen, die wesentliche öffentliche Dienste erbringen.
3. Versicherungs- und Bankunternehmen, die KI zur Preisbildung in der Lebens- und Krankenversicherung oder zur Bonitätsbewertung natürlicher Personen einsetzen.

Die dritte Kategorie verdient im deutschsprachigen Markt besondere Aufmerksamkeit: Sie erfasst unmittelbar die von der BaFin beaufsichtigten Versicherer und Kreditinstitute, sobald ein Modell in die Tarifierung in der Kranken- und Lebensversicherung oder in die Kreditvergabe an Privatpersonen eingreift.

Jeder andere Betreiber eines Hochrisikosystems bleibt an die Betreiberpflichten aus Artikel 26 gebunden, einschließlich menschlicher Aufsicht und Meldung schwerwiegender Vorfälle, schuldet aber keine Grundrechte-Folgenabschätzung.

Anbieter stehen vollständig außerhalb von Artikel 27. Ihre entsprechende Pflicht ist das Risikomanagementsystem nach Artikel 9, das über den gesamten Lebenszyklus des in Verkehr gebrachten Systems läuft. Diese Aufteilung stiftet Verwirrung, weil beide Verfahren Schäden untersuchen, doch sie liegen bei verschiedenen Parteien und erzeugen verschiedene Nachweise.

Praktische Folge: Wer als Softwareanbieter ein Hochrisikosystem an europäische Behörden verkauft, wird um Unterlagen gebeten, die in die KI-Folgenabschätzung des Kunden einfließen, obwohl er selbst keine schuldet. Vertragsklauseln zu Datenqualität, Erklärbarkeitsdokumentation und Meldung von Änderungen mit Genauigkeitsbezug sind dafür das übliche Mittel.

Was Artikel 27 konkret verlangt

Die Vorschrift benennt den Inhalt. Eine Grundrechte-Folgenabschätzung muss beschreiben: die Verfahren des Betreibers, in denen das Hochrisikosystem entsprechend seiner Zweckbestimmung eingesetzt wird; den Zeitraum und die Häufigkeit der beabsichtigten Verwendung; die Kategorien natürlicher Personen und Gruppen, die voraussichtlich betroffen sind; die spezifischen Schadensrisiken für diese Kategorien unter Berücksichtigung der vom Anbieter bereitgestellten Informationen; die Umsetzung der Maßnahmen zur menschlichen Aufsicht gemäß der Betriebsanleitung; sowie die Maßnahmen für den Fall, dass sich diese Risiken verwirklichen, einschließlich interner Governance-Regelungen und Beschwerdemechanismen.

Zwei Pflichten treten neben das Dokument selbst. Der Betreiber meldet die Ergebnisse der Marktüberwachungsbehörde, vorbehaltlich einer eng gefassten Ausnahme. Öffentliche Betreiber veröffentlichen eine Zusammenfassung in der EU-Datenbank für Hochrisikosysteme, wobei Zusammenfassungen von Strafverfolgungs- und Migrationsbehörden in einen nicht öffentlichen Teil gelangen, der nur den Marktüberwachungsbehörden zugänglich ist.

Die Veröffentlichungspflicht wird am häufigsten unterschätzt. Eine für die Öffentlichkeit bestimmte Zusammenfassung muss in einer für Laien verständlichen Sprache erklären, wie das System eingesetzt wird, welche Entscheidungen mit seinen Ausgaben getroffen werden, was die Bewertung ergeben hat, welche Minderungsmaßnahmen gewählt wurden, warum der Einsatz als vertretbar galt und wie Betroffene sich beschweren können. Eine allein zu Verteidigungszwecken verfasste Dokumentation übersteht diese Übersetzung selten. Den Nachweis gleich beim ersten Mal sauber aufzubauen ist erheblich günstiger.

GRFA und DSFA: wo die Grenze verläuft

Organisationen, die Artikel 27 unterliegen, unterliegen fast immer auch Artikel 35 DSGVO. Die praktische Frage lautet daher, ob ein Verfahren genügt oder zwei nötig sind.

Der Leitfaden von ECNL und Dänischem Institut behandelt beide als getrennte, aber einander ergänzende Prüfungen, und das ist der sicherere Weg. Eine Datenschutz-Folgenabschätzung betrifft Risiken, die aus der Verarbeitung personenbezogener Daten entstehen. Eine Grundrechte-Folgenabschätzung betrifft Auswirkungen auf sämtliche Rechte der Charta, einschließlich Schäden ohne jeden Verarbeitungsbezug. Der Wegfall von Arbeitsplätzen durch die Einführung eines Systems ist das deutlichste Beispiel: Eine datenschutzrechtliche Frage stellt sich nicht, und die DSFA bietet keine Rubrik, um ihn festzuhalten. Dasselbe gilt für den Kompetenzverlust bei Fachkräften, die sich auf automatisierte Ausgaben verlassen, und für Effekte auf den Zugang zu Bildung und Gesundheitsversorgung, die auf Gruppenebene und nicht bei einer identifizierten Person wirken.

In der Praxis teilen die meisten Teams die Eingangsdaten und trennen die Ergebnisse. Systembeschreibung, Datenlandkarte und Stakeholder-Liste dienen beiden Prüfungen. Grundrechtsanalyse, Schweregradmethodik und Konsultationsprotokoll gehören zur GRFA. Beide vollständig zu verschmelzen erzeugt ein Dokument, das die Sprache des Datenschutzes dominiert und in dem die nicht datenbezogenen Schäden stillschweigend verschwinden.

ISO 42005: die Methode, wenn kein Gesetz Sie verpflichtet

Die Norm ISO/IEC 42005:2025 erschien im April 2025 und gibt Organisationen eine strukturierte Methode für die KI-Folgenabschätzung an die Hand. Sie behandelt die Abgrenzung der KI-Folgenabschätzung, die Betrachtung von technischem Verhalten, Daten, Nutzerabläufen, betroffenen Gruppen, vorhersehbarem Fehlgebrauch, Verantwortlichkeit, Kontrollen und Überwachung sowie die Neubewertung über den Lebenszyklus.

Zwei Punkte werden regelmäßig falsch dargestellt. Es handelt sich um einen Leitfaden und nicht um eine Anforderungsnorm, weshalb es keine Zertifizierung gegen ISO/IEC 42005 gibt und jede gegenteilige Behauptung unzutreffend ist. Zudem ist die Norm darauf angelegt, innerhalb eines KI-Managementsystems zu wirken und nicht daneben, also ergänzend zu ISO/IEC 42001 und nicht in Konkurrenz dazu. Wer bereits ein solches Managementsystem betreibt, führt die KI-Folgenabschätzung als einen seiner dokumentierten Prozesse und nicht als isolierte Übung.

Für die große Mehrheit der Organisationen ist dies das passende Instrument. Es liefert eine belastbare Methode, es passt inhaltlich auf die Anforderungen der KI-Verordnung, falls Sie später in deren Anwendungsbereich geraten, und es erzeugt den Nachweispfad, den Kunden und Versicherer zunehmend verlangen, in derselben Logik wie das NIST-Rahmenwerk für KI-Risikomanagement. Diese Entscheidung können Sie heute treffen, ohne darauf zu warten, dass eine Behörde Sie benennt.

Wie Sie eine KI-Folgenabschätzung durchführen

Die folgende Methode folgt der fünfphasigen Struktur des Leitfadens von ECNL und Dänischem Institut, die für Artikel 27 entwickelt wurde, sich aber ohne Bruch auf eine freiwillige KI-Folgenabschätzung übertragen lässt.

Team aufstellen und Umfang festlegen

Es existieren drei Modelle. Ein internes, funktionsübergreifendes Team wahrt die Verantwortlichkeit und baut eigene Kompetenz auf, bleibt aber oberflächlich, wo Fachwissen fehlt. Eine ausgelagerte Bewertung erkauft Unabhängigkeit und Expertise, verwässert jedoch die Verantwortung und verfehlt mitunter die institutionelle Wirklichkeit. Das hybride Modell, ein internes Team mit einem externen Beirat, bewährt sich bei großen Einsätzen am besten, kostet aber Abstimmungsaufwand.

Die Abgrenzung der KI-Folgenabschätzung verlangt eine Kontextanalyse in drei Bündeln: der Einsatzkontext, also Zweckbestimmung, Zeitraum, die mit den Ausgaben getroffenen Entscheidungen und der Kreis der Betroffenen; die Systemeigenschaften, also technisches Verhalten, Verarbeitung personenbezogener Daten und der Kenntnisstand zu Datenqualität und Genauigkeit; und die Governance-Regelung, also die Aufgabenteilung mit dem Anbieter, der Überwachungsprozess sowie die Maßnahmen zu menschlicher Aufsicht und Transparenz.

Schweregrad und Eintrittswahrscheinlichkeit bewerten

Jede KI-Folgenabschätzung beginnt an dieser Stelle. Entwickeln Sie drei bis fünf konkrete Szenarien, die beschreiben, wie das System Menschen schädigen könnte, darunter ein Worst-Case-Szenario, und benennen Sie jedes berührte Grundrecht. Rechte hängen zusammen: Ein voreingenommenes System im Bildungsbereich trifft zugleich Diskriminierungsfreiheit, das Recht auf Bildung, Kinderrechte und Privatsphäre.

Der Schweregrad bemisst sich in der KI-Folgenabschätzung anschließend an vier Parametern: der Intensität des Eingriffs in das Recht, der Reichweite der Auswirkung und der Zahl der betroffenen Personen, der Schwere des materiellen, psychischen oder körperlichen Schadens sowie dessen Unumkehrbarkeit. Die Eintrittswahrscheinlichkeit hängt davon ab, wie der Anbieter seine eigenen Pflichten erfüllt, wie gut die Daten sind, wie wirksam die menschliche Aufsicht ausfällt, welcher Spielraum für spätere Änderungen besteht und welches Potenzial böswillige Eingriffe haben.

Besondere Aufmerksamkeit gilt Menschen in vulnerablen Lagen, die dieselbe Auswirkung härter erfahren und über weniger Wege zur Abhilfe verfügen. Die KI-Verordnung selbst nennt Personen in extremer Armut, ethnische und religiöse Minderheiten, Kinder sowie Menschen mit Behinderungen.

Maßnahmen wählen und entscheiden

Minderungsmaßnahmen zerfallen in drei Familien. Organisatorische Maßnahmen umfassen menschliche Aufsicht, Beschwerdebearbeitung, öffentliche Transparenz und die Kompetenz der Belegschaft. Technische Maßnahmen umfassen Protokollierung, Sicherheit und die Qualität der Eingangsdaten. Vertragliche Maßnahmen binden den Anbieter an Repräsentativität der Daten, an die Lieferung von Unterlagen für Erklärbarkeitsanfragen und an die Meldung von Änderungen, die die Genauigkeit berühren.

Die Einsatzentscheidung hängt dann davon ab, welche Rechte betroffen sind. Wenige Rechte sind absolut, darunter das Folterverbot und die Gedankenfreiheit, und ein Eingriff ist dort bei keinem Schweregrad und keiner Wahrscheinlichkeit hinnehmbar. Die übrigen sind einschränkbar: Ein Eingriff kann rechtmäßig sein, wenn er gesetzlich vorgesehen ist, einem legitimen Ziel dient sowie erforderlich und verhältnismäßig bleibt. Das Team der KI-Folgenabschätzung ist kein Gericht und muss keine richterliche Präzision erreichen, doch das Durchspielen dieser Prüfung zeigt ihm die Maßstäbe, an denen das Verhalten der Organisation später gemessen würde.

Überwachen und fortschreiben

Mit dem Einsatz endet die KI-Folgenabschätzung nicht. Überwachen Sie, ob die Minderungsmaßnahmen tatsächlich wirken, anhand des Beschwerdeaufkommens und seiner Erledigung, der beobachteten Qualität der menschlichen Aufsicht und der Rückmeldungen der Nutzenden. Schreiben Sie die KI-Folgenabschätzung fort, wenn sich die Verwendung ändert, wenn nicht erfasste Auswirkungen auftreten, wenn eine Maßnahme hinter den Erwartungen zurückbleibt oder wenn sich die Rechtslage verschiebt.

Der Zeitplan im Jahr 2026

Alles, was vor Mitte 2026 zu diesem Thema geschrieben wurde, enthält inzwischen falsche Daten.

In Europa wurde die Digital-Omnibus-Verordnung zur KI, Verordnung (EU) 2026/1744, am 16. Juni 2026 vom Europäischen Parlament und am 29. Juni 2026 vom Rat angenommen, am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft. Sie verschiebt die Pflichten für eigenständige Hochrisikosysteme nach Anhang III, und damit die Grundrechte-Folgenabschätzung nach Artikel 27, vom 2. August 2026 auf den 2. Dezember 2027. Eingebettete Hochrisikosysteme nach Anhang I rücken auf den 2. August 2028. Die verbotenen Praktiken nach Artikel 5 sind davon unberührt und gelten seit dem 2. Februar 2025.

Artikel 27 Absatz 5 verpflichtet das Büro für Künstliche Intelligenz, einen Musterfragebogen zu erarbeiten, der die Umsetzung erleichtern soll. Mitte 2026 war er nicht veröffentlicht, und es besteht keine Frist dafür. Sein Fehlen setzt die Pflicht nicht aus. Betroffene Organisationen sollten ihre Methode daher jetzt aufbauen, statt auf ein Formular zu warten.

In den Vereinigten Staaten verlief die Bewegung in die Gegenrichtung. Das Gesetz SB 189 aus Colorado, unterzeichnet am 14. Mai 2026, verschiebt den Colorado AI Act auf den 1. Januar 2027 und streicht die Sorgfaltspflicht gegen algorithmische Diskriminierung, das Risikomanagementprogramm des Betreibers und die Pflicht zur Folgenabschätzung. Übrig bleibt ein auf Offenlegung und Transparenz ausgerichteter Rahmen mit begrenzten Rechten auf Auskunft, Berichtigung und menschliche Überprüfung. Jede Darstellung, die noch von einer Bewertungspflicht in Colorado spricht, beschreibt eine aufgehobene Vorschrift.

Für europäische Betreiber ergibt das unter dem Strich rund achtzehn zusätzliche Monate und ein starkes Argument, sie auf die Methode zu verwenden statt auf die Frist.

Häufige Fragen

Ist eine KI-Folgenabschätzung gesetzlich vorgeschrieben?

Manchmal. Nach der KI-Verordnung trifft die Pflicht nur drei Betreiberkategorien: öffentliche Stellen mit Hochrisikosystemen nach Anhang III, private Einrichtungen mit wesentlichen öffentlichen Diensten sowie Versicherer und Banken, die KI in der Lebens- und Krankenversicherungstarifierung oder der Bonitätsbewertung einsetzen. Nach der DSGVO ist eine DSFA immer dann erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten mit sich bringt, was deutlich weiter greift. ISO/IEC 42005 ist freiwillig. Die meisten Privatunternehmen schulden keine gesetzliche KI-Folgenabschätzung und führen sie als gute Praxis durch.

Worin unterscheidet sich eine KI-Folgenabschätzung von einer Risikobewertung?

In der Blickrichtung. Eine Risikobewertung schützt die Organisation vor dem System und misst Exposition, Kosten und Versagen. Eine KI-Folgenabschätzung schützt Menschen vor dem System und misst Auswirkungen auf ihre Rechte, ihre Chancen und ihre Behandlung. Die KI-Verordnung nutzt beides: Artikel 9 gibt Anbietern ein Risikomanagementsystem, Artikel 27 gibt bestimmten Betreibern eine Grundrechte-Folgenabschätzung.

Ist die GRFA dasselbe wie eine DSFA?

Nein. Eine DSFA nach Artikel 35 DSGVO behandelt Risiken aus der Verarbeitung personenbezogener Daten. Eine Grundrechte-Folgenabschätzung behandelt Auswirkungen auf alle Rechte der Charta, auch solche ohne Datenverarbeitungsbezug wie den Wegfall von Arbeitsplätzen. Organisationen, die beiden Pflichten unterliegen, teilen üblicherweise die Eingangsdaten und führen zwei getrennte Nachweise.

Kann man sich nach ISO 42005 zertifizieren lassen?

Nein. ISO/IEC 42005:2025 ist ein Leitfaden und keine Anforderungsnorm, es gibt daher nichts, wogegen zu Zertifizierungszwecken auditiert werden könnte. Die zertifizierbare Norm dieser Familie ist ISO/IEC 42001 für das KI-Managementsystem, und ein Prozess zur KI-Folgenabschätzung lässt sich dort als Nachweis einbringen.

Bis wann muss das erledigt sein?

Für Betreiber im Anwendungsbereich von Artikel 27 vor der ersten Verwendung des Systems, wobei die Pflicht nach der Digital-Omnibus-Verschiebung ab dem 2. Dezember 2027 gilt. Für eine DSFA vor Beginn der Verarbeitung. Für Bias-Audits nach der New Yorker Local Law 144 innerhalb der zwölf Monate vor der Nutzung. Für eine freiwillige KI-Folgenabschätzung nach ISO/IEC 42005 vor der Einsatzentscheidung und danach wiederkehrend über den Lebenszyklus.

Wer soll die KI-Folgenabschätzung durchführen?

Ein funktionsübergreifendes Team und nicht allein die Modellverantwortlichen. Der Leitfaden empfiehlt, Grundrechtskenntnis mit Technik, Recht, Datenschutz, Beschaffung und Betrieb zu verbinden und die künftig betroffenen Menschen oder ihre legitimen Vertretungen einzubeziehen. Fehlt intern die grundrechtliche Expertise, sollte sie eingekauft oder das interne Team um einen externen Beirat ergänzt werden, statt diese Perspektive auszulassen.

Fazit

Die nützliche Frage lautet nicht, wie man eine KI-Folgenabschätzung im Allgemeinen durchführt, sondern welche Sie schulden und welchen Nachweis sie hinterlässt. Für die meisten Organisationen lautet die ehrliche Antwort im Jahr 2026, dass sie noch kein Gesetz benennt, dass ISO/IEC 42005 die Methode der Wahl ist und dass die Verschiebung des Artikels 27 um achtzehn Monate die Gelegenheit bietet, den Nachweis sauber aufzubauen, statt ein Grund zu warten.

Was eine belastbare KI-Folgenabschätzung von einer bloß abgehefteten unterscheidet, ist der Pfad darunter: die betrachteten Szenarien, die Begründung des Schweregrads, die namentlich zugeordneten Minderungsmaßnahmen und die Überwachung, die ihre Wirksamkeit belegt. AI Sigil führt diesen Pfad als lebenden Nachweis zu jedem System und jedem Rahmenwerk, das Sie betreiben, sodass die KI-Folgenabschätzung zum Nebenprodukt Ihrer Governance wird und nicht zu einem Dokument, das Sie unter Zeitdruck rekonstruieren.