Neu Dokument-ID: 1253689

Harald Straub | Praxiswissen | Fachbeitrag

8.7.2 Die 5 Kernaussagen

1. Erst prüfen, dann starten.
   • DPIA (Datenschutz-Folgenabschätzung) ist fällig, wenn hohe Risiken für Personen absehbar sind – zB Scoring/Profiling (automatisierte Bewertung), sensible Daten oder Überwachung.
   • FRIA (Grundrechte-Folgenabschätzung) ist – ab 2. August 2026 – vor der ersten Nutzung bestimmter Hochrisiko-KI nach dem AI Act Pflicht. Sie betrifft va: (a) öffentliche Stellen und private Anbieter öffentlicher Dienste, wenn sie Hochrisiko-KI-Systeme nach Anhang III (außer im Strafverfolgungsbereich) einsetzen, sowie (b) alle Arbeitgeber, wenn sie Hochrisiko-KI-Systeme in Beschäftigung und Personalmanagement nach Anhang III Z 5(b)/(c) verwenden (zB Recruiting-/Screening-KI, Personalsteuerung).
   • DSA (Digital Services Act) gilt generell für Online-Vermittlungsdienste (zB Hosting, Plattformen). Eine zusätzliche Pflicht zu systemischen Risikobewertungen trifft aber nur sehr große Plattformen und Suchmaschinen (VLOP/VLOSE).
2. Rollen klären – damit nichts hängen bleibt.
   • Verantwortliche:r (bestimmt Zweck/Mittel), Auftragsverarbeiter (arbeitet auf Weisung), DSB/ZPDB (Datenschutzbeauftragte:r/zuständige Person – berät/überwacht), Provider (Anbieter), Deployer (einsetzende/betreibende Stelle).
   • RACI festlegen (R=macht, A=entscheidet, C=konsultiert, I=informiert) – pro Aufgabe eine A-Rolle.
3. Muss-Kontrollen (Must-Controls) einbauen.
   • Human Oversight (menschliche Aufsicht): Übersteuern/Anhalten (Override/Stop), klare Eingriffskriterien, geschulte Personen.
   • Fairness-Checks: Gleichverteilung (Statistical Parity) und gleiche Chancen bei gleicher Eignung (Equal Opportunity).
   • Transparenz & Erklärung: Hauptelemente der Entscheidung in klarer Sprache; ADM-Hinweis (automatisierte Entscheidung) wo relevant.
   • Sicherheit/Robustheit: Schutz vor Prompt Injection (eingeschleuste Anweisungen) und Data Poisoning (vergiftete Daten); OWASP-LLM-Check (LLM-Sicherheitsleitfaden).
   • Logging/Monitoring: zweckgebundene Protokolle; in der Regel ≥ 6 Monate (soweit unter eigener Kontrolle).
4. Dokumentation macht prüffähig.
   • RoPA (Verzeichnis der Verarbeitungstätigkeiten), DPIA-/FRIA-Akte, Technische Doku (Anhang IV AI Act), ggf EU-Register (Hochrisiko-KI), Transparenztexte (Art 13/14 DSGVO).
   • Nachvollziehbarkeit sichern: Versionen, Freigaben, Changelog (Änderungsprotokoll).
5. Österreich-Spezifika beachten.
   • DSFA-V/DSFA-AV (Black-/White-List zur DPIA-Pflicht/Ausnahme) gehören in jede Schwellenprüfung.
   • Betriebsrat/Interessenvertretung früh einbinden, wenn Beschäftigtendaten oder Überwachung betroffen sind.
   • DSB/ZPDB verpflichtend einbinden (Beratung/Überwachung; Stellungnahme in der DPIA).