GRC

Ethical Impact Assessment: die Prüfung nach der Prüfung

DSFA und FRIA beantworten juristische Fragen. Das Ethical Impact Assessment stellt die Frage, die danach kommt: Ist ein System auch dann verantwortbar, wenn alles formal rechtmäßig ist?

Worum es geht

Das Ethical Impact Assessment (EIA), teilweise auch als Data Ethics Impact Assessment bezeichnet, bewertet die ethischen und gesellschaftlichen Auswirkungen digitaler Systeme und Datenverarbeitungen. Besondere Bedeutung hat es beim Einsatz von Künstlicher Intelligenz.

Wichtig ist die Reihenfolge: Das EIA tritt nicht an die Stelle der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO oder der Grundrechte-Folgenabschätzung nach Art. 27 KI-VO. Es setzt darauf auf und geht weiter. Sein Zweck ist es, Risiken für Menschen und Gesellschaft früh zu erkennen, abzuwägen und gezielt zu reduzieren. Das Ergebnis sind dokumentierte Abwägungen, begründete Design- und Governance-Entscheidungen und in Summe eine belastbarere Accountability.

Die Leitfrage lautet: Welche Schäden, Ungerechtigkeiten oder Vertrauensverluste können entstehen, selbst wenn die Verarbeitung rechtmäßig ist?

Drei Instrumente, drei Fragen

DSFA: Ist die Verarbeitung personenbezogener Daten datenschutzrechtlich riskant oder problematisch? Der Fokus liegt auf der Verarbeitung im Sinne der DSGVO und auf den Grundsätzen des Art. 5 (Rechtmäßigkeit, Zweckbindung, Datenminimierung, Integrität und Vertraulichkeit). Betrachtet wird das Individuum. Verpflichtend bei voraussichtlich hohem Risiko, etwa bei groß angelegter Verarbeitung besonderer Kategorien, systematischer Überwachung oder Profiling.

FRIA: Beeinträchtigt das System Grundrechte im Sinne der Charta der Grundrechte der EU? Hier zählt nicht nur das Individuum, sondern auch die Gruppe, und der konkrete Einsatzkontext ist entscheidend. Zu prüfen sind das betroffene Grundrecht, die Eingriffsintensität, Rechtfertigung und Verhältnismäßigkeit, wer das System gegen wen oder für wen einsetzt, ob vulnerable Gruppen betroffen sind, in welchem Kontext der Einsatz erfolgt (öffentlicher Raum, Bewerbungsverfahren) und welche Schutzmechanismen und Rechtsbehelfe bestehen. Dazu gehören menschliche Kontrolle, Transparenz, Bias-Tests, Datenminimierung und Qualitätssicherung. In bestimmten Fällen gesetzlich vorgesehen.

EIA: Ist das Verfahren insgesamt verantwortbar, fair und gesellschaftlich vertretbar? Auch wenn etwas rechtlich zulässig ist, bleiben die Fragen offen, ob es fair, transparent und frei von Manipulation ist, welche gesellschaftlichen Nebenfolgen es hat und ob grobe Machtasymmetrien entstehen.

Das Verhältnis der Instrumente zueinander lässt sich einfach beschreiben: Alles, was in einer FRIA relevant ist, kann auch im EIA auftauchen. Umgekehrt ist nicht alles aus einem EIA automatisch eine Grundrechtsfrage.

Genau dort liegt der Mehrwert. Typische EIA-Themen ohne unmittelbaren Grundrechtsbezug sind Vertrauensverlust, Manipulation durch User-Interface-Design, Abhängigkeiten und Lock-in-Effekte, negative kulturelle Effekte, ökologische Auswirkungen sowie eine ethisch problematische, aber rechtlich zulässige Personalisierung.

Wann ein EIA angebracht ist

KI-gestützte Entscheidungen wie Scoring, Profiling oder Personalisierung
Verarbeitung sensibler Daten, etwa Gesundheitsdaten, biometrische Daten oder Daten von Kindern und Jugendlichen
Große Reichweite oder starke Machtasymmetrie, typisch bei Plattformen und Behörden
Intransparente Interfaces und Dark Patterns
Neue Datennutzungen durch Zweckänderung, Datenfusion oder neue Sensorik und IoT

Bewertungsdimensionen

Ein EIA arbeitet entlang von neun Dimensionen:

Datenschutz und Privatsphäre: über die DSGVO-Checks hinaus etwa Re-Identifizierbarkeit, Kontextintegrität, Zweckverschiebung, Überwachung
Fairness und Nicht-Diskriminierung: Verzerrungen in Daten und Modellen, unterschiedliche Fehlerquoten, Benachteiligung geschützter und vulnerabler Gruppen
Autonomie und Einwilligung: Freiwilligkeit, informierte Entscheidungen, Vermeidung manipulativer Gestaltung
Transparenz und Erklärbarkeit: verständliche Kommunikation, nachvollziehbare Entscheidungen, Offenlegung von Funktionsweise und Grenzen
Sicherheit und Schutz vor Missbrauch: Missbrauchsgefahr, Dual-Use, adversarielle Angriffe, Robustheit gegenüber Fehlanwendungen
Machtasymmetrie und Abhängigkeiten: unfaire Lock-ins, Ausschlüsse, Zugangsbarrieren, Konzentration von Kontrolle und Wissensvorteilen
Gesellschaftliche und ökologische Auswirkungen: Rebound-Effekte, Ressourcenverbrauch, Auswirkungen auf soziale Strukturen, öffentliche Güter und Umwelt
Governance und Accountability: Rollen, Verantwortlichkeiten, Beschwerde-, Prüf- und Korrekturprozesse
Menschliche Aufsicht: Interventions- und Eingriffsmöglichkeiten im laufenden Betrieb, Eskalationspfade

Was muss davor erledigt werden?

Ein EIA beginnt nicht bei null. Handelt es sich um die Verarbeitung personenbezogener Daten, ist diese im Verarbeitungsverzeichnis zu dokumentieren. In diesem Schritt werden, sofern erforderlich, bereits ein Legitimate Interest Assessment (LIA) und ein Transfer Impact Assessment (TIA) durchgeführt.

Grundsätzlich sollte bei jeder Verarbeitung ein Privacy Impact Assessment (PIA) erfolgen. Darin wird dokumentiert, warum eine DSFA durchzuführen ist oder eben nicht. Damit liegt eine Abschätzung vor, welche Folgen die Verarbeitung für die Rechte und Freiheiten der Betroffenen hat. Geht es nicht um personenbezogene Daten, sind Dokumentation und Bewertung nach demselben Schema durchzuführen.

Beim Einsatz von KI kommen im Zuge des Verarbeitungsverzeichnisses die relevanten Klassifizierungen nach der KI-VO dazu: KI-Definition, Risikokategorie und Transparenzpflichten. Zusätzlich wird geprüft, ob eine FRIA verpflichtend oder als Ergebnis der Bewertung durchzuführen ist. Die DSFA ist entsprechend zu erweitern.

Erst darauf aufbauend folgt das EIA. Viele Prüfungen und Dokumentationen liegen zu diesem Zeitpunkt bereits vor und müssen nur noch einfließen oder ergänzt werden.

Ablauf in acht Schritten

Scope und Kontext: Zweck, tragfähige Rechtsgrundlage oder nur Einwilligung (freiwillig, granular, verständlich), Einsatzumgebung, weniger eingriffsintensive Alternativen, internationale Datentransfers
Stakeholder- und Betroffenenanalyse: Wer ist betroffen, wer trägt Nutzen und wer die Lasten, sind vulnerable Gruppen dabei, lassen sich Betroffenenrechte umsetzen, was wird wem wann und wie erklärt und ist diese Erklärung nützlich
Daten- und Prozessfluss: Erhebung, Quellen, Weitergaben, Speicherung, Löschung, Modell- und Systemarchitektur, Prüfung auf Verzerrungen samt Metriken, Passung zwischen Nutzung und Erhebungskontext
Notwendigkeit und Verhältnismäßigkeit: Welche Daten sind wirklich nötig, welche datensparsameren Alternativen und Minimierungsoptionen gibt es
Risikoinventar und Szenarien: materielle und immaterielle Schäden inklusive Gruppenrisiken, konkrete Schadenserzählungen statt abstrakter Risiken, Missbrauchsszenarien, Fehlfunktionen, adversarielle Angriffe, Bedrohungsmodell, Lieferkette
Risikoanalyse: Eintrittswahrscheinlichkeit mal Schwere, mit besonderem Blick auf unsichere, aber schwerwiegende Low-Probability-Risiken
Maßnahmen und Designentscheidungen: TOM, Datenschutz durch Technikgestaltung, UI-Maßnahmen ohne Dark Patterns, Modellmaßnahmen wie Bias-Monitoring, Fairness-Constraints und Explainability, Betriebsmaßnahmen wie Protokollierung, Audit und Incident Response, Human Oversight und Beschwerdebehandlung
Restrisiko, Freigabe und Monitoring: Abzeichnung durch die Verantwortlichen, KPI- und Monitoring-Plan, periodische Re-Assessments, Änderungsmanagement

Einordnung für die berufliche Praxis

Das EIA ist kein weiteres Formular, sondern die Ebene, auf der begründet wird, warum ein System so gebaut und betrieben wird, wie es gebaut und betrieben wird. Wer DSFA, FRIA und die KI-VO-Klassifizierung ohnehin sauber führt, hat den Großteil des Materials bereits beisammen.

Für Organisationen, beispielsweise mit einem AI-Management-System nach ISO/IEC 42001 lässt sich das EIA gut an das dort vorgesehene AI System Impact Assessment andocken. ISO/IEC 42005 liefert dafür die methodische Struktur. Damit wird aus einer punktuellen Bewertung ein wiederkehrender, auditierbarer Prozess.