Von fragmentierter Compliance zu einheitlicher Governance
09/2026
1. Einleitung
Die Integration künstlicher Intelligenz (KI) in die Unternehmensabläufe hat das Verhältnis zwischen Technologie, Governance und dem Schutz der Menschenrechte grundlegend verändert. Dieser Wandel wurde durch das Aufkommen konkurrierender globaler Ansätze zur KI-Governance noch beschleunigt, insbesondere durch den Kontrast zwischen den rechtsbasierten Regulierungsrahmen der Europäischen Union und dem marktorientierten Ansatz der Vereinigten Staaten, der im «America’s AI Action Plan» formuliert wurde. KI-Systeme sind zunehmend an kritischen Entscheidungsprozessen beteiligt. Sie wirken sich auf die Beschäftigung, die Kreditvergabe, die Gesundheitsversorgung und soziale Dienstleistungen aus. Ihre Fähigkeit, die Rechte des Einzelnen zu beeinflussen, nimmt zu, was zu einer grundlegenden «Governance-Lücke» zwischen technologischen Möglichkeiten und traditionellen Rahmenwerken führt. Diese Rahmenwerke wurden in erster Linie für konventionelle Geschäftsaktivitäten entwickelt und reichen nun nicht mehr aus, um den einzigartigen Merkmalen von KI-Systemen wie Undurchsichtigkeit, Skalierbarkeit, adaptiven Lernfähigkeiten und dem Potenzial für systemische Verzerrungen gerecht zu werden. Es ist noch dringlicher geworden, dieses Defizit zu beheben, da sich der Einsatz von KI von experimentellen Anwendungen hin zu zentralen Geschäftsprozessen in allen Sektoren verlagert hat. Frühere technologische Innovationen betrafen in erster Linie bestimmte Branchen oder Funktionen. Heutzutage berührt KI jeden Lebensbereich. Kein Wirtschaftssektor bleibt von algorithmischen Entscheidungsprozessen unberührt. Dies stellt die Unternehmen vor beispiellose Herausforderungen, wenn es darum geht, sicherzustellen, dass der Einsatz von KI in Unternehmen die Grundrechte achtet. Und traditionelle Ansätze zur Rechenschaftspflicht von Unternehmen, die typischerweise auf branchenspezifischen Vorschriften oder freiwillig anwendbaren Normen basieren, haben Mühe, der vernetzten und systemischen Natur der Auswirkungen von KI gerecht zu werden.
Im theoretischen Kern dieser Herausforderung steht die Drittwirkung der Grundrechte. Die Doktrin besagt, dass Menschenrechtsnormen nicht nur für staatliche Akteure, sondern auch für private Akteure Verpflichtungen begründen, insbesondere für Unternehmen, deren Aktivitäten die Ausübung von Rechten erheblich beeinträchtigen können. Die Doktrin der Drittwirkung hat sich seit ihren Anfängen in der deutschen Verfassungsrechtsprechung erheblich weiterentwickelt und sich von ihren ursprünglichen Anwendungen im Bereich der Regulierung der Meinungsäusserungsfreiheit auf das Arbeits- und Vertragsrecht und schliesslich auf eine umfassendere Unternehmensverantwortung für den Schutz von Rechten entlang der gesamten Wertschöpfungsketten ausgeweitet. Die Doktrin der Drittwirkung wird in einem multipolaren Umfeld der KI-Governance besonders komplex, in dem verschiedene Rechtsordnungen grundlegend unterschiedliche Vorstellungen davon haben können, welche Rechte Vorrang verdienen und wie sie gegen Innovationserfordernisse abgewogen werden sollten.
Die Anwendung der Doktrin der horizontalen Wirkung auf KI-Systeme bringt neue Komplexitäten mit sich, mit denen bestehende rechtliche Rahmenbedingungen nur schwer zurechtkommen. Die traditionelle Analyse der horizontalen Wirkung konzentriert sich in erster Linie auf direkte Beziehungen zwischen Unternehmen und Einzelpersonen. KI-Systeme funktionieren über komplexe Wertschöpfungsketten und beziehen zahlreiche Akteure wie Entwickler, Anbieter, Betreiber, Datenlieferanten und Dritte mit ein. Sie wirken sich auf Einzelpersonen durch algorithmische Prozesse aus, die möglicherweise selbst für die Organisationen, die sie einsetzen, unklar sind. Diese Komplexität erfordert neue Ansätze zur Umsetzung von Verpflichtungen im Zusammenhang mit der horizontalen Wirkung, die der verteilten Verantwortung, neu auftretenden Schäden und dem dynamischen Charakter der Auswirkungen von KI-Systemen gerecht werden.
Die Europäische Union hat auf diese Herausforderungen mit dem KI-Gesetz reagiert. Es kann als Meilenstein in der Entwicklung sowohl der KI-Governance als auch des Rechts der Unternehmensverantwortung bezeichnet werden. Das KI-Gesetz führt die Grundrechte-Folgenabschätzung (FRIA) als verbindliche Anforderung für Betreiber bestimmter KI-Systeme mit hohem Risiko ein. Es ist das erste Mal, dass das Völkerrecht eine komplexe Menschenrechts-Folgenabschätzung (HRIA) für technologische Systeme direkt vorschreibt. Und diese neue Regelung geht weit über den traditionellen Ansatz des Datenschutzes hinaus und verlangt eine umfassende Bewertung der Auswirkungen von KI-Systemen über das gesamte Spektrum der in der EU-Grundrechtecharta anerkannten Grundrechte hinweg.
Die FRIA stellt mehr als nur eine schrittweise Regulierungsreform dar. Sie verkörpert eine grundlegende Neukonzeption der Unternehmensverantwortung im digitalen Zeitalter. Frühere Rahmenwerke behandelten Menschenrechtsaspekte als externe Einschränkungen für den Geschäftsbetrieb. Die FRIA verlangt die Integration der Bewertung der Rechte s in die Kernarchitektur von Entscheiden zum Einsatz von KI. Sie folgt damit breiteren Trends in der Unternehmensführung hin zur Einbettung von Umwelt-, Sozial- und Governance-Aspekten (ESG) in die strategische Entscheidungsfindung. ESG bezieht sich auf eine Reihe von Standards zur Bewertung der Nachhaltigkeit und der ethischen Auswirkungen einer Investition oder eines Unternehmens, wobei der Schwerpunkt auf drei Bereichen liegt: Umwelt, Soziales und Unternehmensführung. Dies spiegelt auch wichtige Erkenntnisse aus der Entwicklung von Ansätzen zur sozialen Verantwortung von Unternehmen (Corporate Social Responsibility, CSR) hin zu verbindlicheren rechtlichen Rahmenbedingungen wider. Wan Jan definierte CSR als ethische Haltung und Geschäftsstrategie und schloss sich damit der Definition von Hopkins an, der CSR als «ethischen oder verantwortungsvollen Umgang mit den Stakeholdern des Unternehmens» beschrieb. Frühe CSR-Initiativen leisteten einen wertvollen Beitrag zur Sensibilisierung für die gesellschaftlichen Auswirkungen von Unternehmen. Sie reichten jedoch nicht aus, um einen konsequenten Schutz der Menschenrechte entlang globaler Wertschöpfungsketten zu gewährleisten. Die Entwicklung der Leitprinzipien der Vereinten Nationen für Wirtschaft und Menschenrechte war einer der ersten wichtigen Schritte hin zu systematischeren Ansätzen zur Menschenrechtsverantwortung von Unternehmen. Sie führten das Konzept der Sorgfaltspflicht im Bereich der Menschenrechte als proaktive Verpflichtung ein, doch der freiwillige Charakter dieser Rahmenwerke schränkte ihre Wirksamkeit ein, insbesondere dort, wo kommerzielle Interessen mit dem Schutz der Rechte in Konflikt standen. Der verbindliche Charakter des FRIA schafft rechtlich bindende Verpflichtungen, die die Grundsätze der Sorgfaltspflicht im Bereich der Menschenrechte umsetzen, wenn auch speziell für den Einsatz von KI. Ergänzt wird dies durch breitere Trends hin zu verbindlichen Sorgfaltspflichtgesetzen in Europa, darunter das französische «Loi de Vigilance», das deutsche Lieferketten-Sorgfaltspflichtgesetz (LkSG) und die EU-Richtlinie zur Sorgfaltspflicht von Unternehmen im Bereich der Nachhaltigkeit (CSDDD). Das FRIA geht jedoch über diese Rahmenwerke hinaus, indem es nicht nur eine Bewertung der Auswirkungen von Unternehmen auf die Rechte verlangt, sondern auch der spezifischen Art und Weise, wie KI-Systeme durch ihre Konzeption, ihren Betrieb und ihren Einsatz die Ausübung der Grundrechte beeinträchtigen können.
Die Bedeutung dieser regulatorischen Neuerung reicht über den europäischen Kontext hinaus und zeigt sich in dem, was Wissenschaftler als «Brüssel-Effekt» bezeichnen. Dieses Phänomen beschreibt, wie EU-Regulierungsstandards durch Marktintegration und Wettbewerbsdynamik globale Geschäftspraktiken beeinflussen. Es geht davon aus, dass multinationale Konzerne ihre KI-Governance-Praktiken an die Anforderungen des FRIA anpassen werden und dass diese Ansätze zu globalen Standards werden, wodurch Spillover-Effekte entstehen, die den regulatorischen Einfluss der EU weit über ihre territorialen Grenzen hinaus ausdehnen. Diese Dynamik ist im Bereich der KI-Governance besonders ausgeprägt, wo es für Unternehmen aufgrund der technischen Komplexität der Compliance oft effizienter ist, einheitliche Standards in ihren globalen Betrieben anzuwenden, anstatt unterschiedliche Praktiken für verschiedene Rechtsordnungen beizubehalten.
Dieser europäische Ansatz sieht sich nun jedoch Herausforderungen durch divergierende globale Ansätze zur KI-Governance gegenüber, insbesondere durch den «America’s AI Action Plan» der Vereinigten Staaten, der Innovation, Wettbewerbsvorteile und «amerikanische Werte» ausdrücklich vor traditionellen multilateralen Governance-Rahmenwerken und rechtsbasierten Ansätzen priorisiert. Der US-Plan wurde durch den Start der «Genesis-Mission» am 24. November 2025 bestätigt und bekräftigt, die per Exekutivverordnung des US-Präsidenten umgesetzt wurde. Die Genesis-Mission, die sowohl hinsichtlich ihrer Dringlichkeit als auch ihrer Ambitionen mit dem Manhattan-Projekt verglichen wird, positioniert die Entwicklung der KI als entscheidende Grenze wissenschaftlicher Entdeckungen und des Wirtschaftswachstums und argumentiert, dass sich die Vereinigten Staaten in einem Wettlauf um die globale technologische Vorherrschaft in diesem Bereich befinden.
Dieses sich abzeichnende multipolare Governance-Umfeld schafft neue Herausforderungen für die universelle Anwendung von Menschenrechtsprinzipien beim Einsatz von KI. Die traditionelle Dynamik des «Brüssel-Effekts» könnte durch explizite Gegenmassnahmen vor beispiellosen Herausforderungen stehen, da der amerikanische KI-Aktionsplan die Etablierung von «amerikanischer KI» als globalen Standard betont. Unter dem Druck dieses US-amerikanischen Ansatzes wird FRIA möglicherweise nicht, wie ursprünglich erwartet, zum universellen Standard werden, insbesondere wenn multinationale Konzerne mit konkurrierenden regulatorischen Anreizen konfrontiert sind, die weniger umfassende, auf Rechten basierende Rahmenwerke begünstigen.
Vor diesem Hintergrund führt der vorliegende Artikel eine neue Perspektive ein, indem er die Ansätze der USA und der EU in Bezug auf KI- und Menschenrechtsvorschriften unter dem Gesichtspunkt der horizontalen Wirkung vergleicht. Der Artikel argumentiert, dass die Konvergenz von verbindlichen (FRIA) und freiwilligen (HUDERIA) Rahmenwerken zwar einen bedeutenden Fortschritt beim Schutz der Menschenrechte durch Unternehmen darstellt, diese Konvergenz jedoch zunehmend durch aufkommende multipolare Governance-Ansätze bedroht wird, die die nationale Wettbewerbsfähigkeit über universelle Rechtsstandards stellen. Die daraus resultierende Spannung stellt die traditionelle Annahme in Frage, dass europäische Regulierungsmodelle durch Marktdynamiken globalen Einfluss erlangen werden.
Um die Herausforderungen bei der Transformation der KI-Regulierung von einer fragmentierten Compliance hin zu einer einheitlichen Governance in einer multipolaren Welt hervorzuheben, ist dieser Artikel in mehrere Abschnitte gegliedert. Abschnitt 2 analysiert die horizontale Wirkung der Grundrechte in der Wirtschaft. Abschnitt 3 erörtert das FRIA als erste umfassende Regelung, die HRIA in KI-Wertschöpfungsketten vorschreibt. Abschnitt 4 untersucht die Umsetzungsverpflichtungen des FRIA für private Organisationen. Abschnitt 5 bewertet die Auswirkungen des Übergangs zu freiwilligen Menschenrechtsrahmenwerken. Schliesslich fasst der abschliessende Abschnitt 6 die im gesamten Artikel dargelegten Erkenntnisse und Implikationen zusammen.
2. Horizontale Wirkung der Grundrechte in der Wirtschaft
2.1 Wirtschaftsunternehmen als Adressaten der Menschenrechte
Das Konzept der horizontalen Wirkung der Grundrechte wird in der Literatur gemeinhin als der Grundsatz verstanden, dass diese Rechte auf Konflikte zwischen Privatpersonen Anwendung finden und nicht nur auf solche zwischen Einzelpersonen und dem Staat oder anderen öffentlichen Stellen. Wie Frantziou feststellt, betont dieser Grundsatz die Anwendung der Grundrechte in privaten Streitigkeiten.
Beim gegenwärtigen Stand der Entwicklung des Menschenrechtskonzepts sind Wirtschaftsunternehmen zweifellos Adressaten der Menschenrechte, in dem Sinne, dass sie die Fähigkeit besitzen, Träger dieser Rechte zu sein. Es besteht auch kein Zweifel daran, dass diese Unternehmen durch ihr Handeln diese Rechte verletzen können. In der Rechtslehre wird derzeit diskutiert, wie Unternehmen für die Nichteinhaltung von Menschenrechtsgrundsätzen zur Verantwortung gezogen werden können, da das internationale System zum Schutz der Menschenrechte in seiner gegenwärtigen Form die Durchsetzung einer Haftung gegenüber Unternehmen nicht zulässt. Daher ist es von entscheidender Bedeutung, spezifische Instrumente zu entwickeln, die dazu dienen, Unternehmen zur Einhaltung der Menschenrechte zu verpflichten. Ausgangspunkt für die Konzeption solcher Instrumente ist die Unterscheidung zwischen verschiedenen Arten der Haftung, die ein Unternehmen tragen kann.
Die Betonung der Entwicklung spezifischer Instrumente zur Durchsetzung der Einhaltung der Menschenrechte durch Unternehmen verdeutlicht eine entscheidende Lücke im aktuellen Rechtsrahmen und legt nahe, dass ohne solche Mechanismen die Rechenschaftspflicht von Unternehmen für Rechtsverletzungen weitgehend unberücksichtigt bleibt.
2.2 Ethische Verantwortung
Der erste Aspekt der Diskussion ist die Verantwortung ethischer Natur. In diesem Beitrag beschränken wir uns auf die Analyse von Normen der Unternehmensethik, die darauf abzielen, die Geschäftstätigkeit von Unternehmen zu regeln. Es ist festzustellen, dass Normen der Unternehmensethik Werte schützen, die auch durch die Menschenrechte gewahrt werden. Eine solche Situation ist jedoch nicht in jedem Fall gewährleistet, da das Verständnis für Normen der Unternehmensethik nicht universell ist und ihre Einhaltung zudem freiwillig erfolgt und Verstösse häufig keinen institutionalisierten Sanktionen unterliegen. Folglich lässt sich nicht behaupten, dass das auf ethischen Normen basierende Regulierungssystem im Bereich der Menschenrechte für den Schutz von Personen, die durch unternehmerische Aktivitäten geschädigt werden, ausreichen wird. Dennoch bleibt es notwendig, ethische Standards zu entwickeln, die bei der Regelung von Pflichten hilfreich sind, die nicht durch gesetzliche Bestimmungen abgedeckt sind, und die eine entscheidende Rolle bei der Auslegung verschiedener Rechtsnormen spielen werden.
Diese ethische Dimension gewinnt im aktuellen multipolaren Umfeld der KI-Governance besonders an Bedeutung. Da verschiedene Rechtsordnungen unterschiedliche Werte priorisieren können – die europäische Betonung der Grundrechte gegenüber der amerikanischen Betonung von technologischer Führungsrolle und wirtschaftlicher Wettbewerbsfähigkeit –, bieten ethische Rahmenbedingungen Raum für eine Unternehmensführung, die über die minimale Einhaltung gesetzlicher Vorschriften hinausgeht.
Die Diskussion verdeutlicht die Unzulänglichkeit freiwilliger Normen der Unternehmensethik beim konsequenten Schutz der Menschenrechte, insbesondere in einem komplexen globalen Kontext, in dem unterschiedliche rechtliche und ethische Prioritäten bestehen.
2.3 Unternehmensverantwortung
Der zweite Bereich ist der der Unternehmensverantwortung. Im Zusammenhang mit den Menschenrechten hat dieser Begriff zwei Bedeutungen. Die erste bezieht sich auf die freiwillige Entscheidung eines Unternehmens, bestimmte Verpflichtungen zu übernehmen, einschliesslich solcher, die sich aus Rechtsnormen ergeben, zu deren Einhaltung das Unternehmen nicht verpflichtet ist. In dieser Situation drohen dem Unternehmen rechtliche Sanktionen für Handlungen, die gegen die intern auferlegten Regeln verstossen, da ein solches Verhalten die Grundsätze des fairen Wettbewerbs verletzt.
In der zweiten Bedeutung bezieht sich Verantwortung auf die Verletzung der sogenannten «sozialen Betriebsbewilligung». Dieser Gedanke basiert auf der Vorstellung, dass durch einen gesellschaftlichen Konsens ein spezifischer Bereich menschlichen Handelns geschaffen wurde, in dem Wirtschaftsunternehmen tätig sind. Folglich sind sie jedoch gezwungen, sich so weit wie möglich an Regeln zu halten, die für natürliche Personen gelten. Die Grundlage der Unternehmensverantwortung in diesem Sinne umfasst auch Normen, die weder auferlegt noch freiwillig übernommen wurden, die aber gemäss gesellschaftlichen Erwartungen eingehalten werden sollten. Zu diesen Normen gehören die Bestimmungen zu den Menschenrechten. Es muss jedoch betont werden, dass Verantwortung in diesem Sinne niemals zu rechtlichen Sanktionen führen wird. Sie ähnelt in ihrer Natur der Verletzung ethischer Standards. Dennoch ist festzuhalten, dass dieses Verständnis von «Verantwortung» zur Grundlage für die Erstellung normativer Dokumente geworden ist. Unter diesen spielen die Leitprinzipien für Wirtschaft und Menschenrechte: Umsetzung des Rahmens der Vereinten Nationen «Schützen, Achtung und Abhilfe» (Protect, Respect and Remedy), die am 21. März 2011 verabschiedet und vom Sonderbeauftragten des Generalsekretärs der Vereinten Nationen für Wirtschaft und Menschenrechte (BHR) erarbeitet wurden, die Hauptrolle. Der Ansatz basiert auf drei Säulen, die darauf abzielen, die Rechenschaftspflicht von Unternehmen bei Menschenrechtsverletzungen zu stärken. Diese Säulen sind: die staatliche Schutzpflicht, der Zugang zu Rechtsbehelfen und die unternehmerische Verantwortung zur Achtung der Menschenrechte. Es ist wichtig zu betonen, dass die einstimmige Verabschiedung des Berichts durch den Menschenrechtsrat am 16. Juni 2011 auf eine äusserst positive Resonanz seitens der Staaten stiess, von denen einige Pläne ankündigten, die entsprechenden Lösungen in ihre eigenen Rechtssysteme zu integrieren. Darüber hinaus wird argumentiert, dass das Dokument eine positive Verpflichtung seitens der Staaten impliziert, solche Massnahmen zu ergreifen.
Die Fokussierung auf die unternehmerische Verantwortung verschleiert oft die tatsächliche Rechenschaftspflicht und ermöglicht es Unternehmen, sich den tatsächlichen Konsequenzen unethischer Praktiken zu entziehen.
2.4 Rechenschaftspflicht bei Menschenrechtsverletzungen
Der dritte Aspekt der Unternehmensverantwortung bei Menschenrechtsverletzungen ist der Aspekt der Rechenschaftspflicht. Dieser bezieht sich auf die Einhaltung rechtlicher Normen und im Falle ihrer Verletzung auf die Übernahme von Verantwortung durch angemessene Verfahren. Wie bereits erwähnt, gibt es derzeit keine globalen Instrumente, die als Grundlage für eine solche Rechenschaftspflicht dienen würden. Allerdings existieren entsprechende Regelungen auf nationaler Ebene und innerhalb der Europäischen Union. In diesem Zusammenhang werden wir einige dieser Regelungen aus dem Bereich des Zivilrechts untersuchen. Aufgrund des begrenzten Umfangs dieses Artikels ist eine umfassende Analyse nicht möglich. Unsere Absicht ist es, aufzuzeigen, dass solche Regelungen in den rechtlichen Rahmenbedingungen verschiedener Länder funktionieren und dass es keine Hindernisse gibt, ähnliche Lösungen auf Unternehmen anzuwenden, die an der KI-Entwicklung beteiligt sind.
Auf nationaler Ebene ist einer der wichtigsten Rechtsakte zur Gestaltung der Unternehmensverantwortung der «Alien Tort Claims Act» (ATCA), der Teil der Verfahrensvorschriften vor den Bundesgerichten der Vereinigten Staaten ist. Gemäss dieser Regelung sind die Bezirksgerichte zuständig für jede Zivilklage, die von einem Ausländer wegen einer unerlaubten Handlung erhoben wird, die gegen die allgemeinen Regeln des Völkerrechts oder gegen Verträge verstösst, denen die Vereinigten Staaten beigetreten sind. Dazu gehören auch Verträge über Menschenrechte. Bedeutsam ist dies aufgrund der Tatsache, dass der ATCA im ersten Jahrzehnt des 21. Jahrhunderts als Instrument zur Durchsetzung von Entschädigungen für Menschenrechtsverletzungen diente. Zwar schränkten die Gerichte in späteren Urteilen seine Anwendung ein und entschieden, dass er nicht extraterritorial auf andere als amerikanische Unternehmen angewandt werden könne und dass er «eher inländisches Verhalten als allgemeine Unternehmensaktivitäten» betreffen müsse; neuere Entscheide geben jedoch Anlass zur Hoffnung auf eine breitere Anwendung dieser Rechtsinstitution. Die Einschränkungen des ATCA verdeutlichen die Herausforderungen bei der Durchsetzung einer wirksamen Rechenschaftspflicht für Menschenrechtsverletzungen durch Unternehmen.
2.5 Europäischer Ansatz zur Menschenrechtsverantwortung privater Akteure
Die Rechtsentwicklung in den kontinentaleuropäischen Ländern hat zur Festigung der zivilrechtlichen Haftung von Unternehmen für Menschenrechtsverletzungen als Ausdruck einer Sorgfaltspflicht geführt, insbesondere in Bezug auf Tochtergesellschaften und Unternehmen innerhalb der Lieferkette. Beispiele für solche Lösungen finden sich in den bereits erwähnten französischen und deutschen Gesetzen. Es wird jedoch oft angemerkt, dass diese Bestimmungen nur von begrenzter Bedeutung sind, da sich das Handelsrecht tendenziell auf die Interessen der Aktionäre und die Gewinnmaximierung konzentriert. Zudem sind die eingeführten Pflichten grösstenteils formaler und verfahrensrechtlicher Natur und betreffen vor allem die Identifizierung und das Management von Risiken für das Unternehmen, anstatt Menschenrechtsverletzungen zu verhindern oder zu beheben.
Auch die Europäische Union hat Massnahmen ergriffen, um die Rechenschaftspflicht von Unternehmen zu stärken. Ihre Vorzeigeinitiative in diesem Bereich ist die Richtlinie (EU) 2024/1760 vom 13. Juni 2024 über die CSDDD. Dieses Gesetz setzt die Grundsätze der UN-Leitprinzipien um und legt verbindliche materielle und organisatorische Pflichten fest, die sich auf die Identifizierung, Prävention, Minderung und Behebung tatsächlicher und potenzieller negativer Auswirkungen der Geschäftstätigkeit eines Unternehmens beziehen, sowohl innerhalb der eigenen Organisation als auch in Bezug auf Tochtergesellschaften und Geschäftsbeziehungen in der gesamten Wertschöpfungskette. Die Richtlinie sieht zudem Durchsetzungsmechanismen in Form einer Aufsicht durch nationale Behörden, administrativer Sanktionen und zivilrechtlicher Haftung bei vorsätzlicher Verletzung der Sorgfaltspflichten vor. Es ist jedoch zu beachten, dass die Richtlinie zwar verabschiedet wurde, aber möglicherweise nicht in ihrer jetzigen Form in Kraft treten wird, da sie Teil des von der Europäischen Kommission vorgeschlagenen Omnibus-Deregulierungspakets geworden ist. Die vorgeschlagenen Änderungen zielen darauf ab, den Geltungsbereich der Sorgfaltspflichten auf direkte Geschäftsbeziehungen zu beschränken, die Verpflichtung zur Beendigung von Vertragsbeziehungen mit Auftragnehmern, die schwere Menschenrechtsverletzungen begehen, aufzuheben und die Möglichkeit zur Geltendmachung zivilrechtlicher Ansprüche auf die innerstaatlichen Rechtssysteme der Mitgliedstaaten zu beschränken, ohne harmonisierte EU-Kollisionsnormen festzulegen. Diese Vorschläge stiessen auf Proteste von Organisationen der Zivilgesellschaft, was die allgemeinen Spannungen zwischen regulatorischen Ambitionen und dem Widerstand der Industrie widerspiegelt, die wiederum die globalen Debatten über den angemessenen Umfang der Menschenrechtsverpflichtungen von Unternehmen widerspiegeln. Es muss betont werden, dass ein ähnlicher Trend im Bereich der Rechtsvorschriften zu beobachten ist, die auf eine stärkere Rechenschaftspflicht im Bereich der künstlichen Intelligenz (KI) abzielen. Ein Beispiel hierfür ist die KI-Haftungsrichtlinie, die trotz ihrer Mängel als Ergänzung zum KI-Gesetz diente, unter anderem im Bereich der Haftung für Grundrechtsverletzungen. Die Fortschritte bei der Rechenschaftspflicht von Unternehmen bleiben oft hinter den Erwartungen zurück, da die Interessen der Aktionäre Vorrang vor einem wirksamen Schutz der Menschenrechte haben.
2.6 Der Deregulierungsansatz der USA
Diese rechtlichen Rahmenbedingungen wirken jedoch mittlerweile in einem sich wandelnden globalen Kontext, in dem die Vereinigten Staaten ausdrücklich ihre Absicht bekundet haben, dem entgegenzuwirken, was sie als «belastende Regulierungen» und multilaterale Governance-Ansätze wahrnehmen. Die Betonung des amerikanischen KI-Aktionsplans auf den Abbau regulatorischer Hindernisse und die Förderung der amerikanischen Technologieführerschaft schafft neue Herausforderungen für die extraterritoriale Anwendung europäischer Menschenrechtsrahmen und könnte Regulierungsarbitrage durch multinationale Konzerne begünstigen. Vor dem Hintergrund sich weiterentwickelnder Verpflichtungen hinsichtlich der horizontalen Wirkung stellt die Einführung der FRIA durch die Europäische Union eine konkrete Umsetzung dieser theoretischen Prinzipien im spezifischen Kontext der KI-Governance dar. Diese Divergenz unterstreicht eine kritische Spannung in der aktuellen Governance-Literatur, in der das Gleichgewicht zwischen Innovation und Regulierung zum Schauplatz unterschiedlicher ideologischer Positionen hinsichtlich der Rolle staatlicher Aufsicht in digitalen Umgebungen wird.
3. FRIA als erste komplexe Regelung, die eine HRIA in KI-Wertschöpfungsketten vorschreibt
3.1 FRIA als Weiterentwicklung der Risikobewertung im europäischen Recht
Das KI-Gesetz der Europäischen Union führt die FRIA als ersten umfassenden, gesetzlich vorgeschriebenen Mechanismus zur Bewertung der Menschenrechte ein, der speziell auf KI-Systeme zugeschnitten ist. Das gesamte KI-Gesetz ist durchzogen von Formulierungen, die den Schutz der Grundrechte vorschreiben. In Erwägungsgrund 1 heisst es ausdrücklich, dass eines der Ziele der Verordnung darin besteht, «die breite Einführung einer menschenzentrierten und vertrauenswürdigen künstlichen Intelligenz (KI) zu fördern und gleichzeitig […] ein hohes Schutzniveau für […] die in der Charta der Grundrechte der Europäischen Union verankerten Grundrechte zu gewährleisten». Das Gesetz bezieht sich auf den Schutz der Grundrechte während des gesamten KI-Lebenszyklus, einschliesslich der Entwicklung, des Einsatzes und der Nutzung von KI-Systemen. Der Anbieter von KI-Systemen mit hohem Risiko ist in erster Linie dafür verantwortlich, Risiken für die Grundrechte zu identifizieren und zu mindern, indem er die Einhaltung der Vorschriften durch ein Risikomanagementsystem sicherstellt (d. h. Artikel 8, 9 und nachfolgende Bestimmungen des KI-Gesetzes). Dieser Rechtsrahmen wird jedoch durch Artikel 27 des KI-Gesetzes ergänzt, der den Betreibern spezifische Verpflichtungen zum Schutz der Grundrechte während der Betriebsphase auferlegt, d. h. in dem Teil des Lebenszyklus, über den der Anbieter keine Kontrolle mehr hat. In Erwägungsgrund 96, der sich direkt auf die FRIA bezieht, heisst es, dass die Folgenabschätzung eingeführt wurde, um den Schutz der Grundrechte in bestimmten Bereichen des sozialen und wirtschaftlichen Lebens wirksam zu gewährleisten. Die FRIA muss von Stellen durchgeführt werden, die KI-Systeme mit hohem Risiko einsetzen und entweder öffentliche Stellen, private Einrichtungen, die öffentliche Dienstleistungen erbringen, oder im Bank- oder Versicherungssektor tätig sind.
Die im KI-Gesetz eingeführte FRIA ist keine völlig neue Erfindung des EU-Gesetzgebers. Es ist nicht die erste digitale Regelung in Europa, die ähnliche Bestimmungen enthält. Artikel 35 der DSGVO schreibt unter bestimmten Umständen die Durchführung einer Datenschutz-Folgenabschätzung (DPIA) vor. In ähnlicher Weise erlegen die Artikel 34 und 35 des Gesetzes über digitale Dienste (DSA) Anbietern sehr grosser Online-Plattformen und sehr grosser Online-Suchmaschinen Verpflichtungen zur Risikobewertung auf. Die FRIA ist kein Produkt, das ausschliesslich dem digitalen oder KI-Bereich vorbehalten ist. Sie baut auf umfangreichen Erfahrungen mit HRIA auf, die auf internationaler Ebene entwickelt und von Unternehmen in verschiedenen Sektoren umgesetzt wurden – von denen einige bereits zuvor erörtert wurden. Es ist jedoch wichtig zu beachten, dass die HRIA im Kontext der KI nicht mit der traditionellen HRIA gleichzusetzen ist. Das KI-Gesetz schafft einen umfassenden Rechtsrahmen zum Schutz der Menschenrechte speziell während der Nutzungsphase von KI-Systemen. Angesichts der weit verbreiteten Anwendung von KI in praktisch allen Bereichen des gesellschaftlichen und wirtschaftlichen Lebens erstreckt sich die Relevanz dieser Regelung auf alle Sektoren. Darüber hinaus erlegt sie Menschenrechtsverpflichtungen nicht nur im Verhältnis zwischen Bürger und Staat auf, sondern auch in horizontalen Beziehungen zwischen Einzelpersonen und privaten Akteuren, bei denen es sich sowohl um sehr grosse Anbieter von Allzweck-KI-Modellen als auch um kleine und mittlere Unternehmen aus der KI-Wertschöpfungskette handeln kann.
Die Einführung der FRIA im Rahmen des KI-Gesetzes der EU ist ein entscheidender Schritt, doch ihre Wirksamkeit wird letztlich von einer konsequenten Durchsetzung und dem echten Engagement aller Beteiligten abhängen, die Menschenrechte vor den technologischen Fortschritt zu stellen.
3.2 Innovative Aspekte der FRIA
Da die Verordnung in erster Linie soziale und wirtschaftliche Interaktionen regelt, befasst sie sich ausdrücklich mit den Risiken von Grundrechtsverletzungen durch Anbieter risikoreicher KI-Systeme. Aus diesem Grund sind Artikel 27 des KI-Gesetzes und die dazugehörigen Bestimmungen als innovativ anzusehen, da sie eine beispiellose Konvergenz zwischen traditionellen Datenschutzansätzen und sich weiterentwickelnden Menschenrechtsverpflichtungen im digitalen Bereich herstellen.
Die Neuheit des KI-Gesetzes und der FRIA liegt auch darin, dass es sich um die erste Regelung handelt, die eine verbindliche gesetzliche Verpflichtung zum Schutz der Grundrechte festlegt, die im Falle von Eingriffen durch durchsetzbare Sanktionen untermauert wird. Bislang waren Vorschriften bezüglich der HRIA und Systeme zum Schutz der Menschenrechte im digitalen Kontext freiwilliger Natur. Im Gegensatz dazu stellt die FRIA gemäss dem KI-Gesetz eine obligatorische Bewertung dar, und ihre Ergebnisse müssen genutzt werden, um Risiken zu verhindern oder zu mindern. Der ursprüngliche Vorschlag des Europäischen Parlaments sah vor, dass die FRIA für alle KI-Systeme mit hohem Risiko gemäss Artikel 6 Absatz 2 gelten sollte, mit der einzigen Ausnahme von Systemen, die für die Verwaltung und den Betrieb kritischer Infrastrukturen eingesetzt werden. Der endgültige Text behält diese Ausnahme bei, schränkt aber auch den Gesamtanwendungsbereich der FRIA erheblich ein. Sie gilt nun nur noch für (1) Betreiber, die «Stellen des öffentlichen Sektors» oder «private Einrichtungen, die öffentliche Dienstleistungen erbringen», sind, sowie (2) Betreiber von KI-Systemen, die zur Bonitätsprüfung natürlicher Personen, zur Kreditbewertung sowie zur Risikobewertung und Preisgestaltung in der Lebens- und Krankenversicherung eingesetzt werden. Dieser engere Anwendungsbereich ist zwar aus grundrechtlicher Sicht weniger ambitioniert als der ursprüngliche Vorschlag, stellt aber dennoch eine regulatorische Innovation dar.
Die FRIA unterscheidet sich von traditionellen HRIA-Mechanismen durch die Einführung eines Ex-ante-Ansatzes zum Schutz der Grundrechte. Dies verhindert nicht nur, dass schädliche Anwendungen auf den Markt gelangen, sondern macht die FRIA auch zu einem Gestaltungsinstrument im Sinne des «By-Design»-Ansatzes. Diese Risikobewertung begleitet KI-Systeme während des gesamten Lebenszyklus ihres Einsatzes. Sie wird in den Anfangsphasen der Planung und Festlegung des Umfangs, der Risikobewertung und -minderung (einschliesslich der Identifizierung von Schäden, der Bewertung ihrer Auswirkungen und der Risikobehandlung) sowie der Überwachung nach der Bewertung angewendet. Was die FRIA wirklich von ähnlichen Prozessen unterscheidet, ist dieser präventive, vorausschauende Charakter. Der Verweis in Artikel 27 Absatz 1 auf die potenziellen Auswirkungen des Einsatzes von KI-Systemen und das Kriterium der Wahrscheinlichkeit unterstreicht diese vorausschauende Dimension. Das in den Gesetzgebungsdebatten offenbar gewordene Ziel von Artikel 27 und dessen systemische Auslegung führen zu der Schlussfolgerung, dass die FRIA eine vorausschauende Massnahme zur Risikobewertung und zum Risikomanagement darstellt. Ein Risiko materialisiert sich nicht erst, wenn ein Schaden eintritt, sondern bereits dann, wenn der Betreiber einen spezifischen Anwendungsfall für das KI-System entwirft, wodurch die Verpflichtung zur Ergreifung geeigneter Massnahmen zur Risikominderung ausgelöst wird.
Wichtig ist, dass der innovative Aspekt der FRIA auch in der Anerkennung des kontextuellen und soziotechnischen Charakters von KI-Systemen liegt. Die FRIA trägt der komplexen, verteilten Architektur von KI-Wertschöpfungsketten Rechnung und geht damit über traditionelle, lineare Regulierungsmodelle hinaus. Im Gegensatz zu herkömmlichen Ansätzen, die sich auf einzelne Akteure oder eindimensionale Prozesse konzentrieren, verlangt die FRIA von den Betreibern, die Auswirkungen auf die Grundrechte über die miteinander verknüpften Beziehungen innerhalb des KI-Ökosystems hinweg zu bewerten. Diese Anerkennung des systemischen Charakters der KI positioniert die FRIA als Brücke zwischen dem Schutz individueller Rechte und kollektiven Governance-Herausforderungen.
Letztendlich bietet die FRIA einen praktischen Rahmen für den Schutz der Grundrechte und trägt dazu bei, die Lücke zwischen allgemeinen ethischen Grundsätzen der KI und konkreten rechtlichen Verpflichtungen zu schliessen. Sie ist zudem mit dem übergeordneten Konformitätsbewertungsverfahren verknüpft und trägt so zu einem umfassenden Risikomanagementsystem zum Schutz der Grundrechte bei.
Ein besonders wichtiger Punkt ist, dass die FRIA – im Gegensatz zu früheren sektorspezifischen Instrumenten wie der DSGVO oder dem DSA – auf einen umfassenden Schutz der Grundrechte abzielt. Während frühere Rahmenwerke den Datenschutz durch Mechanismen wie Datenschutz-Folgenabschätzungen (DPIA) oder sektorale Menschenrechtsbelange (wie jene, die unter dem DSA oder ESG abgedeckt sind) behandelten, stellt die FRIA den ersten umfassenden Versuch dar, die Menschenrechtsbewertung systematisch in KI-Einführungsprozesse und darüber hinaus – da KI in jeden Bereich des Geschäftslebens eingebettet ist – in fast jeden Unternehmensablauf zu integrieren.
Die FRIA stellt zwar einen bedeutenden Fortschritt in der Regulierungslandschaft dar, läuft jedoch Gefahr, ihre ehrgeizigen Ziele zu verfehlen, da ihr Anwendungsbereich eingeschränkt ist und sie auf einem Compliance-orientierten Ansatz beruht, der die nuancierten Realitäten der soziotechnischen Auswirkungen von KI möglicherweise ausser Acht lässt.
Diese innovativen Aspekte der FRIA haben den jüngsten Druck zur Deregulierung weitgehend überstanden, wenn auch nicht ohne Änderungen. Der Entwurf des «Digital Omnibus» zur KI vom November 2025 verlängert die Umsetzungsfristen der FRIA für risikoreiche Systeme von August 2026 auf Dezember 2027 und hebt gleichzeitig die Verpflichtungen der Arbeitgeber zur Vermittlung von KI-Kompetenzen auf. Im Gegensatz zur erheblichen Schwächung der CSDDD im Rahmen von Omnibus I bleiben die zentralen Anforderungen der FRIA an die Menschenrechtsprüfung jedoch unverändert, was darauf hindeutet, dass die EU die KI-Governance als strategisch wesentlicher erachtet als die Sorgfaltspflicht in der Lieferkette.
3.3 Vergleichende Studie zu FRIA und DPIA
Es ist allgemein anerkannt, dass sich die FRIA aus der DPIA als umfassenderes Instrument zur Bewertung der Auswirkungen von KI auf die Grundrechte entwickelt hat. Die DPIA wurde in Artikel 35 der DSGVO als obligatorische Bewertung für Datenbearbeitungsvorgänge eingeführt, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen darstellen. Obwohl sich Artikel 35 allgemein auf ein «wahrscheinliches hohes Risiko für die Rechte und Freiheiten von Personen» bezieht, stellte die Artikel-29-Datenschutzgruppe klar, dass der Ausdruck «Rechte und Freiheiten» – während Datenschutzrahmen einen risikobasierten Ansatz verfolgen – in erster Linie die Rechte auf Datenschutz und Privatsphäre betrifft. Es kann jedoch auch andere Grundrechte betreffen, wie beispielsweise die Meinungsfreiheit, die Gedankenfreiheit, die Freizügigkeit, das Recht auf Nichtdiskriminierung, die Religions- und Gewissensfreiheit sowie das Recht auf Freiheit.
Die Datenschutz-Folgenabschätzung (DPIA) umfasst eine systematische Beurteilung der Notwendigkeit und Verhältnismässigkeit von Datenbearbeitungsvorgängen im Verhältnis zu deren Zwecken, eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die Ergreifung von Massnahmen zur Minderung dieser Risiken. Es handelt sich um ein Instrument des Ex-ante-Risikomanagements, das vor Beginn der Datenbearbeitung durchgeführt werden muss und eine zyklische Struktur aufweist – es muss aktualisiert werden, wenn sich die Datenbearbeitungsvorgänge oder deren Kontext ändern. Wie oben erwähnt, haben sowohl die Rechtstheorie als auch die Vollzugspraxis die DPIA trotz der relativ weit gefassten Formulierung in Artikel 35 so ausgelegt, dass ihr Schwerpunkt in erster Linie auf dem Datenschutz liegt. Im Gegensatz dazu erstreckt sich die FRIA auf alle potenziell betroffenen Grundrechte und -freiheiten, wie sie in der Charta der Grundrechte der EU verankert sind, behält dabei jedoch die methodischen Kernmerkmale der DPIA bei: (1) einen Ex-ante-Ansatz, (2) eine rechtsbasierte Risikobewertung, (3) eine zyklische, iterative Struktur über den gesamten Lebenszyklus des KI-Produkts oder der KI-Dienstleistung hinweg und (4) die Stützung auf Expertenurteile. Der wesentliche Unterschied liegt in ihrem breiteren Anwendungsbereich – die FRIA beschränkt sich nicht auf den Datenschutz, sondern berücksichtigt alle potenziell betroffenen Rechte und Freiheiten.
Die FRIA wurde vom Europäischen Parlament als Teil eines Kompromisses als Reaktion auf den Vorschlag der Europäischen Kommission in das KI-Gesetz aufgenommen, der zwar einen menschenzentrierten Ansatz und den Schutz der Grundrechte betonte, diese Grundsätze jedoch nicht vollständig in sein risikobasiertes Modell integrierte. Während des Gesetzgebungsverfahrens wurden Argumente gegen die Aufnahme der FRIA vorgebracht, wonach diese angesichts der DPIA und von Artikel 35 der DSGVO überflüssig sei. Die Verabschiedung von Artikel 27 des KI-Gesetzes offenbart jedoch erhebliche Mängel bei der praktischen Umsetzung der DPIA, insbesondere deren begrenzte Berücksichtigung von Rechten, die über den Datenschutz hinausgehen und in der Praxis oft nur unzureichend berücksichtigt oder übersehen werden. Im Rahmen der DPIA wird die Bewertung verschiedener Grundrechte oft durch die Brille des Datenschutzes betrachtet. Dies führt zu einer Situation, in der datenschutzrechtliche Kategorien zur Begründung der endgültigen Entscheidung herangezogen werden, wodurch die Begründung für die Bewertung der Auswirkungen auf andere Grundrechte in den Hintergrund gerät. Im Gegensatz dazu erfordert die FRIA, ähnlich wie die HRIA, eine detaillierte Abwägung jedes relevanten Grundrechts auf der Grundlage seiner Definitionen in der Rechtslehre und der Rechtsprechung. Dies führt zu genaueren und transparenteren Ergebnissen im Bewertungsprozess.
Der Übergang von der DPIA zur FRIA bedeutet einen entscheidenden Wandel bei der Bewertung der Auswirkungen von KI und unterstreicht die Notwendigkeit eines umfassenderen Ansatzes, der über den Datenschutz hinausgeht, um das gesamte Spektrum der gefährdeten Grundrechte ganzheitlich zu berücksichtigen.
3.4 Geltungsbereich von Artikel 27 des KI-Gesetzes
Bei der Festlegung des Anwendungsbereichs von Artikel 27 des KI-Gesetzes ist auf Erwägungsgrund 48 Bezug zu nehmen. Darin heisst es, dass bei der Einstufung eines KI-Systems als risikoreich eine zentrale Überlegung darin besteht, inwieweit das System die durch die Charta der Grundrechte der Europäischen Union geschützten Grundrechte beeinträchtigen könnte. Zu diesen Rechten gehören das Recht auf Menschenwürde, die Achtung des Privat- und Familienlebens, der Schutz personenbezogener Daten, die Meinungs- und Informationsfreiheit, die Versammlungs- und Vereinigungsfreiheit sowie das Recht auf Nichtdiskriminierung. Ebenfalls erfasst sind das Recht auf Bildung, der Verbraucherschutz, die Arbeitnehmerrechte, die Rechte von Menschen mit Behinderungen, die Gleichstellung der Geschlechter, die Rechte an geistigem Eigentum, das Recht auf einen wirksamen Rechtsbehelf und auf ein faires Verfahren, das Recht auf Verteidigung und die Unschuldsvermutung sowie das Recht auf eine ordnungsgemässe Verwaltung. In der Erwägung werden zudem die spezifischen Rechte von Kindern hervorgehoben, wie sie in Artikel 24 der Charta und im Übereinkommen der Vereinten Nationen über die Rechte des Kindes dargelegt sind. Das in der Charta verankerte und durch politische Strategien der EU umgesetzte Grundrecht auf ein hohes Mass an Umweltschutz muss ebenfalls bei der Bewertung des Ausmasses des Schadens berücksichtigt werden, den ein KI-System verursachen kann, einschliesslich potenzieller Gefahren für Gesundheit und Sicherheit. Das KI-Gesetz legt besonderen Wert auf die Rechte schutzbedürftiger Personen. Erwägungsgrund 67 bezieht sich ausdrücklich auf den Schutz von Personen, die besonders schutzbedürftigen Gruppen angehören, einschliesslich solcher, die durch ihre rassische oder ethnische Herkunft definiert sind. Auch die Rechtswissenschaft verweist auf bestimmte Rechte, die im Zusammenhang mit KI besonders anfällig für Eingriffe sind, wie beispielsweise das Recht auf Privatsphäre, Gleichheit, Meinungsäusserungsfreiheit sowie verfahrensrechtliche und sozioökonomische Rechte. Es ist jedoch entscheidend zu beachten, dass alle Grundrechte durch KI-Systeme beeinträchtigt werden können und daher im Rahmen der FRIA Schutz geniessen.
Infolgedessen erweitert die FRIA den Geltungsbereich des Menschenrechtsschutzes erheblich. Wir betrachten die FRIA als wegweisend, da sie das erste umfassende Rahmenwerk ist, das eine Menschenrechtsverträglichkeitsprüfung (HRIA) speziell für KI-Systeme vorschreibt. Die FRIA schafft methodische und institutionelle Grundlagen, die globale Ansätze zur KI-Governance beeinflussen. Der Schwerpunkt der Verordnung auf systematischer Bewertung, Einbindung von Interessengruppen und fortlaufender Überwachung schafft eine Vorlage für den Umgang mit den Auswirkungen des KI-Einsatzes auf die Grundrechte in verschiedenen rechtlichen Kontexten. Damit hat sie das Potenzial, ähnliche regulatorische Entwicklungen auf internationaler Ebene anzustossen. Während die Betonung strenger Menschenrechtsprüfungen in der KI-Governance lobenswert ist, besteht die Herausforderung darin, eine Balance zwischen gründlicher Aufsicht und der Notwendigkeit agiler Regulierungsrahmen zu finden, die sich an technologische Fortschritte anpassen können, ohne den Fortschritt zu behindern.
4. Verpflichtung privater Organisationen zur Umsetzung des FRIA
4.1 Wandel bei den Mechanismen zum Schutz der Menschenrechte
Wie bereits in Abschnitt 2 erwähnt, dienen die in internationalen Verträgen verankerten Grundrechte ursprünglich dem Schutz der Grundrechte vor dem Staat und richten sich nicht direkt an private Akteure. Die EU erkennt jedoch an, dass private Unternehmen die Grundrechte des Einzelnen erheblich beeinträchtigen können. Traditionell wurde davon ausgegangen, dass sie auf gleicher Stufe mit anderen privaten (natürlichen und juristischen) Personen stehen. Das Recht griff dort ein, wo Ungleichgewichte auftraten, und schützte die schwächere Partei (Konsument, Arbeitnehmer) in sektoralen Regelungen. In den letzten Jahren hat die EU jedoch erkannt, dass der Ansatz der Gleichstellung von Einzelpersonen und (grossen) privaten Organisationen unangemessen ist. Insbesondere im technologischen Kontext ist dies oft auf die systemischen Macht- und Informationsasymmetrien zurückzuführen, die den aktuellen Datenverarbeitungspraktiken digitaler Organisationen innewohnen – und zwar nicht nur bei Grosskonzernen, sondern auch bei kleinen und mittleren Unternehmen. Die Asymmetrien ergeben sich in der Regel aus einer ungleichen Verteilung zwischen diesen Organisationen und Einzelpersonen, was den Zugang zu den Daten, die Kontrolle und das Verständnis der (oft) undurchsichtigen Verarbeitung dieser Daten, die Risikobewertung sowie Ungleichheiten in Bezug auf Vermögen, Kapital, Zugang zu Fachwissen, Wissen, Macht und so weiter betrifft. Dies macht es selbst für sachkundige Personen schwierig, die Situation angemessen zu bewerten und fundierte Entscheidungen darüber zu treffen, ob sie mit diesen Organisationen Geschäfte tätigen sollten.
Das KI-Gesetz ist eines der Regulierungsinstrumente, die diesem Problem entgegenwirken sollen, und die darin verankerte FRIA fungiert als Risikomanagementinstrument, das speziell auf den privaten Technologiesektor zugeschnitten ist. Ihr Kernziel besteht darin, die mit Grundrechtsverletzungen verbundenen Kosten zu internalisieren. Private Technologieunternehmen sollten die Verantwortung dafür tragen, Grundrechtsrisiken bereits in der Entwurfsphase von KI-Systemen zu identifizieren und zu mindern. Im Gegensatz zu öffentlichen Einrichtungen, die im Rahmen demokratisch festgelegter Verfahren agieren und einer verfassungsrechtlichen Kontrolle unterliegen, benötigen private Akteure externe Regulierungsmechanismen, die sie dazu verpflichten, die Grundrechte zu berücksichtigen. Die FRIA zwingt Unternehmen dazu, die gesellschaftlichen Kosten ihrer Innovationen einzukalkulieren – ein Prinzip, das in der Wirtschaftstheorie als Internalisierung von Externalitäten bekannt ist. Dieser Mechanismus ist besonders wichtig vor dem Hintergrund der Informationsasymmetrie zwischen Technologieentwicklern und der breiten Öffentlichkeit. Wie oben erwähnt, können private Unternehmen, getrieben von der Gewinnmaximierung, negative gesellschaftliche Folgen bewusst ausser Acht lassen, sofern sie nicht gesetzlich verpflichtet sind, sich damit auseinanderzusetzen. Die Umsetzung der FRIA stellt einen bedeutenden Schritt dar, um private Technologieunternehmen für Grundrechtsrisiken zur Rechenschaft zu ziehen; sie wirft jedoch auch Fragen hinsichtlich der Wirksamkeit externer Regulierung auf, wenn es darum geht, gewinnorientiertes Verhalten tatsächlich zu ändern, sofern dies nicht mit einem umfassenderen kulturellen Wandel innerhalb dieser Organisationen einhergeht, der der ethischen Verantwortung Vorrang einräumt.
4.2 Theorie versus Umsetzung der FRIA
Das KI-Gesetz legt eindeutig fest, welche privaten Organisationen zur Wahrung der Grundrechte verpflichtet sind. Gleichzeitig bleiben jedoch der Umfang und die Klarheit dieser Verpflichtungen begrenzt. Während Artikel 35 der DSGVO relativ klare Pflichten hinsichtlich des Datenschutzes und der Entscheidungsprozesse in diesem Bereich festlegt, könnte sich die FRIA, da sie das gesamte Spektrum der Grundrechte abdeckt, für private Akteure als weitaus schwieriger umzusetzen erweisen. Um diese Unklarheit zu beseitigen, werden in der Fachliteratur mehrere Argumente angeführt:
- Private Akteure sollten denselben Massstäben unterliegen wie öffentliche Stellen. Eine gegenteilige Argumentation würde Artikel 1 des KI-Gesetzes und dessen zugrunde liegenden Zielen widersprechen – nämlich der Verhinderung von Schäden, die durch risikoreiche KI-Systeme verursacht werden.
- Ein Betreiber, der eine FRIA erstellt, muss die Grundrechte achten, deren Einschränkungen auslegen und gegebenenfalls den Grundsatz der Verhältnismässigkeit anwenden. Es gibt jedoch keine festgelegten Regeln, die vorgeben, wie ein privater Akteur eine solche Abwägung vornehmen soll, insbesondere wenn auch seine eigenen Rechte und wirtschaftlichen Interessen auf dem Spiel stehen könnten. Folglich wird in der Fachliteratur vorgeschlagen, dass der Betreiber rechtmässig handelt, wenn der Nutzen des Einsatzes eines KI-Systems dessen Eingriff in die Grundrechte überwiegt. Je grösser jedoch die Auswirkungen des Systems auf die Grundrechte sind, desto stichhaltiger muss die Begründung seitens des privaten Akteurs sein. Diese Auslegung steht im Einklang mit dem Ansatz des Europäischen Gerichtshofs für Menschenrechte und des Gerichtshofs der Europäischen Union zur Interessenabwägung im Rahmen der DSGVO.
- Ein Eingriff in den Kern eines Grundrechts ist unzulässig, während Eingriffe nur nicht zum Kern gehörende Elemente betreffen dürfen. Das bedeutet, dass der Betreiber in der Lage sein muss, den Kern eines bestimmten Rechts zu identifizieren und zu bewerten.
- Ein Betreiber sollte alle Eingriffe in Grundrechte verhindern und abmildern und nach alternativen oder weniger einschneidenden Mitteln suchen, sofern solche Alternativen zur Erreichung der angestrebten Ziele geeignet sind.
Diese Grundsätze spiegeln die Überlegungen von Verfassungstheoretikern zur Anwendung des Verhältnismässigkeitsprinzips durch öffentliche Behörden wider. Dies deutet darauf hin, dass private Akteure, die der FRIA-Verpflichtung unterliegen, verpflichtet sein werden, die Auswirkungen der von ihnen eingeführten Systeme auf die Grundrechte zu bewerten, diese Rechte zu achten, deren Grenzen auszuloten und damit verbundene Risiken zu mindern. Die FRIA wird daher das Bewusstsein privater Akteure im Bereich der Grundrechte schärfen und Legitimität für Entscheidprozesse in Bereichen schaffen, die durch technologische Entscheidungen öffentliche Interessen betreffen. Während öffentliche Behörden ihre Legitimität aus einem demokratischen Mandat ableiten, agieren private Einrichtungen im Rahmen der privaten Autonomie, oft weniger transparent und ohne parlamentarische, gerichtliche oder öffentliche Aufsicht. Daher muss ihre Legitimität durch die Einhaltung der Grundrechte begründet werden, und der FRIA-Rahmen mit seinen Anforderungen an Konsultationen und partizipative Verfahren unterstützt dieses Bestreben.
Die Operationalisierung der FRIA-Anforderungen stellt jedoch erhebliche Herausforderungen bei der Umsetzung dar. Diese erstrecken sich auf technische, organisatorische und rechtliche Dimensionen. Die organisatorischen Kapazitäten stellen vielleicht die unmittelbarste Herausforderung bei der Umsetzung dar. Nur wenige Organisationen verfügen über das interdisziplinäre Fachwissen, das für eine umfassende Grundrechtsprüfung erforderlich ist. Eine wirksame Umsetzung von FRIA erfordert Kompetenzen in den Bereichen Menschenrechtsrecht, Analyse von KI-Systemen, Einbindung von Interessengruppen und Methoden zur Wirkungsbewertung. Diese Kompetenzlücke ist besonders ausgeprägt in kleineren Organisationen oder solchen, die noch keine Erfahrung mit der Sorgfaltspflicht im Bereich der Menschenrechte haben. Sie erfordert erhebliche Investitionen in den Kapazitätsaufbau, was eine zu grosse Belastung darstellen und möglicherweise die universelle Anwendung der Grundsätze der horizontalen Wirkung untergraben könnte.
Die Herausforderung hinsichtlich der Bewertungsmethodik wird durch das Fehlen standardisierter Rahmenwerke zur Bewertung der Auswirkungen von KI-Systemen auf die Grundrechte noch verschärft. Die FRIA bewegt sich in einem methodisch relativ unterentwickelten Umfeld. In der Rechtstheorie werden zwar einige Rahmenwerke vorgestellt. Doch bislang führt die methodische Unsicherheit zu Umsetzungsrisiken und kann zu einer uneinheitlichen Bewertungsqualität zwischen verschiedenen Organisationen und Sektoren führen, was die Standardisierungsziele der Umsetzung der horizontalen Wirkung potenziell untergräbt.
Die Identifizierung und Einbindung von Interessengruppen stellt eine zusätzliche Komplexität dar, da KI-Systeme oft vielfältige und manchmal schwer zu identifizierende Gemeinschaften betreffen. Der dezentrale Charakter der Auswirkungen von KI bedeutet, dass zu den betroffenen Interessengruppen nicht nur direkte Systemnutzer gehören können, sondern auch Personen, die algorithmischen Entscheidungen unterliegen, Gemeinschaften, die indirekte Auswirkungen erfahren, sowie breitere gesellschaftliche Gruppen, die von systemischen Veränderungen betroffen sind. Eine sinnvolle Einbindung der Interessengruppen erfordert ausgefeilte Strategien zur Kontaktaufnahme, kulturell angemessene Konsultationsmethoden und Mechanismen zur Einbeziehung vielfältiger Perspektiven in die Bewertungsprozesse, die die partizipativen Dimensionen der Verpflichtungen zur horizontalen Wirkung widerspiegeln.
Technische Herausforderungen bei der Bewertung ergeben sich aus der Undurchsichtigkeit und Komplexität vieler KI-Systeme, insbesondere von Anwendungen des maschinellen Lernens, die nach Mustern funktionieren, die für menschliche Gutachter nicht ohne Weiteres interpretierbar sind. Bei der Umsetzung der FRIA müssen Fragen der algorithmischen Transparenz, der Erkennung von Verzerrungen und der Zuordnung von Auswirkungen in Kontexten berücksichtigt werden, in denen die Funktionsweise der Systeme möglicherweise nicht einmal von ihren Entwicklern vollständig verstanden wird. Diese technische Komplexität wird zusätzlich dadurch erschwert, dass nicht nur die aktuelle Systemleistung, sondern auch potenzielle zukünftige Auswirkungen bewertet werden müssen, da sich Systeme durch Lernprozesse anpassen und weiterentwickeln, was dynamische Bewertungsansätze erfordert, die algorithmische Unsicherheiten berücksichtigen können.
Die Zuweisung von Ressourcen und Kostenüberlegungen stellen praktische Hindernisse für die Umsetzung dar, insbesondere für kleinere Organisationen oder solche, die mehrere KI-Systeme einsetzen, die den FRIA-Anforderungen unterliegen. Der umfassende Charakter der Grundrechtsprüfung erfordert erheblichen Zeitaufwand, spezialisiertes Fachwissen und Kapazitäten zur laufenden Überwachung. Diese Ressourcenanforderungen können für Organisationen mit begrenzten Compliance-Kapazitäten Wettbewerbsnachteile mit sich bringen, während sie grössere Unternehmen mit etablierten Risikomanagement-Infrastrukturen potenziell begünstigen, was Fragen hinsichtlich der gerechten Anwendung von Verpflichtungen im Zusammenhang mit horizontalen Auswirkungen in unterschiedlichen organisatorischen Kontexten aufwirft.
Die Diskrepanz zwischen dem theoretischen Rahmen der FRIA, der eine ganzheitliche Bewertung der Grundrechte betont, und ihrer praktischen Umsetzung offenbart eine erhebliche Lücke bei der Berücksichtigung von Rechten ausserhalb des Datenschutzes und unterstreicht die Notwendigkeit einer stärkeren Integration dieser Grundsätze in reale Anwendungen.
4.3 Unterschiedliche Ansätze in den Vorschriften der USA und der EU zur KI- und Menschenrechts-Governance
Unserer Ansicht nach fällt die Einführung der FRIA mit einer wachsenden internationalen Anerkennung der Notwendigkeit einer menschenrechtszentrierten KI-Governance zusammen. Der Zeitpunkt ihrer Umsetzung spiegelt die Lehren wider, die aus den Grenzen rein technischer oder marktbasierter Ansätze zur KI-Governance gezogen wurden, und bezieht Erkenntnisse aus BHR-Rahmenwerken ein, die sich im Laufe des letzten Jahrzehnts entwickelt haben. Der Schwerpunkt der Verordnung auf der Methodik der Folgenabschätzung stützt sich auf etablierte Praktiken der Sorgfaltspflicht im Bereich der Menschenrechte, wobei diese Ansätze an die einzigartigen Merkmale von KI-Systemen angepasst werden, darunter deren Undurchsichtigkeit, Skalierbarkeit und das Potenzial für automatisierte Entscheidungsfindung, die traditionelle Mechanismen der Rechenschaftspflicht umgehen könnte. Die Bedeutung des FRIA muss nun jedoch vor dem Hintergrund der sich abzeichnenden globalen Spannungen im Bereich der KI-Governance verstanden werden. Während die EU eine umfassende, auf Rechten basierende Regulierung anstrebt, haben die Vereinigten Staaten durch ihren «America’s AI Action Plan» – bestätigt durch das Projekt «Genesis Mission» – einen grundlegend anderen Ansatz formuliert, der Innovation, Wettbewerbsvorteile und Widerstand gegen das, was sie als «aufwändige Regulierung» bezeichnen, ausdrücklich in den Vordergrund stellt. Darüber hinaus heisst es in der im Dezember 2025 erlassenen Exekutivverordnung des US-Präsidenten: «Es ist die Politik der Vereinigten Staaten, die globale KI-Dominanz der Vereinigten Staaten durch einen möglichst wenig belastenden nationalen politischen Rahmen für KI aufrechtzuerhalten und zu stärken.» Die Verordnung sieht ferner vor, dass
«Innerhalb von 30 Tagen nach Erlass dieser Verordnung richtet der Generalstaatsanwalt eine Task Force für KI-Rechtsstreitigkeiten ein, deren ausschliessliche Aufgabe darin besteht, staatliche KI-Gesetze anzufechten, die mit den in Abschnitt 2 dieser Verordnung dargelegten Grundsätzen unvereinbar sind, unter anderem mit der Begründung, dass solche Gesetze den zwischenstaatlichen Handel verfassungswidrig regeln, durch bestehende Bundesvorschriften ausser Kraft gesetzt werden oder anderweitig rechtswidrig sind.»
Diese politische Ausrichtung deutet darauf hin, dass Regulierungsrahmen, die Unternehmen, die KI-Systeme entwickeln oder einsetzen, menschenrechtsbasierte Verpflichtungen auferlegen, zunehmend als rechtswidrig oder als übermässige regulatorische Belastung dargestellt werden könnten. Infolgedessen laufen Anforderungen, die auf die Verankerung von Menschenrechtsschutz abzielen – wie beispielsweise obligatorische Folgenabschätzungen oder Aufsichtspflichten –, Gefahr, nicht nur politisch, sondern auch durch koordinierte rechtliche Strategien angefochten zu werden, die darauf abzielen, ihre Durchsetzbarkeit einzuschränken.
Diese Divergenz schafft neue Herausforderungen für den globalen Einfluss des FRIA und wirft Fragen hinsichtlich der universellen Anwendbarkeit europäischer KI-Governance-Modelle auf. Die Umsetzung des FRIA verdeutlicht eine wachsende Kluft bei den KI-Governance-Strategien, wobei der rechtsorientierte Ansatz der EU in scharfem Kontrast zur US-amerikanischen Betonung von Innovation und Deregulierung steht, was Herausforderungen für die globale Harmonisierung ethischer KI-Praktiken mit sich bringt.
5. Anbindung an freiwillige Menschenrechtsrahmenwerke
5.1 Verbindlicher Charakter der FRIA
Obwohl sich die FRIA aus der HRIA entwickelt hat, unterscheidet sie sich erheblich von traditionellen Risikobewertungsmechanismen. Die HRIA wurde als Teil der Sorgfaltspflicht von Unternehmen bisher in erster Linie als nachträgliche Reaktion auf kritische Ereignisse eingesetzt. Die FRIA gemäss dem KI-Gesetz stellt eine verbindliche Verpflichtung dar, die erfüllt werden muss, bevor eine innovative Lösung in der Praxis eingesetzt wird. Ein weiterer wesentlicher Unterschied liegt in ihrem Anwendungsbereich. Die traditionelle HRIA fungiert hauptsächlich als politikorientiertes Instrument, das Unternehmen eine Einschätzung potenzieller Auswirkungen und eine Liste möglicher Präventions- oder Massnahmen zur Risikominderung liefert, wobei die Entscheidung darüber, welche Massnahmen umgesetzt werden sollen, letztlich im Ermessen des Unternehmens liegt. Im Gegensatz dazu ist die FRIA gemäss dem KI-Gesetz eine verbindliche Bewertung, und ihre Ergebnisse müssen umgesetzt werden, um Risiken zu verhindern oder zu mindern. Schliesslich unterscheidet sich die FRIA im Bereich der KI von der traditionellen HRIA hinsichtlich der Art der bewerteten Situationen. Während die HRIA in der Regel im Kontext industrieller Aktivitäten angewendet wird, die in einem bestimmten Gebiet stattfinden und sich auf ein breites Spektrum von Menschenrechten, einschliesslich sozialer Rechte, auswirken, handelt es sich bei KI-Produkten oft um global verbreitete Lösungen, die sich in der Regel auf eine Reihe von Grundrechten auswirken.
Der verbindliche Charakter der FRIA fördert sowohl das Bewusstsein als auch die Legitimität für die Durchführung von HRIA im KI-Kontext. Während Organisationen durch die Umsetzung der FRIA ihre Fähigkeiten und ihr Fachwissen ausbauen, bilden diese Kompetenzen die Grundlage für umfassendere, freiwillige Rahmenwerke zur Menschenrechtsprüfung, die über die regulatorischen Anforderungen hinausgehen können. Diese Dynamik eines schrittweisen Übergangs positioniert die FRIA nicht nur als regulatorisches Endziel, sondern auch als Sprungbrett hin zu einer umfassenderen Integration von Menschenrechtsaspekten in die KI-Governance. Sie spiegelt das Entwicklungspotenzial wider, die horizontale Wirkung der Grundrechte in zunehmend komplexen technologischen Umgebungen umzusetzen. Das Konzept der FRIA markiert einen Wandel von reaktiven Menschenrechtsbewertungen hin zu einem proaktiven, verbindlichen Ansatz, der Menschenrechtsaspekte direkt in die Entwicklung und den Einsatz von KI-Technologien integriert und dadurch die Rechenschaftspflicht stärkt und eine verantwortungsvollere Innovationslandschaft fördert.
5.2 Bedeutung freiwilliger Rahmenwerke
Hier gewinnen freiwillige Rahmenwerke wie die «Human Rights, Democracy, and Rule of Law Impact Assessment» (HUDERIA) des Europarats besondere Bedeutung. HUDERIA stellt ein umfassendes freiwilliges Rahmenwerk dar, das vom Ad-hoc-Ausschuss für KI (CAHAI) des Europarats entwickelt wurde und strukturierte, algorithmenneutrale Ansätze zur Bewertung der Auswirkungen von KI-Systemen über deren gesamten Lebenszyklus hinweg bietet.
Im Gegensatz zu verbindlichen Rahmenwerken wie FRIA ermöglicht der freiwillige Charakter von HUDERIA es Organisationen, Menschenrechtsaspekte über die regulatorischen Anforderungen hinaus zu berücksichtigen und schafft so Möglichkeiten für ethische Führungsrolle und Normenentwicklung, wo rechtliche Rahmenbedingungen fehlen oder unzureichend sind. Diese Flexibilität erweist sich als besonders wertvoll in einem multipolaren Governance-Umfeld, in dem Organisationen bestrebt sein können, einheitliche ethische Standards über Rechtsordnungen mit unterschiedlichen Regulierungsansätzen hinweg aufrechtzuerhalten. Es kann sowohl von öffentlichen als auch von privaten Akteuren genutzt werden, um Risiken und Auswirkungen auf Menschenrechte, Demokratie und Rechtsstaatlichkeit zu identifizieren und anzugehen.
Die HUDERIA-Methodik bietet eine Kombination aus allgemeinen und spezifischen Leitlinien sowie Flexibilität, indem sie Raum für Anpassungen bei der praktischen Umsetzung lässt. Auf allgemeiner Ebene beschreibt sie übergeordnete Konzepte, Prozesse und Elemente, die als Leitfaden für die Risiko- und Auswirkungsbewertung von KI-Systemen dienen, die Auswirkungen auf Menschenrechte, Demokratie und Rechtsstaatlichkeit haben könnten. Es handelt sich um einen mehrstufigen Governance-Prozess, der einen vorausschauenden Ansatz für die Steuerung der KI-Entwicklung bietet. Die Methodik besteht aus vier miteinander verbundenen Phasen: kontextbasierte Risikoanalyse (COBRA), Prozess zur Einbindung der Interessengruppen (SEP), Risiko- und Folgenabschätzung (RIA) sowie Planung von Massnahmen zur Risikominderung (MP). Jede Phase wird durch eine umfassende Dokumentation im Form des Projektzusammenfassungsberichts unterstützt, wodurch Rechenschaftspflicht und die Möglichkeit einer kontinuierlichen Bewertung gewährleistet werden.
Sie umfasst drei wesentliche Schritte:
- Es werden zentrale Risikofaktoren identifiziert – spezifische Merkmale im Kontext des Lebenszyklus eines KI-Systems –, die die Wahrscheinlichkeit negativer Auswirkungen auf Menschenrechte, Demokratie und Rechtsstaatlichkeit erhöhen. Diese Risikofaktoren werden in drei Kategorien eingeteilt: den Anwendungskontext des Systems, den Entwurfs- und Entwicklungskontext sowie den Einsatzkontext.
- Die Analyse dieser Faktoren ermöglicht und erleichtert die Überprüfung potenzieller nachteiliger Auswirkungen auf Menschenrechte, Demokratie und Rechtsstaatlichkeit.
- Aufbauend auf diesen Informationen konzentriert sich der Triage-Prozess darauf, Systeme mit erheblichen Risiken zu identifizieren und zu priorisieren, wodurch sichergestellt wird, dass die HUDERIA-Methodik verhältnismässig bleibt und für KI-Systeme mit minimalem oder geringem Risiko keine übermässige Belastung darstellt. Dieser Prozess unterstützt zudem eine fundierte Entscheidungsfindung darüber, ob die Vorteile der Entwicklung oder des Einsatzes eines KI-Systems die Risiken überwiegen, insbesondere im Hinblick auf potenzielle Auswirkungen auf Menschenrechte, Demokratie und Rechtsstaatlichkeit.
Die SEP ergänzt die RIA, indem sie die Perspektiven potenziell betroffener Personen einbezieht, die während der COBRA-Phase identifiziert wurden. Abgestimmt auf die identifizierten Risikofaktoren und potenziellen Auswirkungen kann die Einbindung der Interessengruppen verschiedene Formen und Beteiligungsgrade annehmen. Dieser Prozess verbessert nicht nur die Qualität der Risikoanalyse, sondern fördert auch die Transparenz, schafft Vertrauen und steigert die Benutzerfreundlichkeit und Leistungsfähigkeit des KI-Systems.
Die RIA liefert eine detaillierte Bewertung der potenziellen und tatsächlichen Auswirkungen der Aktivitäten von KI-Systemen auf Menschenrechte, Demokratie und Rechtsstaatlichkeit, wobei der Schwerpunkt insbesondere auf Systemen liegt, die erhebliche Risiken darstellen und während der COBRA-Triage identifiziert wurden. Dabei werden potenzielle Schäden erneut geprüft, in einen Kontext gestellt und näher beleuchtet, während gleichzeitig wichtige Risikovariablen wie Ausmass, Umfang, Umkehrbarkeit und Wahrscheinlichkeit bewertet werden, um Risiken effektiv zu priorisieren und zu steuern. Aufbauend auf der COBRA-Analyse und möglichen Erkenntnissen aus der SEP gewährleistet dieser Schritt ein umfassendes Verständnis der Risiken, um Massnahmen zur Risikominderung und Governance-Strategien zu entwickeln.
Das MP-Element des HUDERIA-Prozesses umreisst Massnahmen und Strategien zur Bewältigung negativer Auswirkungen und zur Minderung identifizierter Schäden. Dazu gehört die Formulierung gezielter Massnahmen auf der Grundlage der Schwere und Wahrscheinlichkeit dieser Schäden sowie die Entwicklung eines umfassenden Plans zu deren Umsetzung. Gegebenenfalls umfasst dies auch die Einrichtung von Mechanismen, die betroffenen Personen und anderen Interessengruppen Zugang zu Rechtsbehelfen ermöglichen.
HUDERIA sieht durch die iterative Überprüfungsphase regelmässige Neubewertungen vor, um sicherzustellen, dass KI-Systeme angesichts sich wandelnder Rahmenbedingungen und technologischer Entwicklungen weiterhin sicher und ethisch einwandfrei funktionieren und die Öffentlichkeit während des gesamten Lebenszyklus des Systems vor neu auftretenden Risiken geschützt ist. Es soll Risiken bei der Anwendung von KI in der Unternehmensführung verhindern und mindern, indem sichergestellt wird, dass KI-Tools ethisch, verantwortungsbewusst und in Übereinstimmung mit den Grundsätzen der Unternehmensführung eingesetzt werden. Dazu gehören ethische und rechtliche Bedenken hinsichtlich des Umgangs mit sensiblen Daten des Unternehmens und der Interessengruppen; das Risiko, bestehende Vorurteile zu übernehmen oder zu verstärken; die Komplexität bei der Zuweisung der Verantwortung für von KI getroffene oder vorgeschlagene Entscheidungen; die übermässige Abhängigkeit von Technologie sowie die Unfähigkeit der KI, menschliches Urteilsvermögen bei Führungsentscheidungen zu ersetzen. Das HUDERIA-Rahmenwerk unterstreicht die entscheidende Rolle eines proaktiven Engagements und einer flexiblen Unternehmensführung bei der Bewältigung potenzieller Risiken von KI-Systemen und betont die Notwendigkeit, dass Organisationen über die blosse Einhaltung von Vorschriften hinausgehen und aktiv ethische Praktiken fördern, die die Menschenrechte und demokratische Grundsätze wahren.
5.3 Zusammenhang zwischen verschiedenen Mechanismen zur Folgenabschätzung
Die Beziehung zwischen FRIA und HUDERIA zeigt, wie verbindliche und freiwillige Rahmenwerke zusammenwirken können, um einen umfassenderen Schutz der Menschenrechte zu schaffen, als es jeder Ansatz für sich allein erreichen könnte. FRIA stellt regulatorische Mindestanforderungen mit Durchsetzungsmechanismen bereit, während HUDERIA Methodiken für Organisationen bietet, die eine umfassende Rechtebeurteilung eher als ethische Verpflichtung denn als rechtliche Einhaltung umsetzen möchten. Diese Komplementarität ist besonders bedeutsam, da sie eine entscheidende Lücke in traditionellen Ansätzen zur Unternehmensverantwortung schliesst: die Kluft zwischen dem, was das Gesetz vorschreibt, und dem, was die Ethik verlangt. FRIA gewährleistet die Mindesterfüllung der Grundrechtsverpflichtungen für risikoreiche KI-Systeme innerhalb der EU-Gerichtsbarkeit, während HUDERIA, das konzeptionell auf FRIA abgestimmt ist, Methoden für Organisationen bereitstellt, die eine umfassende Menschenrechtsprüfung über ihr gesamtes KI-Portfolio hinweg umsetzen möchten – unabhängig von regulatorischen Anforderungen oder in einem länderübergreifenden Kontext. Für global tätige Unternehmen könnte es effizient sein, Bewertungsansätze nach dem Vorbild von FRIA auf ihre internationalen KI-Portfolios anzuwenden, selbst in Rechtsordnungen ohne vergleichbare regulatorische Anforderungen. Dieser Harmonisierungseffekt könnte zum globalen Einfluss der EU-Regulierungsansätze beitragen und Impulse für eine internationale Annäherung im Bereich der HRIA in der KI-Governance setzen. Unserer Ansicht nach können HRIA-Rahmenwerke und -Instrumente wie HUDERIA den Schutz der Rechte insbesondere in Kontexten fördern, in denen gesetzliche Vorschriften fehlen – und zwar durch freiwillig übernommene Grundsätze, die das Verhalten von Organisationen leiten und Mechanismen der Rechenschaftspflicht schaffen, die über regulatorische Anforderungen hinausgehen. Das Zusammenspiel zwischen den regulatorischen Vorgaben von FRIA und den ethischen Rahmenwerken von HUDERIA unterstreicht das Potenzial für einen differenzierteren Ansatz zur Unternehmensverantwortung im Bereich der KI, der die Kluft zwischen gesetzlicher Compliance und moralischer Verantwortung überbrückt, insbesondere in Regionen, in denen es an soliden Vorschriften mangelt.
6. Fazit: Von fragmentierter Compliance zu einheitlicher Governance in einer multipolaren Welt
Die Konvergenz von BHR-Instrumenten mit neu entstehenden Rahmenwerken zur KI-Governance stellt eine der bedeutendsten Entwicklungen in der heutigen Unternehmensverantwortung und Technologieregulierung dar. Das traditionelle Paradigma einer fragmentierten Compliance war durch branchenspezifische Vorschriften und freiwillige CSR-Rahmenwerke gekennzeichnet. Die Europäische Union erachtete dies als grundsätzlich unzureichend, um den komplexen rechtlichen Auswirkungen von KI-Systemen in globalen Wertschöpfungsketten gerecht zu werden. Diese Konvergenz steht nun jedoch vor beispiellosen Herausforderungen durch das Aufkommen multipolarer Ansätze zur KI-Governance. Wir können den Kontrast zwischen den rechtsbasierten Regulierungsrahmen der Europäischen Union und dem innovationsorientierten «America’s AI Action Plan» der Vereinigten Staaten feststellen. Dies signalisiert eine grundlegende Abkehr von einem konsensorientierten Ansatz zur internationalen Technologieregulierung. Als wir mit der Ausarbeitung dieses Beitrags begannen, lautete unsere zentrale These, dass BHR-Instrumente und KI-Governance sich zunehmend ergänzen und in einheitliche Rahmenwerke integriert werden sollten. Und aufgrund des «Brüssel-Effekts» dürfte eine solche Integration die Praktiken zum Schutz der Menschenrechte durch Unternehmen weltweit prägen.
Auf methodischer Ebene bieten die im Rahmen der BHR-Rahmenwerke entwickelten Sorgfaltspflichten wesentliche Grundlagen für eine systematische Menschenrechtsbewertung im KI-Kontext. KI-spezifische Bewertungsinstrumente verbessern die Präzision und Wirksamkeit traditioneller HRIA. Die Entwicklung von der DPIA zur FRIA zeigt, wie regulatorisches Lernen zu umfassenderen Bewertungsmethoden führen kann, die sowohl der technologischen Komplexität als auch den Erfordernissen des Rechtsschutzes Rechnung tragen.
Auf institutioneller Ebene schaffen die Governance-Strukturen und Rechenschaftsmechanismen, die sich im Zusammenhang mit neuen KI-Regulierungen herausbilden, eine Infrastruktur, die umfassendere Initiativen zur Unternehmensverantwortung unterstützt, während etablierte BHR-Institutionen Legitimität und Erfahrung einbringen, die die Wirksamkeit von KI-Governance-Ansätzen steigern. Die Weiterentwicklung der Doktrin der horizontalen Wirkung und der Theorie der Menschenrechtsabwägung, die von verfassungsrechtlichen Grundsätzen auf konkrete Unternehmenspflichten im Zusammenhang mit dem Einsatz von KI übertragen wurden, könnte veranschaulichen, wie sich rechtliche Konzepte an den technologischen Wandel anpassen können.
Auf normativer Ebene teilen sowohl die BHR als auch die KI-Governance-Rahmenwerke der EU grundlegende Verpflichtungen in Bezug auf Menschenwürde, Transparenz, Partizipation und proaktive Verantwortung.
Die Bedeutung der FRIA als erste verbindliche HRIA, die speziell für KI-Systeme konzipiert wurde, kann nicht hoch genug eingeschätzt werden. Trotz der erwähnten Herausforderungen setzt die FRIA durch die Forderung nach einer systematischen Bewertung der Auswirkungen von KI-Systemen über das gesamte Spektrum der Grundrechte hinweg die Verpflichtungen zur horizontalen Wirkung auf eine Weise um, wie es frühere Rahmenwerke nicht leisten konnten. Der verbindliche Charakter dieser Anforderungen behebt Schwächen bei freiwilligen Ansätzen zur Unternehmensverantwortung.
Diese These wurde jedoch durch die Einführung des amerikanischen KI-Aktionsplans und des Omnibus-Deregulierungspakets der Europäischen Kommission, das eine Schwächung der CSDDD vorsieht, stark in Frage gestellt. Dieser Trend zur Deregulierung, verbunden mit äusserem Druck durch konkurrierende Governance-Modelle, birgt Risiken für die weitere Entwicklung robuster Grundsätze der horizontalen Auswirkungen im unternehmerischen Kontext. Dies könnte zu regulatorischer Arbitrage führen, bei der Organisationen versuchen, ihre Compliance-Kosten durch die Tätigkeit in weniger regulierten Rechtsräumen zu minimieren, was die Wirksamkeit europäischer, auf Rechten basierender Ansätze und die Anwendung der FRIA potenziell untergräbt.
In diesem Zusammenhang gewinnen freiwillige Rahmenwerke wie HUDERIA besonders an Bedeutung. Sie bieten Organisationen Mechanismen, um über unterschiedliche regulatorische Landschaften hinweg einheitliche Menschenrechtsstandards aufrechtzuerhalten, und stärken damit die Rolle der Menschenrechte als ethische Normen – insbesondere in Situationen, in denen rechtliche Normen unzureichend, widersprüchlich oder gänzlich fehlend sind. Unternehmen, die sowohl innerhalb der EU als auch in Nicht-EU-Ländern tätig sind, könnten eher geneigt sein, solche Rahmenwerke, die auf die EU-Rechtsnormen abgestimmt sind, als Teil einer einheitlichen Governance-Strategie zu übernehmen – selbst in Bereichen, in denen derzeit keine verbindlichen rechtlichen Verpflichtungen bestehen. Die zentrale Erkenntnis dieser Analyse ist, dass sowohl FRIA als auch HUDERIA zur Stärkung der Einhaltung der Menschenrechte als ethische Normen im Zusammenhang mit dem Einsatz von KI durch Unternehmen beitragen. Diese normstärkende Funktion wird jedoch zunehmend durch divergierende globale Ansätze in Frage gestellt, die unterschiedliche Werte und Ziele priorisieren. Die Rechtswissenschaft sollte sich kritisch und konstruktiv mit diesen Herausforderungen auseinandersetzen, den Schutz der Grundrechte bei der Entwicklung und dem Einsatz von KI-Systemen fördern und gleichzeitig praktische Lösungen anbieten, um die Herausforderungen anzugehen, die sowohl von der Rechtstheorie, vor allem aber von der Praxis identifiziert wurden. Aus menschenrechtlicher Sicht würde die Streichung von FRIA aus dem Rechtsrahmen unweigerlich einen Rückschritt beim Schutz der Menschenrechte und der Rechtsstaatlichkeit bedeuten.
Die Ergebnisse verdeutlichen eine erhebliche Spannung zwischen dem rechtsbasierten Ansatz der EU zur KI-Governance und dem zunehmend deregulierten Umfeld, das durch den amerikanischen KI-Aktionsplan gefördert wird und das die Bemühungen um einen robusten Schutz der Menschenrechte untergraben könnte.
Zur einfacheren Lesbarkeit wurden die Literatur- und Quellverweise entfernt.
Übersetzung Boris Wanzeck, Swiss Infosec AG
Michal Jackowski and Jaroslaw Greser in: Cambridge Forum on AI: Law and Governance, Volume 2, 2026, e10
DOI: https://doi.org/10.1017/cfl.2026.10053
http://creativecommons.org/licenses/by/4.0
Dem Text wurden Hyperlinks hinzugefügt.
KI-Governance, Security und Privacy
Unsere KI-, Governance-, Datenschutz- und Security-Spezialisten begleiten Sie bei der Erstellung der übergeordneten firmeninternen KI-Vorgaben, bei der Abwicklung von KI-Projekten, bei der Klärung von Einzelfragen und der Durchführung unabhängiger Audits. Ebenfalls unterstützen sie Organisationen in ihrer Rolle als Nutzer/Betreiber, Anbieter oder Entwickler von KI-Systemen sowohl nach Schweizer Recht als auch gemäss dem EU-AI Act.
Kontaktieren Sie uns und erfahren Sie in einem unverbindlichen Beratungsgespräch, was unsere Spezialistinnen und Spezialisten für Sie tun können: +41 41 984 12 12, infosec@infosec.ch