Grundrechte-Folgenabschätzung für Hochrisiko-KI-Systeme

(1)  Vor der Inbetriebnahme eines Hochrisiko-KI-Systems gemäß Artikel 6 Absatz 2 — mit Ausnahme von Hochrisiko-KI-Systemen, die in dem in Anhang III Nummer 2 aufgeführten Bereich verwendet werden sollen — führen Betreiber, bei denen es sich um Einrichtungen des öffentlichen Rechts oder private Einrichtungen, die öffentliche Dienste erbringen, handelt, und Betreiber von Hochrisiko-KI-Systemen gemäß Anhang III Nummer 5 Buchstaben b und c eine Abschätzung der Auswirkungen, die die Verwendung eines solchen Systems auf die Grundrechte haben kann, durch. Zu diesem Zweck führen die Betreiber eine Abschätzung durch, die Folgendes umfasst:

a)	eine Beschreibung der Verfahren des Betreibers, bei denen das Hochrisiko-KI-System im Einklang mit seiner Zweckbestimmung verwendet wird;
b)	eine Beschreibung des Zeitraums und der Häufigkeit, innerhalb dessen bzw. mit der jedes Hochrisiko-KI-System verwendet werden soll;
c)	die Kategorien der natürlichen Personen und Personengruppen, die von seiner Verwendung im spezifischen Kontext betroffen sein könnten;
d)	die spezifischen Schadensrisiken, die sich auf die gemäß Buchstabe c dieses Absatzes ermittelten Kategorien natürlicher Personen oder Personengruppen auswirken könnten, unter Berücksichtigung der vom Anbieter gemäß Artikel 13 bereitgestellten Informationen;
e)	eine Beschreibung der Umsetzung von Maßnahmen der menschlichen Aufsicht entsprechend den Betriebsanleitungen;
f)	die Maßnahmen, die im Falle des Eintretens dieser Risiken zu ergreifen sind, einschließlich der Regelungen für die interne Unternehmensführung und Beschwerdemechanismen.

(2)  Die in Absatz 1 festgelegte Pflicht gilt für die erste Verwendung eines Hochrisiko-KI-Systems. Der Betreiber kann sich in ähnlichen Fällen auf zuvor durchgeführte Grundrechte-Folgenabschätzungen oder bereits vorhandene Folgenabschätzungen, die vom Anbieter durchgeführt wurden, stützen. Gelangt der Betreiber während der Verwendung des Hochrisiko-KI-Systems zur Auffassung, dass sich eines der in Absatz 1 aufgeführten Elemente geändert hat oder nicht mehr auf dem neuesten Stand ist, so unternimmt der Betreiber die erforderlichen Schritte, um die Informationen zu aktualisieren.

(3)  Sobald die Abschätzung gemäß Absatz 1 des vorliegenden Artikels durchgeführt wurde, teilt der Betreiber der Marktüberwachungsbehörde ihre Ergebnisse mit, indem er das ausgefüllte, in Absatz 5 des vorliegenden Artikels genannte Muster als Teil der Mitteilung übermittelt. In dem in Artikel 46 Absatz 1 genannten Fall können die Betreiber von der Mitteilungspflicht befreit werden.

(4)  Wird eine der in diesem Artikel festgelegten Pflichten bereits infolge einer gemäß Artikel 35 der Verordnung (EU) 2016/679 oder Artikel 27 der Richtlinie (EU) 2016/680 durchgeführten Datenschutz-Folgenabschätzung erfüllt, kann der Betreiber bei der Durchführung der Grundrechte-Folgenabschätzung gemäß Absatz 1 dieses Artikels entweder Verweise auf die einschlägigen Abschnitte dieser Datenschutz-Folgenabschätzung oder die einschlägigen Teile ebendieser in die Grundrechte-Folgenabschätzung aufnehmen.

(5)  Das Büro für Künstliche Intelligenz erarbeitet ein Muster für einen Fragebogen — auch mithilfe eines automatisierten Instruments —, um die Betreiber in die Lage zu versetzen, ihren Pflichten gemäß diesem Artikel in vereinfachter Weise nachzukommen. In diesem Muster wird den Betreibern gegebenenfalls die Möglichkeit gegeben, gemäß Absatz 4 Verweise auf die einschlägigen Abschnitte der Datenschutz-Folgenabschätzung oder die einschlägigen Teile ebendieser in die Grundrechte-Folgenabschätzung aufzunehmen.

1.  Pred nasadením vysokorizikového systému AI uvedeného v článku 6 ods. 2, s výnimkou vysokorizikových systémov AI určených na používanie v oblasti uvedenej v prílohe III bode 2, nasadzujúce subjekty, ktoré sú verejnoprávnymi orgánmi alebo súkromnými subjektmi poskytujúcimi verejné služby, a subjekty nasadzujúce vysokorizikové systémy AI uvedené v prílohe III bode 5 písm. b) a c) vykonajú posúdenie vplyvu na základné práva, ktorý môže mať použitie takéhoto systému. Na tento účel vykonajú nasadzujúce subjekty posúdenie, ktoré zahŕňa:

a)	opis procesov nasadzujúceho subjektu, v ktorých sa bude vysokorizikový systém AI používať v súlade s jeho zamýšľaným účelom;
b)	opis časového úseku a frekvencie, v ktorých sa má každý vysokorizikový systém AI používať;
c)	kategórie fyzických osôb a skupín, ktoré pravdepodobne budú ovplyvnené jeho používaním v konkrétnom kontexte;
d)	konkrétne riziká ujmy, ktoré pravdepodobne ovplyvnia kategórie fyzických osôb alebo skupín osôb identifikovaných podľa písmena c) tohto odseku s prihliadnutím na informácie od poskytovateľa podľa článku 13;
e)	opis vykonávania opatrení v oblasti ľudského dohľadu podľa návodu na použitie;
f)	opatrenia, ktoré sa majú prijať v prípade naplnenia týchto rizík, vrátane opatrení zameraných na vnútorné správu a riadenie a mechanizmy riešenia sťažností.

2.  Povinnosť uvedená v odseku 1 sa vzťahuje na prvé použitie vysokorizikového systému AI. Nasadzujúci subjekt sa môže v podobných prípadoch odvolávať na predtým vykonané posúdenie vplyvu na základné práva alebo na existujúce posúdenie vplyvu, ktoré vykonal poskytovateľ. Ak sa počas používania vysokorizikového systému AI nasadzujúci subjekt domnieva, že sa ktorýkoľvek z prvkov uvedených v odseku 1 zmenil alebo už nie je aktuálny, podnikne kroky potrebné na aktualizáciu informácií.

3.  Po vykonaní posúdenia vplyvu uvedeného v odseku 1 tohto článku nasadzujúci subjekt notifikuje orgán dohľadu nad trhom o výsledkoch, pričom ako súčasť notifikácie predloží vyplnený vzor uvedený v odseku 5 tohto článku. V prípade uvedenom v článku 46 ods. 1 môžu byť nasadzujúce subjekty oslobodené od notifikačnej povinnosti.

4.  Ak je ktorákoľvek z povinností stanovených v tomto článku už splnená prostredníctvom posúdenia vplyvu na ochranu údajov vykonaného podľa článku 35 nariadenia (EÚ) 2016/679 alebo článku 27 smernice (EÚ) 2016/680, nasadzujúci subjekt môže pri vykonávaní posúdenia vplyvu na základné práva uvedeného v odseku 1 tohto článku zahrnúť krížové odkazy na príslušné oddiely tohto posúdenia vplyvu na ochranu údajov alebo zahrnúť jeho príslušné časti do posúdenia vplyvu na základné práva.

5.  Úrad pre AI vypracuje vzor dotazníka, a to aj prostredníctvom automatizovaného nástroja, s cieľom uľahčiť nasadzujúcim subjektom plnenie ich povinností podľa tohto článku zjednodušeným spôsobom. Tento vzor v relevantných prípadoch poskytuje nasadzujúcim subjektom možnosť zahrnúť krížové odkazy na príslušné oddiely posúdenia vplyvu na ochranu údajov alebo zahrnúť jeho príslušné časti do posúdenia vplyvu na základné práva podľa odseku 4.