01 · NEDİR / DEFINITION

Wer gilt als betroffen?

Affected Persons sind alle Menschen, deren Zugang, Chancen, Behandlung, Sicherheit, Rechte oder wirtschaftliche Interessen durch ein AI-System beeinflusst werden können – auch wenn sie das System nie selbst bedienen. Scale beschreibt Anzahl, Häufigkeit, geografische Reichweite und systematische Wiederholung.

Kernsatz: Nutzer sind nicht automatisch alle Betroffenen. Auch Kunden, Bewerber, Mitarbeitende, Angehörige oder Dritte können mittelbar betroffen sein.
02 · WARUM RELEVANT?

Warum Personengruppen und Reichweite getrennt prüfen?

Schutzbedarf

Kinder, ältere Menschen oder Personen in Abhängigkeit benötigen stärkere Sicherungen.

Skalierung

Ein kleiner systematischer Fehler kann bei hoher Fallzahl große Gesamtschäden erzeugen.

Fairness

Unterschiedliche Fehlerraten und Barrieren für Gruppen werden sichtbar.

Abhilfe

Information, Widerspruch, menschliche Prüfung und Beschwerde werden passend geplant.

03 · KUNDENSITUATION

Typisches Praxisbild

Ein Bewerbungsassistent wird von zehn Recruitern bedient, bewertet aber jährlich Tausende Bewerbungen. Die Nutzerzahl ist klein, die Zahl der Betroffenen groß. Werden Sprachstil oder Erwerbslücken verzerrt bewertet, kann dies bestimmte Gruppen systematisch benachteiligen.

Warnsignal: Die Reichweite nur anhand von Accounts, Lizenzen oder aktiven Bedienern zu bestimmen unterschätzt das tatsächliche Risiko.
04 · DISCOVERY-FRAGEN

Was BAIS vollständig erfasst

  1. Wer bedient das System aktiv?
  2. Über wen werden Daten verarbeitet oder Aussagen erzeugt?
  3. Wer erhält Vorteile, Nachteile oder keinen Zugang?
  4. Sind Kinder, ältere, kranke oder abhängige Personen betroffen?
  5. Wie viele Personen pro Tag, Monat und Jahr?
  6. Kann derselbe Fehler eine ganze Gruppe treffen?
  7. Gibt es sprachliche, digitale oder barrierebedingte Ausschlüsse?
  8. Können Betroffene den AI-Einsatz erkennen und verstehen?
  9. Gibt es Widerspruch, menschliche Prüfung und Korrektur?
  10. Wie werden neue Zielgruppen als Change erkannt?
05 · GUTE / SCHLECHTE BEISPIELE

Betroffenenlandkarte statt Nutzerliste

NICHT AUSREICHEND

„Das System hat 25 interne Nutzer.“

  • Keine indirekt Betroffenen
  • Keine Fallzahl
  • Keine vulnerablen Gruppen
  • Keine Abhilfe
BELASTBAR

„25 Sachbearbeitende nutzen das System; ca. 18.000 Kundenfälle pro Jahr sind betroffen. Minderjährige sind ausgeschlossen. Für sprachliche Barrieren existiert ein alternativer Kanal; negative Vorschläge brauchen menschliche Freigabe und sind anfechtbar.“

06 · BEWERTUNG

Wie R-003 eingestuft wird

ExpositionAnzahl Fälle, Häufigkeit, Dauer und geografische Reichweite.
VulnerabilitätAlter, Gesundheit, Abhängigkeit, digitale oder wirtschaftliche Unterlegenheit.
UngleichverteilungOb Fehler oder Nachteile einzelne Gruppen überproportional treffen.
WahlfreiheitOb eine reale Alternative, Opt-out oder menschlicher Kanal besteht.
KumulationOb wiederholte kleine Nachteile zu erheblichem Gesamtschaden führen.

Severity: 0–2 internes Kleintestteam · 3–5 begrenzte Gruppe · 6–8 viele Betroffene oder relevante Abhängigkeit · 9–10 sehr große oder besonders schutzbedürftige Gruppe.

07–08 · CONTROLS & EVIDENCE

Was eingerichtet und nachgewiesen wird

ControlEvidence / Nachweis
Betroffenen- und Stakeholder-MappingVersionierte Gruppen- und Prozesslandkarte
Scale-Metriken und SchwellenFallzahlen, Nutzergruppen, Alerts und Kapazitätsgrenzen
Fairness- und SegmenttestsTestbericht mit Gruppenvergleich und Abweichungen
Accessible AlternativeBarrierefreier manueller Kanal und Servicenachweis
Widerspruch und Human ReviewProzess, Frist, Owner und Testfall
Change-Trigger bei neuer GruppeRelease Gate, Ticket und Reassessment
09 · OWNER / RACI

Wer trägt welche Verantwortung?

R · ResponsibleBusiness Owner führt Gruppen, Reichweite und Nutzungskontext zusammen.
A · AccountableProcess Owner genehmigt Schutzmaßnahmen und Restrisiko.
C · ConsultedDatenschutz, Compliance, Accessibility, Fachvertretung und gegebenenfalls Betriebsrat.
I · InformedSupport, Incident Management, Betroffenenkontakt und Systembetrieb.
10–11 · EU AI ACT / DSGVO / ISO

Welche Regelwerke berührt R-003?

  • EU AI Act: Betroffene Personen, Grundrechte, vulnerable Gruppen, Transparenz und Human Oversight.
  • DSGVO: Betroffenenrechte, transparente Information, faire Verarbeitung und Risiken für Rechte und Freiheiten.
  • AGG: Benachteiligungsrisiken in Beschäftigung und Zugang zu Leistungen können relevant sein.
  • BFSG / Accessibility: Bei erfassten Produkten und Dienstleistungen sind zugängliche Interaktionen zu berücksichtigen.
  • ISO/IEC 42001: Stakeholder, Impact Assessment, verantwortlicher Einsatz und kontinuierliche Verbesserung.
Grenze: Ob einzelne Vorschriften im konkreten Fall gelten, wird anhand Rolle, Branche, Einsatz und betroffener Personengruppe rechtlich geprüft.
12 · TECHNISCHE UMSETZUNG

Wie Betroffenenschutz eingebaut wird

  • Gruppen- und Fallzahlmetriken datensparsam überwachen.
  • Testdatensätze auf relevante Segmente und Randgruppen ausrichten.
  • Fehlerraten, Ablehnungen und Overrides gruppenbezogen prüfen.
  • Barrierefreie Oberfläche, verständliche Sprache und Alternativkanal anbieten.
  • Negative oder weitreichende Ergebnisse mit Human Review sperren.
  • Widerspruch, Korrektur und Rücknahme technisch nachvollziehbar machen.
  • Skalierungsgrenzen, Rate Limits und stufenweisen Rollout verwenden.
  • Neue Nutzergruppe oder Region als verpflichtenden Review-Trigger setzen.
13 · HÄUFIGE FEHLER

Was die Analyse unvollständig macht

Nutzer mit Betroffenen gleichgesetztJahresfallzahl fehltIndirekte Wirkung ignoriertVulnerabilität pauschal bewertetKein alternativer KanalNeue Zielgruppe ohne Reassessment
14–17 · EINWÄNDE & KUNDENGESPRÄCH

Professionell und verständlich antworten

30 SEKUNDEN

„R-003 ermittelt nicht nur, wer das AI-System bedient, sondern alle direkt und indirekt betroffenen Menschen. Wir prüfen Anzahl, Häufigkeit, vulnerable Gruppen, ungleich verteilte Nachteile sowie echte Widerspruchs- und Alternativmöglichkeiten.“

2 MINUTEN

„Ein System mit wenigen internen Accounts kann Tausende Menschen beeinflussen. Deshalb erstellen wir eine Betroffenenlandkarte, messen Reichweite und kumulative Wirkung, prüfen vulnerable Gruppen und Gruppenunterschiede und planen Transparenz, Human Review, Widerspruch und barrierefreie Alternativen. Neue Zielgruppen lösen eine erneute Bewertung aus.“

„Wir speichern keine sensiblen Merkmale.“

Datensparsamkeit ist richtig. Trotzdem muss geprüft werden, ob Proxy-Merkmale oder Ergebnisse einzelne Gruppen systematisch benachteiligen.

„Es entscheidet doch ein Mitarbeiter.“

Dann prüfen wir, ob die Kontrolle fachlich, zeitlich und organisatorisch wirksam ist und Automation Bias begrenzt wird.

„Nur wenige Kollegen nutzen das Tool.“

Entscheidend ist zusätzlich, wie viele Personen durch deren AI-gestützte Entscheidungen oder Inhalte betroffen sind.

18 · ABSCHLUSS-CHECKLISTE

R-003 ist vollständig, wenn …

  • direkte und indirekte Betroffene dokumentiert sind.
  • Nutzerzahl und tatsächliche Fallzahl getrennt vorliegen.
  • vulnerable und strukturell benachteiligte Gruppen geprüft sind.
  • Reichweite, Häufigkeit und kumulative Wirkung bewertet sind.
  • Fairness- und Segmenttests definiert und ausgeführt sind.
  • Information, Widerspruch, Korrektur und Human Review funktionieren.
  • barrierefreie oder manuelle Alternativen verfügbar sind.
  • Owner, Evidence, Review-Zyklus und Change-Trigger feststehen.