DPIA und FRIA: Pflicht-Assessments für KI-Tools in der Patentpraxis
Ab August 2026 sind DPIA und FRIA für KI-Tools Pflicht. Schritt-für-Schritt-Anleitung für Patentanwälte zur Durchführung beider Assessments.
Ab August 2026 gilt die Doppelpflicht: DPIA und FRIA für jedes KI-Tool in der Kanzlei
Am 2. August 2026 treten die Durchsetzungsvorschriften des EU AI Act für Hochrisiko-KI-Systeme in Kraft. Für Patentanwaltskanzleien, die KI-gestützte Software einsetzen, bedeutet das eine neue Realität: Neben der seit 2018 bestehenden Datenschutz-Folgenabschätzung (DPIA nach DSGVO Art. 35) wird nun auch eine Grundrechte-Folgenabschätzung (FRIA nach AI Act Art. 27) verpflichtend - sofern das eingesetzte System als Hochrisiko-KI eingestuft wird.
Wer beide Assessments nicht oder nur unzureichend durchführt, riskiert Bußgelder aus zwei Rechtsregimen gleichzeitig. Dieser Artikel erklärt, wann welches Assessment greift, wie Sie beide strukturiert durchführen und welche Fehler Sie unbedingt vermeiden sollten.
Wann wird eine DPIA ausgelöst - und wann eine FRIA?
Die DPIA nach DSGVO Art. 35 ist erforderlich, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Für KI-Tools in der Patentpraxis ist das regelmäßig der Fall, wenn das System personenbezogene Daten von Erfindern verarbeitet, Profiling betreibt oder automatisierte Entscheidungen trifft.
Die FRIA nach AI Act Art. 27 greift für Betreiber von Hochrisiko-KI-Systemen. Der entscheidende Unterschied: Die FRIA fokussiert nicht nur auf Datenschutz, sondern auf das gesamte Spektrum der Grundrechte - Nichtdiskriminierung, Zugang zur Justiz, Meinungsfreiheit, Eigentumsschutz. Ein KI-System, das Patentansprüche bewertet und dabei Entscheidungen über die Schutzfähigkeit beeinflusst, kann durchaus grundrechtsrelevant sein.
In der Praxis werden beide Assessments fast immer gleichzeitig fällig: Jedes Hochrisiko-KI-System, das personenbezogene Daten verarbeitet, löst sowohl DPIA als auch FRIA aus. Die Europäische Datenschutzbehörde (EDPB) hat in ihren Guidelines 01/2026 klargestellt, dass beide Assessments parallel durchgeführt werden können - aber nicht einfach zusammengelegt werden dürfen.
Schritt-für-Schritt: DPIA für KI-gestützte Patentsoftware
Die DPIA folgt einem etablierten Prozess, der durch den Einsatz von KI allerdings zusätzliche Anforderungen erhält.
Erstens: Beschreiben Sie die Verarbeitungstätigkeit systematisch. Welche Daten werden eingegeben - Erfindungsmeldungen, technische Zeichnungen, Erfinderangaben, Korrespondenz mit Mandanten? Welche Daten erzeugt das KI-System? Werden Trainingsdaten gespeichert?
Zweitens: Bewerten Sie die Notwendigkeit und Verhältnismäßigkeit. Gibt es ein weniger eingriffsintensives Mittel, das denselben Zweck erfüllt? Bei KI-gestützter Patentrecherche wird die Antwort in der Regel ja lauten, dass der Einsatz verhältnismäßig ist - aber Sie müssen die Prüfung dokumentieren.
Drittens: Identifizieren Sie die Risiken. Für KI-Tools sind typische Risiken: fehlerhafte Zuordnung von Erfinderdaten, unbeabsichtigte Weitergabe vertraulicher Mandanteninformationen an den Anbieter, Profiling von Erfindern basierend auf ihrem Erfindungsverhalten, mangelnde Transparenz über die Verarbeitung.
Viertens: Definieren Sie Abhilfemaßnahmen. Verschlüsselung, Pseudonymisierung, Zugriffskontrollen, vertragliche Bindung des Anbieters, regelmäßige Überprüfung der Datenverarbeitung. Dokumentieren Sie jede Maßnahme konkret - nicht als allgemeine Absichtserklärung.
Schritt-für-Schritt: FRIA nach AI Act Art. 27
Die FRIA ist für viele Kanzleien Neuland. Art. 27 Abs. 1 verlangt, dass Betreiber von Hochrisiko-KI-Systemen vor der Inbetriebnahme eine Bewertung der Auswirkungen auf die Grundrechte durchführen.
Der erste Schritt ist die Kontextanalyse: In welchem Umfeld wird das KI-System eingesetzt? Welche Personengruppen sind betroffen - Erfinder, Mandanten, Kanzleimitarbeiter? Welche Grundrechte könnten tangiert sein?
Der zweite Schritt betrifft die Risikobewertung im engeren Sinne: Besteht die Gefahr, dass das System diskriminierend wirkt - etwa durch Bias in den Trainingsdaten, der bestimmte technische Bereiche oder Erfindergruppen systematisch benachteiligt? Könnte das System den Zugang zum Patentschutz beeinflussen, indem es bestimmte Erfindungen als weniger schutzfähig bewertet?
Der dritte Schritt umfasst die Maßnahmenplanung: Welche technischen und organisatorischen Maßnahmen mindern die identifizierten Risiken? Human-in-the-Loop-Prozesse, regelmäßige Bias-Audits, Transparenzberichte an Mandanten.
Der vierte Schritt ist die Dokumentation und Meldung: Die FRIA muss der zuständigen Marktüberwachungsbehörde auf Anfrage vorgelegt werden können. Anders als die DPIA gibt es bei der FRIA keine explizite Pflicht zur Vorabkonsultation - aber die Dokumentationspflicht ist streng.
Vorlagen und praktische Tipps für die Umsetzung
Die Europäische Kommission hat im März 2026 ein Template für die FRIA veröffentlicht, das als Ausgangspunkt dient. Es umfasst 47 Prüfpunkte in sechs Kategorien. Für die Patentpraxis sind nicht alle relevant - aber Sie müssen dokumentieren, warum Sie bestimmte Punkte als nicht anwendbar eingestuft haben.
Praktischer Tipp: Führen Sie DPIA und FRIA in einem koordinierten Prozess durch. Nutzen Sie ein gemeinsames Dokument mit klar getrennten Abschnitten für die datenschutzrechtliche und die grundrechtliche Bewertung. Das spart Zeit und stellt sicher, dass Erkenntnisse aus einem Assessment ins andere einfließen.
Für die Dokumentation der laufenden KI-Nutzung empfiehlt sich ein KI-Register: eine strukturierte Übersicht aller eingesetzten KI-Systeme mit Angaben zum Einsatzzweck, zur Risikokategorie, zum Datum der letzten Bewertung und zum verantwortlichen Ansprechpartner. Art. 49 AI Act verlangt ohnehin ein solches Register für Hochrisiko-Systeme.
Penalty Stacking: Das Bußgeldrisiko bei parallelen Verstößen
Hier wird es ernst: Wenn ein KI-Tool gleichzeitig gegen DSGVO und AI Act verstößt, können Bußgelder aus beiden Rechtsregimen verhängt werden. Die DSGVO sieht bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor. Der AI Act ergänzt bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für bestimmte Verstöße.
Art. 99 Abs. 4 AI Act enthält zwar eine Anrechnungsregel: Wenn für denselben Verstoß bereits ein DSGVO-Bußgeld verhängt wurde, soll das AI-Act-Bußgeld nicht kumulativ hinzukommen. Aber diese Regel greift nur bei identischen Verstößen. Eine fehlende DPIA betrifft die DSGVO, eine fehlende FRIA den AI Act - das sind zwei verschiedene Pflichten, die zu zwei separaten Bußgeldern führen können.
In der Praxis bedeutet das: Eine Kanzlei, die ein Hochrisiko-KI-System ohne DPIA und ohne FRIA betreibt, kann von der Datenschutzaufsicht und der Marktüberwachungsbehörde parallel sanktioniert werden. Die Kosten einer ordentlichen Durchführung beider Assessments - typischerweise 40 bis 80 Arbeitsstunden für die erstmalige Bewertung eines komplexen Systems - stehen in keinem Verhältnis zu diesem Risiko.
Dokumentation der KI-Nutzung im Kanzleialltag
Über die formalen Assessments hinaus verlangt die regulatorische Realität ab August 2026 eine laufende Dokumentation der KI-Nutzung. Das betrifft drei Ebenen.
Auf Systemebene: Welche KI-Systeme sind im Einsatz? Welche Version? Welche Konfiguration? Wer hat die Freigabe erteilt? Wann wurde das letzte Update eingespielt?
Auf Prozessebene: Wie ist das KI-System in den Kanzlei-Workflow eingebettet? Welche Prüfschritte sind vor und nach der KI-Nutzung vorgesehen? Wer trägt die Verantwortung für die Qualitätskontrolle der KI-Ergebnisse?
Auf Einzelfallebene: Bei mandatsbezogener KI-Nutzung sollte dokumentiert werden, wann und wofür das System eingesetzt wurde, welche Ergebnisse es geliefert hat und wie diese in die anwaltliche Entscheidung eingeflossen sind. Das dient nicht nur der Compliance, sondern auch der Haftungsvorsorge.
Fazit
Die Doppelpflicht aus DPIA und FRIA ist kein bürokratischer Exzess, sondern die logische Konsequenz aus zwei Rechtsregimen, die unterschiedliche Schutzgüter adressieren. Die DSGVO schützt personenbezogene Daten, der AI Act schützt Grundrechte im weiteren Sinne. Wer KI-Tools in der Patentpraxis einsetzt, muss beide Perspektiven abdecken.
Die gute Nachricht: Wer die Assessments strukturiert und koordiniert durchführt, schafft nicht nur Compliance, sondern auch ein belastbares Fundament für den verantwortungsvollen KI-Einsatz. Der Aufwand ist überschaubar, das Risiko bei Nichtbeachtung nicht.