Regeln
Was die AIIA des niederländischen Infrastrukturministeriums ist, für wen sie Pflicht ist, wie sie aufgebaut ist und wie sie sich zu IAMA und DSFA verhält.
Ein AI Impact Assessment (AIIA) ist ein Fragebogen, mit dem ein Team vorab abwägt, ob ein KI-System nötig ist, was es für Menschen bedeutet und wie es verantwortungsvoll gebaut und genutzt wird. Die AIIA wurde vom niederländischen Ministerium für Infrastruktur und Wasserwirtschaft (Infrastructuur en Waterstaat, IenW) entwickelt. Sie steht kostenlos zum Download bereit und ist nicht gesetzlich vorgeschrieben.
Das Ministerium bezeichnet die AIIA auf der Veröffentlichungsseite der Rijksoverheid (Niederländisch) als Hilfsmittel für Abwägungen beim Einsatz künstlicher Intelligenz. Ziel ist, dass Rechenschaft, Qualität und Reproduzierbarkeit zunehmen. Dieser Artikel erklärt, wie die AIIA aufgebaut ist, für wen sie gedacht ist und wie sie sich zu den anderen Prüfungen verhält, denen Sie begegnen. Es ist eine Erläuterung, keine Rechtsberatung. Stand: 5. November 2026.
Die AIIA wurde innerhalb von IenW entwickelt, vom CIO-Büro des Ministeriums gemeinsam mit dem Datenlabor von Rijkswaterstaat und dem IDlab der Inspectie Leefomgeving en Transport, der niederländischen Aufsichtsbehörde für Umwelt und Verkehr. Der Vorstand des Ministeriums verabschiedete die erste Version am 4. Juli 2022; das steht in der englischen Ausgabe von Version 2.0.
Im Dezember 2024 erschien Version 2.0 (PDF, Niederländisch). Diese Version berücksichtigt den endgültigen Text der KI-Verordnung und ist besser auf das IAMA abgestimmt, das Instrument für Menschenrechte, das die Universität Utrecht für die niederländische Regierung entwickelt hat.
Innerhalb von IenW ja. Laut Version 2.0 muss die AIIA ausgefüllt sein, wenn ein System in Produktion geht, und ein Pilotprojekt zählt dabei mit. Die Pflicht gilt für jedes KI-System, unabhängig von der Risikostufe aus der KI-Verordnung. Für einfache Algorithmen auf Grundlage fester Regeln ist die AIIA nicht verpflichtend.
Außerhalb dieses Ministeriums ist die AIIA keine Pflicht. Kein Gesetz schreibt sie vor, weder für Behörden noch für Unternehmen. Das Algoritmekader (Niederländisch), die Übersicht über Anforderungen und Hilfsmittel, die die niederländische Regierung für Algorithmen pflegt, bezeichnet sie als verpflichtendes Instrument innerhalb von IenW, das inzwischen auch breiter genutzt wird. Wer die AIIA nutzt, entscheidet sich also selbst dafür.
Die AIIA besteht aus zwei Teilen und drei Anhängen. Teil A behandelt die Frage, ob Sie das System überhaupt wollen sollten. Teil B behandelt, wie Sie es gut bauen und nutzen.
Die drei Anhänge behandeln die Risikostufe aus der KI-Verordnung, die Fragen für Anbieter oder Betreiber eines Hochrisikosystems und generative KI.
Nicht jede Frage ist Pflicht. Die blauen Fragen müssen immer beantwortet werden, die grünen nur, wenn sie relevant sind. Mit nur den blauen Fragen haben Sie eine schnellere Variante, den Quick Scan. Die AIIA verlangt ausdrücklich ein Team: Eine einzelne Person füllt sie nicht aus. Denken Sie an den Auftraggeber, jemanden, der die Technik versteht, jemanden mit Kenntnis der Arbeit und einen Juristen oder Datenschutzbeauftragten. Auf der Seite des Algoritmekader stehen Ausfüllvorlagen auf Niederländisch und Englisch.
Wer mit KI beginnt, stößt auf vier Abkürzungen. Sie überschneiden sich, sind aber nicht dasselbe.
Das IAMA, das Impact Assessment Mensenrechten en Algoritmes, behandelt die Auswirkungen auf Menschenrechte. Das aktualisierte IAMA vom Februar 2026 (Niederländisch) wurde an Artikel 27 der KI-Verordnung angeglichen. Das Algoritmekader beschreibt den Unterschied so: Die AIIA wurde speziell für KI entwickelt, das IAMA ist auf alle Arten von Algorithmen anwendbar.
Version 2.0 der AIIA übernimmt die Fragen zu Grundrechten aus dem IAMA. Laut einer Fußnote in dieser Version müssen Sie dadurch nicht mehr beide ausfüllen, es sei denn, Sie brauchen zusätzliche Hilfe bei der Abwägung zu Grundrechten. Mehr über das IAMA steht in unserem Artikel über das Algoritmeregister und das IAMA.
Die DSFA stammt aus Artikel 35 DSGVO und ist eine gesetzliche Pflicht. Die Autoriteit Persoonsgegevens (Niederländisch), die niederländische Datenschutzaufsichtsbehörde, schreibt, dass Sie eine DSFA durchführen müssen, wenn eine Verarbeitung voraussichtlich ein hohes Datenschutzrisiko birgt. Die AIIA ersetzt diese Pflicht nicht. Das Kapitel über Data Governance sagt, dass Sie bei der Verarbeitung personenbezogener Daten zunächst einen Pre-Scan ausfüllen, um zu bestimmen, ob eine vollständige DSFA nötig ist. Wie Sie eine DSFA für eine KI-Anwendung angehen, lesen Sie in unserem Artikel über die DSFA für KI-Tools.
Die Grundrechte-Folgenabschätzung, englisch FRIA, stammt aus Artikel 27 der KI-Verordnung. Sie ist Pflicht für Behörden und Organisationen mit einem öffentlichen Dienst, die ein Hochrisikosystem aus Anhang III nutzen werden, sowie für alle, die KI zur Kreditwürdigkeitsprüfung oder für Prämien von Lebens- und Krankenversicherungen einsetzen. Durch die Änderung der KI-Verordnung von 2026 gilt diese Pflicht ab dem 2. Dezember 2027.
Die AIIA nennt die FRIA nicht beim Namen. Sie fragt aber nach der Risikostufe, und für ein Hochrisikosystem füllen Sie die Anhänge 1 und 2 aus. Diese Anhänge behandeln die Pflichten von Anbietern oder Betreibern eines solchen Systems. Eine ausgefüllte AIIA ist also eine gute Vorbereitung, aber keine FRIA. Was in eine FRIA gehört, erläutern wir in unserem Artikel über die Grundrechte-Folgenabschätzung.
| Instrument | Von wem | Worum es geht | Pflicht |
|---|---|---|---|
| AIIA | Niederländisches Ministerium für Infrastruktur und Wasserwirtschaft | Die Abwägung sowie verantwortungsvoller Bau und Einsatz eines KI-Systems | Innerhalb von IenW für jedes KI-System; außerhalb nicht |
| IAMA | Niederländisches Innenministerium (BZK), entwickelt von der Universität Utrecht | Die Auswirkungen eines Algorithmus auf Menschenrechte | Keine gesetzliche Pflicht |
| DSFA | DSGVO, Artikel 35 | Die Risiken einer Verarbeitung personenbezogener Daten | Ja, bei voraussichtlich hohem Risiko |
| FRIA | KI-Verordnung, Artikel 27 | Die Auswirkungen eines Hochrisikosystems auf Grundrechte | Ja, für bestimmte Betreiber, ab dem 2. Dezember 2027 |
Stand: 5. November 2026. Die Spalte zur Pflicht ist eine Zusammenfassung; maßgeblich sind der Gesetzestext und die Richtlinien Ihrer eigenen Organisation.
Ja, als Hilfsmittel. Die AIIA steht kostenlos zum Download bereit, und das Algoritmekader meldet, dass sie auch außerhalb von IenW genutzt wird. Sie ist aber für ein Ministerium geschrieben: Manche Passagen gehen davon aus, etwa der Verweis auf die Prüfung durch den Auditdienst Rijk, den Prüfdienst der niederländischen Zentralregierung. Diese überspringen Sie oder übertragen sie auf Ihre eigene Situation.
Für eine Kanzlei oder ein Büro, das mit einem KI-Assistenten arbeiten will, ist die AIIA vor allem eine Ordnung der richtigen Fragen. Warum wollen Sie es? Welche Daten gehen hinein? Wer prüft das Ergebnis? Was tun Sie, wenn etwas schiefgeht? Das sind dieselben Fragen, die Sie in einer KI-Richtlinie beantworten; einen Entwurf finden Sie in unserem Artikel über das Erstellen einer KI-Richtlinie.
Ein ausgefüllter Fragebogen macht ein System nicht sicher. Er zeigt, dass Sie die Abwägung getroffen haben. Was ein Mitarbeitender in ein Chatfenster einfügt, ändert sich dadurch nicht. Eine Akte mit Namen, Bürgerservicenummern (BSN) oder Gesundheitsdaten gehört nicht in einen Chatbot auf einem privaten Konto. Was passiert, wenn Sie ein Dokument hochladen, steht auf unserer Seite über KI-Chatbots und die DSGVO.
PrivaSearch macht Dokumente durchsuchbar, nachdem personenbezogene Daten durch Pseudonyme ersetzt und von einem Kollegen geprüft wurden. Es sucht und zitiert, beurteilt aber keine Menschen und trifft keine Entscheidungen. Die Seite über DSGVO und AI Act sagt, dass dies eine Einstufung außerhalb der Hochrisikokategorien unterstützt, abhängig von beabsichtigter Nutzung und Arbeitsweise. Ob und wie Sie eine AIIA ausfüllen, entscheiden Sie selbst.
Für die Dokumentation liefert Ihre Umgebung anhand Ihrer eigenen Einrichtung drei Vorlagen: eine KI-Richtlinie, eine DSFA-Vorlage und den Eintrag im Verzeichnis von Verarbeitungstätigkeiten. Es sind Vorlagen, keine Rechtsberatung. Eine AIIA erstellt PrivaSearch nicht für Sie. Die Dokumente liefern Ihnen aber die Fakten, die Sie für die Kapitel über Data Governance und Risikomanagement brauchen: welche Daten, welche Maßnahmen, welche Aufbewahrungsfrist.
Im Einsatz selbst sind drei Dinge eingebaut, die zu den Fragen von Teil B passen. Die Prüfung durch einen Menschen ist verpflichtend. Antworten verweisen auf Dokument und Seite. Und Handlungen werden protokolliert. Pseudonymisierte Daten bleiben für Ihre Organisation personenbezogene Daten. Wie die Schritte aufeinanderfolgen, lesen Sie unter So funktioniert PrivaSearch. Wenn Sie sehen möchten, wie es funktioniert, fordern Sie eine Demo an.
AIIA steht für AI Impact Assessment. Es ist ein Fragebogen des niederländischen Ministeriums für Infrastruktur und Wasserwirtschaft, mit dem ein Team vorab abwägt, ob ein KI-System nötig ist, was es für Menschen bedeutet und wie es verantwortungsvoll gebaut und genutzt wird. Die aktuelle Version 2.0 stammt vom Dezember 2024. Die AIIA steht kostenlos auf der Website der niederländischen Regierung zum Download bereit.
Nur innerhalb des niederländischen Ministeriums für Infrastruktur und Wasserwirtschaft, für jedes KI-System, das in Produktion geht, auch für ein Pilotprojekt. Für andere Behörden und für Unternehmen ist die AIIA keine gesetzliche Pflicht. Das Algoritmekader der niederländischen Regierung meldet, dass sie inzwischen auch breiter genutzt wird. Wer sie ausfüllt, entscheidet sich selbst dafür.
Die AIIA wurde speziell für KI entwickelt und behandelt den gesamten Weg, von der Abwägung bis zum Risikomanagement. Das IAMA behandelt die Auswirkungen von Algorithmen auf Menschenrechte und ist auch für Algorithmen nutzbar, die keine KI sind. Version 2.0 der AIIA übernimmt die Fragen zu Grundrechten aus dem IAMA, sodass Sie meist nicht beide ausfüllen müssen.
Nein. Eine DSFA ist eine Pflicht aus der DSGVO, wenn eine Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko birgt. Die AIIA verweist selbst darauf: Bei personenbezogenen Daten füllen Sie zunächst einen Pre-Scan aus, um zu bestimmen, ob eine vollständige DSFA nötig ist. Antworten aus der AIIA können Sie in der DSFA verwenden, die DSFA bleibt aber ein eigenes Dokument.
Nein. Die FRIA, die Grundrechte-Folgenabschätzung, ist eine Pflicht aus Artikel 27 der KI-Verordnung für bestimmte Betreiber von Hochrisikosystemen, ab dem 2. Dezember 2027. Die AIIA ist außerhalb des Ministeriums, das sie entwickelt hat, ein freiwilliges Hilfsmittel. Sie fragt aber nach der Risikostufe und den Pflichten bei hohem Risiko und ist damit eine gute Vorbereitung.
Das steht nicht in der AIIA selbst und hängt vom System ab. Wer nur die blauen Fragen des Quick Scan beantwortet, ist schneller fertig als jemand, der alle Kapitel und Anhänge durchgeht. Rechnen Sie mit mehreren Sitzungen im Team, denn die AIIA verlangt Wissen über den Zweck, die Technik, die Daten und die Regeln.
Wann die Eingabe personenbezogener Daten in einen KI-Chatbot eine Datenpanne ist, wann Sie melden müssen und was Sie in den ersten 72 Stunden tun.
Die Mitgliedstaaten wollen KI-Verarbeitung auf berechtigtes Interesse stützen und Pseudonymisierung neu regeln. Was wirklich drinsteht und was Sie jetzt tun.
Der Zeitplan des AI Act nach dem digitalen Omnibus: Was bereits gilt, was auf 2027 und 2028 verschoben wurde und was Sie als KI-Nutzer jetzt regeln.
Wir zeigen es mit fiktiven Akten aus Ihrer Branche: Upload, Erkennung, Prüfung, Suche und die Verbindung mit Ihrem KI-Assistenten. Danach wissen Sie genau, was Ihr Team sicher nutzen kann.
Demo planen →