Souveräne KI für Kommunen und Behörden

Kommunen stehen beim KI-Einsatz unter doppeltem Druck: Der Erwartung, Verwaltungsleistungen mit KI effizienter zu machen — und Anforderungen, die strenger sind als in fast jeder Branche. Dieser Guide fasst zusammen, was eine Verwaltung von einem KI-Anbieter verlangen muss, bevor ein Bürger-Chatbot oder ein internes Assistenzsystem live geht.

Warum für Verwaltungen andere Maßstäbe gelten

Verwaltungsdaten sind häufig Sozialdaten, Gesundheitsdaten oder Daten aus hoheitlichen Verfahren — Kategorien mit besonderem Schutz. Dazu kommt die Vorbildfunktion: Eine Kommune, die Bürgerdaten an einen Anbieter mit ungeklärter Drittstaaten-Zugriffslage gibt, riskiert nicht nur Bußgelder, sondern Vertrauen. In der Praxis heißt das: EU-Eigentümerstruktur und EWR-Verarbeitung sind für die meisten kommunalen KI-Projekte keine Kür, sondern Ausschlusskriterium — die Details dazu im CLOUD-Act-Guide.

Die Mindest-Checkliste für die Anbieterauswahl

• AVV öffentlich und prüfbar (Art. 28 DSGVO), inklusive Subprozessorenliste — vor der Vergabe, nicht danach.
• Verarbeitung im EWR, vertraglich zugesichert, nicht nur als Marketing-Aussage. Bei Gateways: Upstream-Provider prüfen.
• Kein Training mit Verwaltungsdaten, dokumentiert in Produktdoku oder Vertrag.
• Zertifikats-Nachweise: BSI C5 ist für deutsche Behörden der maßgebliche Katalog; ISO 27001 die Untergrenze. Geltungsbereich auf das KI-Produkt prüfen (siehe Zertifikate-Guide).
• AI-Act-Rollenklarheit: Die Kommune ist Betreiber — mit Transparenzpflichten gegenüber Bürgern (Art. 50: der Chatbot muss sich als KI zu erkennen geben) und KI-Kompetenz-Pflicht für Mitarbeitende (Art. 4).
• Barrierefreiheit nicht vergessen: Ein Bürger-Assistent ist ein öffentlicher Online-Dienst und fällt unter BITV 2.0 / EU-Richtlinie 2016/2102.

Vergaberechtlicher Hinweis

Souveränitätsanforderungen sind vergaberechtlich zulässig, wenn sie auftragsbezogen begründet sind — die EU-Cloud-Beschaffungen mit ihren SEAL-Stufen liefern dafür inzwischen Referenzmaterial. Wichtig ist die saubere Formulierung als Eignungs- oder Zuschlagskriterium („Verarbeitung ausschließlich im EWR“, „Testat nach BSI C5“, „keine Kontrolle durch Nicht-EU-Rechtsträger“) statt der Nennung von Wunschanbietern.

Realistische Einstiege

Die risikoärmsten kommunalen KI-Projekte nutzen deutsche oder europäische Inference-Anbieter mit belegtem AVV und C5-Umfeld für interne Zwecke — Textentwürfe, Protokollzusammenfassungen, interne Suche — bevor Bürgerdaten ins Spiel kommen. Welche Anbieter die Nachweise dafür heute tatsächlich vorlegen, zeigt unsere Datenbank mit Quelle und Prüfdatum pro Angabe.