Souveräne KI für Kommunen und Behörden

Kommunen stehen beim KI-Einsatz unter doppeltem Druck: Der Erwartung, Verwaltungsleistungen mit KI effizienter zu machen, und Anforderungen, die strenger sind als in fast jeder Branche. Dieser Guide fasst zusammen, was eine Verwaltung von einem KI-Anbieter verlangen muss, bevor ein Bürger-Chatbot oder ein internes Assistenzsystem live geht.

Warum für Verwaltungen andere Maßstäbe gelten

Verwaltungsdaten sind häufig Sozialdaten, Gesundheitsdaten oder Daten aus hoheitlichen Verfahren, also Kategorien mit besonderem Schutz. Dazu kommt die Vorbildfunktion: Eine Kommune, die Bürgerdaten an einen Anbieter mit ungeklärter Drittstaaten-Zugriffslage gibt, riskiert nicht nur Bußgelder, sondern Vertrauen. In der Praxis heißt das: EU-Eigentümerstruktur und EWR-Verarbeitung sind für die meisten kommunalen KI-Projekte keine Kür, sondern Ausschlusskriterium. Die Details dazu im CLOUD-Act-Guide.

Die Mindest-Checkliste für die Anbieterauswahl

• AVV öffentlich und prüfbar (Art. 28 DSGVO), inklusive Subprozessorenliste, vor der Vergabe, nicht danach.
• Verarbeitung im EWR, vertraglich zugesichert, nicht nur als Marketing-Aussage. Bei Gateways: Upstream-Provider prüfen.
• Kein Training mit Verwaltungsdaten, dokumentiert in Produktdoku oder Vertrag.
• Zertifikats-Nachweise: BSI C5 ist für deutsche Behörden der maßgebliche Katalog; ISO 27001 die Untergrenze. Geltungsbereich auf das KI-Produkt prüfen (siehe Zertifikate-Guide).
• AI-Act-Rollenklarheit: Die Kommune ist Betreiber, mit Transparenzpflichten gegenüber Bürgern (Art. 50: der Chatbot muss sich als KI zu erkennen geben) und der Pflicht, die KI-Kompetenz der Mitarbeitenden zu fördern (Art. 4; seit dem Digital Omnibus, Verordnung (EU) 2026/1744, ohne garantiertes Kompetenzniveau einzelner Personen). Entscheidet ein System über den Zugang zu öffentlichen Leistungen (Hochrisiko nach Anhang III), kommt ab dem 2. Dezember 2027 eine Grundrechte-Folgenabschätzung vor der Inbetriebnahme hinzu (Art. 27).
• Barrierefreiheit nicht vergessen: Ein Bürger-Assistent ist ein öffentlicher Online-Dienst und fällt unter BITV 2.0 / EU-Richtlinie 2016/2102.

Vergaberechtlicher Hinweis

Souveränitätsanforderungen sind vergaberechtlich zulässig, wenn sie auftragsbezogen begründet sind. Die EU-Cloud-Beschaffungen mit ihren SEAL-Stufen liefern dafür inzwischen Referenzmaterial. Wichtig ist die saubere Formulierung als Eignungs- oder Zuschlagskriterium („Verarbeitung ausschließlich im EWR“, „Testat nach BSI C5“, „keine Kontrolle durch Nicht-EU-Rechtsträger“) statt der Nennung von Wunschanbietern.

Realistische Einstiege

Die risikoärmsten kommunalen KI-Projekte nutzen deutsche oder europäische Inference-Anbieter mit belegtem AVV und C5-Umfeld für interne Zwecke (Textentwürfe, Protokollzusammenfassungen, interne Suche), bevor Bürgerdaten ins Spiel kommen. Welche Anbieter die Nachweise dafür heute tatsächlich vorlegen, zeigt unsere Datenbank mit Quelle und Prüfdatum pro Angabe.