EU AI ActJetzt noch Governance-Strukturen aufbauen

Stellen Sie sich vor, Ihr Amt wird geprüft. Der Prüfer fragt, welche KI-Systeme Sie einsetzen, wer dafür verantwortlich ist und wo das dokumentiert wurde. Diese drei Fragen sollten bis Anfang August 2026 sicher beantwortet werden können, denn ab diesem Datum gilt der EU AI Act in vollem Umfang. Wer KI-Systeme in seiner Verwaltung betreibt, muss nachweisen, dass er das geregelt tut, nicht irgendwann, nicht in Vorbereitung, sondern mit Dokumenten, Prozessen und klaren Zuständigkeiten, die im Ernstfall auch standhalten.

Beim Aufbau dieser Strukturen in Kommunen ist das zentrale Problem fast immer dasselbe: nicht mangelndes Interesse oder grundsätzliche Ablehnung gegenüber dem Thema, sondern die schlichte Frage, wo man bei all den laufenden Aufgaben überhaupt anfangen soll. 

Wer ist betroffen?

Vom EU AI Act betroffen ist jede Kommune, die KI-Systeme nutzt – und das sind deutlich mehr, als viele zunächst vermuten. Der EU AI Act unterscheidet zwischen Unternehmen, die KI entwickeln, und Organisationen, die KI betreiben. Kommunalverwaltungen sind fast immer Betreiber und tragen somit eigene gesetzliche Pflichten; unabhängig davon, ob sie die Software selbst gebaut oder beim Anbieter zugekauft haben. Der Irrtum, der EU AI Act sei vor allem ein Problem für Technologiekonzerne, ist weit verbreitet und kostet gerade im öffentlichen Sektor wertvolle Zeit.

Was als KI-System gilt, überrascht in der Praxis regelmäßig. Ein Chatbot auf dem Bürgerportal gehört ebenso dazu wie eine Software, die im Sozialamt Anträge vorprüft, ein Werkzeug, das in der Personalverwaltung Unterlagen analysiert, oder ein System, das im Ordnungsamt Videodaten auswertet. Viele dieser Anwendungen sind seit Jahren im Einsatz, ohne dass sie je formal als KI eingestuft wurden. Das ändert sich jetzt, und zwar unabhängig davon, ob die jeweilige Verwaltung darauf vorbereitet ist oder nicht.

Bevor eine Verwaltung irgendetwas regeln kann, muss sie wissen, was sie zu regeln hat, und genau das ist in der Praxis weniger selbstverständlich, als es klingt. KI-Systeme sind selten als solche ausgewiesen. Sie sitzen eingebettet in Fachanwendungen, tauchen als „smarte Funktion“ in Standardsoftware auf oder werden von einzelnen Sachbearbeitenden eigenständig genutzt, ohne dass die Leitung davon weiß. Letzteres ist keine Seltenheit, sondern eher die Regel.

Bestandsaufnahme und Risikobewertung

Eine vollständige Bestandsaufnahme muss deshalb drei Ebenen erfassen: zentral beschaffte Software, dezentral genutzte Werkzeuge und laufende Pilotprojekte in einzelnen Ämtern. Diese Arbeit ist keine IT-Aufgabe. Die IT kann zuarbeiten und wichtige Hinweise geben, aber die Entscheidung darüber, welche Systeme weitergeführt, angepasst oder aufgegeben werden, trifft die Verwaltungsspitze. Wer das an die Technik delegiert, delegiert damit auch die Verantwortung, was rechtlich nicht funktioniert.

Nicht jede KI ist gleich kritisch, und der EU AI Act stuft Systeme entsprechend ihrem Risiko ein. Für Kommunen besonders relevant sind die sogenannten Hochrisikosysteme, also vereinfacht gesagt jedes System, das Entscheidungen über Menschen vorbereitet oder beeinflusst, die erhebliche Konsequenzen haben: etwa bei Sozialleistungen, Personalentscheidungen oder dem Zugang zu öffentlichen Diensten. Wer solche Systeme betreibt, hat die umfangreichsten Pflichten und steht im Fokus einer möglichen Aufsicht.

Aus der Erfahrung heraus lässt sich eine klare Empfehlung geben: Im Zweifel lieber höher einstufen. Der damit verbundene Mehraufwand ist beherrschbar, die Konsequenzen einer zu laxen Einstufung hingegen nicht. Hinzu kommt, dass eine Risikobewertung nicht dauerhaft gilt. Wenn sich ein System weiterentwickelt oder in einem neuen Kontext eingesetzt wird, muss die Bewertung wiederholt werden, was viele bei der ersten Prüfung nicht einplanen.

Zuständigkeit: Ein Name muss dahinterstehen

Governance ohne Zuständigkeit bleibt Papier, und das ist keine Übertreibung. Es braucht eine Person, welche die Dokumentation führt, Vorfälle meldet, Systeme überwacht und dafür sorgt, dass die Anforderungen des EU AI Act nicht einmalig erfüllt, sondern dauerhaft eingehalten werden. In vielen Verwaltungen landet diese Aufgabe beim Datenschutzbeauftragten oder IT-Leiter, was in beiden Fällen zu kurz greift. Der Datenschutzbeauftragte ist für Datenschutz zuständig – die Schnittmengen mit KI-Governance sind zwar erheblich, aber die Rollen sind rechtlich voneinander getrennt.

Für viele Kommunen hat sich die Bestellung eines externen KI-Beauftragten als praktikable Lösung erwiesen. Er übernimmt die operative Arbeit bei Dokumentation, Überwachung und Meldeprozessen und schafft damit die Voraussetzungen, dass die Verwaltungsleitung ihre Verantwortung tatsächlich wahrnehmen kann. Die Letztverantwortung bleibt, wo sie hingehört: bei der Behördenleitung.

Dokumentation als Dauerbetrieb

Das häufigste Missverständnis ist die Vorstellung, Compliance sei ein Projekt, das man einmal erledigt und dann abhakt. Der EU AI Act denkt anders. Er verlangt eine laufende Dokumentation: Nachweise über Schulungen, Protokolle zum Betrieb von Hochrisikosystemen und Aufzeichnungen zu Vorfällen, die im Ernstfall einer Aufsichtsbehörde vorgelegt werden müssen. Wer die Strukturen dafür frühzeitig aufgebaut hat, konnte den Aufwand auf überschaubare monatliche Einheiten verteilen. Wer jetzt erst startet, dokumentiert unter Zeitdruck und produziert dabei genau die Lücken, die bei einer Prüfung als erstes auffallen.

Nächste Schritte

Jede Verwaltung kann innerhalb weniger Wochen den Einstieg schaffen. Eine strukturierte Bestandsaufnahme aller Systeme mit KI-Anteil ist der erste Schritt, daraus folgt eine erste Risikoeinstufung nach den Kriterien des EU AI Act und schließlich die Entscheidung, wer intern oder extern die Zuständigkeit für KI-Governance übernimmt. Das ist kein Abschluss, aber ein Anfang, der Klarheit schafft, intern wie rechtlich, und der zeigt, dass die Verwaltung das Thema ernst nimmt.

Der 2. August 2026 ist kein Enddatum. Er ist der Beginn eines neuen Betriebsmodus. Das werden Kommunen bald nicht mehr als Belastung empfinden, sondern als selbstverständliche Routine.