KI-Strategie für die Kommune: Ziele, Zuständigkeiten, Beschaffung

Wenn Ihre Verwaltung KI über einzelne Versuche hinaus einsetzen will, braucht sie eine Strategie, die festlegt, wofür, unter wessen Verantwortung und auf welchem Weg. Für eine Kommune gelten dabei andere Bedingungen als für ein Unternehmen. Sie beschafft nach Vergaberecht, sie entscheidet gegenüber Bürgerinnen und Bürgern mit Rechtsfolgen, und die KI-Verordnung stellt Behörden in den Hochrisikobereichen zusätzliche Pflichten. Dieser Artikel setzt voraus, dass erste Anwendungsfälle gefunden sind, und ordnet ein, was die Verwaltungsspitze darüber hinaus entscheiden muss.

Die wichtigste strategische Entscheidung einer Kommune ist nicht, welches Werkzeug sie einführt, sondern wie nah KI an Entscheidungen über Menschen heranrücken darf.

Diesseits dieser Grenze ist KI eine Frage der Organisation, jenseits davon können Registrierung und Grundrechte-Folgenabschätzung Pflicht werden.

Wo Ihre Verwaltung steht: die Bestandsaufnahme

Eine KI-Strategie beginnt mit dem Wissen, was in der Verwaltung schon vorhanden ist, an Technik, an Abläufen, an Kompetenz und an KI, die bereits im Einsatz ist. Ohne diese Aufnahme plant die Strategie für eine Verwaltung, die es so nicht gibt.

Technik und Fachverfahren

Welche Fachverfahren laufen, wer sie betreibt und welche Schnittstellen sie haben. Daran entscheidet sich, ob ein KI-Werkzeug an die Daten herankommt oder daneben steht.

Abläufe

Wo Anträge, Anfragen und Vorgänge zwischen Papier, E-Mail und Fachverfahren wechseln. Diese Stellen binden Arbeitszeit und sind die ersten Kandidaten.

Kompetenz

Wer in den Ämtern schon mit KI arbeitet, wer Fragen dazu beantworten kann und wer bisher nichts damit zu tun hatte.

KI, die schon da ist

Werkzeuge, die Mitarbeitende privat oder ohne Freigabe nutzen, und KI-Funktionen, die mit Updates in vorhandene Fachverfahren gekommen sind. Was niemand erfasst hat, kann niemand verantworten.

Das Ergebnis ist ein Verzeichnis, kein Gutachten. Es nennt je Eintrag den Zweck, das Amt, das ihn verantwortet, und die Daten, die dabei verarbeitet werden. Auf diesem Verzeichnis bauen alle weiteren Entscheidungen auf, auch die rechtliche Einstufung.

Ziele: wofür die Kommune KI einsetzt

Die Ziele einer kommunalen KI-Strategie kommen aus den Aufgaben der Verwaltung, nicht aus den Fähigkeiten der Werkzeuge. Ein Ziel ist brauchbar, wenn ein Amt es sich zu eigen macht und sich messen lässt, ob es erreicht wurde.

Als Werkzeug formuliert

„Wir führen einen Chatbot ein.“ Ob das gelungen ist, lässt sich nur daran ablesen, dass er läuft. Ob jemand davon etwas hat, bleibt offen.

Als Aufgabe formuliert

„Bürgerinnen und Bürger bekommen Auskunft zu Öffnungszeiten und Unterlagen auch außerhalb der Sprechzeiten, und das Bürgerbüro nimmt weniger Anrufe zu diesen Fragen an.“ Dafür gibt es einen Ausgangswert, den Sie vor dem Start erheben.

Zu den Zielen gehört die Gegenseite: wofür die Verwaltung KI nicht einsetzt. Wer etwa beschließt, dass KI bei Ermessensentscheidungen höchstens Unterlagen zusammenstellt und nie einen Vorschlag zur Sache macht, hat eine Grenze gezogen, an der sich jedes spätere Vorhaben messen lässt. Das Verwaltungsrecht zieht hier selbst eine Linie: Vollständig automatisch darf ein Verwaltungsakt nur ergehen, wenn eine Rechtsvorschrift das zulässt und weder Ermessen noch Beurteilungsspielraum besteht (§ 35a VwVfG). Für Kommunen gilt in der Sache das Verwaltungsverfahrensgesetz ihres Landes; das Bundesgesetz tritt zurück, soweit ein Landesgesetz das Verfahren regelt (§ 1 Abs. 3 VwVfG), und die Landesgesetze sind hier nicht geprüft. Für Verfahren nach dem Sozialgesetzbuch gilt das Verwaltungsverfahrensgesetz nicht (§ 2 Abs. 2 Nr. 4 VwVfG); dort lässt § 31a SGB X den vollständig automatisierten Verwaltungsakt zu, sofern kein Anlass besteht, den Einzelfall durch Amtsträger zu bearbeiten. Die eigene Grenze der Kommune ist deshalb gerade bei Sozialleistungen nicht schon durch das Verfahrensrecht gezogen. Die selbst gezogene Grenze ist der Kern der Strategie, weil sie festlegt, ob ein Vorhaben überhaupt in einen Hochrisikobereich führt.

Wo die KI-Verordnung eine Kommune besonders trifft

Die KI-Verordnung (EU AI Act) macht einen deutlichen Unterschied zwischen KI, die Verwaltungsarbeit unterstützt, und KI, die an Entscheidungen über Leistungen, Personal oder Notfälle beteiligt ist. Für die zweite Gruppe trägt eine Kommune als Behörde Pflichten, die ein Unternehmen in derselben Lage nicht oder nicht in diesem Umfang hat.

Betreiber

Wer ein KI-System in eigener Verantwortung verwendet (Artikel 3 Nummer 4 KI-Verordnung). Eine Kommune, die ein eingekauftes System nutzt, ist Betreiber; wer ein System selbst entwickelt oder entwickeln lässt und unter eigenem Namen in Betrieb nimmt, ist Anbieter und trägt dessen Pflichten. Für die Strategie heißt das: Bei jedem Vorhaben steht vorher fest, welche Rolle die Kommune einnimmt.

Grundrechte-Folgenabschätzung

Eine Abschätzung, wie sich ein Hochrisiko-KI-System auf die Grundrechte der betroffenen Menschen auswirken kann, durchzuführen vor der ersten Verwendung (Artikel 27). Sie beschreibt, in welchen Verfahren das System eingesetzt wird, wen es betrifft, welche Schäden drohen, wie die menschliche Aufsicht aussieht und was bei einem Schaden geschieht, einschließlich eines Beschwerdewegs. Pflichtig sind unter anderem Betreiber, die Einrichtungen des öffentlichen Rechts sind; ausgenommen sind Systeme für kritische Infrastruktur nach Anhang III Nummer 2, etwa in der Wasserversorgung. Die KI-Verordnung bestimmt den Begriff nicht näher, und im europäischen Vergaberecht sind Gebietskörperschaften und Einrichtungen des öffentlichen Rechts getrennte Kategorien (Art. 2 Abs. 1 Nr. 1 und 4 RL 2014/24/EU). Eine Kommune plant trotzdem sinnvoll damit, dass er sie erfasst.

Welche Pflichten greifen, hängt vom Zweck ab, nicht vom Werkzeug. Setzt die Kommune ein allgemeines Werkzeug für einen Zweck aus Anhang III ein, etwa zur Sichtung von Bewerbungen, verändert sie seine Zweckbestimmung und gilt selbst als Anbieter eines Hochrisiko-KI-Systems mit dessen Pflichten (Art. 25 Abs. 1 Buchst. c).

Einsatz	Hochrisiko nach Anhang III	Was zusätzlich gilt
Auskunft, Textentwürfe, Suche im eigenen Aktenbestand	nein	Transparenzpflichten nach Art. 50, je nach Einsatz; Maßnahmen zur KI-Kompetenz (Art. 4)
Prüfung, ob Anspruch auf öffentliche Unterstützungsleistungen besteht	ja, Nr. 5 Buchst. a	Betreiberpflichten (Art. 26), Grundrechte-Folgenabschätzung (Art. 27), Registrierung (Art. 49 Abs. 3)
Sichtung und Bewertung von Bewerbungen	ja, Nr. 4 Buchst. a	wie oben
Beobachtung und Bewertung von Leistung und Verhalten der Beschäftigten	ja, Nr. 4 Buchst. b	wie oben, dazu Information der Personalvertretung und der betroffenen Beschäftigten vor dem Einsatz (Art. 26 Abs. 7)
Bewertung von Notrufen, Priorisierung von Einsätzen	ja, Nr. 5 Buchst. d	wie oben

Ein in Anhang III genanntes System gilt ausnahmsweise nicht als hochriskant, wenn es das Ergebnis einer Entscheidung nicht wesentlich beeinflusst, etwa weil es nur eine eng gefasste Verfahrensaufgabe oder eine vorbereitende Aufgabe erfüllt (Art. 6 Abs. 3). Diese Einschätzung trifft und dokumentiert der Anbieter, und er muss das System dann in der EU-Datenbank registrieren (Art. 6 Abs. 4, Art. 49 Abs. 2); nimmt ein System ein Profiling natürlicher Personen vor, ist es immer hochriskant. Die Kommune lässt sich die Ausnahme deshalb begründen und prüft die Registrierung in der Datenbank.

Für die Hochrisikofälle verlangt die Verordnung von der Kommune als Betreiber, die menschliche Aufsicht Personen mit der nötigen Kompetenz und Befugnis zu übertragen (Art. 26 Abs. 2) und die betroffenen Menschen darüber zu informieren, dass ein solches System bei der Entscheidung mitwirkt (Art. 26 Abs. 11). Vor der Verwendung registriert sich die Kommune als Behörde in der EU-Datenbank, wählt dort das System aus und registriert es (Art. 49 Abs. 3). Das Ergebnis der Grundrechte-Folgenabschätzung teilt sie der Marktüberwachungsbehörde mit (Art. 27 Abs. 3); was eine Datenschutz-Folgenabschätzung schon abdeckt, darf sie übernehmen oder darauf verweisen (Art. 27 Abs. 4).

Einen dauerhaften Bestandsschutz für Hochrisiko-Systeme, die vor Beginn der Pflichten in Betrieb gehen, gibt es für Behörden nicht: Sie müssen bis zum 2. August 2030 nachgerüstet sein (Art. 111 Abs. 2). Für die Strategie heißt das, die Anforderungen schon in die erste Beschaffung zu schreiben, statt mit einem Umbau zu rechnen.

Rechtsstand: 14. Oktober 2026

Grundlage ist die KI-Verordnung (VO (EU) 2024/1689) in der Fassung der VO (EU) 2026/1744. Artikel 4 gilt seit dem 2. Februar 2025, seit dem 27. Juli 2026 in neuer Fassung. Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III, darunter Artikel 25, 26 und 27, gelten ab dem 2. Dezember 2027 (Art. 113 Abs. 3 Buchst. c Ziff. i); Systeme, die bestimmungsgemäß von Behörden verwendet werden, müssen sie spätestens bis zum 2. August 2030 erfüllen, auch wenn sie vorher in Betrieb gingen (Art. 111 Abs. 2). Die Registrierung nach Artikel 49 steht in Kapitel III Abschnitt 5 und gilt dem Wortlaut nach seit dem 2. August 2026; sie knüpft aber an die Einstufung als Hochrisiko-System an, die erst ab dem 2. Dezember 2027 greift. Die Transparenzpflichten nach Artikel 50 Absatz 1 und 3 bis 6 gelten seit dem 2. August 2026; Absatz 2 gilt für Systeme, die vor diesem Tag in Verkehr gebracht wurden, ab dem 2. Dezember 2026 (Art. 111 Abs. 4). Die Angaben zum Vergaberecht beziehen sich auf §§ 97, 99, 106 und 108 GWB, zuletzt geändert durch Art. 9 G v. 20.7.2026; die zum Verwaltungsverfahren auf §§ 1, 2, 35a und 39 VwVfG des Bundes und §§ 31a, 35 SGB X, Landesrecht ist nicht geprüft; die zum Datenschutz auf Art. 35 und 39 DSGVO. Die Angaben ersetzen keine Rechtsberatung.

Governance: wer entscheidet und wer verantwortet

Governance heißt für eine Kommune, dass für jeden KI-Einsatz feststeht, wer ihn beschlossen hat, wer für das Ergebnis geradesteht und wer ihn stoppen kann. Die Rollen sind in jeder Verwaltung schon vorhanden; die Strategie ordnet ihnen KI-Aufgaben zu, und der Steuerkreis aus dem ersten Pilot wird zum Freigabeweg.

Rolle	Aufgabe bei KI	Woran sie erkennbar ist
Verwaltungsspitze	beschließt Ziele, die Grenze zu Entscheidungen über Menschen und das Budget	Die Grenze steht schriftlich und ist der Verwaltung bekannt
Fachbereich	verantwortet den einzelnen Einsatz, die Qualität der Ergebnisse und die menschliche Aufsicht	Für jeden Eintrag im Verzeichnis ist eine Person benannt
Datenschutz	berät auf Anfrage bei der Datenschutz-Folgenabschätzung und überwacht ihre Durchführung (Art. 35 Abs. 2, Art. 39 Abs. 1 Buchst. c DSGVO)	Kein Einsatz mit personenbezogenen Daten startet ohne diese Beratung
IT und Informationssicherheit	betreibt oder beauftragt die Technik, regelt Zugänge und Protokolle	Wer das System nutzt und was es protokolliert, ist nachvollziehbar
Personalvertretung	wird beteiligt, bevor Werkzeuge die Arbeit der Beschäftigten verändern	Sie erfährt von Vorhaben in der Planung, nicht bei der Einführung

Das Verzeichnis aus der Bestandsaufnahme, fortgeschrieben bei jedem neuen Einsatz, und der Freigabeweg halten das zusammen.

Was eine Kommune von einem Unternehmen unterscheidet, ist ihre Rolle gegenüber den Bürgerinnen und Bürgern. Ein schriftlicher oder elektronischer Verwaltungsakt ist zu begründen, mit den wesentlichen tatsächlichen und rechtlichen Gründen; bei Ermessen soll sie auch die Gesichtspunkte erkennen lassen, von denen die Behörde ausgegangen ist (§ 39 Abs. 1 VwVfG; im Sozialrecht muss sie es, § 35 Abs. 1 SGB X). Daran ändert sich nichts, wenn KI die Entscheidung vorbereitet hat: Die Begründung muss ohne Verweis auf das System tragen.

Beschaffung und Vergabe: was in die Leistungsbeschreibung gehört

Eine Kommune beschafft KI-Leistungen als öffentlicher Auftraggeber, und die Leistungsbeschreibung ist ihr stärkstes Steuerungsmittel. Gebietskörperschaften sind öffentliche Auftraggeber (§ 99 Nr. 1 GWB); öffentliche Aufträge werden im Wettbewerb und in transparenten Verfahren vergeben (§ 97 Abs. 1 GWB). Erreicht der geschätzte Auftragswert die EU-Schwellenwerte, gilt das förmliche Vergaberecht des GWB (§ 106 GWB); darunter gelten die Regeln, die Ihre Vergabestelle anwendet.

Was nicht in der Leistungsbeschreibung steht, lässt sich nach dem Zuschlag schwer nachfordern. Für KI gehören Anforderungen hinein, die bei klassischer Software fehlen:

Anforderung	Warum
Angabe des Anbieters, für welchen Zweck das System bestimmt ist und ob es unter Anhang III fällt	Davon hängen alle Pflichten der Kommune ab, und die Zweckbestimmung legt der Anbieter fest; wer sie selbst ändert, wird Anbieter (Art. 25 Abs. 1 Buchst. c)
Bei Hochrisiko: Registrierung des Anbieters in der EU-Datenbank und Betriebsanleitung	Die Kommune muss das System bei ihrer eigenen Registrierung auswählen (Art. 49 Abs. 1 und 3) und braucht die Angaben des Anbieters für die Grundrechte- und die Datenschutz-Folgenabschätzung (Art. 27 Abs. 1 Buchst. d, Art. 26 Abs. 9)
Protokolle, die die Kommune selbst einsehen und aufbewahren kann	Hochrisiko-Betreiber bewahren automatisch erzeugte Protokolle mindestens sechs Monate auf, soweit sie ihrer Kontrolle unterliegen (Art. 26 Abs. 6)
Testzugang mit eigenen Fällen vor der Abnahme, mit vorher festgelegten Abnahmekriterien	Die Qualität zeigt sich an den Anfragen Ihrer Verwaltung, nicht an der Vorführung

Fragen nach dem Ort der Datenverarbeitung, der Auftragsverarbeitung und dem Ausstieg gehören in jede Leistungsbeschreibung, auch ohne KI; die Tabelle nennt, was für KI hinzukommt.

Wie solche Abnahmekriterien aussehen und wie sich die Qualität einer KI-Anwendung laufend prüfen lässt, beschreibt unser Artikel zu Evals für KI-Anwendungen.

Zusagen eines Anbieters sind so viel wert, wie sie sich prüfen lassen. Ein belastbares Angebot nennt, was die Kommune bei der Abnahme messen kann, und was geschieht, wenn es nicht erreicht wird. Eine allgemein versprochene Effizienzsteigerung lässt sich nicht abnehmen und gehört nicht in die Bewertung.

Zusammenarbeit mit anderen Kommunen und Rechenzentren

Wo dieselbe Aufgabe in mehreren Kommunen anfällt, muss eine Strategie nicht alles allein erarbeiten. Teilen lassen sich Leistungsbeschreibungen, Leitlinien, Erfahrungen aus der Abnahme und Teile der Prüfarbeit.

Für die Grundrechte-Folgenabschätzung öffnet die Verordnung dafür einen Weg: Ein Betreiber kann sich in ähnlichen Fällen auf zuvor durchgeführte Abschätzungen oder auf vorhandene Abschätzungen des Anbieters stützen (Art. 27 Abs. 2). Ob damit auch die Abschätzung einer anderen Kommune gemeint ist, lässt der Wortlaut offen; die eigene Prüfung, ob der Fall ähnlich ist, nimmt sie der Kommune in keinem Fall ab.

Auch das Vergaberecht kennt die Zusammenarbeit. Aufträge zwischen öffentlichen Auftraggebern, die auf einer Kooperationsvereinbarung zur Erreichung gemeinsamer Ziele beruhen, können vom förmlichen Vergaberecht ausgenommen sein, wenn die Voraussetzungen des § 108 Abs. 6 GWB vorliegen; für Aufträge an eine juristische Person, die die Kommune allein oder gemeinsam mit anderen öffentlichen Auftraggebern wie eine eigene Dienststelle kontrolliert, die zu mehr als 80 Prozent Aufgaben für sie ausführt und an der keine direkte private Kapitalbeteiligung besteht, gelten § 108 Abs. 1 und 4 GWB. Ob ein konkretes Vorhaben darunter fällt, klärt Ihre Vergabestelle im Einzelfall.

Daraus folgt die kommunale Besonderheit bei der Frage, wo KI-Systeme laufen: Neben eigenem Betrieb und externem Anbieter gibt es den kommunalen IT-Dienstleister.

Eigener Betrieb

Die Kommune betreibt das System im eigenen Rechenzentrum. Sie behält die Kontrolle über Daten und Protokolle, trägt aber den vollen Aufwand für Betrieb, Aktualisierung und Sicherheit; wechselfähig bleibt sie dadurch allein nicht, denn auch ein selbst betriebenes System bindet an Modell, Format und Anbindung.

Kommunaler IT-Dienstleister

Ein Rechenzentrum oder Zweckverband betreibt das System für mehrere Kommunen, und der Aufwand verteilt sich. Die Daten können im öffentlichen Bereich bleiben, wenn der Dienstleister nicht seinerseits an Dritte weitergibt; das gehört in den Vertrag. Dafür richtet sich das Angebot nach dem, was mehrere Kommunen brauchen.

Personal: Kompetenz, Aufsicht und Beteiligung

Die Personalfrage einer KI-Strategie ist weniger, wer geschult wird, als wer welche Verantwortung übernimmt. Neben den Maßnahmen zur KI-Kompetenz nach Art. 4 ist für die Strategie die Aufsicht wichtiger. In den Hochrisikofällen überträgt die Kommune die menschliche Aufsicht Personen mit der erforderlichen Kompetenz, Ausbildung und Befugnis (Art. 26 Abs. 2). Für die Kommune heißt Befugnis: Diese Person darf ein Ergebnis außer Acht lassen und den Betrieb unterbrechen (vgl. Art. 14 Abs. 4 Buchst. d und e), ohne dafür eine Genehmigung einzuholen. Wer die Aufsicht übernimmt, braucht dafür Arbeitszeit, die im Stellenplan steht, nicht nur eine Benennung.

Die Beschäftigten selbst sind die ersten, die sehen, wo ein System falsch liegt. Eine Strategie, die sie und die Personalvertretung von der Planung an beteiligt, bekommt diese Rückmeldungen; eine, die sie bei der Einführung vor fertige Werkzeuge stellt, bekommt sie nicht. Für Hochrisiko-Systeme am Arbeitsplatz ist die vorherige Information der Arbeitnehmervertreter und der Beschäftigten Pflicht (Art. 26 Abs. 7).

In welcher Reihenfolge die Strategie entsteht

Eine kommunale KI-Strategie entsteht in Entscheidungen, die aufeinander aufbauen; wer eine überspringt, holt sie später unter Zeitdruck nach.

Bestand erfassen

Verzeichnis der vorhandenen Technik, der Abläufe und der KI, die schon im Einsatz ist, mit verantwortlichem Amt je Eintrag.

Ziele und Grenze beschließen

Die Verwaltungsspitze legt fest, wofür KI eingesetzt wird und wie nah sie an Entscheidungen über Menschen heranrücken darf.

Zuständigkeiten und Freigabeweg festlegen

Rollen aus der Tabelle oben besetzen, den Steuerkreis aus dem ersten Pilot zum Freigabeweg machen, Personalvertretung beteiligen.

Beschaffung vorbereiten

Leistungsbeschreibung mit den KI-Anforderungen, Entscheidung über den Betriebsort, Abstimmung mit Nachbarkommunen oder dem kommunalen IT-Dienstleister.

Ersten Einsatz begleiten und auswerten

Am Ziel messen und festhalten, was beim nächsten Vorhaben anders läuft.

Fortschreiben

Verzeichnis und Grenze in festem Turnus prüfen, spätestens vor jedem Vorhaben, das in einen Hochrisikobereich führt.

Welche Stufen ein KI-System auf dem Weg vom Chatfenster zum Agenten durchläuft und was jede Stufe an Aufsicht verlangt, beschreibt der Artikel zu den Reifegraden von KI-Systemen; die Begriffe der KI-Verordnung erklärt das KI-Glossar für Führungskräfte. Was die Website Ihrer Kommune zu den Transparenzpflichten ausliefert, misst der kostenlose AI-Act-Check.

Wie eine solche Strategie für Ihre Verwaltung aussieht und wo Sie mit der Bestandsaufnahme beginnen, klären wir in einer Beratung.