Ob Chatbot im Bürgerservice, automatisierte Dokumentenanalyse im Bauamt oder Übersetzungshilfe

in der Ausländerbehörde: Künstliche Intelligenz ist in vielen Rathäusern längst angekommen oder steht zumindest kurz vor der Einführung. Mit den Anwendungsmöglichkeiten wächst zugleich die Unsicherheit, welche rechtlichen Anforderungen für den jeweiligen kommunalen KI-Einsatz gelten – und wer deren Einhaltung kontrolliert.

Seit dem 2. August 2026 gelten die meisten Pflichten der europäischen KI-Verordnung (Verordnung (EU) 2024/1689 – KI-VO, zuletzt geändert durch Verordnung (EU) 2026/1744). Rechtzeitig hat der deutsche Gesetzgeber dazu nun das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG) verabschiedet: Es regelt, welche Behörden die KI-VO in Deutschland vollziehen. Für Kommunen enthält es eine Reihe von Weichenstellungen – und bei näherem Hinsehen überwiegend gute Nachrichten.

Was die KI-VO von Kommunen verlangt

Die materiellen Pflichten der Kommunen als Betreiber von KI-Systemen folgen jedoch nicht aus dem KI-MIG, sondern unmittelbar aus der KI-VO. Dazu gehören insbesondere die Entwicklung ausreichender KI-Kompetenz bei den Mitarbeitenden (Art. 4 Abs. 1 KI-VO) und Transparenzpflichten, etwa beim Einsatz von Chatbots

(Art. 50 KI-VO). Außerdem sind bestimmte KI-Praktiken verboten – etwa die Emotionserkennung am Arbeitsplatz (Art. 5 Abs. 1 lit. f) KI-VO), die im kommunalen Alltag aber keine allzu große Rolle spielen dürfte.

Besondere Aufmerksamkeit verdienen jedoch die Hochrisiko-KI-Systeme: Nach Art. 6 Abs. 2 in Verbindung

mit Anhang III der KI-VO zählen dazu gerade verwaltungstypische Einsatzfelder, zum Beispiel die Gewährung grundlegender öffentlicher Leistungen, etwa im Bereich der Sozialhilfe. Für solche Systeme gelten höhere Betreiberpflichten einschließlich einer Grundrechte-Folgenabschätzung (Art. 27 KI-VO) und einer wirksamen menschlichen Aufsicht (Art. 27 Abs. 2 i.V.m. Art. 14 KI-VO).

Die Aufsicht bleibt im Land

In der Bundesrepublik ist die Bundesnetzagentur nun offiziell die zuständige Marktüberwachungsbehörde, soweit das KI-MIG nichts anderes bestimmt (§ 2 Abs. 1 KI-MIG). Für Städte und Gemeinden gilt jedoch eine eigene Regel: Bringen öffentliche Stellen der Länder – dazu zählen auch die Kommunen – KI-Systeme in Verkehr, nehmen sie in Betrieb oder verwenden sie, liegt die Marktüberwachung bei den nach Landesrecht zuständigen Behörden (§ 2 Abs. 6 S. 1 KI-MIG). Die Bundesnetzagentur wird den Kommunen also nicht

auf die Finger schauen.

Das war im Gesetzgebungsverfahren durchaus umstritten. Zuletzt hatte sich noch der Bundesrat für eine Bündelung der Marktüberwachung beim Bund ausgesprochen, hilfsweise für eine staatsvertragliche Übertragungsmöglichkeit auf die Bundesnetzagentur. Die Bundesregierung ist dem jedoch nicht gefolgt.

Für die Kommunen bedeutet dies: Die Länder müssen jeweils selbst bestimmen, welche Landesbehörde konkret zuständig ist. Bislang hat jedoch – soweit ersichtlich – kein Land eine solche Behörde benannt. Das ist angesichts des erst kürzlichen Inkrafttretens des KI-MIG auch nachvollziehbar und kein Anlass, einen KI-Einsatz auszusetzen. Für die Kommunen bedeutet es aber, dass ihre Aufsichtsbehörden derzeit schlicht noch nicht existieren und die Entwicklung im eigenen Land aufmerksam verfolgt werden sollte.

Keine Registrierung, keine Bußgelder

Der Bundestag hat auf Empfehlung des Digitalausschusses ein nationales, nicht-öffentliches Register

für bestimmte Hochrisiko-KI-Systeme bei der Bundesnetzagentur eingeführt (§ 20 KI-MIG).

Registrieren müssen sich dort neben den Anbietern nur Betreiber, die öffentliche Stellen des Bundes sind. Öffentliche Stellen der Länder – und damit auch die Kommunen – sind von dieser nationalen Registrierungspflicht ausdrücklich ausgenommen.

Hinzu kommt eine Klarstellung, die im kommunalen Umfeld für Beruhigung sorgen dürfte: Behörden und sonstige öffentliche Stellen im Sinne des Bundesdatenschutzgesetzes sind nach § 17 Abs. 2 KI-MIG bei möglichen Bußgeldern weitgehend ausgenommen. Dies entspricht der bereits aus dem Datenschutzrecht bekannten Systematik (s. § 43 Abs. 3 BDSG). Dennoch bleibt die Einhaltung der KI-VO für Kommunen eine wichtige Frage der eigenen Compliance, denn andere Maßnahmen der Überwachungsbehörde – etwa die Verwendung eines Systems zu untersagen – bleiben möglich.

Unterstützung statt Sanktion: KoKIVO, BLA-KI und Reallabore

Auch sonst setzt das KI-MIG gegenüber der öffentlichen Hand erkennbar auf Unterstützung. Beim Koordinierungs- und Kompetenzzentrum für die Durchführung der KI-VO (KoKIVO) bei der Bundesnetzagentur hat der Bundestag die Aufgaben noch erweitert:

Das Zentrum soll etwa Schulungs- und Sensibilisierungsangebote sowie allgemeine Informationen

und unverbindliche Prüfempfehlungen bereitstellen, um eine einheitliche Rechtsanwendung zu fördern

(§ 5 S. 2 Nr. 5 KI-MIG). Im Rahmen der Innovationsförderung soll die Bundesnetzagentur zudem Informationen und Anleitungen zur Anwendung der KI-VO gerade auch für öffentliche Stellen entwickeln und diese bei der Einstufung von KI-Systemen als Hochrisiko-KI-Systeme beraten (§ 12 KI-MIG). Ein neu geschaffener Bund-Länder-Ausschuss Künstliche Intelligenz (BLA-KI) kann außerdem für die Marktüberwachungsbehörden von Bund und Ländern anhand konkreter Prüffälle für einheitliche Maßstäben sorgen (§ 5 S. 4 KI-MIG).

Hinzu kommen die sogenannten KI-Reallabore: Die Bundesnetzagentur errichtet mindestens ein solches Labor (§ 13 Abs. 1 KI-MIG, unter Verweis auf die Art. 57, 58 KI-VO), daneben können aber auch zuständige Landesbehörden eigene Reallabore betreiben.

Die Weichen werden in der Beschaffung gestellt

Festzuhalten bleibt, dass sich die KI-Compliance einer Kommune meist schon im Vergabeverfahren entscheidet [Link zu Meldung]. Anders als bei klassischen IT-Beschaffungen genügt es bei KI-Systemen regelmäßig nicht, allein technische Funktionen zu beschreiben. Vergabestellen sollten vor der Ausschreibung deshalb klären, welches Verwaltungsproblem das System lösen soll, welche Daten verarbeitet werden und welche Risiken für Beschäftigte und Bürgerinnen und Bürger entstehen. In den Vergabeunterlagen gehören dann KI-spezifische Anforderungen verankert – etwa Angaben zum eingesetzten Modell und zu Trainingsdaten, Dokumentations- und Berichtspflichten sowie Regelungen für Aktualisierungen über den gesamten Lebenszyklus. Wer diese Punkte vertraglich absichert, verlagert einen erheblichen Teil der Nachweislast dorthin, wo sie hingehört: zum Anbieter.

Zunehmend an Bedeutung gewinnt auch das Stichwort „digitale Souveränität“. Läuft ein KI-System auf außereuropäischer Cloud-Infrastruktur, können extraterritoriale Zugriffsrechte wie der US-amerikanische CLOUD Act die Vertraulichkeit und die Rekonstruierbarkeit der Entscheidungsgrundlagen berühren. Vielfach wird die souveräne Verfügbarkeit der Infrastruktur deshalb bereits als Bedingung für KI-gestützte Verwaltungsentscheidungen diskutiert. Kommunen sollten also auch die Herkunft und den Betrieb der Infrastruktur schon in der Leistungsbeschreibung berücksichtigen.

Fazit

Die föderale Aufsichtsarchitektur des KI-MIG ist im Gesetzgebungsverfahren kritisiert worden. Diese Bedenken sind nicht von der Hand zu weisen, betreffen aber in erster Linie die Länder als Aufsichtsorganisatoren. Aus Sicht der Kommunen als Beaufsichtigte stellt sich die Lage günstiger dar: Die Aufsicht bleibt in Landeshand und damit näher an den Strukturen der Kommunalverwaltung. Gleichzeitig werden mit KoKIVO, BLA-KI und den Reallaboren auch die Unterstützungsangebote ausgeweitet.

Eine Baustelle bleibt das Verwaltungsverfahrensrecht: Für die KI-gestützte Entscheidungsvorbereitung kennt das VwVfG bislang keine eigene Kategorie, und § 35a VwVfG lässt vollautomatisierte Verwaltungsakte nur zu, wenn weder Ermessen noch Beurteilungsspielraum besteht. Bis der Bundesgesetzgeber hier eine weitere Ausdifferenzierung vornimmt (oder auf Landesebene entsprechende Ermächtigungsgrundlagen geschaffen werden, wie etwa Bayern derzeit plant [Link zu Meldung], sind Kommunen gut beraten, KI-Systeme ausschließlich als Werkzeug für die Vorbereitung von Entscheidungen einzusetzen. Die letzte Verantwortung muss erkenn- und nachvollziehbar beim Menschen bleiben und die wesentlichen Arbeitsschritte dokumentiert werden. Ein Grund, den eigenen KI-Einsatz zurückzustellen, ergibt sich aus alledem nicht. Denn wer die neuen Instrumente nutzt und die eigenen Systeme im Blick behält, muss auch die neue Aufsicht nicht fürchten.