Warum der öffentliche Sektor jetzt KI braucht
Korrekturhinweis vom 4. September 2026: Dieser Beitrag nannte zuvor Quoten zur Automatisierbarkeit von Anfragen und zur Treffergüte, für die keine Primärquelle vorlag. Diese Zahlen sind ersatzlos entfernt. Die beschriebenen Einsatzszenarien bleiben unverändert, sie kommen jetzt ohne Prozentangaben aus.
Digitalisierungsstau, OZG-Fristen und Fachkräftemangel zwingen den öffentlichen Sektor zum Handeln. Was eine behördentaugliche KI-Plattform leisten sollte, mit EU AI Act, BSI-Grundschutz und DSGVO-Analyse.
Die öffentliche Verwaltung in Deutschland steht vor einem Paradox: Einerseits verwaltet sie die komplexeste Bürokratie Europas mit über 575 Verwaltungsleistungen, die laut Onlinezugangsgesetz (OZG) digitalisiert werden müssen. Andererseits stehen viele Behörden vor der Aufgabe, Papierakten und gewachsene IT-Systeme in digitale Abläufe zu überführen. Der eGovernment MONITOR 2025 der Initiative D21 und der Technischen Universität München zeigt, wie wenig davon bei den Bürgern ankommt: Nur 15 Prozent der Befragten in Deutschland sehen ihre Erwartungen an eine moderne digitale Verwaltung erfüllt, in Österreich sind es 36 Prozent, in der Schweiz 46 Prozent (Initiative D21 und TU München, „eGovernment MONITOR 2025", Erhebung April/Mai 2025, initiatived21.de/publikationen/egovernment-monitor/2025).
Das OZG wurde 2017 mit dem Ziel verabschiedet, alle Verwaltungsleistungen bis Ende 2022 zu digitalisieren. Das OZG-Änderungsgesetz (OZGÄndG), das im Juli 2024 in Kraft trat, setzt nun auf einen stufenweisen Ansatz mit Priorisierung der meistgenutzten Leistungen. Doch die Grundproblematik bleibt: Die Verwaltung muss in wenigen Jahren nachholen, was die Privatwirtschaft in zwei Jahrzehnten aufgebaut hat, und das mit weniger Personal als je zuvor.
Der Fachkräftemangel trifft den öffentlichen Dienst besonders hart. Der dbb beamtenbund und tarifunion beziffert den Personalmangel im öffentlichen Dienst auf rund 600.000 Beschäftigte, wobei die dbb-Erhebung nicht offene Planstellen zählt, sondern das für eine effiziente Aufgabenerledigung tatsächlich benötigte Personal (dbb, „Monitor öffentlicher Dienst 2026", Stand 17. Dezember 2025, dbb.de). Dazu kommt die Ruhestandswelle der geburtenstarken Jahrgänge, die den Personalbestand in den kommenden Jahren weiter ausdünnt. Gleichzeitig konkurrieren Behörden mit der Privatwirtschaft um IT-Fachkräfte.
Parallel steigen die Erwartungen der Bürger. Wer bei seiner Bank in Echtzeit Überweisungen tätigt, bei Amazon in Sekunden Bestellstatus abruft und mit seinem Versicherer per Chat kommuniziert, akzeptiert nicht mehr, dass ein Bauantrag sechs Monate liegt und für eine Meldebescheinigung ein persönlicher Behördenbesuch nötig ist. Das Politikprogramm Digitale Dekade 2030 der EU (Beschluss (EU) 2022/2481) formuliert das Ziel, dass zentrale öffentliche Dienste bis 2030 zu 100 % online verfügbar sein sollen.
Künstliche Intelligenz ist in diesem Kontext keine Spielerei und kein Innovationstheater. Sie ist die einzige realistische Möglichkeit, den Digitalisierungsrückstand aufzuholen, ohne den Personalbestand zu verdoppeln. Aber, und das ist der entscheidende Punkt, nicht jede KI ist für den öffentlichen Sektor geeignet. Die Anforderungen an Datenschutz, Souveränität und Rechtssicherheit sind im Behördenumfeld um Größenordnungen höher als in der Privatwirtschaft.
Das Datenschutz-Dilemma: Worauf Behörden bei KI-Anbietern achten
Wenn eine Kommune, ein Landratsamt oder ein Bundesministerium KI einsetzen möchte, gelten andere Regeln als für ein mittelständisches Unternehmen. Behörden verarbeiten hoheitliche Daten: Meldedaten, Sozialdaten, Gesundheitsinformationen, Steuerdaten, Strafregistereinträge. Diese Daten unterliegen nicht nur der DSGVO, sondern zusätzlich den Landesdatenschutzgesetzen, dem Sozialgesetzbuch (SGB X), der Abgabenordnung (§ 30 AO) und, bei sicherheitsrelevanten Bereichen, dem Sicherheitsüberprüfungsgesetz (SÜG) und der Verschlusssachenanweisung (VSA).
In diesem Rechtsrahmen verlangt der Einsatz von KI-Systemen außereuropäischer Anbieter eine sorgfältige Prüfung im Einzelfall. Der CLOUD Act (18 U.S.C. § 2713) regelt, dass US-Anbieter von Kommunikations- und Cloud-Diensten Daten unter den dort genannten Voraussetzungen auch dann herausgeben müssen, wenn sie außerhalb der USA gespeichert sind. Wenn eine deutsche Behörde personenbezogene Bürgerdaten über ein US-KI-Modell verarbeitet, kann das US-Justizministerium theoretisch Zugriff auf diese Daten verlangen.
Der EuGH hat in der Rechtssache C-311/18 (Schrems II) unmissverständlich festgestellt, dass das US-Datenschutzniveau nicht dem europäischen Standard entspricht. Er stützte sich dabei auf die Befugnisse nach FISA Section 702 und Executive Order 12333. Das EU-US Data Privacy Framework (DPF) von Juli 2023 beruht auf einer Exekutivanordnung des US-Präsidenten. Für hoheitliche Datenverarbeitung ist diese Grundlage im Einzelfall zu bewerten.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) formuliert in seinen IT-Grundschutz-Bausteinen klare Anforderungen an Cloud-Dienste für Behörden. Der Baustein OPS.1.1.5 „Cloud-Nutzung" verlangt unter anderem, dass „die Datenhoheit beim Cloud-Anwender verbleibt" und dass „der Cloud-Diensteanbieter die Daten nicht ohne Wissen des Auftraggebers an Dritte weitergeben darf". Diese Anforderungen gelten für jeden Cloud-Anbieter und gehören in jede Auswahlentscheidung. Für Verschlusssachen gelten zusätzlich die Vorgaben der VSA.
Auch die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat wiederholt darauf hingewiesen, dass der Einsatz von US-Cloud-Diensten durch öffentliche Stellen besonderer Rechtfertigung bedarf. Für die Auswahl sind der konkrete Einsatzfall, Datenkategorien, Verträge, Regionen und technischen Kontrollen maßgeblich. Eine pauschale persönliche Haftung oder die rechtliche Eignung einer Plattform allein aus dem Unternehmenssitz abzuleiten, ist nicht sachgerecht.
Was eine behördentaugliche KI-Plattform leisten muss
Die technischen Anforderungen an eine KI-Plattform im Behördenumfeld gehen weit über das hinaus, was im privatwirtschaftlichen Kontext üblich ist. Die IT-Grundschutz-Standards des BSI, das Anforderungsprofil des IT-Planungsrats und die Rundschreiben der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) definieren einen Rahmen, der keine Kompromisse erlaubt. Jede KI-Plattform, die in der öffentlichen Verwaltung eingesetzt werden soll, muss diese Anforderungen nicht nur kennen, sondern nachweisbar erfüllen.
1. Hosting auf deutschen oder EU-Servern, ohne Ausnahme
Die Datenverarbeitung muss vollständig auf Servern stattfinden, die in der EU stehen und von einem EU-Unternehmen betrieben werden. Maßgeblich ist neben dem Serverstandort auch, welcher Rechtsordnung der Betreiber unterliegt. Für Behörden mit erhöhtem Schutzbedarf (z. B. Polizei, Justiz, Geheimdienste) kommen nur Server in Deutschland in Betracht, betrieben von deutschen Unternehmen, die keiner außereuropäischen Konzernstruktur angehören. Das BSI zertifiziert solche Rechenzentren nach ISO 27001 auf Basis von IT-Grundschutz.
2. Strikte Mandantentrennung
Wenn mehrere Behörden eine gemeinsame Plattform nutzen, muss eine technische Mandantentrennung sicherstellen, dass die Daten einer Kommune nicht für eine andere sichtbar oder zugänglich sind, auch nicht versehentlich. Ein einfacher Datenbankfilter genügt hier nicht. Die Trennung muss auf Infrastrukturebene erfolgen: separate Datenbank-Schemas, separate Vektorräume für die KI-Suche, JWT-basierte Isolation, bei der die Tenant-Zuordnung nicht manipulierbar ist. Für Verschlusssachen der Stufe VS-NfD und höher schreibt die VSA eine physische Trennung vor.
3. Lückenlose Audit-Logs und Aktenführung
Die öffentliche Verwaltung unterliegt der Registraturpflicht und den Grundsätzen ordnungsmäßiger Aktenführung. Jede Interaktion mit einem KI-System (ob eine Suchanfrage, eine generierte Antwort, ein analysiertes Dokument oder eine automatisierte Entscheidungsunterstützung) muss lückenlos dokumentiert sein. Der Audit-Trail muss manipulationssicher sein und mindestens Zeitstempel, Nutzer-ID, durchgeführte Aktion, Eingabe und Ausgabe enthalten. Für die Archivierung gelten die Fristen der jeweiligen Aktenordnung, bei manchen Verwaltungsakten zehn Jahre und mehr. Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) und Art. 26 Abs. 6 EU AI Act (Aufbewahrung der Protokolle durch Deployer von Hochrisiko-KI) greifen hier ineinander.
4. Granulare Rollenkonzepte
Behörden arbeiten mit klar definierten Zuständigkeiten. Ein Sachbearbeiter darf andere Daten sehen als ein Amtsleiter, ein Datenschutzbeauftragter braucht Einsicht in die Audit-Logs, aber nicht in die Fachdaten. Eine behördentaugliche KI-Plattform muss ein rollenbasiertes Zugriffsmodell (RBAC) unterstützen, das sich an der Organisationsstruktur der Behörde orientiert. Mindestens vier Rollen sind nötig: Administrator, Fachanwender, Leseberechtigter und Auditor. Besser: ein konfigurierbares Rollensystem, das sich an die Besonderheiten jeder Behörde anpassen lässt. Das BSI verlangt im Baustein ORP.4 „Identitäts- und Berechtigungsmanagement" die konsequente Umsetzung des Prinzips der minimalen Berechtigung.
5. Europäisches KI-Modell
Das zugrundeliegende Sprachmodell sollte von einem europäischen Anbieter stammen, der europäischem Recht unterliegt. Mistral AI ist eine französische Société par actions simplifiée mit Sitz in Paris und entwickelt Sprachmodelle für den Unternehmenseinsatz. Als europäisches Unternehmen untersteht Mistral AI der DSGVO und der Aufsicht der französischen CNIL. Ob ein Anbieter zusätzlich US-Recht unterliegt, etwa über Konzerngesellschaften, Infrastruktur oder Unterauftragnehmer, gehört zur Prüfung. Für Behörden ist diese Frage ein zentrales Auswahlkriterium. Ein europäischer Modellanbieter vereinfacht die datenschutzrechtliche Bewertung der hoheitlichen Datenverarbeitung.
Konkrete Einsatzszenarien für Behörden
KI in der öffentlichen Verwaltung ist kein Zukunftsszenario. Es gibt bereits heute klare, umsetzbare Anwendungsfälle, die den Alltag in Behörden fundamental verbessern können. Die folgenden Szenarien zeigen typische Einsatzfelder, die sich mit einer datenschutzgerecht aufgebauten KI-Plattform umsetzen lassen.
Wissensmanagement: Gesetze, Verordnungen und Verwaltungsvorschriften durchsuchbar machen
Ein Sachbearbeiter im Sozialamt arbeitet täglich mit dem SGB II, SGB XII, den zugehörigen Durchführungsverordnungen, den Weisungen der Bundesagentur für Arbeit und den kommunalen Richtlinien. Das sind tausende Seiten Rechtstext, die sich ständig ändern. Wenn ein Bürger eine Frage zu seiner Leistungsberechtigung stellt, muss der Sachbearbeiter die richtige Norm finden, den aktuellen Stand prüfen und die Auslegungshinweise berücksichtigen. Diese Suche bindet einen erheblichen Teil der täglichen Arbeitszeit.
Eine KI-gestützte Wissensbasis ändert das fundamental. Alle relevanten Rechtstexte, Verwaltungsvorschriften, Auslegungshinweise und internen Leitfäden werden in die Wissensbasis geladen. Die KI versteht den Inhalt semantisch, nicht als Volltextsuche, sondern mit echtem Kontextverständnis. Der Sachbearbeiter fragt in natürlicher Sprache: „Welche Einkommensgrenzen gelten für den Wohngeldanspruch bei einer dreiköpfigen Familie in Bonn?" Die KI findet die relevanten Paragraphen im WoGG, die aktuelle Mietstufe für Bonn und die geltenden Einkommensgrenzen, in Sekunden statt in Minuten.
Bürgeranfragen automatisieren
Jedes Bürgeramt, jede Kommune, jede Kreisverwaltung beantwortet täglich hunderte gleichartiger Anfragen: Öffnungszeiten, Zuständigkeiten, benötigte Unterlagen, Verfahrensdauer, Gebühren. Diese Anfragen binden qualifiziertes Personal, das für komplexere Aufgaben fehlt. Ein KI-gestützter Chatbot auf der Website der Kommune oder ein VoiceBot an der Telefonzentrale kann solche wiederkehrenden Fragen automatisch beantworten, rund um die Uhr, ohne Wartezeiten, in klarer Sprache. Der Chatbot greift auf die Wissensbasis der Behörde zu und beantwortet Fragen wie: „Welche Unterlagen brauche ich für die Ummeldung?", „Wie lange dauert die Bearbeitung eines Reisepasses?" oder „An wen wende ich mich bei einem Widerspruch gegen den Grundsteuerbescheid?"
Entscheidend ist dabei die Transparenzpflicht nach Art. 50 EU AI Act: Der Chatbot muss sich zu Beginn als KI-System identifizieren. Und ebenso entscheidend: Für komplexe Anliegen muss ein nahtloser Übergang an einen menschlichen Sachbearbeiter möglich sein. KI ersetzt nicht den Beamten, sie entlastet ihn, damit er sich auf die Fälle konzentrieren kann, die menschliches Urteilsvermögen erfordern.
Dokumentenanalyse und Vorgangsbearbeitung
Behörden verarbeiten Berge von Dokumenten: Anträge, Bescheide, Stellungnahmen, Gutachten, Eingaben. Viele dieser Dokumente enthalten strukturierte Informationen, die manuell in Fachverfahren übertragen werden müssen: Name, Aktenzeichen, Antragsdaten, Beträge, Fristen. Eine KI-gestützte Dokumentenanalyse kann diese Daten automatisch extrahieren, gegen das Fachverfahren abgleichen und dem Sachbearbeiter als vorausgefüllten Datensatz zur Prüfung und Freigabe vorlegen. Das manuelle Abtippen ist die Stelle, an der Übertragungsfehler entstehen, und genau diese Stelle entfällt. Wie die Extraktion in Ihrem Haus arbeitet, zeigen wir gern an Ihren eigenen Dokumenten. Freigegeben wird der Datensatz in jedem Fall vom Sachbearbeiter, die Prüfung durch den Menschen bleibt der letzte Schritt.
Prozessautomatisierung
Verwaltungsprozesse folgen definierten Abläufen: Antragstellung, Vollständigkeitsprüfung, Sachbearbeitung, Anhörung, Bescheiderstellung, Zustellung, Rechtsmittelbelehrung. Viele dieser Schritte sind regelbasiert und lassen sich automatisieren. Ein Antrag auf Wohngeld etwa durchläuft definierte Prüfschritte (Einkommensnachweis vorhanden, Mietbescheinigung vorhanden, Haushaltsgröße plausibel), die eine KI-Plattform automatisch abarbeiten kann. Der Sachbearbeiter erhält einen vorgeprüften Vorgang mit einer Empfehlung, statt bei null zu beginnen. Das beschleunigt die Bearbeitung, reduziert Fehler und schafft Kapazität für die Fälle, die echte Ermessensausübung erfordern.
EU AI Act und öffentliche Verwaltung: Besondere Pflichten
Der EU AI Act (Verordnung (EU) 2024/1689) betrifft die öffentliche Verwaltung in besonderem Maße. Der Gesetzgeber hat erkannt, dass KI-Systeme in den Händen des Staates eine andere Wirkmacht haben als in der Privatwirtschaft, weil staatliches Handeln nicht optional ist. Wer einen Bescheid von einer Behörde erhält, kann dem nicht einfach ausweichen wie einem Produkt, das ihm nicht gefällt. Deshalb gelten für den öffentlichen Sektor verschärfte Regeln.
Art. 6 und Anhang III: Hochrisiko-KI in Behörden
Anhang III des AI Act listet die Einsatzgebiete auf, in denen KI-Systeme automatisch als Hochrisiko eingestuft werden. Mehrere dieser Bereiche betreffen unmittelbar die öffentliche Verwaltung:
- Zugang zu wesentlichen öffentlichen Dienstleistungen und Leistungen (Nr. 5 lit. a): KI-Systeme, die über den Zugang zu oder die Gewährung von Sozialleistungen, öffentlichen Dienstleistungen oder Gesundheitsversorgung entscheiden oder diese maßgeblich beeinflussen
- Strafverfolgung (Nr. 6): KI-Systeme zur Risikobewertung, zur Erkennung von Straftaten, zur Profilerstellung oder zur Beweiswürdigung
- Migration, Asyl und Grenzkontrolle (Nr. 7): KI-Systeme, die bei der Prüfung von Asylanträgen, bei Risikobewertungen oder bei der Verifizierung von Dokumenten eingesetzt werden
- Rechtspflege und demokratische Prozesse (Nr. 8): KI-Systeme, die Gerichte bei der Anwendung von Rechtsvorschriften oder der Beurteilung von Sachverhalten unterstützen
Wenn eine Behörde KI in einem dieser Bereiche einsetzt, gelten die strengsten Anforderungen des AI Act (Art. 8-15): Risikomanagementsystem, Datenqualitätsanforderungen, technische Dokumentation, Aufzeichnungspflichten, Transparenz, menschliche Aufsicht und Genauigkeitsnachweise. Das sind keine optionalen Best Practices. Es sind gesetzliche Pflichten mit Bußgeldern von bis zu 15 Millionen Euro oder 3 % des Jahresumsatzes (Art. 99 Abs. 4).
Transparenz- und Dokumentationspflichten
Art. 26 AI Act regelt die Pflichten der Deployer, also der Behörden, die KI-Systeme einsetzen. Die Pflichten sind umfangreich: Deployer von Hochrisiko-KI müssen sicherstellen, dass eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchgeführt wird (Art. 26 Abs. 9 AI Act). Sie müssen die automatisch erzeugten Protokolle des KI-Systems mindestens sechs Monate aufbewahren (Art. 26 Abs. 6). Und sie müssen natürliche Personen, die von automatisierten Entscheidungen betroffen sind, über den KI-Einsatz informieren (Art. 26 Abs. 11), eine Pflicht, die über die allgemeine Transparenzpflicht des Art. 50 hinausgeht.
Für die öffentliche Verwaltung kommt eine weitere Dimension hinzu: das Verwaltungsverfahrensgesetz (VwVfG). § 35a VwVfG regelt den vollständig automatisierten Erlass von Verwaltungsakten und verlangt, dass die Behörde die Entscheidungsfindung nachvollziehbar dokumentiert. Wenn KI bei der Entscheidungsvorbereitung zum Einsatz kommt, muss die Behörde belegen können, welche Daten die KI herangezogen hat, welche Empfehlung sie gegeben hat und wie die finale Entscheidung zustande kam. Eine KI-Plattform ohne lückenlose Audit-Logs ist in diesem Kontext schlicht nicht einsetzbar.
Aktualisiert am 23. August 2026 nach der Änderungsverordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026. Sie verschiebt die Hochrisiko-Pflichten nach Art. 6 Abs. 2 und Anhang III auf den 2. Dezember 2027 und die nach Art. 6 Abs. 1 und Anhang I auf den 2. August 2028.
Die Fristen sind klar: Die Hochrisiko-Anforderungen für Behörden greifen ab dem 2. Dezember 2027. Die Transparenzpflichten für Chatbots und VoiceBots gelten seit dem 2. August 2026. Behörden, die jetzt mit der Evaluation beginnen, planen den Beschaffungsprozess nach EVB-IT und Vergaberecht am besten frühzeitig ein.