Ein KI-Verbot schützt Ihre Verwaltung nicht

Viele Verwaltungen haben KI inzwischen verboten, andere haben schlicht keine Regel dazu. Beides führt zum selben Ergebnis, nämlich zu Mitarbeitern, die allein entscheiden welche KI sie nutzen, und das mit ihrem privaten Konto und ungeprüften Anbietern. Genau dort fehlt der Verwaltung plötzlich alles, was sie sonst haben müsste, ein Vertrag, klare Nutzungsregeln, und eine Löschfrist.

Das Wichtigste auf einen Blick
 

• Ein KI-Verbot ohne Kontrolle schafft keine Sicherheit. Es verlagert die Entscheidung nur zu einzelnen Mitarbeitern, und genau dort geht die Übersicht verloren.
• Die strengsten Pflichten der KI-Verordnung für Hochrisiko-KI-Systeme gelten inzwischen erst ab Dezember 2027. Das Datenschutzrecht und die Mitbestimmung der Personalvertretung gelten dagegen unverändert schon heute.
• Eine Regel, die auf eine Seite passt, und eine kurze Abfrage bei den Teamleitungen schaffen in wenigen Wochen die Übersicht, die ein Verbot nie hergestellt hat.

Was ist eigentlich verschoben, und was gilt schon heute?

Wer in der Verwaltung ein KI-Werkzeug einkauft und nutzt, ist in der Sprache der KI-Verordnung ein Betreiber. Die strengen Pflichten treffen allerdings vor allem die Anbieter, also die Firmen, die ein KI-System selbst entwickeln und in Verkehr bringen. Für KI-Systeme, die eine Verwaltung selbst einsetzt, um zum Beispiel mitzuentscheiden, ob jemand eine Leistung bekommt oder eingestellt wird, hätten ab August 2026 zusätzlich strenge Pflichten gegolten, darunter eine Grundrechte-Folgenabschätzung, eine Art Risikoprüfung vor dem Einsatz. Ein Reformpaket, das unter dem Namen Digital Omnibus bekannt wurde, hat diese Frist inzwischen auf den 2. Dezember 2027 verschoben. 

Was durch diese Verschiebung nicht berührt wird, ist das Datenschutzrecht. Jeder Einsatz von KI, der personenbezogene Daten verarbeitet, braucht weiterhin eine Löschfrist und gehört in das Verzeichnis der Verarbeitungstätigkeiten. Verwaltungen können sich bei der Erfüllung ihrer Aufgaben zudem nicht auf ein berechtigtes Interesse berufen, anders als private Organisationen. Wer eine KI-Anwendung deshalb für unproblematisch hält, weil sie noch nicht unter die strengen KI-Pflichten fällt, prüft am falschen Gesetz.
Ein Punkt wird dabei oft übersehen. Sobald ein Werkzeug geeignet ist, das Verhalten oder die Leistung von Mitarbeitenden zu überwachen, hat die Personalvertretung mitzubestimmen. Dabei kommt es nicht darauf an, ob eine Verwaltung wirklich überwachen will, sondern nur darauf, ob das Werkzeug es könnte. Bei einem KI-Werkzeug, das Protokolle führt oder Texte auswertet, stellt sich diese Frage erst recht.

Was bedeutet das konkret?

• Was muss eine gute Regel für KI in Ihrer Verwaltung enthalten?
  Drei Antworten reichen: Welche Werkzeuge sind erlaubt (mit Namen, nicht als Kategorie); was darf nie hinein; und wer entscheidet die Fälle dazwischen. 

   

• Braucht Ihre Verwaltung dafür eine eigene KI-Beauftragte?
  Eine gesetzliche Pflicht dazu gibt es nicht. Weder die KI-Verordnung noch das deutsche Durchführungsgesetz verlangen diese Rolle. Sinnvoll ist sie trotzdem, denn ohne eine feste Adresse beantwortet jede Mitarbeiterin die Frage, ob sie ein Werkzeug nutzen darf, für sich selbst. Diese Rolle führt die Liste der erlaubten Werkzeuge und holt Fachbereich, IT-Sicherheit, Datenschutz und Personalvertretung an einen Tisch. Sie gestaltet, während der Datenschutz prüft, deshalb gehören beide Aufgaben in getrennte Hände.

   

• Bremst der Personalrat die Einführung einer Regel?
  Im Gegenteil, er ist der Grund, warum sie hält. Ein einziger Satz in der Dienstvereinbarung wirkt dabei stärker als jede Ermahnung, nämlich dass Protokolle nicht zur Leistungsbewertung verwendet werden. Erst dieser Satz nimmt Mitarbeitenden die Angst, KI zu nutzen.

Was ist der erste Schritt, den Sie diese Woche noch gehen können?

Eine kurze Mail zur Bestandsaufnahme an die Teamleitungen. Die erste Frage lautet, welche KI-Werkzeuge im jeweiligen Bereich tatsächlich benutzt werden, mit Namen und Zweck. Wichtig ist auch klarzustellen, dass diese Abfrage keine personellen Folgen hat, gefragt wird nur nach Werkzeugen, nicht nach Namen von Mitarbeitenden. Ohne diesen Satz kommt eine Liste mit einem einzigen Eintrag zurück, und der ist nicht ehrlich. Zuletzt sollte eine Frist für die Rückmeldung gesetzt werden, etwa das Ende der Woche. Erfahrungsgemäß antworten sonst nicht alle Teamleiter.

Wo wir für Verwaltungen ansetzen

Wir haben KI-Richtlinien für Organisationen bereits mehrfach entworfen und überarbeitet, von der ersten Fassung bis zur Abstimmung mit der Leitung. Über unsere Mitarbeit in Bitkom Arbeitskreisen und EU-Konsultationen kennen wir zudem die Prüfpraxis der Aufsichtsbehörden aus erster Hand. Für Verwaltungen bieten wir verschiedene Dienstleistungen an, etwa ein einzelnes Projekt, wie die Bestandsaufnahme der genutzten KI-Werkzeuge und eine erste Regel dazu, oder eine laufende Begleitung mit regelmäßigen Abstimmungen.

Jetzt Gespräch vereinbaren

Mehr dazu gibt es auf der Smart Country Convention in Berlin, vom 13. bis 15. Oktober 2026. Im Vortrag "Das Verbot ist das Risiko: Wie öffentliche Verwaltungen KI-Nutzung tatsächlich in den Griff bekommen" zeige ich konkrete Formulierungen für eine solche Regel, dazu Fälle aus der Praxis.