Wie Kommunen KI einsetzen, ohne Bürgerdaten preiszugeben

Der Sachverhalt

Kaum eine Stelle verarbeitet so viele schützenswerte Daten wie eine Kommunalverwaltung. Melderegister, Sozialleistungen, im Einzelfall auch Gesundheitsdaten – all das läuft durch die Häuser von Ämtern und Behörden. Entsprechend hoch sind die rechtlichen Anforderungen: Es gelten die Datenschutz-Grundverordnung (DSGVO), die Landesdaten­schutz­gesetze sowie IT-Sicherheitsanforderungen, wie sie der BSI-Grundschutz beschreibt.

Vor diesem Hintergrund ist der Einsatz von Künstlicher Intelligenz keine reine Effizienzfrage. Wer Verwaltungsdaten in eine externe KI gibt, riskiert einen Datenabfluss und – je nach Anbieter – einen Drittlandtransfer in Länder ohne gleichwertiges Schutzniveau. Beides ist im öffentlichen Sektor besonders heikel.

Wann der EU AI Act ins Spiel kommt

Neben dem Datenschutz kann auch die KI-Verordnung der EU – der „AI Act“ – greifen. Bestimmte Einsätze in der öffentlichen Verwaltung können unter die Hochrisiko-Regeln nach Anhang III fallen, etwa wenn KI über den Zugang zu Leistungen mitentscheidet. Dann entstehen zusätzliche Pflichten zu Dokumentation, Aufsicht und Nachvollziehbarkeit.

Ob ein konkreter Anwendungsfall Hochrisiko ist, hängt vom Verwendungszweck ab, nicht von der Technik. Die Pflichten-Einordnung zum AI Act und unsere Modellstufen haben wir an anderer Stelle ausführlich aufbereitet – Leser finden sie auf der Seite EU AI Act. Hier konzentrieren wir uns auf die Frage, wie sich Bürgerdaten dabei schützen lassen.

Der konkrete Weg: das Haus nicht verlassen

Der sicherste Ansatz ist auch hier der einfachste zu begründende: ein lokaler beziehungsweise On-Premise-Betrieb im eigenen oder im kommunalen Rechenzentrum. Was nicht hinausgeht, kann nicht abfließen und nicht in ein Drittland gelangen. Ergänzend gehören dazu:

• eine klare Rollen- und Rechtevergabe, die Zuständigkeiten abbildet,
• eine nachvollziehbare Protokollierung der Nutzung,
• die menschliche Letztentscheidung – KI liefert zu, sie entscheidet nicht.

Gute Einsatzfelder gibt es genug, ohne dass Daten das Haus verlassen: die Beantwortung von Bürgeranfragen, die Recherche in Akten und Vorgängen oder das Erstellen von Entwürfen für Bescheide und Schreiben. Der Nutzen bleibt, das Risiko sinkt.