EU AI Act für Kommunen

Welche Pflichten haben Kommunen heute schon?

Pflicht	Seit	Was es für die Verwaltung heißt
KI-Kompetenz (Art. 4)	2. Februar 2025, neu gefasst am 27. Juli 2026	Beschäftigte schulen, die KI nutzen, und das dokumentieren
Verbote (Art. 5)	2. Februar 2025	kein Social Scoring, keine Emotionserkennung am Arbeitsplatz
Transparenz (Art. 50)	2. August 2026	Chatbots als KI erkennbar machen; KI-Texte zu Themen von öffentlichem Interesse ohne redaktionelle Prüfung kennzeichnen
Hochrisiko nach Anhang III	2. Dezember 2027	Pflichten für Betreiber, Grundrechte-Folgenabschätzung, Registrierung

Für Art. 4 gibt es einen eigenen Ratgeber mit Folien und Vorlagen: KI-Kompetenz nach Art. 4.

Wann ist KI in der Verwaltung Hochrisiko?

Anhang III nennt mehrere Bereiche, die Kommunen betreffen:

• Öffentliche Leistungen (Nr. 5 Buchst. a): KI, die bewertet, ob jemand Anspruch auf Sozialleistungen oder andere öffentliche Unterstützung hat, oder die Leistungen gewährt, kürzt, widerruft oder zurückfordert. Das betrifft Sozialamt, Jugendamt, Wohngeldstelle.
• Migration (Nr. 7): KI, die Behörden bei der Prüfung von Anträgen auf Asyl, Visum oder Aufenthaltstitel unterstützt. Das betrifft die Ausländerbehörde.
• Beschäftigung (Nr. 4): KI, die Bewerbungen sichtet oder bewertet, über Beförderung oder Kündigung mitentscheidet oder Leistung überwacht. Das betrifft das Personalamt.
• Bildung (Nr. 3) und kritische Infrastruktur (Nr. 2), etwa bei Stadtwerken.

Nicht jede KI in diesen Ämtern ist Hochrisiko. Nach Art. 6 Abs. 3 fallen vorbereitende oder eng begrenzte Aufgaben heraus, etwa Unterlagen zusammenfassen, Eingänge sortieren oder einen Bescheid in verständliche Sprache übertragen, solange ein Mensch entscheidet und kein Profiling stattfindet. Einzelheiten: Hochrisiko-KI erkennen.

Was gilt, wenn ein Einsatz Hochrisiko ist?

Als Betreiber müssen Sie ab dem 2. Dezember 2027 unter anderem:

• das System nach Gebrauchsanweisung einsetzen und die menschliche Aufsicht mit kompetenten Beschäftigten besetzen (Art. 26 Abs. 1 und 2),
• Protokolle mindestens sechs Monate aufbewahren (Art. 26 Abs. 6),
• Personalrat und Beschäftigte vorher informieren, wenn das System am Arbeitsplatz eingesetzt wird (Art. 26 Abs. 7),
• den Einsatz als Behörde in der EU-Datenbank registrieren (Art. 26 Abs. 8, Art. 49),
• betroffene Personen informieren, wenn das System Entscheidungen über sie trifft oder unterstützt (Art. 26 Abs. 11),
• vor dem ersten Einsatz eine Grundrechte-Folgenabschätzung machen (Art. 27).

Hochrisiko-Systeme, die eine Behörde schon vor Dezember 2027 einsetzt, müssen spätestens bis zum 2. August 2030 angepasst sein (Art. 111 Abs. 2).

Drohen Kommunen Bußgelder?

Die KI-Verordnung überlässt es den Mitgliedstaaten, ob Behörden Bußgelder zahlen (Art. 99 Abs. 8). Deutschland hat das im KI-MIG ausgeschlossen: Gegen Behörden und sonstige öffentliche Stellen im Sinne von § 2 Abs. 1 und 2 BDSG, dazu zählen Gemeinden und Gemeindeverbände, werden keine Geldbußen verhängt (§ 17 Abs. 2 KI-MIG). Die Pflichten gelten trotzdem, und die Aufsicht kann Maßnahmen anordnen. Kommunale Unternehmen in privater Rechtsform sind von der Ausnahme nicht ohne Weiteres erfasst.

Wie geht das mit basebox?

basebox ist eine Plattform, kein Hochrisikosystem; welche Pflichten Sie haben, hängt vom Einsatz ab. basebox macht Vorschläge, Entscheidungen treffen Menschen. Bürgerdaten bleiben in der EU und werden nie zum Training der KI-Modelle verwendet; der AVV nach Art. 28 DSGVO ist Bestandteil des Vertrags. Für den EU AI Act bekommen Sie Schulungen, Protokolle und ein Modellregister. Das Audit-Log wird standardmäßig sechs Monate aufbewahrt, einstellbar von 3 bis 36 Monaten. Für den Personalrat gibt es ein eigenes Paket mit Antworten zu Protokollierung, Rechten und Mitbestimmung, dazu eine Muster-Dienstvereinbarung als unverbindlichen Entwurf. Mehr unter KI für Kommunen und Sicherheit.

Keine Rechtsberatung: Stand 11. Oktober 2026. Landesrecht, die Leitlinien der Kommission und die Praxis der Bundesnetzagentur können die Anforderungen weiter konkretisieren.