Kurz gesagt: Kommunen sind Betreiber wie jedes Unternehmen, mit drei Besonderheiten. Erstens stehen viele typische Verwaltungsanwendungen in Anhang III: KI, die über Sozialleistungen entscheidet oder sie priorisiert (Nummer 5 Buchstabe a), Notruf-Priorisierung (Nummer 5 Buchstabe d), Bildung (Nummer 3) und Personal (Nummer 4). Zweitens treffen Behörden zusätzliche Pflichten: Registrierung als Betreiber von Hochrisiko-Systemen in der EU-Datenbank (Artikel 26 Absatz 8, Artikel 49 Absatz 3) und eine Grundrechte-Folgenabschätzung vor dem ersten Einsatz (Artikel 27). Drittens gibt es gegen Behörden keine Geldbußen (§ 17 Absatz 2 KI-MIG), wohl aber Anordnungen der Marktüberwachung und die politische Verantwortung. Hochrisiko-Systeme, die eine Behörde schon vor dem Geltungsbeginn nutzt, müssen bis zum 2. August 2030 konform sein (Artikel 111 Absatz 2).
Sie ergreifen Maßnahmen, um die KI-Kompetenz aller Mitarbeitenden zu unterstützen, die mit den KI-Werkzeugen der Verwaltung arbeiten. Seit dem 27. Juli 2026 verlangt die Vorschrift Unterstützung, kein garantiertes Niveau. Ein Zertifikat ist nicht vorgeschrieben; eine kurze, dokumentierte Unterweisung mit Nachweis reicht in der Regel. Ein direktes Bußgeld gibt es nicht, fehlende Nachweise wiegen aber bei jedem anderen Verstoß schwerer.
Wer mit einem KI-System spricht oder schreibt, muss das erkennen können, es sei denn, es ist offensichtlich. Die Pflicht trifft den Anbieter, der das System entsprechend gestalten muss; als Betreiber sorgen Sie dafür, dass der Hinweis nicht abgeschaltet oder überdeckt wird.
Bild-, Ton- oder Videoinhalte, die echten Personen, Orten oder Gegenständen ähneln und fälschlich echt wirken, müssen Sie als künstlich erzeugt offenlegen. Dasselbe gilt für KI-Texte, die Sie veröffentlichen, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, es sei denn, ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung.
Social Scoring durch öffentliche Stellen, also die Bewertung von Personen aufgrund ihres Sozialverhaltens mit nachteiligen Folgen in anderen Zusammenhängen, ist verboten. Ebenso Emotionserkennung am Arbeitsplatz und in Schulen. Für Polizei und Ordnungsbehörden gelten die besonderen Regeln zur biometrischen Fernidentifizierung.
Die KI-Verordnung ersetzt die DSGVO nicht. Personenbezogene Daten in den KI-Werkzeugen der Verwaltung brauchen eine Rechtsgrundlage, bei Cloud-Diensten einen Auftragsverarbeitungsvertrag, bei Entscheidungen mit rechtlicher Wirkung greift Artikel 22 DSGVO. Für Beschäftigtendaten gilt zusätzlich § 26 BDSG, bei technischer Überwachung § 87 Absatz 1 Nummer 6 BetrVG.
Kennzeichnung als KI (Artikel 50 Absatz 1), barrierefrei, Datenschutzinformation. Kein Hochrisiko, solange der Bot nicht über Anträge entscheidet.
Betreiber, Artikel 4. Entscheidungen bleiben beim Menschen; Daten nur in Dienste mit Auftragsverarbeitungsvertrag, keine Verfahrensdaten in offene Verbraucherdienste.
Anhang III Nummer 5 Buchstabe a: Hochrisiko. Ab dem 2. Dezember 2027 Betreiberpflichten, Registrierung und Grundrechte-Folgenabschätzung; Artikel 22 DSGVO und § 35a VwVfG heute.
Nummer 5 Buchstabe d: Hochrisiko. Für Bestandssysteme Übergang nach Artikel 111 Absatz 2.
Schulplatzvergabe fällt unter Nummer 3 Buchstabe a (Zugang zu Bildungseinrichtungen): Hochrisiko. Ob Kitas als Bildungseinrichtungen im Sinne der Nummer 3 zählen, lässt der Wortlaut offen; behandeln Sie die Kitaplatzvergabe vorsichtshalber ebenso. Kriterien transparent, Entscheidung durch Menschen.
Nummer 4: Hochrisiko ab Dezember 2027; Personalrat beteiligen, Emotionserkennung verboten.
Als Betreiber eines Hochrisiko-Systems registriert sich eine Behörde zusammen mit dem System in der EU-Datenbank (Artikel 49 Absatz 3, Artikel 26 Absatz 8). Vor der ersten Verwendung führt sie eine Grundrechte-Folgenabschätzung durch (Artikel 27): betroffene Verfahren, Zeitraum und Häufigkeit, betroffene Personengruppen, Risiken für Grundrechte, Maßnahmen der menschlichen Aufsicht, Abhilfe bei Schäden. Das Ergebnis wird der Marktüberwachungsbehörde gemeldet. Beschäftigte informiert sie vor der Inbetriebnahme (Artikel 26 Absatz 7), betroffene Bürger über die Mitwirkung des Systems an Entscheidungen (Artikel 26 Absatz 11). Zuständige Marktüberwachung ist in der Regel die Bundesnetzagentur (§ 2 KI-MIG).
Sie müssen nicht raten und nichts bezahlen, um zu erfahren, wo Sie stehen. Der Check stellt Ihnen 15 einfache Fragen in vier Blöcken, ohne Fachjargon. Am Ende sehen Sie eine Ampel-Einordnung, die betroffenen Pflichten mit Artikelverweis und den Bußgeldrahmen für Ihre Unternehmensgröße. Keine Anmeldung, keine E-Mail-Abfrage; bei der kostenlosen Auswertung bleiben Ihre Antworten in Ihrem Browser.
15 Fragen, sofortiges Ergebnis. Ohne Anmeldung.
Die drei Schritte oben gehen schnell, wenn Vorlagen, Richtlinie und Unterweisung fertig vorliegen; genau das liefert der Report, zugeschnitten auf Ihre Antworten aus dem Check. Wer das prüffähig braucht, etwa um intern Ruhe zu haben oder einem Steuerberater oder Anwalt eine strukturierte Grundlage zu geben, kann im Anschluss an den Fragebogen den ausführlichen Report bestellen: Einstufung mit Fundstellen, priorisierter Maßnahmenplan, Bußgeldrahmen mit KMU-Staffelung, druckfertige Vorlagen (KI-Nutzungsrichtlinie, KI-Inventar, Schulungsnachweis) und eine Unterweisung zur KI-Kompetenz nach Artikel 4 mit Verständnistest und Teilnahmebestätigung. Einmalig 149 Euro, ein Angebot ausschließlich für Unternehmer im Sinne des § 14 BGB.
Sehen Sie vorher, was Sie bekommen: Beispiel-Report als PDF, ein Musterreport für eine fiktive Beispiel GmbH (Analyseteil vollständig, Vorlagen und Unterweisung gekürzt).
Ja, sobald sie KI-Systeme verwendet. Für Behörden gelten die Betreiberpflichten plus Registrierung und Grundrechte-Folgenabschätzung bei Hochrisiko-Systemen.
Nein. § 17 Absatz 2 KI-MIG schließt Geldbußen gegen Behörden und sonstige öffentliche Stellen aus. Anordnungen der Marktüberwachung und Haftungsfragen bleiben.
Als private Rechtsträger unterliegen sie den Bußgeldregeln wie Unternehmen. Stadtwerke betreiben zudem oft kritische Infrastruktur (Anhang III Nummer 2).
Hochrisiko-Systeme, die eine Behörde vor dem Geltungsbeginn eingesetzt hat, bis zum 2. August 2030 (Artikel 111 Absatz 2). Neue Systeme ab dem 2. Dezember 2027.
Nein. Registrierung betrifft Hochrisiko-Systeme. Der Chatbot braucht die Kennzeichnung nach Artikel 50 Absatz 1 und Barrierefreiheit.
Fünf Schritte vom KI-Inventar bis zur Hochrisiko-Prüfung.
Was Artikel 4 verlangt und was reicht.
Der Höchstbetrag für Ihre Unternehmensgröße.
KI-MIG, Bundesnetzagentur, Verfahren.
Diese Seite ist eine Orientierungshilfe auf Basis der Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744 und ersetzt keine Rechtsberatung.
Stand: September 2026