Mobile-Menu
profilbild_publicplan_quadrat_640x640_72dpi_thumb.jpg ()

publicplan GmbH

https://publicplan.de
zurück

05.03.2026

Zwischen Innovationsdruck und Datenschutz: Das KI‑Dilemma der öffentlichen Verwaltung

Die Digitalisierung der Verwaltung steht an einem Wendepunkt: Generative KI bietet enorme Chancen, Routineaufgaben schneller zu erledigen, Fachkräfte zu entlasten und Bürgeranliegen effizienter zu bearbeiten. Gleichzeitig stellt der Einsatz von KI hohe Anforderungen an Datenschutz, Informationssicherheit und Rechtskonformität. Solange offizielle, sichere Lösungen fehlen, weichen Mitarbeitende auf informelle Tools – die sogenannte „Schatten-KI“ – aus. Der Blogartikel zeigt, wie ein strukturierter, datenschutzkonformer Einsatz von KI, wie etwa mit GovAI, Innovation und Sicherheit vereint und Verwaltungspraxis zukunftsfähig macht.

Die deutsche Verwaltung steht beim Thema generative KI unter doppeltem Druck: Einerseits sollen Verwaltungen schneller, bürgernäher und effizienter werden, andererseits gelten zu Recht höchste Maßstäbe für Datenschutz, Informationssicherheit und Rechtskonformität. Zwischen diesen Polen entsteht ein reales Spannungsfeld: Während Pilotprojekte auf Freigaben warten oder an Compliance-Fragen scheitern, nutzen Mitarbeitende längst informell KI‑Dienste – häufig ohne ausreichende Absicherung sensibler Daten.

Das eigentliche Risiko liegt daher nicht im geregelten KI-Einsatz, sondern im ungeregelten.

Warum KI für Behörden unverzichtbar wird

Generative KI kann Routinearbeiten wie Recherche, Textentwürfe oder das Zusammenfassen von Notizen deutlich beschleunigen und ermöglicht es damit, knappe personelle Ressourcen gezielter auf komplexe Fachaufgaben zu lenken. Im Behördenalltag bedeutet das konkret:

  • Bescheide strukturiert vorformulieren
  • umfangreiche Bürgeranfragen automatisch zusammenfassen und priorisieren
  • interne Dienstanweisungen sekundenschnell durchsuchen
  • Protokolle aus Gremiensitzungen effizient verdichten
  • komplexe Sachverhalte sprachlich klar aufbereiten.


Studien - etwa „Generative künstliche Intelligenz in der öffentlichen Verwaltung“ von McKinsey & Company - zeigen, dass sowohl Produktivitätsgewinne als auch Qualitätsverbesserungen realisierbar sind, wenn KI strukturiert in definierte Prozesse eingebettet wird. Gerade vor dem Hintergrund des Fachkräftemangels bietet KI die Chance, Bearbeitungszeiten spürbar zu verkürzen und Mitarbeitende von repetitiven Tätigkeiten zu entlasten, ohne die fachliche Verantwortung aus der Hand zu geben.

Gleichzeitig fordert die “Bundesbeauftragte für den Datenschutz und die Informationsfreiheit” (BfDI), KI-Projekte strukturiert über den gesamten Lebenszyklus zu planen – von der Zweckfestlegung über Datenminimierung bis hin zur menschlichen Aufsicht. Die im Dezember 2025 veröffentlichte KI-Handreichung hebt hervor, dass insbesondere große Sprachmodelle (LLMs) nur dann verantwortbar eingesetzt werden können, wenn Datenschutz „by Design“ und „by Default“ konsequent umgesetzt wird.

Warum klassische KI‑Lösungen problematisch sind

Viele der heute verbreiteten KI-Dienste sind für den Verbraucher- oder Unternehmensmarkt optimiert, nicht jedoch für die besonderen Anforderungen von Behörden und Verwaltung. Typische Herausforderungen sind:

  • unklare Datenflüsse in internationale Cloud-Infrastrukturen
  • fehlende oder eingeschränkte Steuerbarkeit der Modellwahl
  • unzureichende Möglichkeiten, behördliche Richtlinien technisch verbindlich umzusetzen.


Besonders kritisch ist die Frage des Hostings. Für viele Behörden ist entscheidend, dass Datenverarbeitung in Deutschland oder zumindest innerhalb der EU erfolgt und nachvollziehbar dokumentiert ist.

Ebenso gewinnt die Einhaltung anerkannter Sicherheitsstandards wie der C5-Kriterien (Cloud Computing Compliance Criteria Catalogue) des Bundesamts für Sicherheit in der Informationstechnik zunehmend an Bedeutung. Fehlen solche klaren Rahmenbedingungen, entsteht Unsicherheit – sowohl auf IT- als auch auf Datenschutzseite.

Die BfDI-Handreichung weist ausdrücklich darauf hin, dass Verantwortliche für KI-Lösungen Transparenz über Trainingsdaten, Verarbeitungszwecke und Speicherfristen benötigen und Trainings mit personenbezogenen Eingaben ausgeschlossen werden müssen.

Viele Standard-KI-Angebote können diese Anforderungen nur eingeschränkt erfüllen - was in der Praxis zu Nutzungseinschränkungen, internen Verboten oder langwierigen Prüfverfahren führen kann.

Für Fachbereiche entsteht so der Eindruck: Was im privaten Umfeld oder in Unternehmen selbstverständlich ist, bleibt im Behördenkontext kaum nutzbar – nicht aus mangelndem Interesse, sondern aufgrund fehlender struktureller Sicherheit und klarer Compliance-Nachweise.

Wie informelle Nutzung per „Schatten‑KI“ entsteht

Verbotene und nicht geregelte Technologien verschwinden nicht aus dem Arbeitsalltag - sie wandern in den Schatten. Eine im Auftrag von Microsoft durchgeführte Umfrage zeigt:

  • In Bundesbehörden nutzen 45 Prozent KI‑Tools, ohne offizielle Freigabe.
  • Auf kommunaler Ebene liegt der Anteil bei 36 Prozent.
  • Diese „Schatten‑KI“ umfasst meist frei verfügbare Online‑Dienste, die ohne zentrale Steuerung oder abgestimmte Schutzmechanismen eingesetzt werden.
  • Aus Sicht der Mitarbeitenden ist dieses Verhalten nachvollziehbar: Wer im Alltag erlebt, wie viel schneller sich Entwürfe, Zusammenfassungen oder Formulierungshilfen mit KI erledigen lassen, möchte diese Möglichkeiten auch im Dienst nutzen. Aus Sicht der Organisation bedeutet Schatten‑KI allerdings Kontrollverlust – etwa bei der Frage, ob sensible oder personenbezogene Informationen in externe Systeme gelangen und dort weiterverwendet werden. Genau hier setzt die Forderung der Datenschutzaufsicht an, KI‑Einsatz in Behörden transparent, dokumentiert und technisch abgesichert zu gestalten.


Warum Verbote allein nicht helfen

Die BfDI betont, dass ihr Leitfaden dazu dienen soll, eine „strukturierte, lösungsorientierte Herangehensweise“ zu ermöglichen, nicht Innovation verhindern. Pauschale Verbote oder das Ausweichen auf unspezifische Klauseln („KI ist grundsätzlich nicht zulässig“) führen in der Praxis häufig nur dazu, dass Nutzung außerhalb der IT‑ und Datenschutzstrukturen stattfindet.

Ein moderner Regulierungsansatz basiert auf drei Elementen:

  • klare Rollen und Verantwortlichkeiten
  • technische Schutzmechanismen
  • konkrete Hilfestellungen für Fachbereiche.


Die BfDI‑Handreichung beschreibt die Notwendigkeit von Datenschutz‑Folgenabschätzungen, Datenminimierung und menschlicher Aufsicht entlang des gesamten KI‑Lebenszyklus. Für die Verwaltungspraxis bedeutet das: Behörden brauchen Werkzeuge, die diese Anforderungen als integralen Bestandteil der Lösung verstehen - nicht als nachträgliche Hürde.

Wie GovAI sichere Nutzung ermöglicht

GovAI - entwickelt von shift als Marke der publicplan GmbH - adressiert genau dieses Spannungsfeld zwischen Innovationsdruck und Datenschutz in der Verwaltung. Die Plattform bietet eine zentrale, behördenorientierte Umgebung für verschiedene KI-Modelle, eingebettet in ein technisch unterstütztes Datenschutz-, IT-Sicherheit und -Datenschutzkonzept.Kern des Konzepts ist ein „Datenschutz-by-Design“-Ansatz, der sich an den Empfehlungen des “Bundesbeauftragte für den Datenschutz und die Informationsfreiheit” (BfDI) für LLM-basierte Systeme orientiert.

Dazu gehört ein integriertes Sicherheitsmodul (Data Guard), das sensible Inhalte erkennt, automatisiert pseudonymisiert und in kontrollierter Form wieder in den fachlichen Kontext zurückführt.

Technisch wirkt der Data Guard als letzte Instanz in der Verarbeitungspipeline – unmittelbar vor der Übergabe an das jeweilige KI-Modell. Das bedeutet konkret: Hochgeladene Dokumente, darunter PDFs, Office-Dateien und OCR-verarbeitete Scans, werden niemals direkt an ein externes Modell übermittelt, stattdessen werden sie zunächst serialisiert, auf sensible Informationen geprüft und erst nach erfolgter Pseudonymisierung weitergeleitet. Erst intern erfolgt die kontrollierte Re-Kontextualisierung.

Auch Bilddateien mit extrahierbarem Text durchlaufen diesen Prozess. Das Original verbleibt im internen Systemkontext. Bei Websuchen über MCP-basierten Function Calls werden ausschließlich pseudonymisierte Daten verarbeitet. Die eigentliche Suchanfrage wird erst nach der Pseudonymisierung gestellt, das Ergebnis anschließend intern wieder de-pseudonymisiert. Dadurch bleibt der Schutz personenbezogener Daten auch bei der Nutzung externer Werkzeuge durchgängig gewährleistet.

Praxistauglichkeit in der Verwaltung: Schneller Einstieg bei voller Kontrolle

GovAI ist dabei kein theoretisches Architekturkonzept, sondern bereits im Einsatz: Ein großer Landkreis mit rund 1.500 Mitarbeitenden nutzt die Plattform im Verwaltungsalltag. Weitere Behörden auf kommunaler und Landesebene befinden sich in konkreten Abstimmungs- und Einführungsprozessen. Diese Nutzung zeigt: Der sichere Einsatz generativer KI in der Verwaltung ist umsetzbar.

Ein wesentlicher Unterschied zu vielen klassischen KI-Ansätzen liegt zudem in der Geschwindigkeit der Bereitstellung. GovAI kann ohne umfangreiches Eigenentwicklungsprojekt eingeführt werden. Es ist keine eigene Modellinfrastruktur aufzubauen, kein monatelanges Trainingsvorhaben notwendig. Behörden können kurzfristig starten und die Lösung in einer kontrollierten Umgebung produktiv nutzen. Diese Verfügbarkeit „auf Knopfdruck“ schafft einen pragmatischen Einstieg und reduziert erheblich die Hürde für erste Anwendungsfälle.

Gleichzeitig bedeutet schnelle Einsatzfähigkeit nicht starre Standardisierung. GovAI bleibt flexibel genug, um behördliche Besonderheiten abzubilden. Fachliche und organisatorische Vorgaben können als technische Leitplanken hinterlegt werden, sodass Assistenten nur innerhalb definierter Regeln agieren. Fachbereiche können eigene KI-Assistenten für Textarbeit, Wissensmanagement oder Prozessunterstützung konfigurieren, ohne selbst ein KI-System betreiben zu müssen. Auch die Auswahl unterschiedlicher Modelle je nach Sicherheitsbedarf ist möglich – ganz ohne Vendor-Lock-in.

Damit schafft GovAI einen institutionalisierten „sicheren Raum“ für KI-Nutzung, in dem Mitarbeitende die Vorteile generativer Modelle im Einklang mit den datenschutzrechtlichen Anforderungen einsetzen können. Statt Schatten-KI entsteht ein transparenter, kontrollierter und revisionsfester Einsatz, der Innovation ermöglicht und gleichzeitig Vertrauen schafft.

Praxisnaher Einstieg statt Big‑Bang‑Projekt

Die BfDI empfiehlt eine schrittweise, risikobasierte Einführung von KI‑Systemen, bei der Anwendungsfälle priorisiert und mit geeigneten technischen und organisatorischen Maßnahmen hinterlegt werden. GovAI unterstützt diesen Ansatz, indem Verwaltungen zunächst in einem geschützten, nicht‑produktiven Rahmen mit synthetischen oder anonymisierten Daten Erfahrungen sammeln können. Auf dieser Basis lassen sich Governance‑Modelle, Schulungen und Prozessanpassungen entwickeln, bevor der produktive Einsatz mit echten Fachverfahren beginnt.

Gerade im Kontext aktueller Initiativen wie MaKI‑Plattform und Deutschland‑Stack können Lösungen wie GovAI zudem in bestehende Architekturen eingebettet werden, ohne Parallelwelten zu schaffen. Offene Standards und eine modulare Architektur erleichtern die Integration in vorhandene Fachverfahren und ermöglichen es, KI‑Funktionalitäten schrittweise auszubauen.

Fazit: Gestaltungsspielraum nutzen

Die aktuelle KI‑Handreichung der “Bundesbeauftragte für den Datenschutz und die Informationsfreiheit” BfDI zeigt klar: Datenschutz und der Einsatz von KI in Behörden schließen sich nicht aus. Entscheidend ist vielmehr, dass Projekte von Anfang an strukturiert, verantwortungsvoll und mit klaren Zuständigkeiten aufgesetzt werden.

Das eigentliche Dilemma liegt nicht in der Technologie selbst. Problematisch wird es dort, wo sichere und offiziell freigegebene Angebote fehlen und dadurch Schatten‑KI oder informelle KI-Nutzung entsteht. Nicht die regulierte, verantwortbare Lösung ist das Problem, sondern ihr Fehlen.

Dass es auch anders geht, verdeutlichen Initiativen wie GovAI: Wird KI‑Nutzung zentral, sicher und rechtskonform gestaltet, lassen sich die Potenziale generativer Modelle gezielt erschließen. Gleichzeitig wächst das Vertrauen bei Bürgerinnen und Bürgern ebenso wie bei Mitarbeitenden in der Verwaltung. Für die nächste Phase der Verwaltungsdigitalisierung wird entscheidend sein, ob es gelingt, diesen Gestaltungsspielraum aktiv zu nutzen: mit klaren Leitplanken, aber ohne Innovationsbremse. Wer früh Verantwortung übernimmt und Orientierung schafft, ermöglicht Fortschritt statt Stillstand.

 

Referenzen: