Mobile-Menu

KI-Agenten in der Verwaltung

Ungeregelt heißt nicht unreguliert

< zurück

Seite: 3/3

Anbieter zum Thema

Netskope Germany GmbH
Ceyoniq Technology GmbH
mgm technology partners GmbH
SMART CJM GmbH

Der blinde Fleck: unbekannte KI-Anwendungen

Jede dieser Pflichten setzt Kenntnis darüber voraus, welche KI-Anwendungen im eigenen Haus laufen. Genau daran scheitert es zuerst.

Solche Anwendungen kommen selten als Projekt ins Haus, sondern als Funktion in Software, die längst beschafft ist: in Office-Suiten, im Ticketsystem oder im Fachverfahren. Ein Update schaltet sie frei, ohne Rollout und ohne Vorgang. Der zweite Weg führt über den Browser, wenn Beschäftigte externe Dienste nutzen.

Drei Schritte verhelfen zu mehr Transparenz:

  • 1. Eine Auswertung, welche KI-Dienste aus dem eigenen Netz aufgerufen werden,
  • 2. eine Prüfung des Softwareinventars gezielt auf Assistenzfunktionen statt nur auf Produkte und
  • 3. ein Blick in die Verträge der Fachverfahren, ob der Hersteller KI-Komponenten einsetzt oder einsetzen darf.

Ein weiterer Blick gilt den Daten. KI-Systeme antworten nicht nur, sie bewegen Inhalte. Jeder Aufruf eines externen Modells ist eine Ausleitung aus dem Verwaltungsnetz, oft an einen Dienstleister außerhalb der eigenen Auftragsverarbeitung. Ohne Sicht darauf, welche Inhalte das Haus verlassen, lassen sich weder DSGVO noch Betreiberpflichten erfüllen.

Zwei technische Punkte gehören dazu. Kennzeichnung ist kein einmaliger Vorgang, jedes Update kann sie entfernen. Und ohne Protokollierung, die festhält, wer wann welches System mit welchem Ergebnis eingesetzt hat, gelingt weder ein Nachweis gegenüber der Aufsicht noch eine Erläuterung nach Artikel 86. Beides gehört in die Leistungsbeschreibung, nicht in den Änderungsauftrag danach.

Kurzcheck für Behörden

  • 1. Inventarisierung aller KI-Anwendungen im Haus: welche laufen, mit wem sprechen sie, wohin senden sie Daten.
  • 2. Einordnung der eigenen Rolle je Anwendung. Wer einkauft, ist Betreiber. Wer selbst entwickelt oder ein Modell wesentlich verändert, ist zusätzlich Anbieter.
  • 3. Prüfung jeder Anwendung, ob sie mit Menschen interagiert. Wenn ja, gilt Artikel 50 seit dem 2. August 2026, für Betreiber die Absätze 3 und 4.
  • 4. Aufsetzen von Schulungen nach Artikel 4 und deren Dokumentation.
  • 5. Prüfung, ob ein Verwendungszweck unter Anhang III fällt. Wenn ja, greifen zum 2. Dezember 2027 Kapitel III, Artikel 27 und Artikel 49 Absatz 3.
  • 6. Klärung, welche Landesbehörde die Aufsicht führt.

Dieser Beitrag ersetzt keine Rechtsberatung. Eines lässt sich aber sagen: Die Frist für Hochrisikosysteme ist gefallen, die Kennzeichnungspflicht nicht.

Der Autor
Mathias Widler verantwortet als Vice President Central & Eastern Europe das Geschäft von Netskope in Zentral- und Osteuropa.

Bildquelle: Netskope

(ID:50961363)

Jetzt Newsletter abonnieren

Wöchentlich die wichtigsten Infos zur Digitalisierung in der Verwaltung

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte