Öffentliche Verwaltungen setzen KI zunehmend ein — für die Bearbeitung von Anträgen, die Priorisierung von Fällen, die Betrugserkennung oder die Kommunikation mit Bürgern. Der EU AI Act behandelt den öffentlichen Sektor mit besonderer Strenge, weil hier die Machtasymmetrie zwischen Staat und Bürger und das Risiko für Grundrechte am grössten sind. Für Behörden im EU-Raum — und für Schweizer Verwaltungen, soweit sie betroffene Personen in der EU haben oder sich freiwillig orientieren — ergeben sich daraus konkrete, teils verschärfte Pflichten.
Verbotene Praktiken zuerst prüfen
Bevor eine Behörde über Hochrisiko-Pflichten nachdenkt, muss sie die verbotenen Praktiken nach Art. 5 ausschliessen. Einige davon zielen direkt auf den öffentlichen Sektor: Das Social Scoring durch Behörden — die Bewertung von Personen anhand ihres Sozialverhaltens mit nachteiligen Folgen in unzusammenhängenden Kontexten — ist untersagt. Ebenso unterliegt die biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum durch Strafverfolgungsbehörden strengen Beschränkungen und ist nur in eng umrissenen Ausnahmen zulässig. Eine Verwaltung, die KI einführt, muss als ersten Schritt sicherstellen, dass kein Anwendungsfall in eine dieser verbotenen Kategorien fällt.
Viele Verwaltungsanwendungen sind Hochrisiko
Anhang III des AI Act listet Hochrisiko-Bereiche, von denen mehrere die Verwaltung direkt betreffen: der Zugang zu und die Inanspruchnahme von wesentlichen öffentlichen Diensten und Leistungen, einschliesslich Sozialleistungen; bestimmte Anwendungen in Migration, Asyl und Grenzkontrolle; sowie Anwendungen in der Justiz und bei demokratischen Prozessen. Ein KI-System, das über die Gewährung von Sozialleistungen mitentscheidet oder Anträge priorisiert, ist damit typischerweise ein Hochrisiko-System mit dem vollen Pflichtenkatalog — Risikomanagement, Daten-Governance, Dokumentation, menschliche Aufsicht und Logging.
Die FRIA ist für Behörden Pflicht
Hier liegt ein entscheidender Unterschied zum Privatsektor: Die Grundrechte-Folgenabschätzung nach Art. 27 ist für öffentliche Stellen, die Hochrisiko-Systeme betreiben, ausdrücklich verpflichtend. Eine Behörde muss vor dem Einsatz prüfen und dokumentieren, welche Auswirkungen das System auf die Grundrechte der betroffenen Bürger hat, welche Risiken bestehen und wie sie gemindert werden. Diese FRIA ist zudem der zuständigen Marktaufsichtsbehörde anzuzeigen. Für Verwaltungen ist die FRIA damit kein optionales Dokument, sondern eine Eintrittsvoraussetzung für den rechtmässigen Betrieb.
Registrierung und Transparenz
Öffentliche Stellen, die Hochrisiko-Systeme betreiben, müssen sich und das System in der von der EU geführten Datenbank registrieren. Hinzu kommt eine erhöhte Transparenzerwartung: Bürger haben ein berechtigtes Interesse zu erfahren, wann eine Entscheidung mit Auswirkung auf sie unter Einsatz eines KI-Systems getroffen wurde. Die Verwaltung muss zudem die menschliche Aufsicht so gestalten, dass eine reale, nicht nur formale Überprüfung durch eine qualifizierte Person möglich ist — ein blosses Durchwinken der KI-Ausgabe genügt nicht.
Beschaffung als Hebel
Ein praktischer Aspekt, der oft unterschätzt wird: Verwaltungen kaufen KI-Systeme meist ein, statt sie selbst zu bauen. Damit wird die Beschaffung zum entscheidenden Hebel. Eine Behörde sollte in Ausschreibungen die AI-Act-Konformität des Systems, die Bereitstellung der technischen Dokumentation, die Unterstützung bei der FRIA und klare vertragliche Verantwortlichkeiten verlangen. Wer diese Anforderungen nicht in den Vergabeunterlagen verankert, steht später als Betreiber mit einem System da, dessen Konformität er nicht nachweisen kann — und trägt die Verantwortung trotzdem.
Die Chance der Vorbildrolle
Der öffentliche Sektor hat eine Vorbildfunktion. Eine Verwaltung, die KI transparent, grundrechtsschonend und nachvollziehbar einsetzt, schafft Vertrauen in staatliches Handeln und setzt einen Massstab für den Privatsektor. Die strengen Pflichten des AI Act sind dabei weniger Hindernis als Leitplanke: Sie zwingen zu genau der Sorgfalt, die der Einsatz von KI in hoheitlichen Entscheidungen ohnehin verlangt. Verwaltungen, die das früh annehmen, vermeiden teure Korrekturen und gewinnen Bürgervertrauen.
Was zu tun ist
Beginnen Sie mit einer Inventur aller KI-gestützten Verfahren in der Verwaltung. Prüfen Sie jedes auf verbotene Praktiken, ordnen Sie es einer Risikoklasse zu und identifizieren Sie die Hochrisiko-Systeme. Für diese erstellen Sie die FRIA, sorgen für die Registrierung, gestalten die menschliche Aufsicht real aus und verankern die Konformitätsanforderungen in Ihrer Beschaffung. Dies ist eine fachliche Orientierung; die konkrete rechtliche Bewertung hoheitlicher KI-Anwendungen sollte mit der Rechtsabteilung und der zuständigen Aufsicht abgestimmt werden.
Kompetenzaufbau in der Verwaltung
Ein oft unterschätzter Faktor ist die KI-Kompetenz der Mitarbeitenden. Der AI Act verlangt in Art. 4, dass Anbieter und Betreiber für ein ausreichendes Mass an KI-Kompetenz ihres Personals sorgen. Gerade in der Verwaltung, wo Mitarbeitende die menschliche Aufsicht über Hochrisiko-Systeme ausüben sollen, ist das entscheidend: Wer eine KI-Ausgabe überprüfen soll, muss verstehen, was das System tut, wo seine Grenzen liegen und wann eine Ausgabe zu hinterfragen ist. Eine menschliche Aufsicht durch Personal, das die KI nicht versteht, ist nur auf dem Papier eine Aufsicht.
Investieren Sie deshalb früh in rollenbasierte Schulung — nicht in allgemeine KI-Vorträge, sondern in konkrete Befähigung für die Personen, die mit den Systemen arbeiten und sie beaufsichtigen. Diese Kompetenz ist zugleich die Voraussetzung dafür, dass die Verwaltung ihre Beschaffung kritisch begleiten und die gelieferten Systeme überhaupt sinnvoll bewerten kann. Kompetenzaufbau ist damit kein weicher Begleitaspekt, sondern eine harte Voraussetzung für die rechtskonforme und sinnvolle Nutzung.
Beginnen Sie pragmatisch mit den Verfahren, die Bürger am direktesten betreffen — dort ist das Grundrechtsrisiko und damit der Handlungsdruck am grössten. Ein gut dokumentiertes, grundrechtsschonendes Pilotverfahren schafft zudem die Blaupause, an der sich weitere Anwendungen orientieren können. So wächst die KI-Governance der Verwaltung organisch entlang realer Anwendungsfälle, statt als abstraktes Regelwerk zu verpuffen, das niemand auf die konkrete Arbeit überträgt.