KI-Beschaffung: Was Behörden vor dem Zuschlag prüfen

Die KI-Beschaffung stellt Vergabestellen vor eine ungewohnte Lage, weil der Beschaffungsgegenstand eigene Rechtspflichten mitbringt. Bei der Beschaffung von KI-Systemen entscheidet schon die Ausschreibung darüber, ob ein Amt später belegen kann, was es einsetzt und unter welchen Auflagen. Dieser Leitfaden ordnet die einzelnen Prüfpunkte den Verfahrensschritten zu.
Zwei kleine graue Roboter stehen an einem Amtstresen, der linke drückt dem rechten einen gelbgrünen Aufkleber auf die Brustplatte, während hinter ihnen ein mannshoher Papierstapel aufragt. Ein Sinnbild für die KI-Beschaffung, bei der ein Amt durch den eigenen Namen zum Anbieter wird und damit den vollen Pflichtenkatalog übernimmt.
© KI-generiert (TenMedia)

Was die KI-Verordnung an der KI-Beschaffung ändert

Die KI-Beschaffung folgt weiter dem Vergaberecht und bekommt eine zweite Prüfebene aus der KI-Verordnung.

KI-Beschaffung bezeichnet die Beschaffung von KI-Systemen durch öffentliche Auftraggeber nach Vergaberecht, verbunden mit der Prüfung der Pflichten aus der Verordnung (EU) 2024/1689. Geprüft werden Risikoklasse, Rollenverteilung zwischen Anbieter und Betreiber, technische Dokumentation, Konformitätsnachweise und vertragliche Absicherung. Diese Prüfung liegt vor dem Zuschlag, weil Pflichten sich danach nur teuer nachholen lassen.

Das belegt der ThemenRadar 2026 des Kompetenzzentrums Öffentliche IT. Nur 18 Prozent der Befragten verneinen dort die Nutzung generativer KI im Arbeitsalltag, 40 Prozent greifen zu frei verfügbaren Werkzeugen (n = 294). Ein erheblicher Teil dieser KI kam nie durch ein Vergabeverfahren.

KI-Beschaffung in Behörden: Anbieter oder Betreiber

Die KI-Verordnung kennt zwei Rollen mit sehr unterschiedlichen Lasten. Anbieter tragen Konformitätsbewertung, technische Dokumentation und Betriebsanleitung. Betreiber sorgen für zweckgemäßen Einsatz, menschliche Aufsicht und Protokollierung. Ein Amt, das ein fertiges System einkauft, ist zunächst Betreiber und trägt den kleineren, aber dauerhaften Teil. Welche Auflagen im laufenden Betrieb erwachsen, ordnet der Leitfaden zur KI-Compliance ein. Die Rollenfrage entscheidet über den halben Pflichtenkatalog. Die Beschaffung von KI-Systemen beginnt deshalb bei dieser Zuordnung und nicht bei einer Produktliste. In der KI-Beschaffung für Behörden entscheidet sie über Aufwand und Haftung.

Wann eine Behörde selbst zum Anbieter wird

Nach Artikel 3 Nummer 3 der KI-Verordnung ist Anbieter, wer ein KI-System unter eigenem Namen oder eigener Marke in Verkehr bringt. Das trifft Ämter in der KI-Beschaffung häufiger als erwartet, denn eine eigene Bezeichnung genügt. Welche Pflichten aus derselben Rollenfrage für Unternehmen folgen, behandelt der Beitrag zur KI-Compliance im Unternehmen. Aus einem KI-Einkauf wird dann eine Eigenentwicklung mit vollem Pflichtenkatalog. Vier Konstellationen lösen den Rollenwechsel aus:

Der Rollenwechsel geschieht stillschweigend und fällt oft erst bei einer Prüfung auf.

Was ändert das KI-MIG für Vergabestellen?

Seit dem 29. Juli 2026 gilt in Deutschland das KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG. Es benennt die Bundesnetzagentur als Marktüberwachungs-, Anlauf- und Beschwerdestelle. Seit dem 2. August 2026 greifen zudem die Transparenzpflichten, etwa die Kennzeichnung KI-erzeugter Inhalte. Wo künstliche Intelligenz in Verwaltungsabläufen ansetzt, ordnet die Übersicht zur KI-Anwendung ein. Für die KI-Vergabe folgt daraus zweierlei. Die Aufsicht kann Unterlagen anfordern und Systeme testen, und eine KI-Ausschreibung muss diese Unterlagen deshalb ausdrücklich abfragen. Praktische Wege in eine geordnete KI-Beschaffung zeigt die KI-Integration für die öffentliche Verwaltung.

Beschaffung von KI-Systemen: Prüfung vor der Vergabe

Am Anfang der KI-Beschaffung in Behörden steht nicht die Marktrecherche, sondern die Einstufung. Erst die Risikoklasse sagt, welche Nachweise ein Angebot liefern muss.

Ein Terminbuchungsassistent und ein System zur Vorprüfung von Sozialleistungen liegen in verschiedenen Klassen, obwohl beide nach KI aussehen. Bestandsaufnahme und Assessment beschreibt der Beitrag zur AI-Act-Umsetzung in der Verwaltung. Ohne Einstufung lässt sich keine KI-Ausschreibung formulieren. Ob eine Anforderung als Mindestvorgabe oder als gewichtetes Zuschlagskriterium wirkt, entscheidet über ihre Durchsetzbarkeit. Diese Mechanik erläutert der Text zur Barrierefreiheit im Vergabeverfahren an einem verwandten Beispiel.

Wann ist eine Grundrechte-Folgenabschätzung Pflicht?

Artikel 27 der KI-Verordnung verlangt von öffentlichen Stellen eine Grundrechte-Folgenabschätzung, bevor ein Hochrisiko-System nach Anhang III erstmals verwendet wird. Private Unternehmen trifft diese Pflicht nicht, sie ist ein Sonderfall der öffentlichen Hand. Betroffen sind Anwendungen, die in Ansprüche oder Freiheiten von Menschen eingreifen, etwa im Sozialbereich oder der Strafverfolgung. Für die KI-Beschaffung in Behörden heißt das: die Abschätzung gehört in die Bedarfsermittlung, weil ihr Ergebnis die Leistungsbeschreibung prägt. Welche Pflichten nach dem Zuschlag bleiben, vertieft der Leitfaden zur KI-Compliance in der öffentlichen Verwaltung.

Was in die Folgenabschätzung gehört

Die Abschätzung ist kein Formular, sondern eine dokumentierte Auseinandersetzung mit dem Verfahren. Das Papier beschreibt, wen ein System betrifft und was schiefgehen kann. Fünf Punkte bilden den Kern:

❗ Zweck und betroffene Personengruppen benennen
❗ Häufigkeit und Dauer der Verwendung festhalten
❗ vorhersehbare Risiken für Grundrechte einschätzen
❗ Maßnahmen der menschlichen Aufsicht festlegen
❗ Beschwerde- und Korrekturwege für Betroffene regeln

Diese Punkte lassen sich direkt in Anforderungen der KI-Beschaffung übersetzen, weshalb die Arbeit doppelt zählt.

Welche Nachweise in die Vergabeunterlagen gehören

Die KI-Beschaffung belegt Konformität durch Unterlagen, nicht durch Zusicherungen im Anschreiben. Der AI Act benennt diese Unterlagen selbst, das Vergaberecht verlangt nur, sie rechtzeitig zu fordern.

Für die Beschaffung von KI-Systemen existiert bislang keine eigene Vertragsform. Die Ergänzenden Vertragsbedingungen für die Beschaffung von IT, kurz EVB-IT, kennen kein KI-Modul, weshalb ihre Muster angepasst werden müssen. Was nicht in den Vergabeunterlagen steht, lässt sich später nicht verlangen. Die Europäische Kommission stellt für diese Lücke Mustervertragsklauseln bereit, in einer Fassung für Hochrisiko-Systeme und einer schlankeren Variante darunter.

Technische Dokumentation und Konformitätserklärung

Bei Hochrisiko-KI beschreibt Anhang IV der KI-Verordnung den Umfang. Er reicht von der Systemarchitektur über die Datensätze bis zu Leistungsgrenzen und Fehlerquellen. Diese Unterlagen gehören in der KI-Beschaffung zur Angebotsprüfung:

Eine CE-Kennzeichnung allein belegt nur die Bewertung des Anbieters und ersetzt weder die eigene Prüfung noch die Datenschutzfolgenabschätzung nach der DSGVO. Eine unvollständige KI-Vergabe fällt spätestens bei der Aufsicht auf.

KI-Kompetenz und Betriebsanleitung als Nachweis

Artikel 4 der KI-Verordnung verlangt ausreichende KI-Kompetenz bei allen Betreibern. Die KI-Beschaffung für Behörden kann diese Pflicht spiegeln, indem Schulungsleistungen und eine verständliche Betriebsanleitung Teil des Auftrags werden. Wie belastbar solche Nachweise ausfallen, zeigt die Weiterbildungspraxis. Laut TÜV-Weiterbildungsstudie 2026 haben 27 Prozent der Unternehmen ihre Beschäftigten in künstlicher Intelligenz geschult, 2024 waren es 12 Prozent. Ein Zertifikat des Anbieters sagt wenig über die Anwendenden im Amt. Die Anleitung sollte Grenzfälle beschreiben, nicht nur Funktionen aufzählen.

KI-Beschaffung vertraglich und im Betrieb absichern

Die Verfahrensart trägt in der KI-Beschaffung oft mehr zum Ergebnis bei als die Anbieterwahl. Bei komplexen Vorhaben lohnt Verhandlungsspielraum.

Ein offenes Verfahren mit starrer Leistungsbeschreibung passt selten, weil sich KI-Anforderungen erst im Gespräch schärfen. Für die Vergabe von KI-Systemen kommen deshalb Verhandlungsverfahren und Innovationspartnerschaft in Betracht. Vier Bausteine sichern das Ergebnis vertraglich ab:

Diese Punkte sind nach Vertragsschluss kaum noch verhandelbar.

Lassen sich die EVB-IT für KI-Leistungen nutzen?

Die EVB-IT bleiben der richtige Rahmen, tragen KI aber nicht allein. Ein Vertrag über Erstellung oder Dienstleistung deckt Entwicklung und Betrieb ab, sagt aber nichts über Modellversionen oder Konformitätsunterlagen. Die Beschaffung von KI-Systemen verlangt hier Ergänzungen, sinnvoll orientiert an den Mustervertragsklauseln der Kommission. Eine saubere Trennung zwischen Werkleistung und laufender Pflege verhindert Streit darüber, wer eine geänderte Modellversion nachdokumentiert. Für die KI-Beschaffung von Behörden empfiehlt sich ein Pilotbetrieb, der Nachweise unter realen Bedingungen prüft.

KI-Beschaffung in Behörden begleiten lassen

Vieles an der behördlichen KI-Beschaffung ist keine Rechtsfrage, sondern Entwicklungspraxis. TenMedia bindet KI-Funktionen an bestehende Fachverfahren an, dokumentiert Datenflüsse und Protokolle prüffähig und hält die Systeme per Wartung und Support aktuell. Wie tragfähig solche Vorhaben in sicherheitskritischen Umgebungen ausfallen, zeigt das Notfallhandbuch für die Berliner Feuerwehr. Die KI-Beschaffung in Behörden gewinnt dadurch Tempo, weil Nachweise mitwachsen. Prüffähige Dokumentation entsteht während der Entwicklung, nicht nachträglich.

Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für verbindliche Auskünfte zu regulatorischen Anforderungen empfehlen wir die Konsultation einer spezialisierten Rechtsberatung.

FAQs

Wird eine Behörde selbst zum Anbieter, wenn sie ein zugekauftes KI-System unter eigenem Namen betreibt? keyboard_arrow_down keyboard_arrow_up
Ja. Nach Artikel 3 Nummer 3 der KI-Verordnung gilt als Anbieter, wer ein KI-System unter eigenem Namen oder eigener Marke in Verkehr bringt. Damit wechselt die Rolle vom Betreiber zum Anbieter, und Konformitätsbewertung sowie technische Dokumentation liegen beim Amt.
Welche Leistungen kann eine Behörde bei einem KI-Vorhaben an einen Dienstleister vergeben? keyboard_arrow_down keyboard_arrow_up
Vergeben lassen sich die Anbindung an bestehende Fachverfahren, der Aufbau prüffähiger Dokumentation und Protokollierung, die technische Absicherung der menschlichen Aufsicht sowie Wartung und Support über die Betriebsdauer. TenMedia übernimmt diese Entwicklungs- und Betriebsleistungen, die rechtliche Bewertung bleibt beim Auftraggeber.
Welche Konformitätsunterlagen gehören bei einem KI-System in die Angebotsprüfung? keyboard_arrow_down keyboard_arrow_up
Bei Hochrisiko-Systemen zählen dazu die technische Dokumentation nach Anhang IV der KI-Verordnung, die EU-Konformitätserklärung des Anbieters, die CE-Kennzeichnung sowie eine Betriebsanleitung, die zur angegebenen Zweckbestimmung passt. Ergänzend gehört der Nachweis dazu, dass das System über die gesamte Betriebsdauer automatisch protokolliert. Unterhalb der Hochrisikoklasse schrumpft der Umfang bei der Beschaffung von KI-Systemen deutlich, verlangt aber weiterhin eine belastbare Beschreibung von Zweck, Datenbasis und Leistungsgrenzen. Fehlt eine dieser Unterlagen im Angebot, ist das ein Prüfbefund und keine Formalie, weil sich die KI-Beschaffung ohne sie später nicht belegen lässt.