KI-MIG vor dem Start: Was öffentliche Auftraggeber bei KI-Vergaben künftig beachten müssen

Der Einsatz künstlicher Intelligenz (KI) in der öffentlichen Verwaltung nimmt zu. Gleichzeitig steigt der Bedarf an klaren rechtlichen und vergabestrategischen Leitplanken für die Beschaffung entsprechender Systeme. Mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) wird die nationale Umsetzung der europäischen KI-Verordnung vorbereitet. Ziel ist es, die Zuständigkeiten für die KI-Aufsicht festzulegen und einen verlässlichen Rahmen für den Einsatz von KI in Deutschland zu schaffen.

Für öffentliche Auftraggeber bedeutet dies: KI-Beschaffungen werden künftig stärker als bisher durch regulatorische Anforderungen geprägt sein. Entscheidend wird nicht nur die technische Leistungsfähigkeit eines Systems sein, sondern auch die Frage, wie Risiken bewertet, Verantwortlichkeiten verteilt und Nachweise gegenüber Auftraggebern und Aufsichtsstellen erbracht werden.

EU-KI-Verordnung als Ausgangspunkt

Die Grundlage bildet die Verordnung (EU) 2024/1689 (KI-Verordnung), die seit August 2024 in Kraft ist und einen risikobasierten Ansatz verfolgt. KI-Systeme werden danach unter anderem nach ihrem Risikoniveau eingeordnet. Je höher das Risiko eines Einsatzszenarios, desto umfangreicher sind die Anforderungen an Transparenz, Dokumentation, Datenqualität, Überwachung und Sicherheit.

Das KI-MIG soll diese europäischen Vorgaben in Deutschland organisatorisch umsetzen. Für öffentliche Auftraggeber ist insbesondere relevant, welche Behörden künftig für Marktüberwachung, Notifizierung und weitere Aufgaben zuständig sein werden.

KI-Vergaben beginnen vor der Ausschreibung

Die zentrale Herausforderung liegt bereits in der Vorbereitung des Vergabeverfahrens. Anders als bei klassischen IT-Beschaffungen genügt es bei KI-Systemen häufig nicht, ausschließlich technische Funktionen zu beschreiben.

Vergabestellen sollten frühzeitig klären:

• Welches konkrete Verwaltungsproblem soll durch KI gelöst werden?
• Handelt es sich um ein bestehendes KI-System oder eine individuell entwickelte Lösung?
• Welche Daten werden verarbeitet und woher stammen diese?
• Welche Risiken entstehen für Beschäftigte, Bürgerinnen und Bürger oder Verwaltungsentscheidungen?
• Welche Anforderungen gelten während des gesamten Lebenszyklus des Systems?

Eine strukturierte Bedarfs- und Risikoanalyse kann dabei helfen, spätere Änderungen am Leistungsumfang oder Konflikte mit Anbietern zu vermeiden.

Vergabeunterlagen müssen KI-spezifische Anforderungen enthalten

Bei KI-Systemen gewinnen Anforderungen an Transparenz und Nachvollziehbarkeit besondere Bedeutung. Auftraggeber sollten daher bereits in den Vergabeunterlagen festlegen, welche Informationen Anbieter bereitstellen müssen.

Dazu gehören beispielsweise:

• Beschreibung des eingesetzten KI-Modells,
• Angaben zu Trainings- und Testdaten,
• Anforderungen an Aktualisierungen und Änderungen,
• Dokumentations- und Berichtspflichten,
• Vorgaben zur IT-Sicherheit,
• Regelungen zum Umgang mit Fehlern oder fehlerhaften Ergebnissen.

Besonders wichtig ist die Betrachtung des gesamten Lebenszyklus. KI-Systeme können sich durch Updates, neue Daten oder Modellanpassungen verändern. Vertragsregelungen müssen deshalb nicht nur die Einführung, sondern auch Betrieb, Weiterentwicklung und gegebenenfalls Ablösung eines Systems berücksichtigen.

Datenschutz und Informationssicherheit bleiben Schlüsselfaktoren

Viele KI-Anwendungen im öffentlichen Bereich verarbeiten sensible Informationen. Datenschutzrechtliche Anforderungen nach der Datenschutz-Grundverordnung (DSGVO) sowie Vorgaben zur Informationssicherheit müssen daher integraler Bestandteil der Beschaffung sein.

Dabei geht es nicht nur um die Zulässigkeit der Datenverarbeitung. Ebenso relevant sind Fragen der Datenqualität, möglicher Verzerrungen (Bias), Zugriffskontrollen und der Nachweis einer sicheren Betriebsumgebung.

Wahl des Vergabeverfahrens gewinnt an Bedeutung

Die technische Dynamik von KI-Projekten stellt auch die Wahl des Vergabeverfahrens vor neue Herausforderungen. Häufig können Auftraggeber zu Beginn eines Projekts noch nicht alle Anforderungen abschließend definieren.

Bei komplexen KI-Leistungen können daher Verfahren mit stärkerem Austausch zwischen Auftraggeber und Unternehmen sinnvoll sein. Ein strukturierter Dialog mit dem Markt kann dazu beitragen, technische Möglichkeiten realistisch einzuschätzen und geeignete Lösungen zu identifizieren.

Folgen für die Vergabepraxis: KI-Kompetenz wird zur Vergabekompetenz

Mit dem KI-MIG und der fortschreitenden Umsetzung der europäischen KI-Verordnung wird sich die Beschaffung von KI-Systemen weiter professionalisieren. Öffentliche Auftraggeber benötigen künftig nicht nur vergaberechtliches Wissen, sondern auch ein grundlegendes Verständnis für Funktionsweise, Risiken und Einsatzgrenzen künstlicher Intelligenz.

Wer KI erfolgreich beschaffen möchte, sollte daher frühzeitig Strukturen schaffen: durch klare Verantwortlichkeiten, geeignete Vergabestrategien und belastbare Anforderungen an Transparenz und Sicherheit.

Die entscheidende Frage wird künftig nicht nur lauten, ob eine Verwaltung KI einsetzen kann, sondern wie sie KI rechtssicher, wirtschaftlich und verantwortungsvoll beschafft.

Weiterführende Informationen: Die Bundesregierung informiert in ihrer Mitteilung vom 10. Juli 2026 über den Stand der Umsetzung der EU-KI-Verordnung und das deutsche Durchführungsgesetz zur KI-Verordnung.