Derselbe LLM-Chatbot auf Basis von ChatGPT, Copilot oder Gemini kann als System mit begrenztem Risiko, als Hochrisiko-KI oder sogar als verbotene Praxis enden, je nachdem, wofür er eingesetzt wird. Die Technik bleibt dabei exakt dieselbe, nur der Zweck entscheidet, in welches Regime der KI-Verordnung ein System fällt, und genau diesen Zweck legt die Vergabestelle in der Leistungsbeschreibung fest.
Eine Sozialbehörde schreibt einen KI-Assistenten für die telefonische Kundenberatung aus, Live-Transkription plus Antwortsuche in bestehenden Unterlagen. Das klingt harmlos, und das ist es zunächst auch: Ein Chatbot von der Stange auf einem allgemeinen KI-Modell fällt im Grundfall unter das begrenzte Risiko nach Art. 50 KI-VO, der seit dem 2. August 2026 eine Transparenzpflicht vorschreibt, ergänzt um die Bemühenspflicht zur KI-Kompetenz nach Art. 4. Wer allerdings ohne juristischen Hintergrund versucht, aus dieser Ausgangslage pauschal auf die Risikoklasse zu schließen, läuft Gefahr, einen entscheidenden Punkt zu übersehen: Die KI-Verordnung kategorisiert nicht die eingesetzte Technik, sondern den konkreten Einsatzzweck.
Die Antwort auf die Frage, ob ein bestimmtes KI-System Hochrisiko ist oder nicht, lässt sich nicht an der Technik selbst ablesen, weil die KI-Verordnung drei Regelungsebenen kennt, die alle am Zweck ansetzen, nicht am Modell. Im Beispiel der Sozialbehörde zeigt sich das in drei Schritten.
|
→ |
|
|
→ |
|
Dieselbe Logik gilt für weitere Anhang-III-Tatbestände, die in der öffentlichen Beschaffung praktisch vorkommen können: Nr. 5 Buchstabe b und c für Kreditwürdigkeit sowie Lebens- und Krankenversicherung, Nr. 4 für Recruiting und Leistungsbewertung, Nr. 3 für Prüfungsbewertung und Kurszugang, Nr. 5 Buchstabe d für Notruf-Priorisierung und Triage. Der Entwurf der Kommissionsleitlinien zur Hochrisiko-Einstufung liegt seit dem 19. Mai 2026 vor, ist aber noch nicht final. Er nennt die Dokumentenklassifikation ausdrücklich als Beispiel für eine mögliche Ausnahme nach Art. 6 Abs. 3 KI-VO, betont jedoch, dass es sich dabei stets um eine Einzelfallprüfung handelt.
Noch strenger wird es, wenn ein System in den Anwendungsbereich der verbotenen Praktiken nach Art. 5 KI-VO fällt. Im selben Beispiel der Sozialbehörde reicht dafür ein einziges zusätzliches Feature: Wird der Chatbot als vermeintliches Nice-to-have auch dazu genutzt, die Stimme des Beratungsagenten auf Stress oder Stimmung zu analysieren, liegt ein Verstoß gegen Art. 5 Buchstabe f sehr nahe. Die Kommissionsleitlinien nennen die Emotionsauswertung von Callcenter-Beschäftigten ausdrücklich als verbotenes Beispiel. Die Verbote nach Art. 5 gelten bereits seit dem 2. Februar 2025, neue Verbotstatbestände für Deepfake-Nacktbilder und Missbrauchsdarstellungen kommen zum 2. Dezember 2026 hinzu.
Für Vergabestellen, die ihre Vergabestruktur gerade erst aufbauen, liefert genau dieses Beispiel eine griffige Faustregel: Alles, was über die reine Unterstützung des menschlichen Beraters hinausgeht und selbst eine Bewertung von Personen, ihren Ansprüchen oder ihrem Gemütszustand vornimmt, verdient eine zweite, genauere Prüfung, bevor es in die Leistungsbeschreibung aufgenommen wird.
Der wohl wichtigste Mechanismus für die Vergabepraxis ist der sogenannte Regime-Sprung nach Art. 25 Abs. 1 Buchstabe c KI-VO. Wer ein System, das bislang nicht als Hochrisiko eingestuft war, für einen Anhang-III-Zweck einsetzt, rückt selbst in die Anbieterrolle, mit allen Pflichten, die sonst der Hersteller trägt: Konformitätsbewertung nach Art. 43, CE-Kennzeichnung, Registrierung in der EU-Datenbank nach Art. 49, technische Dokumentation nach Art. 11 und Risikomanagement nach Art. 9. Hinzu kommt die menschliche Aufsicht nach Art. 14 sowie, speziell für öffentliche Stellen, die Pflicht zur Grundrechte-Folgenabschätzung nach Art. 27, die vor der ersten Inbetriebnahme stehen muss. Sie ist nicht identisch mit der datenschutzrechtlichen Folgenabschätzung, darf seit dem Digital Omnibus aber per Querverweis auf diese aufbauen.
Wer ein ursprünglich unverfängliches System für einen Anhang-III-Zweck einsetzt, wie die automatisierte Bewilligung von Sozialleistungen, wird nach Art. 25 Abs. 1 lit. c KI-VO selbst zur Anbieter:in mit vollen Konformitäts- und Registrierungspflichten. Beschaffen Sie deshalb möglichst ein System, dessen Hersteller den vorgesehenen Zweck bereits selbst abdeckt, damit die Anbieterrolle beim Hersteller bleibt.
Bei den Sanktionen lohnt sich ein genauer Blick, weil hier im Frühjahr 2026 noch Unsicherheit herrschte: Die Bußgeldrahmen von bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes für Hochrisiko-Verstöße und bis zu 35 Millionen Euro oder 7 Prozent für verbotene Praktiken gelten für Unternehmen. Das KI-Marktüberwachungs- und -Informationsgesetz, in Kraft seit dem 29. Juli 2026, stellt in § 17 Abs. 2 ausdrücklich klar, dass gegen Behörden und sonstige öffentliche Stellen keine Geldbußen verhängt werden.
Das ist jedoch keine Entwarnung: Die Marktüberwachung, bei der Bundesnetzagentur und für Landesbehörden bei den jeweils zuständigen Landesstellen, kann weiterhin anordnen, untersagen und Auskunft verlangen, mit der Folge eines abgeschalteten Fachverfahrens und öffentlicher Aufmerksamkeit, was in der Praxis oft schwerer wiegt als ein Bußgeld. Weitere Informationen zur digitalen Souveränität finden Sie hier.
Sobald die Risikoklasse feststeht, lohnt sich eine nüchterne Gegenüberstellung der Pflichten, weil sich daraus unmittelbar ableiten lässt, was in die Leistungsbeschreibung und was in den Vertrag gehört.
| Pflichtenebene | Hochrisiko-KI (ab 02.12.2027) | Begrenztes Risiko (seit 02.08.2026) |
| Anbieter (Hersteller) | QMS einrichten (Art. 17), EU-Datenbank-Registrierung (Art. 49), Post-Market Monitoring (Art. 72), Konformitätsbewertung (Art. 43) | Transparenzpflichten (Art. 50), freiwillige Verhaltenskodizes (Art. 95), Kennzeichnung KI-generierter Inhalte, keine Konformitätsbewertung nötig |
| Betreiber (öff. Auftraggeber) | Menschliche Aufsicht (Art. 26), DSFA (Art. 26 Abs. 9) und GRFA (Art. 27), Eingabedatenqualität (Art. 26 Abs. 5), EU-Datenbank-Registrierung (Art. 49 Abs. 3) | Risikobewertung empfohlen, DSFA bei Bedarf nach Art. 35 DSGVO, Transparenz gegenüber Betroffenen, keine EU-Datenbank-Registrierung |
| Vertragsebene | MCC-AI-High-Risk als Vertragserweiterung prüfen, EVB-IT 2026 mit eigener KI-Anlage, Readiness-Zusage als Option | MCC-AI-Light als Basis denkbar, EVB-IT regelmäßig ausreichend, vertragliche Risikoallokation flexibler |
Diese Tabelle macht zugleich deutlich, warum eine Risikoklassifizierung vor dem Vergabeverfahren so viel Wert hat: Hochrisiko-Pflichten lassen sich nicht nachträglich in ein laufendes Verfahren hineinregeln, ohne die Vergabeunterlagen grundlegend zu überarbeiten. Hinzu kommt eine wichtige zeitliche Weichenstellung durch den Digital Omnibus, die Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026: Sie verschiebt die Hochrisiko-Pflichten nach Anhang III auf den 2. Dezember 2027 und nach Anhang I auf den 2. August 2028, während Art. 50 unverändert seit dem 2. August 2026 gilt. Für Systeme, die bereits vor dem 2. Dezember 2027 in Betrieb sind, greift zudem die Übergangsregel nach Art. 111 Abs. 2: Sie fallen erst bei einer wesentlichen Änderung unter die Hochrisiko-Pflichten, für Behördensysteme spätestens zum 2. August 2030.
Aus den vorangegangenen Abschnitten lässt sich ein praktisches Vorgehen ableiten, das sich unabhängig davon anwenden lässt, ob eine Vergabestelle zum ersten Mal mit KI-Beschaffungen zu tun hat oder bereits eine etablierte Praxis dafür besitzt.
Wichtig ist dabei vor allem eines, das sich aus der Praxiserfahrung mit bisherigen Vergabeverfahren ableiten lässt: Ein Hochrisiko-Angebot ist für sich genommen kein Ausschlussgrund. Maßgeblich bleibt stets der Zweck, der in der eigenen Leistungsbeschreibung formuliert ist, nicht die bloße Tatsache, dass ein Anbieter ein Hochrisiko-System im Programm hat.
Für erfahrene Vergabeberaterinnen und -berater, die bereits eigene Vergabestellen aufbauen oder Kolleginnen und Kollegen schulen, liegt hierin zugleich ein Argument für mehr Entscheidungsautonomie: Wer die Risikoklasse früh und dokumentiert festlegt, schafft sich den Spielraum, souverän zu entscheiden, welches System passt, statt im Nachprüfungsverfahren auf eine fremde Begründung angewiesen zu sein.
Die Risikoklasse nach KI-VO lässt sich nicht an der eingesetzten Technik ablesen, sondern ausschließlich am Zweck, für den ein System eingesetzt wird. Ein und derselbe Chatbot kann je nach Kontext im begrenzten Risiko, im Hochrisiko-Bereich oder sogar im Bereich der verbotenen Praktiken landen. Für Vergabestellen folgt daraus eine klare Konsequenz: Die Risikoklasse gehört in die Leistungsbeschreibung, festgelegt vor Beginn des Verfahrens, nicht als nachträgliche Interpretation eines Bieterangebots. Wer zusätzlich den Regime-Sprung nach Art. 25 im Blick behält und Systeme beschafft, deren Hersteller den vorgesehenen Zweck bereits selbst abdeckt, reduziert das Risiko, selbst in die Anbieterrolle mit allen ihren Pflichten zu rücken. So wird aus einer komplexen Rechtsfrage ein handhabbarer Prüfschritt, der sich in jedes Vergabeverfahren mit KI-Bezug integrieren lässt.
Prüfen Sie bei Ihrer nächsten KI-Beschaffung frühzeitig, welchen konkreten Zweck das System in Ihrer Leistungsbeschreibung erfüllen soll, und dokumentieren Sie diese Einordnung von Anfang an nachvollziehbar.