Vom Souveränitätsbegriff zur Einkaufsentscheidung

Der meistgelesene Artikel der vergangenen sieben Tage behandelte europäische KI-Souveränität als regulatorischen Imperativ für Stadtwerke. Das Lesesignal ist bemerkenswert, weil es nicht nur eine Technikfrage berührt. Stadtwerke stehen zwischen hohem Automatisierungsdruck, begrenzten Fachressourcen, wachsender Nachweispflicht und einer IT-Landschaft, in der externe Cloud- und Modellanbieter immer häufiger Bestandteil fachlicher Prozesse werden. Die Anschlussfrage lautet deshalb nicht, ob KI grundsätzlich nützlich sein kann. Sie lautet: Wie wird eine KI-Lösung so beschafft, dass Nutzen, Risiken und Verantwortlichkeiten im Betrieb nachvollziehbar bleiben?

Die Europäische Kommission beschreibt den AI Act als risikobasierten Rechtsrahmen für künstliche Intelligenz. Zusätzlich werden Pflichten für Anbieter von General-Purpose-AI-Modellen und ein Code of Practice erläutert. Für ein Stadtwerk gibt diese Information eine klare operative Richtung vor: KI darf nicht als einzelnes Werkzeug betrachtet werden, das eine Fachabteilung nebenbei einkauft. KI ist ein Bestandteil eines Verfahrens. Sie verarbeitet Daten, erzeugt Empfehlungen oder Texte, beeinflusst Prioritäten und kann Schnittstellen zu Kundenservice, Netzbetrieb, Beschaffung, Personal, Marktkommunikation oder Controlling berühren.

Wer KI-Souveränität ernst nimmt, braucht daher eine Beschaffungsakte. Gemeint ist kein zusätzlicher Bürokratieordner, sondern eine gemeinsame Entscheidungsunterlage für Fachbereich, IT, Datenschutz, Informationssicherheit, Einkauf und Geschäftsführung. Sie beantwortet vor der Einführung, welche Aufgabe automatisiert oder unterstützt werden soll, welche Daten verwendet werden, welche Anbieterrolle vorliegt, wie Ergebnisse geprüft werden und welche Grenzen im Betrieb gelten. Damit wird aus einem abstrakten Souveränitätsanspruch eine belastbare Führungsroutine.

Vier Fragen vor jeder KI-Einführung

Die erste Frage lautet: Welcher Fachprozess wird verändert? Ein Chatbot für interne Dokumentensuche ist anders zu bewerten als eine Anwendung, die Prioritäten im Netzanschlussprozess vorschlägt, Kundenkommunikation vorbereitet oder Entscheidungen im Personalumfeld unterstützt. Für Stadtwerke ist diese Abgrenzung besonders wichtig, weil viele Prozesse mehrere Rollen berühren. Ein scheinbar internes Assistenzsystem kann indirekt auf Fristen, Marktpartnerkommunikation oder Kundenantworten wirken. Die Beschaffungsakte sollte deshalb nicht nur den Namen der Software, sondern den konkreten Anwendungsfall beschreiben.

Die zweite Frage betrifft die Daten. Werden öffentliche Informationen verarbeitet, interne Betriebsdaten, personenbezogene Angaben, vertrauliche Vertragsinformationen oder technische Netzdaten? Werden Eingaben beim Anbieter gespeichert, zum Training verwendet oder in andere Regionen übertragen? Gibt es eine Möglichkeit, sensible Inhalte auszuschließen oder zu pseudonymisieren? Gerade im kommunalen Umfeld reicht es nicht, pauschal von Datenschutz oder Sicherheit zu sprechen. Benötigt wird eine Datenklassifikation, die dem Fachbereich verständlich ist und im Betrieb beachtet werden kann.

Die dritte Frage betrifft die Nachvollziehbarkeit. KI-Systeme können plausible Antworten erzeugen, ohne dass die Herkunft jeder Aussage unmittelbar sichtbar ist. In Stadtwerken ist das problematisch, wenn daraus fachliche Handlungen entstehen. Eine Beschaffungsakte sollte deshalb festlegen, ob Quellen angezeigt werden, ob Antworten dokumentiert werden, welche Prüfschritte erforderlich sind und welche Aussagen nie automatisiert übernommen werden dürfen. Besonders wichtig sind Nicht-Ziele: keine verbindliche Auskunft zu Normen, keine verbindliche Zusage zu Konditionen, keine automatisierte Bindungsentscheidung, keine produktive Stammdatenänderung ohne Freigabe.

Die vierte Frage betrifft den Exit. Souveränität zeigt sich nicht nur beim Start, sondern bei Störung, Anbieterwechsel oder regulatorischer Neubewertung. Kann ein Stadtwerk den Dienst abschalten, ohne den Fachprozess zu verlieren? Sind Prompts, Wissensbestände, Prüfregeln und Ergebnisprotokolle exportierbar? Gibt es ein Fallback-Verfahren, wenn ein Modell nicht verfügbar ist? Wer diese Fragen erst stellt, wenn die Anwendung bereits breit genutzt wird, hat die eigentliche Steuerungsfähigkeit verloren.

AI Act als Anlass für Prozessarchitektur

Der AI Act arbeitet mit Rollen, Risikoklassen und Pflichten. Für Stadtwerke ist die praktische Lehre daraus: Die Organisation muss wissen, wann sie Anbieter, Betreiber, Nutzer oder Beschaffer eines KI-Systems ist und welche Verantwortlichkeiten daraus folgen können. Das ist keine Aufgabe einer einzelnen Stabsstelle. Fachbereiche kennen die Wirkung im Prozess, IT kennt Architektur und Schnittstellen, Datenschutz und Informationssicherheit kennen Schutzbedarf und Kontrollanforderungen, der Einkauf kennt Vertrags- und Anbieterfragen.

Eine gute KI-Beschaffungsakte verbindet diese Perspektiven in einem einfachen Raster. Sie dokumentiert Zweck, Nutzerkreis, betroffene Prozesse, Datenklassen, Anbieter, Hosting, Modelltyp, Quellenbasis, Prüfpfade, Freigaben, Betriebskennzahlen und Abschaltbedingungen. Sie unterscheidet zwischen Experiment, interner Assistenz, produktivem Fachverfahren und externer Kommunikation. Dadurch kann ein Stadtwerk Innovation zulassen, ohne jede Anwendung gleich in einen Grundsatzstreit zu verwandeln.

Wichtig ist die Sprache. Wenn die Akte nur juristische Begriffe sammelt, hilft sie dem Betrieb wenig. Wenn sie nur technische Parameter sammelt, bleibt die Führungsfrage offen. Wirksam wird sie, wenn eine Führungskraft nach wenigen Minuten erkennen kann: Was darf das System, was darf es nicht, wer prüft Ergebnisse, welches Risiko bleibt offen und wann muss neu entschieden werden?

Beschaffung ist der falsche Ort für blindes Vertrauen

Viele KI-Produkte werden mit Produktivitätsversprechen angeboten. Für Stadtwerke kann das attraktiv sein, weil Fachkräfte knapp sind und Prozesslast steigt. Gerade deshalb sollte Beschaffung nicht nur auf Funktionen schauen. Entscheidend ist, ob das Produkt in eine kommunale Betriebsorganisation passt. Ein Werkzeug, das im Vertrieb beeindruckend wirkt, kann im regulierten Umfeld problematisch sein, wenn Quellen unklar sind, Datenflüsse nicht steuerbar bleiben oder Ergebnisse nicht prüfbar dokumentiert werden.

Souveräne Beschaffung bedeutet nicht, ausschließlich europäische Anbieter zu wählen oder jede Cloud-Nutzung abzulehnen. Sie bedeutet, Abhängigkeiten bewusst zu führen. Ein externer Modellanbieter kann sinnvoll sein, wenn Datenklassifikation, Vertrag, technische Trennung und Ergebnisprüfung passen. Ein lokales oder europäisches Modell kann trotzdem ungeeignet sein, wenn Qualität, Wartung oder Verantwortlichkeiten unklar bleiben. Die Entscheidung sollte deshalb nicht ideologisch, sondern aktenfähig sein.

Für Stadtwerke entsteht damit ein reiferes Innovationsmodell. Pilotprojekte dürfen schnell starten, wenn sie klar begrenzt sind. Produktive Nutzung braucht stärkere Nachweise. Externe Kommunikation braucht besondere Prüfung. Anwendungen mit Bezug zu kritischen Prozessen benötigen ein Betriebsmonitoring. Die KI-Beschaffungsakte macht diese Stufen sichtbar und verhindert, dass jedes Experiment entweder überreguliert oder unkontrolliert eingeführt wird.

Praktischer Einstieg: eine Seite genügt

Der Einstieg muss nicht groß sein. Für die nächsten KI-Anfragen kann ein Stadtwerk eine einseitige Vorlage nutzen: Anwendungsfall, Datenklassen, Nutzerkreis, Anbieter, Speicherort, Quellenbasis, erlaubte Nutzung, verbotene Nutzung, Prüfschritt, Verantwortlicher, Laufzeit, Exit-Pfad. Ergänzt wird sie um eine kurze Entscheidung: freigegeben als Experiment, freigegeben als interne Assistenz, zurückgestellt oder vertieft zu prüfen.

Nach einigen Fällen entsteht ein Musterkatalog. Wiederkehrende Anwendungen lassen sich schneller bewerten. Kritische Datenklassen werden früher erkannt. Anbieterfragen werden vergleichbarer. Fachbereiche lernen, KI nicht nur als Tool, sondern als Prozessbestandteil zu beschreiben. Genau hier beginnt Souveränität: nicht bei großen Begriffen, sondern bei wiederholbaren Entscheidungen.

Die Anschlussfrage nach KI-Souveränität ist damit beantwortbar. Stadtwerke brauchen keine perfekte Gesamtstrategie, bevor sie handeln. Sie brauchen ein Verfahren, das jede KI-Beschaffung so beschreibt, dass Verantwortliche sie verstehen, prüfen und bei Bedarf stoppen können. Wer diese Fähigkeit aufbaut, kann KI nutzen, ohne die eigene Betriebsfähigkeit aus der Hand zu geben.