Die Konformität der territorialen Informationssysteme spielt sich nicht mehr nur im Bereich der DSGVO ab. Das schrittweise Inkrafttreten der europäischen Verordnung über Künstliche Intelligenz, kombiniert mit den verschärften Anforderungen der CNIL bezüglich des Rechts auf Löschung und der Nachverfolgbarkeit von Verarbeitungsvorgängen, verändert die Verpflichtungen der Kommunen, die Tele-Dienste, Bürgerportale oder KI-Komponenten in ihren Fachsoftwarelösungen implementieren.
Norm ISO/IEC 42001 und Governance der territorialen KI
Die Norm ISO/IEC 42001, die im Dezember 2023 veröffentlicht wurde, wird von den Abteilungen für Informationssysteme (DSI) in den Kommunen noch zu wenig genutzt. Sie bietet jedoch einen direkt umsetzbaren Managementrahmen für jede Organisation, die Systeme der Künstlichen Intelligenz entwickelt oder nutzt.
Ihre Architektur basiert auf einem Ansatz der kontinuierlichen Verbesserung: Risiko- und Impact-Analyse, Dokumentation der Modelle, Überwachung in der Produktion, Transparenz gegenüber den betroffenen Personen und Kontrolle der Qualität der Trainingsdaten. Für eine interkommunale Zusammenarbeit, die einen automatischen Sortiermotor für Nutzeranfragen oder ein prädiktives Wartungswerkzeug für Gebäude integriert, strukturiert diese Norm oft isolierte Initiativen innerhalb der Fachabteilungen.
Die CNIL hebt sie als Hebel zur Vorbereitung auf zukünftige harmonisierte Normen der europäischen KI-Verordnung hervor. Wir empfehlen den Kommunen, die in KI-Projekte involviert sind, ihre algorithmischen Verarbeitungsvorgänge jetzt bereits zu kartieren und mit den Anforderungen der ISO/IEC 42001 abzugleichen, bevor der regulatorische Druck diese gute Praxis in eine faktische Pflicht verwandelt.
Um die Entwicklung dieser Themen im Laufe der Monate zu verfolgen, sind die Neuigkeiten von Collectivité Numérique ein regelmäßiger Einstiegspunkt zu den regulatorischen und technischen Entwicklungen, die die Territorien betreffen.
Recht auf Löschung in den Multi-Software-Architekturen der Kommunen
Das Recht auf Löschung ist kein theoretisches Thema für Kommunen, die mehrere Fachsoftwarelösungen miteinander verknüpfen. Die Nachverfolgbarkeit personenbezogener Daten über die gesamte Anwendungsarchitektur hinweg wird zu einem eigenständigen Auditkriterium.
Die CNIL hat 2026 im Rahmen einer Sanktion wegen Nichteinhaltung dieses Rechts erinnert, dass die Organisationen in der Lage sein müssen, die Anfragen der betroffenen Personen effektiv zu bearbeiten und deren Nachverfolgbarkeit sicherzustellen. Das Problem in einer mittelgroßen Kommune ist die Verteilung der Daten zwischen der Software für das Management der Bürgerbeziehungen (CRM), der Plattform zur Digitalisierung von Ausschreibungen, dem geografischen Informationssystem (GIS) und den eventuell implementierten KI-Tools.
Ein Mitarbeiter, der eine Löschanfrage erhält, muss alle betroffenen Systeme identifizieren, die rechtlichen Grundlagen für die Aufbewahrung jedes Verarbeitungsvorgangs überprüfen und dann die Ausführung oder die begründete Ablehnung dokumentieren. Ohne eine aktuelle Kartierung der Datenflüsse und ohne formalisierte Verfahren ist die Kommune einem wachsenden Risiko von Sanktionen ausgesetzt.
- Ein Verzeichnis der Verarbeitungsvorgänge führen, das die Interkonnektivitäten zwischen Software und den an jedem Datenfluss beteiligten Dienstleistern ausdrücklich identifiziert.
- Ein Verfahren zur Bearbeitung von Anfragen zur Ausübung von Rechten definieren, mit internen Fristen, die kürzer sind als die gesetzlichen Fristen, um die technische Komplexität zu bewältigen, ohne den gesetzlichen Monat zu überschreiten.
- Das Löschverfahren mindestens einmal jährlich an einem fiktiven Fall testen, um sicherzustellen, dass jede Anwendungskomponente die betroffenen Daten tatsächlich gelöscht oder anonymisiert hat.
Sicherheit von Tele-Diensten und Bürgerportalen: Schutz bereits in der Entwurfsphase integrieren
Sicherheit by design ist keine Empfehlung mehr, sondern eine operationale Anforderung. Der regulatorische Druck auf die Datensicherheit nimmt zu, und die Kommunen, die Bürgerportale oder Tele-Dienste bereitstellen, müssen Nachverfolgbarkeit und Schutz bereits in der Entwurfsphase integrieren.
Konkrete bedeutet dies, dass das Lastenheft eines Familienportals oder einer Meldestelle Anforderungen an die Verschlüsselung von Daten im Transit und im Ruhezustand, an die Protokollierung von Zugängen und an die Trennung von Produktions- und Testumgebungen enthalten muss. Zu viele Kommunen entdecken diese Anforderungen erst nach der Inbetriebnahme, wenn der Dienstleister eine Lösung geliefert hat, deren Architektur die Implementierung der Trennung kostspielig macht.
Überprüfungen, die bei der Auswahl eines Anbieters gefordert werden sollten
Wir beobachten, dass die Kommunen oft die Auswahlphase des Anbieters zugunsten der Preisverhandlungen unterschätzen. Die folgenden Punkte verdienen besondere Aufmerksamkeit bei der Erstellung des Lastenhefts:
- Die Fähigkeit des Anbieters, einen dokumentierten Notfallplan bereitzustellen, mit Verpflichtungen zur Benachrichtigung innerhalb von Fristen, die mit den DSGVO-Anforderungen kompatibel sind.
- Die Existenz unabhängiger Sicherheitsprüfungen der Lösung und die Möglichkeit für die Kommune, eine eigene Prüfung zu beauftragen.
- Die Portabilität der Daten im Falle eines Anbieterwechsels, einschließlich der Exportformate und der vertraglichen Rückgabefristen.
- Der Standort der Daten und das anwendbare Rechtsregime, insbesondere für Lösungen, die auf außereuropäischen Cloud-Infrastrukturen basieren.
KI-Konformität über die DSGVO hinaus: Dokumentation und Transparenz
Die CNIL empfiehlt nun, die Auswirkungen und Risiken von KI-Systemen zu dokumentieren, die betroffenen Personen zu informieren und angemessene Modalitäten zur Ausübung ihrer Rechte vorzusehen. Die Konformität eines territorialen KI-Projekts erfolgt auf drei gleichzeitig ablaufenden Ebenen: die DSGVO für personenbezogene Daten, die europäische Verordnung über KI für die Risikoklassifizierung und die Transparenzpflichten sowie das Verwaltungsrecht für die Begründung individueller Entscheidungen.
Für eine Kommune, die einen Entscheidungsunterstützungsalgorithmus (Zuteilung von Krippenplätzen, Priorisierung von Anfragen für sozialen Wohnraum) verwendet, muss die Dokumentation des Modells und seiner potenziellen Verzerrungen nicht nur für die Mitarbeiter, sondern auch für die Bürger zugänglich sein. Das Fehlen dieser Dokumentation schwächt rechtlich jede angefochtene Entscheidung.
Der normative Rahmen entwickelt sich schnell. Kommunen, die auf die Veröffentlichung endgültiger Texte warten, um zu handeln, häufen eine Konformitätsschuld an, die teurer zu beheben sein wird als zu verhindern. Die Antizipation der Konformität reduziert die Gesamtkosten des KI-Projekts und sichert die bereits implementierten Anwendungen.
