Deutschlands KI-Einführung stockt: Compliance-Kultur bremst öffentlichen Sektor

Deutschland hat kein Technologieproblem. Es gibt kein Awareness-Problem. Es gibt nicht einmal ein Problem mit Widerstand.

Was Deutschland hat, ist ein Genehmigungsproblem – und das kostet den öffentlichen Sektor des Landes enorm.

wichtige Erkenntnisse

1. Deutschland hat selbstbewusste Beschäftigte im öffentlichen Dienst, die KI aber nicht nutzen dürfen. 62 % der deutschen Beschäftigten im öffentlichen Dienst fühlen sich im Umgang mit KI-Tools sicher, und die meisten haben KI privat bereits genutzt. Dennoch hat mehr als ein Drittel KI noch nie im beruflichen Kontext eingesetzt. Das Problem ist nicht fehlende Kompetenz oder Bereitschaft – sondern das Fehlen klarer Regeln, zugelassener Tools und organisatorischer Erlaubnis zum Handeln.
2. Deutschland belegt trotz Milliardeninvestitionen in KI nur Platz 8 von 10 Ländern. Deutschland erzielte 44 von 100 Punkten im Public Sector AI Adoption Index und liegt damit im Bereich der vorsichtigen Anwender – gemeinsam mit Japan (43) und Frankreich (42). Seit dem Start der Nationalen KI-Strategie 2018 hat Deutschland Milliarden in Forschung und Entwicklung investiert – aber diese Mittel sind bei den Beschäftigten im öffentlichen Dienst nicht angekommen.
3. In Deutschlands Compliance-Kultur führen unklare Regeln nicht zu Schatten-KI – sie verhindern die Einführung vollständig. Anders als in anderen Ländern, in denen Unklarheit zu heimlicher KI-Nutzung führt, sorgt Deutschlands risikobewusste Kultur dafür, dass Unsicherheit die Nutzung komplett ausbremst. Die meisten Beschäftigten im öffentlichen Dienst berichten, KI nie ohne Wissen ihrer Führungskraft eingesetzt zu haben. Wenn die Regeln unklar sind, engagieren sie sich einfach nicht – und lassen enorme Produktivitätsgewinne ungenutzt.
4. Nur 30 % der deutschen Behörden haben in KI-Tools investiert. Das ist weniger als die Hälfte des Niveaus führender Länder. 44 % der Beschäftigten geben an, dass ihre Organisation nicht die nötigen Ressourcen für einen effektiven KI-Einsatz bereitstellt. Der Zugang zu Enterprise- oder Inhouse-KI-Tools ist minimal, und viele berichten, dass es keine formalen Unterstützungsstrukturen gibt.
5. Embedding ist Deutschlands schwächste Dimension – und der Schlüssel zu allem. Deutschland erzielte beim Embedding nur 37/100 Punkten – der zweitschlechteste Wert im Index nach Frankreich. In Ländern mit hohem Embedding berichten 61 % der Beschäftigten von Vorteilen durch fortgeschrittene KI-Nutzung, bei niedrigem Embedding sind es nur 17 %. Deutschlands strukturelle Integrationshürden beschränken KI auf isolierte Experimente.

Der Public Sector AI Adoption Index 2026, heute veröffentlicht von Public First für das Center for Data Innovation mit Unterstützung von Google, befragte 3.335 Beschäftigte im öffentlichen Dienst in 10 Ländern – darunter 315 in Deutschland. Deutschland erzielte 44 von 100 Punkten und belegt Platz 8 von 10. Damit liegt es im Bereich der vorsichtigen Anwender, gemeinsam mit Japan (43) und Frankreich (42), und deutlich hinter den fortgeschrittenen Anwendern wie Saudi-Arabien (66), Singapur (58) und Indien (58).

Seit 2018 hat die Bundesregierung Milliarden Euro in KI-Forschung, Talentförderung und angewandte Innovation investiert, unterstützt von einem dichten Netz aus Forschungsinstituten und Exzellenzzentren. Das KI-Ökosystem in Deutschland ist stark. Das Problem: Nichts davon hat sich in einen selbstbewussten, alltäglichen KI-Einsatz durch die Beschäftigten übersetzt, die eigentlich davon profitieren sollen.

Die Zahlen, die Deutschlands Paradox beschreiben

Der Index misst, wie Beschäftigte im öffentlichen Dienst KI entlang von fünf Dimensionen erleben: Enthusiasmus, Bildung, Enablement, Empowerment und Embedding. Für Deutschland zeigen die Werte etwas Ungewöhnliches – eine fähige und willige Belegschaft, die institutionell ausgebremst wird:

• Enthusiasmus: 49/100 – Verhaltener Optimismus. Nur 46 % stehen KI im öffentlichen Sektor positiv gegenüber. Die meisten sehen KI als inkrementell, nicht als transformativ. Sorgen um Arbeitsplatzverlust sind gering (57 % halten Personalabbau für unwahrscheinlich), aber auch die Bereitschaft zu tiefgreifenden Veränderungen ist gering.
• Bildung: 49/100 – Der niedrigste Bildungswert im gesamten Index. Über die Hälfte der Beschäftigten hat keine KI-Schulung erhalten, und auch bei den Geschulten ist das Verständnis oft oberflächlich.
• Empowerment: 42/100 – Platz 8 von 10. Regeln und Erwartungen sind unklar oder schlecht kommuniziert. 32 % wissen nicht, ob ihre Organisation eine formale KI-Richtlinie hat. Die Mehrheit sagt, Führungskräfte geben keine klare Richtung für den KI-Einsatz vor.
• Enablement: 41/100 – Platz 9 von 10. Nur 30 % sagen, ihre Organisation habe in KI-Tools investiert. 44 % berichten, dass ihre Organisation nicht die nötigen Ressourcen bereitstellt. Der Zugang zu Tools ist begrenzt oder passt nicht zu den Arbeitsanforderungen.
• Embedding: 37/100 – Platz 8 von 10. Kaum formale Infrastruktur. Wenige Unterstützungsstrukturen. Erhebliche Integrationshürden mit bestehenden Systemen. KI bleibt auf Pilotprojekte und Spezialteams beschränkt.

Was Deutschlands Daten besonders macht: 62 % der Beschäftigten im öffentlichen Dienst fühlen sich im Umgang mit KI-Tools sicher. Die meisten haben KI privat genutzt. Sie stehen KI nicht ablehnend gegenüber. Sie haben keine Angst davor. Sie haben schlicht nicht die organisatorische Infrastruktur, um KI einzusetzen.

Mehr als ein Drittel hat KI noch nie beruflich genutzt – nicht, weil sie es nicht könnten, sondern weil niemand ihnen gesagt hat, dass sie es dürfen.

Deutschlands Compliance-Kultur: Das zweischneidige Schwert

Der Index identifiziert in Deutschland eine Dynamik, die sich grundlegend von den meisten anderen Ländern der Studie unterscheidet.

In Ländern mit geringem Enablement nutzen weltweit 64 % der begeisterten KI-Anwender private Logins bei der Arbeit, und 70 % setzen KI ohne Wissen ihrer Führungskraft ein. Das ist das typische Schatten-KI-Muster – und zeigt sich deutlich in den USA, Großbritannien und bei den uneinheitlichen Anwendern.

Deutschland ist anders. In der stark compliance-orientierten Kultur führen unklare Regeln nicht zu heimlichen Experimenten, sondern verhindern die Einführung komplett. Die meisten Beschäftigten im öffentlichen Dienst berichten, KI nie ohne Wissen ihrer Führungskraft oder über private Konten genutzt zu haben. Sind die Regeln unklar, engagieren sie sich nicht.

Das bedeutet einerseits, dass Deutschland weniger Schatten-KI-Risiko hat als etwa die USA oder Großbritannien. Andererseits lässt Deutschland damit enorme Produktivitätsgewinne ungenutzt. Die Belegschaft ist bereit. Die Technologie ist verfügbar. Aber ohne explizite, zentral abgesegnete Erlaubnis passiert nichts.

Diese Dynamik wird durch Deutschlands regulatorische Landschaft verstärkt. Die Compliance mit dem EU AI Act, der DSGVO und dem BDSG schafft zusätzliche Komplexität für Anwender und Anbieter. Hinzu kommen Souveränitätsanforderungen des öffentlichen Sektors – etwa durch die jüngsten EuroStack-Ankündigungen und strenge Cloud-Sicherheitsvorgaben – wodurch das wahrgenommene Risiko für Experimente weiter steigt. In diesem Umfeld bremst Unklarheit nicht nur die Einführung – sie stoppt sie komplett.

Die Chance ist jedoch groß. Deutschlands Compliance-Kultur bedeutet: Wenn klare Erlaubnis und zugelassene Tools bereitstehen, kann die Einführung schnell gehen – weil die Belegschaft dazu neigt, genehmigte Wege zu nutzen statt zu improvisieren. Das Vertrauensfundament ist da. Es muss nur aktiviert werden.

Das Schatten-KI-Risiko, vor dem Deutschland nicht gefeit ist

Deutschlands Compliance-Kultur verringert, aber beseitigt das Schatten-KI-Risiko nicht. Die Indexdaten zeigen: Auch in Deutschland empfinden mehr als ein Drittel der Beschäftigten, dass ihr Arbeitsplatz den KI-Einsatz erschwert, wo er hilfreich wäre. Wo institutionelle Hürden und hohe individuelle Kompetenz zusammentreffen, steigt der Druck, diese Hürden zu umgehen.

Und wenn es passiert – auch seltener als in anderen Ländern – sind die Folgen die gleichen. Sensible Bürgerdaten fließen über private KI-Konten ohne Audit-Trail. Informationen, die unter DSGVO-Compliance und das BDSG fallen, könnten in öffentliche große Sprachmodelle gelangen. Es gibt keine Möglichkeit festzustellen, was, wann und von wem offengelegt wurde.

Hier wird es entscheidend, KI sicher zu ermöglichen – nicht nur, um Produktivität freizusetzen, sondern um sicherzustellen, dass KI-Nutzung gesteuert, protokolliert und konform erfolgt. Lösungen wie der Secure MCP Server von Kiteworks adressieren dies direkt: Sie ermöglichen KI-Datengovernance-Produktivität mit Tools wie Claude, ChatGPT und Copilot, während sensible Daten im privaten Netzwerk bleiben. Bestehende Governance-Frameworks (RBAC/ABAC) gelten für alle KI-Interaktionen, jede KI-Operation wird für Compliance und Forensik protokolliert, und sensible Inhalte verlassen nie die vertrauenswürdige Umgebung. Für deutsche Behörden bedeutet die Ausrichtung an DSGVO, EU AI Act, BDSG und deutschen Cloud-Sicherheitsanforderungen, dass diese Schutzmaßnahmen direkt auf die Compliance-Pflichten einzahlen, die jede Beschaffungsentscheidung prägen.

Im deutschen Kontext reduziert sichere Infrastruktur nicht nur Risiken – sie liefert die institutionelle Sicherheit, die die Einführung in einer Compliance-First-Kultur ermöglicht.

Die fehlende Ebene: KI-Datengovernance für die deutsche Verwaltung

Deutschlands Fokus auf vertrauenswürdige KI und starken Datenschutz bildet eine natürliche Grundlage für KI-Datengovernance. Aber Rahmenwerke und Prinzipien allein bieten nicht die operative Transparenz, die Behörden benötigen.

Die meisten deutschen Behörden haben keinen Einblick, welche Daten mit KI-Systemen geteilt werden – selbst bei geringen Mengen. Welche Beschäftigten nutzen KI, und zu welchem Zweck? Ob KI-generierte Ausgaben sensible Informationen enthalten? Wie lassen sich Datenklassifizierungsrichtlinien durchsetzen, wenn KI-Tools im Spiel sind? Die Antwort für die meisten Organisationen: Sie haben nicht die Infrastruktur, um das zu wissen.

DSPM-Funktionen können sensible Daten über Repositorys hinweg erkennen und klassifizieren, auch wenn sie in KI-Systeme eingespeist werden. Automatisierte Richtliniendurchsetzung kann privilegierte oder vertrauliche Daten anhand von Klassifizierungslabels von der KI-Verarbeitung ausschließen. Umfassende Audit-Logs erfassen sämtliche KI-Daten-Interaktionen. Und im Einklang mit DSGVO-Compliance, EU AI Act und BDSG verwandeln diese Fähigkeiten Compliance von einem Hindernis in einen Enabler – Organisationen können KI-Nutzung erlauben, weil sie den Schutz der Daten nachweisen können.

Der integrierte Ansatz von Kiteworks – die Kombination aus DSPM, automatisierter Richtliniendurchsetzung und unveränderlicher Audit-Protokollierung – zeigt, wie das im großen Maßstab funktioniert. Jede KI-Daten-Interaktion wird mit Nutzer-ID, Zeitstempel, abgerufenen Daten und verwendetem KI-System erfasst. Für den Compliance-orientierten öffentlichen Sektor in Deutschland schützt diese Infrastruktur nicht nur Daten, sondern liefert die dokumentierte Sicherheit, die deutsche Organisationen verlangen, bevor sie neue Technologien für den Routineeinsatz freigeben.

Was Beschäftigte im öffentlichen Dienst als Schlüssel zur Einführung sehen

Die Indexdaten zu Faktoren, die KI-Nutzung fördern würden, spiegeln Deutschlands spezifische Hürden wider. Beschäftigte nennen KI-Datenschutz und Sicherheitsgarantie (38 %) sowie klare Leitlinien für den KI-Einsatz im öffentlichen Dienst (37 %) als wichtigste Prioritäten.

Dies ist keine Belegschaft, die Experimente um ihrer selbst willen fordert. Sie fordert die Bedingungen, unter denen Experimente zulässig werden. In einer Compliance-orientierten Kultur steht Sicherheit vor Aktion. Datensicherheit ist keine Nebensache – sie ist Voraussetzung.

Das Muster entspricht den globalen Daten: Klare Leitlinien, benutzerfreundliche Tools und Sicherheitsgarantien für Daten sind überall die drei wichtigsten Enabler. Ein dediziertes Budget rangiert weit unten. Die Hürden für KI-Einführung in Deutschland lassen sich durch Richtlinien, Kommunikation, zugelassene Infrastruktur und kluge Beschaffung lösen – nicht durch massive Mehrausgaben.

Warum Embedding wichtiger ist als alles andere

Deutschland erzielte beim Embedding 37/100 Punkten – der zweitschlechteste Wert nach Frankreich. KI wird überwiegend für einfache, risikoarme Aufgaben eingesetzt, Hinweise auf Workflow-Integration oder systemweite Nutzung fehlen weitgehend.

Die globalen Daten zeigen, warum das entscheidend ist. In Ländern mit hohem Embedding berichten 61 % der Beschäftigten von Vorteilen bei fortgeschrittener oder technischer Arbeit mit KI, bei niedrigem Embedding sind es nur 17 %. Embedding gleicht auch die Chancen aus: In Umgebungen mit hohem Embedding geben 58 % der Beschäftigten ab 55 Jahren an, mit KI mehr als eine Stunde Zeit zu sparen, bei niedrigem Embedding sind es nur 16 %.

Deutschland steht aktuell am unteren Ende dieser Skala. Nur 30 % der Organisationen investieren in KI-Tools, die Integration in bestehende Systeme ist minimal – KI bleibt von den Workflows isoliert, in denen sie den größten Mehrwert liefern könnte. Solange Deutschland KI nicht in die Systeme einbettet, die Beschäftigte bereits nutzen, bleibt das Produktivitätspotenzial der Milliardeninvestitionen unerfüllt.

Drei Prioritäten, die Deutschlands Position verändern könnten

Der Index zeigt drei Maßnahmen, die die KI-Einführung im deutschen öffentlichen Dienst deutlich beschleunigen könnten – wenn sie gemeinsam verfolgt werden.

Erstens: Klare Erlaubnis und zugelassene Tools schaffen – gestützt durch sichere Infrastruktur. Im deutschen Compliance-System ist Unsicherheit das größte Hindernis. Klare, zentral abgesegnete Leitlinien, wofür KI genutzt werden darf – zusammen mit dem Zugang zu vertrauenswürdigen, Enterprise-Tools – würden die Nutzung schnell freisetzen, weil sie die Angst vor Nichteinhaltung nehmen und signalisieren, dass KI ein legitimes Arbeitsmittel ist. Plattformen wie der Secure MCP Server von Kiteworks zeigen, wie das geht: Sie ermöglichen KI-Produktivität und halten gleichzeitig die KI-Datengovernance-Kontrollen und dokumentierte Compliance-Nachweise bereit, die deutsche Behörden vor der Freigabe neuer Technologien verlangen. Wissen Beschäftigte, dass ihre Tools zugelassen, konform, protokolliert und sicher sind, wird die Compliance-Kultur zum Beschleuniger statt zur Bremse.

Zweitens: Awareness in praktische Kompetenz umwandeln – mit gezieltem Training und Incident-Response-Bereitschaft. Das Bewusstsein für KI ist hoch, formale Schulungen sind jedoch lückenhaft oder fehlen ganz. Deutschland hat den niedrigsten Bildungswert im Index. Kurze, rollenbezogene Trainings zu konkreten Aufgaben im öffentlichen Dienst helfen, vom Experimentieren zum souveränen, effektiven Einsatz zu kommen. Im deutschen Kontext ist Training auch ein Governance-Instrument: Es liefert dokumentierte Sicherheit, dass KI angemessen und verantwortungsvoll genutzt wird. Parallel brauchen Organisationen Incident-Response-Fähigkeiten. Ohne unveränderliche Audit-Logs, SIEM-Integration für Echtzeit-Monitoring und Chain-of-Custody-Dokumentation entsteht selbst bei geringer KI-Nutzung ein kaum beherrschbares Compliance-Risiko.

Drittens: Formale Wege für Experimente und Skalierung schaffen. Beschäftigte im öffentlichen Dienst werden ohne explizite Erlaubnis kaum experimentieren. Es braucht gesteuerte Sandboxes, unterstützte Piloten und klare Wege zur Skalierung erfolgreicher Use Cases. Diese Strukturen ermöglichen Experimente sicher, sichtbar und zügig – und verbinden Deutschlands risikobewusste Kultur mit praktischer Umsetzung statt sie auszubremsen.

Die Konsequenzen reichen weiter als Rankings

Deutschlands Platz 8 im Index ist nicht nur ein Messproblem – es ist ein ökonomisches. Jeder Monat, in dem Beschäftigte im öffentlichen Dienst untätig bleiben, ist ein Monat ungenutzter Produktivitätsgewinne. Jedes Quartal ohne klare Leitlinien ist ein weiteres Quartal, in dem der öffentliche Sektor weiter hinter die Privatwirtschaft und internationale Wettbewerber zurückfällt, die weniger Ressourcen, aber bessere Umsetzung haben.

Deutschlands einzigartige Position im Index ist Warnung und Chance zugleich. Die Warnung: In einer Compliance-First-Kultur führt Unklarheit nicht zu vorsichtiger Einführung – sondern zu keiner Einführung. Die Chance: Wo klare Regeln, zugelassene Tools und sichere Infrastruktur bereitstehen, ist eine Compliance-orientierte Belegschaft einzigartig positioniert, schnell, konsistent und sicher einzuführen – weil sie genehmigte Wege bevorzugt.

Die 315 im Index befragten Beschäftigten im öffentlichen Dienst in Deutschland haben das Selbstvertrauen, KI zu nutzen. Sie haben die persönliche Erfahrung. Sie fordern keine Erlaubnis für riskante Innovationen. Sie fordern den klaren, dokumentierten, Compliance-fähigen Rahmen, der ihnen erlaubt, das zu tun, was sie bereits können – aber im Arbeitskontext, mit Behördendaten, unter vertrauenswürdiger Governance.

Die Frage ist, ob die Führungskräfte in der Verwaltung diesen Rahmen schaffen werden.