KI in der Geodatenverarbeitung: Was seit dem 2. August 2026 konkret zu tun ist

Die KI-Verordnung fragt nicht, welche Software Sie einsetzen. Sie fragt, was in Ihrem Prozess mit den Daten passiert. Deshalb lässt sich der Pflichtenkreis nicht am Systemnamen ablesen, sondern nur entlang des Lebenszyklus Ihrer Geodaten – von der Feldaufnahme bis zur Auskunft.

Pflichten entstehen nicht im System, sondern im Prozess

In unseren Projekten liegen zurzeit zwei Themen auffällig oft gleichzeitig auf dem Tisch. Das eine ist die Frage nach Datensouveränität: Wo dürfen, sollen, müssen Geodaten liegen? Das andere ist die KI-Verordnung: Welche Pflichten löst ein Modell aus, das Orthophotos aufbereitet oder Leitungsdaten klassifiziert?

Beide Debatten werden meist getrennt geführt – die eine in der IT-Architektur, die andere in der Rechtsabteilung. Aus unserer Sicht ist das ein Fehler, denn sie hängen an derselben Vorarbeit. Der World Geospatial Industry Council hat das in einer Podcast-Folge zu Datensouveränität auf einen Satz gebracht: Datensouveränität ist kein Selbstzweck, sondern ein Mittel zur Risikosteuerung. Genau das gilt auch für die KI-Einordnung. Beides scheitert, wenn man pauschal antwortet – und beides funktioniert, wenn man weiß, welche Daten und welche Systeme man eigentlich betreibt.

Wir arbeiten deshalb nicht mit einer Software-Liste, sondern mit der Kette, die Ihre Daten tatsächlich durchlaufen. Diese Kette ist unser Arbeitsmodell in jedem Vorhaben – ob wir eine Ausschreibung aufsetzen, eine Altsystem-Ablöse begleiten oder den laufenden Betrieb übernehmen. Seit dem 2. August 2026 ist sie auch das brauchbarste Prüfraster für die KI-Verordnung.

Der Lebenszyklus Ihrer Geodaten – und wo die KI-Verordnung ihn berührt

An jeder Station entstehen Anforderungen, die sonst niemand aufschreibt. Genau dort entstehen jetzt auch Pflichten. Station für Station:

1 – Feldaufnahme

Wer erfasst bei Ihnen, mit welchen Werkzeugen, in welchem Format? Externe Vermessungsbüros bringen eigene Software mit – und zunehmend eigene KI-Funktionen: automatische Objekterkennung auf Fotos, Vorschläge für Attributwerte, Sprachaufnahme mit Transkription.

Was hier zählt: Diese Funktionen sind in der Regel keine synthetische Inhaltserzeugung und lösen keine Kennzeichnungspflicht aus. Aber sie gehören in Ihre Lieferantenspezifikation, weil Sie sonst KI-Ergebnisse in den Bestand übernehmen, ohne zu wissen, dass es welche sind. Wo Erfassung strukturiert erfolgt – bei uns mit MoversSurvey, mit Pflichtfeldern, Wertelisten und Fotodokumentation nach Ihrem Datenmodell – ist nachvollziehbar, was gemessen und was abgeleitet wurde. Das ist die Grundlage für alles Weitere.

2 – Übernahme und Prüfung

Der Übergang vom Feld in die Datenbank ist die Stelle, an der Ihre Datenqualität entsteht oder verloren geht. Hier laufen Plausibilisierung, Topologieprüfung und Dublettenerkennung – zunehmend modellgestützt.

Was hier zählt: Plausibilisierung und Qualitätsprüfung erzeugen keine synthetischen Inhalte und führen nicht zur Kennzeichnungspflicht. Der neu gefasste Artikel 6 nennt Qualitätskontrolle ohne Sicherheitsbezug ausdrücklich als Beispiel dafür, was kein Sicherheitsbauteil ist. Was hier gilt, ist Artikel 4: Die Personen, die einen KI-Prüfvorschlag annehmen oder verwerfen, brauchen die Kompetenz, das zu beurteilen – und Sie brauchen den Nachweis, dass Sie diese Kompetenz organisiert haben.

3 – Datenhaltung

Zieldatenmodell, offene und OGC-konforme Haltung, revisionssichere Historisierung, Koordinaten- und Höhenbezug. Diese Station beantwortet die Souveränitätsfrage – und liefert das Gedächtnis, das jede KI-Einordnung später braucht.

Was hier zählt: Wenn ein KI-Verfahren einen Datenbestand verändert oder ergänzt, muss später erkennbar sein, welcher Stand aus Messung und welcher aus Ableitung stammt. Wer objektgenau historisiert, kann diese Frage in fünf Jahren noch beantworten. Wer überschreibt, kann es nicht. Nachweisbarkeit ist keine juristische Zutat, sondern eine Eigenschaft des Datenmodells – und die entsteht in der Anforderungs- und Migrationsphase, nicht danach.

4 – Integration

Anbindung an Web-Viewer, Auskunft, ERP, BIM und Fachanwendungen. Hier entscheidet sich, wer Ihr Verfahren nutzt – und damit auch, welche Rolle Sie nach der KI-Verordnung einnehmen.

Was hier zählt: Solange ein Modell intern konfiguriert und genutzt wird, bleiben Sie Betreiber. Sobald dasselbe Verfahren unter Ihrem Namen nach außen bereitgestellt wird – einer Kommune, einem Netzbetreiber, einem Beteiligungsverfahren – kann daraus Anbieterschaft werden, mit deutlich schärferen Pflichten. Diese Grenze verläuft in der Integrationsschicht, nicht im Modell.

5 – Analyse

Topologie, Längsschnitte, Punktwolken, Drohnendaten, KI-gestützte Auswertung. Das ist die Station, an der seit dem 2. August 2026 die konkreteste Pflicht sitzt.

Die Transparenzpflichten des Artikels 50 sind anwendbar. Für die Geodatenwelt ist Artikel 50 Absatz 2 entscheidend: Anbieter von KI-Systemen, die synthetische Bild-, Audio-, Video- oder Textinhalte erzeugen, müssen die Ausgaben maschinenlesbar als KI-erzeugt oder KI-manipuliert kennzeichnen. In der Analyse trifft das alltägliche Verfahren:

• generative Wolken- und Schattenentfernung in Orthomosaiken
• Lückenfüllung (Inpainting) in Luft- und Satellitenbildern
• KI-gestützte Texturierung von 3D-Stadt- und Gebäudemodellen
• synthetische Bilddatensätze, etwa für das Training eigener Modelle

Wir beobachten, dass genau diese Schritte in vielen Prozessketten längst produktiv laufen – oft als Komfortfunktion in einer Software, die niemand als „KI-System“ auf dem Zettel hat. Das ist die Aufgabe der nächsten Wochen: hinsehen, wo im Bestand Pixel entstehen, die nicht gemessen, sondern erzeugt wurden.

Ebenso wichtig ist die Abgrenzung nach unten. Segmentierung, Objektdetektion, Klassifikation und Plausibilisierung erzeugen keine synthetischen Inhalte. Auch Super-Resolution fällt nicht automatisch darunter – eine rein technische Hochskalierung ist nicht dasselbe wie generative Inhaltserzeugung. Die Grenze verläuft dort, wo das Modell Bildinhalte hinzuerfindet, die im Ausgangsmaterial nicht enthalten sind. Das ist in der Praxis manchmal knifflig, und gehört genau deshalb dokumentiert. In unserer eigenen Analysearbeit – etwa mit Kermit GeoAI – führen wir diese Einordnung je Verfahren mit, nicht je Produkt.

Und die Altsysteme? Für KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt eine Übergangsfrist bis zum 2. Dezember 2026. Das sind, Stand heute, weniger als drei Monate. Wer die Bestandsaufnahme noch nicht gemacht hat, sollte sie jetzt machen – nicht, weil eine Prüfung droht, sondern weil man in dieser Zeit realistisch noch mit Herstellern sprechen kann.

6 – Entscheidung und Auskunft

Pläne, Karten, Auskünfte, Nachweise – das, wofür Sie das System überhaupt betreiben. An dieser Station sitzen zwei sehr unterschiedliche Pflichten.

Erstens die Auskunft. Der weniger diskutierte Artikel 50 Absatz 1 verlangt, dass KI-gestützte Interaktion mit natürlichen Personen als solche erkennbar ist. Das trifft die Auskunftssysteme, die derzeit überall entstehen – der Chatbot zur Bebauungsplan-Auskunft, das dialoggeführte Antragssystem, die Katasterauskunft mit natürlichsprachiger Suche. Die Pflicht gilt seit dem 2. August 2026 und ist technisch trivial zu erfüllen. Sie wird nur gerne vergessen, weil sie in Projekten unter „UX“ statt unter „Compliance“ abgelegt wird. Eine Grundrechte-Folgenabschätzung nach Artikel 27 ist hier noch nicht verlangt – die greift erst ab dem 2. Dezember 2027 und nur in Anhang-III-Fällen.

Zweitens die Entscheidung selbst. Hier liegt der einzige Punkt im Lebenszyklus, an dem Geodatenverarbeitung tatsächlich hochriskant werden kann. Die Digital-Omnibus-Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, hat die Hochrisiko-Einstufung deutlich präzisiert und in der Wirkung entschärft: Der neu gefasste Artikel 6 nennt Nutzerunterstützung, Leistungsoptimierung, Automatisierung, Bedienkomfort und Qualitätskontrolle ohne Sicherheitsbezug ausdrücklich als keine Sicherheitsbauteile. Typische Geo-Analyseverfahren sind damit nicht automatisch Hochrisiko-Systeme.

Die Ausnahme steht in Anhang III Nummer 2: KI als Sicherheitsbauteil beim Management kritischer Infrastruktur – digitale Infrastruktur, Straßenverkehr, Versorgung mit Wasser, Gas, Wärme und Strom. Und hier lohnt die genaue Lektüre, weil sie unser Kerngeschäft berührt: Nicht erfasst sind die Führung des Leitungskatasters, die Netzdokumentation und die isolierte Auswertung von Bestandsdaten. Erfasst ist Geodatenanalyse, die Bestandteil sicherheitsrelevanter Schalt-, Steuerungs- oder Schutzentscheidungen in Versorgungsnetzen wird.

Das ist eine dünne Linie – und sie verläuft nicht durch die Software, sondern durch den Prozess. Ein Netzmodell, das gestern Dokumentation war und morgen in eine automatisierte Schaltlogik einspeist, wechselt die Kategorie, ohne dass sich eine Zeile Code ändert. Genau deshalb reicht eine Systeminventur nicht: Sie brauchen die Prozesssicht. Wer solche Integrationen plant, sollte die Einordnung vor dem Projekt vornehmen, nicht danach. Zeit ist immerhin da: Für Anhang-III-Systeme gilt der 2. Dezember 2027, für Anhang-I-Systeme der 2. August 2028.

Zwei Fragen, die quer zum Lebenszyklus liegen

Anbieter oder Betreiber?

Diese Frage stellen wir in Projekten inzwischen als eine der ersten, weil an ihr die Pflichtenlast hängt – Anbieter tragen die schärferen Hochrisiko-Pflichten. Anbieter ist, wer ein KI-System entwickelt oder es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Das typische Szenario in unserer Branche: Ein Landesbetrieb oder ein Ingenieurbüro passt ein vortrainiertes Segmentierungsmodell auf eigene Daten an. Drei Fragen entscheiden:

1. Wird das Fachverfahren unter eigenem Namen bereitgestellt?
2. Ändert sich die Zweckbestimmung wesentlich?
3. Wird das System wesentlich verändert?

Interne Konfiguration und Nutzung allein führen nicht zur Anbieterschaft. Feintuning für den Eigenbedarf ist etwas anderes als ein Fachverfahren, das man einer Kommune als Dienstleistung anbietet. Für KMU und kleine Midcaps gibt es zudem Erleichterungen – ein Punkt, der in der Diskussion oft untergeht.

Artikel 4: die stille Pflicht, die alle betrifft

Wenn wir eine Regelung nennen müssten, die in der Praxis am häufigsten übersehen wird, dann diese. Artikel 4 gilt risikoklassenunabhängig – für alle Anbieter und Betreiber, ganz gleich, wie harmlos die Anwendung ist. Die Pflicht: geeignete Maßnahmen treffen, um die KI-Kompetenz des Personals zu fördern. Ein bestimmtes Kompetenzniveau einzelner Personen muss nicht garantiert werden – es ist eine Organisations- und Bemühenspflicht. Aber sie muss organisiert sein, und das heißt: nachweisbar.

Für alle, deren Geodaten-Anwendungen nicht hochriskant sind – und das ist die Mehrheit –, ist Artikel 4 damit die zentrale verbleibende Organisationspflicht. Sie trifft übrigens jede Station des Lebenszyklus, weil KI-Vorschläge überall dort angenommen oder verworfen werden, wo Menschen mit den Daten arbeiten.

Datenklassifizierung: die Vorarbeit, die beides trägt

Hier schließt sich der Kreis zur Souveränitätsdebatte. Der WGIC-Podcast unterscheidet drei Begriffe, die im Alltag munter vermischt werden:

• Datenresidenz – der physische Speicherort der Daten
• Datenlokalisierung – die rechtliche Pflicht, Daten in einem bestimmten Gebiet zu speichern und oft auch zu verarbeiten
• Datensouveränität – das Recht und die Fähigkeit, über Nutzung, Verarbeitung, Weitergabe und Schutz selbst zu entscheiden, unabhängig vom Speicherort

Entscheidend ist am Ende immer: Wer hat die Kontrolle, und welches Recht gilt im Streitfall? Eine einheitlich rechtsverbindliche Definition von Datensouveränität gibt es in Deutschland und der EU nicht.

Die praktische Konsequenz ist dieselbe wie bei der KI-Einordnung: Es gibt keine pauschale Antwort. Kein sinnvolles „alles lokal“, kein sinnvolles „alles in die Cloud“. Was sich abzeichnet, ist eine mehrschichtige Architektur – lokale souveräne Umgebungen für hochkritische Daten, regionale oder nationale souveräne Clouds für kontrollierten Austausch, globale interoperable Systeme für Daten mit breitem Nutzwert. Der Podcast nennt das treffend selektive Souveränität: Je nach Datentyp, Risiko und Zweck wird entschieden.

Ein Beispiel aus der Runde ist für Geodatenleute besonders lehrreich: Satellitenbilder sind für sich genommen oft nicht sensibel. Sensibel werden sie durch Verarbeitung und Anreicherung – also durch die Stationen 2 bis 5 des Lebenszyklus. Nicht die Rohdaten entscheiden, sondern ihre Einbettung und ihr Nutzungskontext.

Genau diese Frage – was ist das für ein Datensatz, was wird daraus abgeleitet, welches Schutzniveau braucht er – ist die Vorarbeit für die Architekturentscheidung und für die KI-Einordnung. Wer ein belastbares Klassifizierungsregister hat, kann beide Fragen beantworten. Wer keines hat, beantwortet keine von beiden. Und weil die Klassifizierung ohnehin am Zieldatenmodell hängt, entsteht sie am besten dort, wo dieses Modell entsteht.

Was wir dabei ausdrücklich nicht empfehlen: Abschottung. Wohnraummangel, Energiewende, Klimaanpassung, Katastrophenschutz – das sind datenintensive und kooperationsabhängige Aufgaben. Souveränität, die Interoperabilität opfert, löst kein Risiko, sondern verlagert es.

Fristen im Überblick

Datum	Was gilt	Station im Lebenszyklus
2. August 2026	Transparenzpflichten Art. 50 – anwendbar	Analyse; Entscheidung und Auskunft
2. Dezember 2026	Art. 50 Abs. 2 für Systeme, die vor dem 2.8.2026 in Verkehr gebracht wurden	Analyse
2. Dezember 2027	Hochrisiko-Systeme nach Anhang III, Grundrechte-Folgenabschätzung Art. 27	Entscheidung (sicherheitsrelevante Netzsteuerung)
2. August 2028	Hochrisiko-Systeme nach Anhang I (produktbezogen)	Integration in regulierte Produkte
laufend	Art. 4 KI-Kompetenz – risikoklassenunabhängig	alle Stationen

Unsere Empfehlung: drei Schritte, jetzt

1. Bestandsaufnahme entlang des Prozesses, nicht der Systemliste. Nicht „wo nutzen wir KI?“, sondern: An welcher Station entstehen synthetische Bildinhalte? Das ist die Frist, die als nächste läuft (2. Dezember 2026), und die Antwort steckt oft in Werkzeugen, die niemand als KI-System geführt hat.

2. Einordnung dokumentieren – pro Verfahren. Zweckbestimmung, Sicherheitsfunktion, Einsatzumgebung, Anbieter- oder Betreiberrolle. Vier Felder, ein Blatt Papier pro Verfahren. Im Normalbetrieb Verwaltungsarbeit, im Streitfall das entscheidende Papier.

3. KI-Kompetenz organisieren. Artikel 4 gilt jetzt, für alle. Ein dokumentiertes Konzept mit Zuständigkeiten und Schulungsplan erfüllt die Pflicht und zahlt sich ohnehin aus.

Diese drei Schritte sind, ehrlich gesagt, keine große Sache – vorausgesetzt, man weiß, welche Daten und Systeme man betreibt. Genau daran hakt es in vielen Häusern, und zwar aus einem strukturellen Grund: Über Jahre gewachsene Systemlandschaften mit Altsystemen, Fachverfahren und Insellösungen kennt niemand vollständig. Deshalb beginnt unsere Arbeit fast immer mit derselben Inventur, die jetzt auch die KI-Verordnung verlangt – nur dass sie bei uns dem Prozess folgt und nicht dem Serverraum.

Wo wir im Lebenszyklus ansetzen

Wir begleiten den vollständigen Geodatenmanagement-Zyklus. Die drei Leistungen greifen ineinander, lassen sich aber einzeln beauftragen:

• Anforderungsmanagement und Migration – Anforderungen als rückverfolgbarer, klassifizierter Katalog, Zieldatenmodell mit revisionssicherer Historisierung, gemessene statt gehoffte Migration. Hier entsteht die Datenklassifizierung, die Ihre Architektur- und Ihre KI-Einordnung trägt.
• Ausschreibung und Vergabebegleitung – wir schreiben keine Software aus, sondern einen Lebenszyklus. KI-Verordnung, NIS2, DSGVO und Nachweispflichten verankern wir als prüfbare Anforderungen im Verfahren, nicht als Absichtserklärung im Anschreiben.
• Betrieb und Datenpflege – laufende Aufbereitung, Fortführung, Kartenproduktion und Luftbildverwaltung, mit Protokoll und dokumentiertem Regelwerk. Genau der Nachweis, den Sie brauchen, wenn Monate später gefragt wird, wie ein Datenstand entstanden ist.

Dazu kommen unsere eigenen Bausteine an den Enden der Kette: MoversSurvey für die strukturierte Feldaufnahme und Kermit GeoAI für die Analyse. Wir kennen diese Kette nicht aus einer Methodensammlung, sondern weil wir sie selbst betreiben.

Wenn Sie gerade vor der Frage stehen, welche Ihrer Verfahren unter Artikel 50 fallen oder wie Ihre Datenklassifizierung aussehen sollte, damit sie Architektur- und KI-Entscheidungen gleichzeitig trägt: Erzählen Sie uns von Ihrer Ausgangslage.

Erstgespräch vereinbaren →
Use Cases ansehen →

Lesetipps

• Geodaten brauchen ein Gedächtnis – warum Historisierung und Versionierung zum Fundament moderner GIS gehören
• Nutzen sicherer Datenräume für den öffentlichen Sektor
• BIM und GIS: Wo Felddaten und KI-Analyse zusammenwachsen

---

Dieser Beitrag beruht auf der Podcast-Folge „Data Sovereignty Isn’t A Goal, But A Means To Manage Risk“ des World Geospatial Industry Council sowie auf dem Fachbeitrag „KI in der Geodatenverarbeitung: Was seit dem 2. August 2026 gilt“ von Martin Mittelbach (geoinformation-law.com, 19. August 2026). Rechtsquellen: Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung, in Kraft seit 27. Juli 2026) und Verordnung (EU) 2024/1689 in konsolidierter Fassung. Der Beitrag gibt den Stand September 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.