DSGVO-konforme KI im Bauunternehmen

KI im Baubetrieb scheitert selten an der Technik – und oft am berechtigten Einwand des Datenschutzes. Wer E-Mails, Verträge und Kalkulationen von einer KI verarbeiten lässt, gibt sensibelste Firmendaten aus der Hand. Die gute Nachricht: DSGVO-konformer KI-Einsatz ist machbar. Man muss nur die richtigen Fragen stellen.

Hier sind die fünf, auf die es ankommt.

1. Wo laufen die Server?

Die Grundfrage. Werden Ihre Daten in der EU verarbeitet oder wandern sie auf US-Server? Bei US-Anbietern wird die Rechtslage schnell kompliziert. Verlangen Sie eine klare Antwort mit Standort – „Cloud" ist keine Antwort. Bei Südwerk OS läuft die Indexierung der Dokumente auf gesicherten Servern in der EU.

2. Gibt es einen Vertrag zur Auftragsverarbeitung?

Sobald ein Dienstleister personenbezogene Daten für Sie verarbeitet – und in Bau-E-Mails stehen immer Personen – verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV). Ein seriöser Anbieter legt Ihnen den AVV samt technischer und organisatorischer Maßnahmen (TOMs) ungefragt vor. Wer beim Wort AVV ausweicht, ist raus.

3. Was sieht das KI-Modell wirklich?

Der wichtigste technische Punkt, der oft untergeht: Es macht einen großen Unterschied, ob ganze Dokumentenbestände zum KI-Anbieter hochgeladen werden – oder ob nur die Text-Auszüge übermittelt werden, die für die konkrete Aufgabe nötig sind. Fragen Sie außerdem, ob Ihre Daten beim KI-Anbieter gespeichert werden oder zum Training von Modellen dienen. Die richtige Antwort lautet: nein zu beidem.

4. Wer darf was sehen?

DSGVO-Konformität endet nicht am Server. Auch intern muss steuerbar sein, wer welche Daten sieht: Der Polier braucht andere Zugriffe als die Buchhaltung, der Nachunternehmer gar keine. Stichworte, nach denen Sie fragen sollten: rollenbasierte Zugriffskontrolle (RBAC) und Single Sign-on über Ihre bestehende Nutzerverwaltung – damit ausscheidende Mitarbeiter automatisch auch den KI-Zugang verlieren.

5. Wie transparent ist der KI-Einsatz?

Seit dem EU AI Act gilt: Unternehmen müssen wissen und dokumentieren können, wo KI im Einsatz ist und was sie tut. Praktisch heißt das – der Anbieter sollte erklären können, welche Aufgaben die KI übernimmt, wo der Mensch entscheidet und wie Ergebnisse nachvollziehbar bleiben. Ein System, das Antworten mit Quellenangabe liefert, ist hier klar im Vorteil gegenüber einer Blackbox.

Die Abkürzung für die Praxis

Wenn Sie nur eine Sache aus diesem Artikel mitnehmen: Lassen Sie sich die Antworten schriftlich geben. EU-Serverstandort, AVV mit TOMs, keine Datenspeicherung beim KI-Anbieter, Rollenkonzept, Transparenz nach EU AI Act – das ist die Checkliste, mit der der Datenschutzbeauftragte und die Geschäftsführung ruhig schlafen.

Wie Südwerk OS diese fünf Punkte umsetzt, haben wir auf unserer Sicherheitsseite offen dokumentiert – inklusive der Dokumente, die Sie zum Start bekommen (AVV, technisches Datenblatt). Und wenn Sie die Antworten lieber im Gespräch prüfen: Wir nehmen uns die 30 Minuten.

← Alle Artikel