EU AI Act Dachdecker: DSGVO in der Praxis

EU AI Act Dachdecker betrifft heute weit mehr als Chatbots: Auch Drohnenbilder, digitale Baustellendokumentation, KI-Kalkulation, Personaleinsatz und Bewerberauswahl können Datenschutz- oder AI-Act-Pflichten auslösen. Entscheidend ist, welche Daten verarbeitet werden und wofür die KI eingesetzt wird. Mittelständische Dachdeckerbetriebe sollten deshalb Anwendungen nach Risiko ordnen, Zuständigkeiten festlegen und sensible Prozesse technisch wie organisatorisch absichern.

Warum werden DSGVO und EU AI Act gerade für Dachdeckerbetriebe praktisch relevant?

Auf dem Dach wird weiterhin mit Erfahrung, Fachregelwerk, Werkzeug und handwerklichem Können gearbeitet. Im Büro, in der Arbeitsvorbereitung und rund um die Baustelle verändert sich der Betrieb dagegen erheblich. Angebote werden aus digitalen Aufmaßen erzeugt, Fotos automatisch sortiert, Drohnen liefern Dachmodelle, Kundenanfragen landen im Chatbot, Baustellendokumentationen entstehen auf dem Smartphone und Software schlägt vor, welche Kolonne zu welchem Auftrag fahren könnte.

Das ist keine theoretische Entwicklung. Das deutsche Dachdeckerhandwerk umfasste Ende 2025 15.241 Betriebe mit 61.723 gewerblichen Beschäftigten. Der Branchenumsatz lag 2025 bei rund 13,5 Milliarden Euro. Gleichzeitig werden Sanierung, Photovoltaik, Dachbegrünung und der Bestandsmarkt als wichtige Geschäftsfelder beschrieben. Gerade dort entstehen große Mengen digitaler Informationen: Gebäudedaten, Fotos, Kundenkontakte, Aufmaße, Leistungsverzeichnisse, Einsatzdaten und Dokumentationen.

KI kann diese Informationen auswerten, strukturieren und miteinander verbinden. Der rechtliche Unterschied liegt jedoch darin, ob eine Software lediglich Dachflächen erkennt oder ob dieselbe Technik plötzlich Personen bewertet. Ein Assistent, der aus einem Leistungsverzeichnis eine Zusammenfassung erstellt, ist regulatorisch etwas völlig anderes als eine Anwendung, die Bewerber sortiert oder Monteure anhand ihres bisherigen Verhaltens bewertet.

Darum reicht die Frage „Nutzen wir KI?“ nicht mehr aus. Ein Dachdeckerbetrieb muss eher fragen: Welche Anwendung läuft wo, welche Daten gehen hinein, welche Entscheidung beeinflusst sie und wer kontrolliert das Ergebnis?

Welche Pflichten gelten seit August 2026 bereits?

Der EU AI Act ist seit dem 2. August 2026 in weiten Teilen anwendbar. Die Verbote bestimmter KI-Praktiken und die Vorgaben zur KI-Kompetenz gelten bereits seit Februar 2025. Seit August 2026 kommen unter anderem wichtige Transparenzregeln für interaktive und generative KI-Systeme hinzu. Für Hochrisiko-Systeme in Bereichen wie Beschäftigung wurde der Zeitplan durch die 2026 beschlossene Anpassung dagegen verlängert; die entsprechenden Anforderungen greifen dort grundsätzlich ab dem 2. Dezember 2027.

Für einen mittelständischen Dachdeckerbetrieb bedeutet das nicht, dass nun jedes Programm eine umfangreiche AI-Act-Akte benötigt. Viele typische Anwendungen liegen im Bereich geringer Risiken. Ein Textassistent für eine E-Mail, eine KI-gestützte Suche im betrieblichen Wissensbestand oder eine Bilderkennung für beschädigte Dachziegel ist nicht allein deshalb ein Hochrisiko-System, weil KI beteiligt ist.

Andere Anwendungen verdienen mehr Aufmerksamkeit. Dazu gehören Personalentscheidungen, Bewerberbewertung, individuelle Leistungsauswertung oder bestimmte Formen automatisierter Aufgabenverteilung. Der vorgesehene Verwendungszweck entscheidet wesentlich über die Einstufung.

Schon heute sollte außerdem geregelt sein, wer KI im Betrieb bedienen darf und welche Kenntnisse dafür erforderlich sind. Die Vorgabe zur KI-Kompetenz verlangt von Anbietern und Betreibern geeignete Maßnahmen für Personen, die in ihrem Auftrag mit KI-Systemen arbeiten. Ein pauschales Online-Seminar für alle Mitarbeiter ist dabei nicht zwingend die sinnvollste Lösung. Ein Kalkulator benötigt anderes Wissen als ein Bauleiter, der Bilderkennung auf der Baustelle verwendet.

Wie greifen DSGVO und EU AI Act bei Dachaufmaß, Drohnen und Bilderkennung ineinander?

Das Drohnenaufmaß ist ein gutes Beispiel dafür, wie sich technische und datenschutzrechtliche Fragen überlagern. Die eigentliche Aufgabe ist fachlich nachvollziehbar: Dachfläche aufnehmen, Geometrie erfassen, Ortgang, Traufe, First und Durchdringungen bestimmen, daraus ein Modell erzeugen und die Daten in CAD, Kalkulation oder Arbeitsvorbereitung übernehmen.

Problematisch wird nicht das Dach. Problematisch können die Dinge rund um das Dach werden.

Auf Rohaufnahmen befinden sich möglicherweise Nachbargrundstücke, Fahrzeuge, Kennzeichen, Personen im Garten, Mitarbeiter auf dem Gerüst oder andere Informationen, über die eine natürliche Person identifiziert werden kann. Dann wird aus einem technischen Bilddatensatz zumindest teilweise eine Verarbeitung personenbezogener Daten.

In der Praxis sollte deshalb bereits vor dem Flug feststehen, was tatsächlich benötigt wird. Je enger der Aufnahmebereich und je kürzer die Aufbewahrung nicht benötigter Rohdaten, desto weniger unnötige personenbezogene Informationen landen später im System. Für eine technische Dokumentation benötigte Ausschnitte können getrennt von vollständigem Rohmaterial gespeichert werden.

Kommt anschließend KI-Bilderkennung hinzu, entsteht eine zweite Ebene. Erkennt die Software Dachschäden, Bauteile oder Verschmutzungen, ist das meist regulatorisch anders zu beurteilen als eine Analyse, die Personen erkennt oder Beschäftigte beurteilt. Technisch mag beides „Bilderkennung“ heißen. Rechtlich sind es unterschiedliche Einsatzfälle.

Wann wird aus Einsatzplanung oder Personalsoftware ein Hochrisiko-System?

Viele Dachdeckerbetriebe interessieren sich für KI-gestützte Disposition, weil Fachkräfte knapp sind und Baustellen nicht beliebig verschoben werden können. Eine Software könnte Qualifikationen, Entfernung, Fahrzeugbelegung, Gerüststellung, Materialverfügbarkeit, Wetterfenster und Terminlage kombinieren und daraus Vorschläge für die Tagesplanung erzeugen.

Solange das System im Wesentlichen betriebliche Ressourcen zusammenführt und ein Disponent anschließend entscheidet, ist der Fall anders gelagert als bei einer KI, die einzelne Mitarbeiter bewertet.

Der EU AI Act ordnet bestimmte Systeme im Beschäftigungsbereich als Hochrisiko ein. Dazu können Anwendungen gehören, die Bewerber auswählen, Entscheidungen über Beschäftigungsbedingungen unterstützen, Leistungen überwachen oder Aufgaben aufgrund personenbezogener Merkmale beziehungsweise individuellen Verhaltens zuteilen.

Die Grenze kann im praktischen Betrieb schneller erreicht werden, als es zunächst aussieht. Ein System könnte mit einer simplen Disposition beginnen. Später wird ergänzt, welcher Mitarbeiter bei welchem Auftrag besonders schnell war, wie viele Reklamationen einer Kolonne zugeordnet wurden oder welcher Monteur laut App besonders häufig von der geplanten Route abwich. Aus Ressourcenplanung entsteht dann personenbezogene Leistungsbewertung.

Genau solche Erweiterungen sollten nicht nebenbei eingeführt werden.

Wie unterscheiden sich typische KI-Anwendungen im Dachdeckerbetrieb rechtlich?

Die Tabelle zeigt einen wichtigen Grundsatz: Nicht die Bezeichnung des Produkts bestimmt das Risiko. Entscheidend ist der vorgesehene Einsatz.

Was sollte bei KI-gestützter Kalkulation und Angebotserstellung beachtet werden?

Gerade in Kalkulation und Arbeitsvorbereitung ist KI attraktiv. Aus einer Kundenanfrage könnten Objektinformationen extrahiert, Positionen vorgeschlagen, Bilder den richtigen Gewerken zugeordnet oder vorhandene Angebote nach ähnlichen Projekten durchsucht werden.

Dabei landen schnell Informationen im System, die bisher nur in der Branchensoftware, im Dokumentenmanagement oder im E-Mail-Postfach lagen. Anschrift des Auftraggebers, Bauort, Ansprechpartner, Telefonnummer, Objektfotos, Rechnungsinformationen und Kommunikationshistorie können personenbezogen sein.

Eine der häufigsten Fehlentwicklungen entsteht, wenn Mitarbeiter ein frei verfügbares KI-Werkzeug verwenden und vollständige Kundenunterlagen hochladen, weil es schneller geht. Der Betrieb weiß anschließend weder zuverlässig, welche Daten übertragen wurden, noch unter welchen vertraglichen Bedingungen sie verarbeitet werden.

Sinnvoller ist ein freigegebener Prozess. Dabei wird vorab festgelegt, welche Systeme eingesetzt werden, welche Datenarten erlaubt sind, ob der Anbieter als Auftragsverarbeiter eingebunden werden muss, wo Daten verarbeitet werden und welche Einstellungen für Speicherung oder Modelltraining gelten.

Das European Data Protection Board weist bei KI-Modellen unter anderem darauf hin, dass Fragen zur Anonymität von Modellen, zur Rechtsgrundlage und zu rechtswidrig verarbeiteten Trainingsdaten jeweils konkret bewertet werden müssen.

Auch die fachliche Kontrolle bleibt entscheidend. Wenn KI bei Materialmengen, Dachflächen, Gefälle, Unterkonstruktion oder Leistungspositionen unterstützt, darf daraus keine automatische Freigabe entstehen. Ein plausibel formulierter Fehler bleibt ein Fehler.

Welche Regeln gelten für Baustellenkameras, Fotos und mobile Dokumentation?

Fotos gehören auf vielen Baustellen längst zum Alltag. Untergrund dokumentieren, Anschlüsse festhalten, Regeldetails nachweisen, Schadenbilder erfassen, Baufortschritt sichern oder eine Nachtragsposition dokumentieren: Für vieles gibt es einen nachvollziehbaren betrieblichen Zweck.

Daraus sollte aber keine unbegrenzte Bildsammlung entstehen.

Insbesondere dauerhafte oder systematische Kameraüberwachung von Mitarbeitern ist wesentlich sensibler als eine gezielte Baustellenaufnahme. Die deutschen Datenschutzaufsichtsbehörden weisen darauf hin, dass Videoüberwachung von Beschäftigten nicht zur Kontrolle von Arbeitsleistung, Sorgfalt oder Effizienz eingesetzt werden darf.

KI kann die Eingriffsintensität zusätzlich erhöhen. Eine Kamera, die nur erkennt, ob ein Gefahrenbereich betreten wird, verarbeitet Informationen anders als ein System, das Mitarbeiter identifiziert, Bewegungsprofile erstellt, Arbeitsgeschwindigkeit vergleicht oder daraus Bewertungen erzeugt.

Bei umfangreicher systematischer Überwachung kann außerdem eine Datenschutz-Folgenabschätzung erforderlich werden. Deshalb sollte bei jeder neuen Kamera- oder Analysefunktion zuerst der Zweck beschrieben werden. Erst danach gehören Technik und KI-Modell auf den Tisch.

Wie verändert der AI Act Website-Chatbots und Kundenkommunikation?

Ein Dachdeckerbetrieb kann einen Chatbot nutzen, um erste Angaben zu einer Anfrage abzufragen: Steildach oder Flachdach, Sanierung oder Reparatur, Ort des Objekts, Schadensbild, gewünschter Zeitraum und Kontaktdaten.

Seit dem 2. August 2026 gelten die Transparenzvorgaben des Artikels 50 des AI Act. Personen sollen bei bestimmten direkten Interaktionen erkennen können, dass sie mit einem KI-System kommunizieren. Auch für bestimmte KI-generierte oder manipulierte Inhalte bestehen Vorgaben. Die Europäische Kommission hat dazu im Juli 2026 ergänzende Leitlinien veröffentlicht.

Für die Praxis spricht wenig dafür, einen KI-Assistenten als menschlichen Mitarbeiter erscheinen zu lassen. Ein sachlicher Hinweis, dass die Anfrage durch einen digitalen KI-Assistenten aufgenommen wird und anschließend durch den Betrieb bearbeitet werden kann, passt besser zu einem handwerklichen Kundenprozess.

Daneben bleibt die DSGVO relevant. Ein Chatbot sollte nicht vorsorglich sämtliche denkbaren Informationen verlangen. Für eine erste Termin- oder Reparaturanfrage sind andere Angaben erforderlich als für ein vollständiges Angebot.

Wo scheitert die Umsetzung in der Praxis am häufigsten?

Meist scheitert KI-Compliance nicht an einer komplizierten juristischen Spezialfrage. Sie scheitert früher.

Ein Mitarbeiter entdeckt ein Werkzeug und legt einen privaten Account an. Ein anderer lädt Kundenfotos in einen Bildassistenten. Im Büro werden komplette Ausschreibungsunterlagen in einen Chatbot kopiert. Die Personalabteilung testet eine Bewerberbewertung, während die Geschäftsführung davon ausgeht, dass im Unternehmen lediglich Text-KI eingesetzt wird.

Vier Fehler tauchen deshalb besonders häufig auf:

• niemand führt ein Verzeichnis der tatsächlich eingesetzten KI-Anwendungen;
• Anbieterbedingungen und Datenflüsse werden erst nach Einführung geprüft;
• aus einer harmlosen Assistenzfunktion entsteht schrittweise ein Bewertungs- oder Überwachungssystem;
• KI-Ergebnisse werden übernommen, weil sie sprachlich plausibel wirken.

Das Gegenmittel ist kein Aktenordner mit hundert Seiten. Für einen mittelständischen Dachdeckerbetrieb reicht als Ausgangspunkt häufig ein gepflegtes KI-Verzeichnis mit Zweck, Verantwortlichem, Datenarten, Anbieter, Nutzerkreis, Risikoeinstufung und Freigabestatus.

Wie sieht ein pragmatischer Compliance-Prozess im Dachdeckerbetrieb aus?

Am Anfang steht eine Inventur. Nicht nur offiziell beschaffte Software gehört hinein, sondern auch Funktionen in bestehenden Anwendungen. Moderne CRM-, ERP-, Telefonie-, Office-, Dokumenten- und Branchensysteme integrieren KI zunehmend direkt.

Danach wird nach Anwendungsfall sortiert. Ein Textassistent für interne Formulierungen landet in einer anderen Kategorie als Bewerberanalyse. Bilderkennung für Dachschäden wird anders behandelt als Gesichtserkennung. Eine automatische Tourenoptimierung für Fahrzeuge unterscheidet sich von personenbezogener Leistungsbewertung.

Im nächsten Schritt werden Daten und Entscheidungen betrachtet: Welche Informationen erhält das System? Sind Kunden oder Mitarbeiter betroffen? Werden sensible Daten verarbeitet? Kann das Ergebnis zu einer Entscheidung über einen Menschen führen? Wird lediglich ein Vorschlag erzeugt oder tatsächlich automatisch gehandelt?

Erst dann werden Verträge, Datenschutzinformationen, Berechtigungen, Speicherfristen, Protokollierung und technische Einstellungen festgelegt.

Besonders wichtig ist die Änderungskontrolle. Ein heute unkritischer Assistent kann morgen zusätzliche Funktionen bekommen. Deshalb sollte nicht nur die erstmalige Einführung geprüft werden. Auch größere Funktionsänderungen gehören zurück in den Bewertungsprozess.

Warum ist Arbeitsschutz kein Argument für grenzenlose KI-Überwachung?

Auf Dachbaustellen ist der Nutzen technischer Unterstützung leicht nachvollziehbar. Absturz, Durchsturz und Arbeiten an Dachkanten gehören zu den Gefährdungen, bei denen Fehler gravierende Folgen haben können. Nach den Jahreszahlen der BG BAU entfielen 2025 41 Prozent der tödlichen Arbeitsunfälle in Bauwirtschaft und baunahen Dienstleistungen auf Abstürze.

Daraus können sinnvolle KI-Anwendungsfälle entstehen: Gefahrbereiche erkennen, fehlende Absperrungen melden, Veränderungen im Baustellenbild feststellen oder einen Bauleiter bei der Dokumentation unterstützen.

Arbeitsschutz ist jedoch kein Freibrief für permanente personenbezogene Überwachung.

Die bessere technische Frage lautet häufig: Kann das System die gefährliche Situation erkennen, ohne die Identität des Mitarbeiters zu bestimmen? Kann ein Warnsignal lokal erzeugt werden, ohne langfristig personenbezogene Bewegungsdaten zu speichern? Muss Videomaterial überhaupt aufbewahrt werden, wenn eine Echtzeiterkennung ausreicht?

Privacy by Design kann hier unmittelbar die Architektur verbessern.

Wie lässt sich KI im Dachdeckerbetrieb nutzen, ohne den Betrieb auszubremsen?

DSGVO und EU AI Act sollten nicht als zusätzliche Schicht betrachtet werden, die erst nach der technischen Einführung auf eine Anwendung gelegt wird. Günstiger ist es, die Anforderungen in den normalen Auswahlprozess für Software einzubauen.

Bei einem neuen KI-Werkzeug sollte deshalb ähnlich vorgegangen werden wie bei einem neuen Fahrzeug oder einer neuen Maschine: Zweck bestimmen, Einsatzgrenzen definieren, Verantwortliche benennen, Mitarbeiter einweisen, Wartung beziehungsweise Änderungen beobachten und dokumentieren, was für den sicheren Betrieb notwendig ist.

Für Dachdeckerunternehmen entsteht daraus sogar ein Vorteil. Wer seine Datenbestände, Arbeitsabläufe und Zuständigkeiten kennt, kann KI gezielter einsetzen. Die gleichen Vorarbeiten, die für Datenschutz und AI Act benötigt werden, verbessern häufig auch die Datenqualität und Prozessorganisation.

Der sinnvollste Einstieg liegt deshalb meist nicht bei einer möglichst autonomen Lösung. Besser funktionieren Anwendungen, bei denen die KI zeitaufwendige Vorarbeit übernimmt: Dokumente durchsuchen, Informationen strukturieren, Fotos vorsortieren, Angebote vorbereiten, Anfragen erfassen oder Hinweise für die Einsatzplanung liefern. Die fachliche Entscheidung bleibt zunächst dort, wo auch Erfahrung und Verantwortung liegen: beim Betrieb.

Quellen zu den verwendeten Kennzahlen

Zentralverband des Deutschen Dachdeckerhandwerks – Dachdeckerhandwerk 2026: Stabil trotz Herausforderungen
Verwendete Kennzahlen: Anzahl der Betriebe, gewerbliche Beschäftigte, Branchenumsatz.
URL: https://dachdecker.org/presse/presseservice/pressemitteilungen/dachdeckerhandwerk-2026-stabil-trotz-herausforderungen-3864522/

BG BAU – Jahreszahlen 2025, Arbeitsunfälle und Absturzgeschehen
Verwendete Kennzahl: Anteil der Abstürze an tödlichen Arbeitsunfällen.
URL: https://www.bgbau.de/die-bg-bau/presse/presseportal/pressemappen/online-pressekonferenz-am-16-juli-2026-zu-jahreszahlen-2025-schwerpunkt-asbest

Interessante Links

Europäische Kommission – AI Act: aktueller Rechtsrahmen und Zeitplan
URL: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai

Datenschutzkonferenz – Orientierungshilfe Künstliche Intelligenz und Datenschutz
URL: https://www.datenschutzkonferenz-online.de/media/oh/20240506_DSK_Orientierungshilfe_KI_und_Datenschutz.pdf

European Data Protection Board – Stellungnahme 28/2024 zu Datenschutz und KI-Modellen
URL: https://www.edpb.europa.eu/documents/opinion-of-the-board-art-64/opinion-282024-on-certain-data-protection-aspects-related-to_de

FAQ

Gilt der EU AI Act auch für kleine und mittlere Dachdeckerbetriebe?

Ja. Der EU AI Act gilt nicht nur für Softwarehersteller oder Großunternehmen. Ein Dachdeckerbetrieb kann bereits als Betreiber eines KI-Systems Pflichten haben, wenn er etwa einen Kunden-Chatbot, KI-gestützte Personalsoftware oder Bilderkennung einsetzt. Entscheidend sind Zweck und Risikoklasse der Anwendung. Für viele alltägliche Assistenzsysteme bleiben die Anforderungen überschaubar, andere Einsatzfälle benötigen deutlich mehr Governance.

Muss ein KI-gestütztes Angebot gegenüber dem Kunden gekennzeichnet werden?

Nicht jede KI-unterstützte Kalkulation muss gegenüber dem Kunden als KI-Ergebnis gekennzeichnet werden. Die Transparenzregeln des AI Act betreffen bestimmte interaktive Systeme und bestimmte synthetische Inhalte. Unabhängig davon sollte ein Betrieb Angebote, Mengenansätze, Materialpositionen und technische Aussagen fachlich prüfen. Verantwortlich für das an den Kunden versandte Angebot bleibt der Betrieb und nicht das verwendete KI-Werkzeug.

Dürfen Dachfotos oder Kundendokumente in ein KI-System hochgeladen werden?

Das kann zulässig sein, sollte aber nicht ungeprüft erfolgen. Auf Baustellenfotos können Kunden, Nachbarn, Kennzeichen, Hausnummern oder Beschäftigte erkennbar sein. Vor dem Upload sind Rechtsgrundlage, Zweck, Datenminimierung, Vertrag mit dem Dienstleister, Speicherort und mögliche Nutzung der Eingaben zum Modelltraining zu prüfen. Wo möglich, sollten personenbezogene Bildbereiche entfernt oder unkenntlich gemacht werden.

Darf ein Dachdeckerbetrieb KI zur Auswahl von Bewerbern einsetzen?

KI darf im Recruiting eingesetzt werden, aber die rechtlichen Anforderungen sind höher als bei einer reinen Textassistenz. Systeme zur Auswahl oder Bewertung von Bewerbern können unter die Hochrisiko-Regeln des AI Act fallen. Zusätzlich gelten DSGVO und Beschäftigtendatenschutz. Eine automatische Rangliste ohne nachvollziehbare Kriterien, belastbare Datenbasis, menschliche Prüfung und dokumentierte Zuständigkeit ist daher für einen Dachdeckerbetrieb ein unnötiges Risiko.

Darf KI GPS-Daten von Monteuren und Fahrzeugen auswerten?

GPS-Daten aus Fahrzeugen oder mobilen Apps können personenbezogene Beschäftigtendaten werden, sobald Fahrten oder Standorte einzelnen Mitarbeitern zugeordnet werden können. Eine Disposition zur Organisation von Baustellen ist rechtlich anders zu bewerten als eine dauerhafte Verhaltens- oder Leistungskontrolle. Betriebe sollten Zweck, Zugriffsrechte, Speicherdauer und Auswertungen begrenzen und die Beschäftigten transparent über die Verarbeitung informieren.

Sind Drohnenaufnahmen für Dachaufmaß und Schadenserfassung datenschutzrechtlich erlaubt?

Drohnenaufnahmen für Dachaufmaß, Schadenserfassung oder Dokumentation sind nicht automatisch unzulässig. Datenschutz wird relevant, wenn identifizierbare Personen, Nachbargrundstücke, Kennzeichen oder andere personenbezogene Informationen aufgenommen werden. Sinnvoll sind eine geplante Flugroute, möglichst enge Bildausschnitte, kurze Speicherfristen und eine Trennung zwischen technischer Dokumentation und nicht benötigtem Rohmaterial. Zusätzlich gelten selbstverständlich die luftrechtlichen Vorgaben für den Drohnenbetrieb.

Wann benötigt ein Dachdeckerbetrieb eine Datenschutz-Folgenabschätzung?

Eine Datenschutz-Folgenabschätzung ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen verursacht. Das kann etwa bei umfangreicher systematischer Überwachung oder besonders eingriffsintensiver KI-Analyse relevant werden. Für eine einzelne gewöhnliche Fotoaufnahme ist sie nicht automatisch erforderlich. Entscheidend sind Umfang, Dauer, Datenarten, Betroffene, technische Auswertung und der konkrete Verwendungszweck.

Ist KI-Bilderkennung auf einer Dachbaustelle automatisch Hochrisiko-KI?

Nicht automatisch. Eine Bilderkennung, die beispielsweise Dachschäden, fehlende Bauteile oder Materialzustände erkennt, ist etwas anderes als ein System zur Bewertung von Beschäftigten. Hochrisiko kann insbesondere dann relevant werden, wenn KI im Beschäftigungskontext Personen bewertet, auswählt, überwacht oder Aufgaben anhand personenbezogener Merkmale zuteilt. Deshalb sollte die Einstufung immer am vorgesehenen Zweck und nicht am Produktnamen erfolgen.

Welche KI-Dokumentation sollte ein Dachdeckerbetrieb führen?

Der Betrieb sollte mindestens festhalten, welches KI-System wofür eingesetzt wird, welche Daten hineinfließen, welcher Anbieter beteiligt ist, wer Ergebnisse prüft, welche Personen Zugriff haben und welche Lösch- oder Aufbewahrungsregeln gelten. Bei sensibleren Anwendungen kommen Risikobewertung, Datenschutz-Folgenabschätzung, Vertragsprüfung, Schulung und Protokollierung hinzu. Ein kompaktes KI-Verzeichnis verhindert, dass einzelne Apps unbemerkt neben dem geregelten Prozess entstehen.

Erlaubt Arbeitsschutz eine umfassende KI-Überwachung von Beschäftigten?

Nein. Arbeitsschutz kann einen legitimen und wichtigen Zweck darstellen, erlaubt aber nicht jede Form der Mitarbeiterüberwachung. Eine Kamera zur Erkennung einer konkreten Gefahr ist anders zu bewerten als permanente Leistungsanalyse. Der Betrieb sollte zuerst prüfen, ob das Sicherheitsziel mit weniger personenbezogenen Daten erreicht werden kann. Technische Schutzmaßnahmen, organisatorische Regeln und menschliche Aufsicht bleiben auch bei KI-Unterstützung zentrale Bestandteile.