Eine KI-Beschaffung sollte nicht mit der Auswahl eines attraktiven Produkts beginnen. Zunächst sind betriebliches Problem, erwarteter Nutzen, Prozessgrenzen und messbare Zielwerte zu bestimmen. Für eine Störungspriorisierung können dies beispielsweise kürzere Reaktionszeiten sein, ohne sicherheitsrelevante Tickets falsch herabzustufen. Nur ein klarer Verwendungszweck ermöglicht eine belastbare Risikoanalyse, Leistungsbeschreibung und spätere Abnahme.
KI-Systeme im Facility Management bedarfsgerecht beschaffen
Gefordert werden sollten Systembeschreibung, Anbieterrolle, Modell- und Versionsangaben, vorgesehener Zweck, bekannte Grenzen, Leistungskennzahlen, Datenanforderungen und menschliche Aufsichtsmaßnahmen. Bei Hochrisiko-Systemen sieht die KI-Verordnung verständliche Gebrauchsanweisungen mit Angaben zu Genauigkeit, Robustheit, Cybersicherheit, vorhersehbaren Risiken, Interpretierbarkeit und Wartung vor. Diese Struktur kann bereits heute als Beschaffungsmaßstab verwendet werden.
Anforderungsgruppe
Mindestanforderung
Abnahmenachweis
Verwendungszweck
Klare Aufgaben- und Systemgrenzen
Freigegebene Use-Case-Beschreibung
Leistung
Messbare Qualitäts- und Zeitwerte
Test mit repräsentativen Fällen
Daten
Quellen, Rechte und Datenflüsse
Datenfluss- und Löschkonzept
Integration
Dokumentierte offene Schnittstellen
Erfolgreicher Schnittstellentest
Aufsicht
Anzeige, Übersteuerung und Stoppen
Praktischer Funktionstest
Sicherheit
Rollen, Protokolle und Schutzmaßnahmen
Sicherheits- und Berechtigungstest
Änderungen
Vorabinformation und Freigabeverfahren
Vertragliche Change-Regelung
Exit
Vollständiger Export und Datenlöschung
Probemigration und Exit-Konzept
FM-spezifische Anforderungen
Zu prüfen sind Schnittstellen zu CAFM, GLT, DMS, Zutrittskontrolle und Service Desk. Hinzu kommen Verfügbarkeit, Reaktionszeit, Offline-Fähigkeit, Datenexport, Protokollierung, Rollenrechte und Rückfallbetrieb. Für technische Anlagen ist festzulegen, ob die KI nur Hinweise gibt oder selbst Sollwerte und Schaltbefehle verändert. Sicherheitsrelevante Aktionen benötigen eindeutige Grenzen, menschliche Freigaben und eine überprüfbare Rückkehr zum konventionellen Betrieb.
Vertragliche Absicherung
Der Vertrag muss Änderungen von Modellen, Unterauftragnehmern, Hosting, Datenverwendung und Funktionen regeln. Benötigt werden Informationsrechte, Audit- und Testrechte, Meldefristen für Vorfälle, Unterstützung bei Behördenanfragen und eine Exit-Regelung. Bei der Integration von Komponenten in Hochrisiko-KI verlangt die Verordnung schriftliche Vereinbarungen über notwendige Informationen, technische Zugänge und Unterstützung innerhalb der Lieferkette.
Abnahme mit realen Daten
Eine Präsentation oder Herstellerdemo genügt nicht. Die Abnahme erfolgt anhand repräsentativer Gebäudedaten und definierter Grenzfälle. Zu prüfen sind richtige und falsche Treffer, Antwortqualität, Verzerrungen, Systemausfall, Manipulationsversuche, Rückfallbetrieb und Datenexport. Auch Nutzer und Aufsichtspersonen werden einbezogen. Erst nach erfolgreicher technischer, fachlicher, rechtlicher und organisatorischer Prüfung wird das System für den Produktivbetrieb freigegeben.
