KI-Inventar erstellen: Vorlage und Tagesplan

Von Ekkehard Schmider · Stand: 24.10.2026

Kurz zusammengefasst: Mit einem KI-Inventar erfassen Sie, welche KI Ihr Unternehmen wofür einsetzt, welche Daten sie verarbeitet und wer dafür zuständig ist. Der Tagesplan und die kostenlose Excel-Vorlage helfen beim ersten Überblick. Ein vollständiges Inventar, Fachprüfungen und Freigaben brauchen weitere Schritte.

Kurz-FAQ

Was gehört in ein KI-Inventar?

Erfassen Sie Tool und Anbieter, Zweck, Fachbereich, Nutzergruppe, Datenarten, mögliche Folgen, Unternehmensrolle und eine verantwortliche Person. Ergänzen Sie Quelle, Freigabestatus, offene Fragen und nächste Schritte mit Zuständigkeit und Termin. Die kostenlose Excel-Vorlage enthält dafür 16 Felder.

Ist ein KI-Inventar nach EU AI Act Pflicht?

Der EU AI Act schreibt nicht für jedes Unternehmen ein einheitliches Inventarformat vor. Ein KI-Inventar hilft Ihnen, Rollen, Risiken und Anforderungen an den konkreten Einsatz zu prüfen. Es ersetzt weder eine rechtliche Einzelfallprüfung noch die Freigabe einer Anwendung.

Reicht ein Tag, um ein KI-Inventar zu erstellen?

Ein Tag eignet sich für eine erste Liste bekannter Anwendungen, wenn Unterlagen vorliegen und die Fachbereiche Zeit haben. Halten Sie Zweck, Daten, Zuständigkeiten und offene Fragen fest. Vollständigkeit, rechtliche Einordnung und Freigaben sind damit noch nicht gesichert. Legen Sie fest, wer die Lücken bis wann klärt.

Welche KI arbeitet in Ihrem Unternehmen? Mit Tagesplan, kostenloser Excel-Vorlage und zwei Beispielen erfassen Sie bekannte Anwendungen und legen fest, wer offene Fragen bis wann klärt.

Wie erstellen Sie an einem Tag ein erstes KI-Inventar?

Sie wollen wissen, welche KI in Ihrem Unternehmen arbeitet, welche Daten sie verarbeitet und wer dafür zuständig ist. Starten Sie mit einer Liste der Anwendungen, die IT, Einkauf und Fachbereiche kennen. Erfassen Sie je Einsatzzweck eine Zeile. Halten Sie Quellen, offene Fragen und nächste Schritte fest.

Das Ziel für den ersten Tag: Sie haben eine erste Liste, benennen Verantwortliche und wissen, welche Fälle Sie zuerst prüfen. Dafür brauchen Sie kurze Termine mit den Fachbereichen und Zugriff auf die Unterlagen. Ein vollständiger Überblick über jede KI-Anwendung entsteht daraus noch nicht. Wie weit Sie kommen, hängt vom Umfang und davon ab, welche Informationen vorliegen.

Zur kostenlosen Excel-Vorlage · Zum Tagesplan · Zu den Beispielen

Kostenlose KI-Inventar-Vorlage für Excel

Mit der Vorlage halten Sie Zweck, Daten, mögliche Folgen und Zuständigkeiten an einem Ort fest. Sie enthält 50 leere Zeilen, Filter und Auswahllisten. Im zweiten Tabellenblatt finden Sie eine Anleitung für jedes Feld und zwei fiktive Beispiele.

KI-Inventar-Vorlage kostenlos herunterladen (Excel, XLSX)
Direkter Download ohne Anmeldung. Version 2 vom 7. Oktober 2026.

Tragen Sie keine Passwörter, Originaldokumente oder vertraulichen Kundendaten ein. Beschreiben Sie die Datenarten und verweisen Sie bei Bedarf auf einen internen Ablageort. Kennzeichnen Sie Angaben, die Sie noch nicht geprüft haben, als „Ungeklärt“. Ein Eintrag im Inventar ist keine Freigabe.

Was bereiten Sie vor?

Geschäftsführung: Legen Sie fest, welche Bereiche Sie zuerst erfassen. Benennen Sie eine Person, die die Liste pflegt und offene Fragen nachhält.
IT: Stellen Sie Software- und Lizenzlisten, Informationen zu KI-Funktionen und Berichte bereit, auf die Ihr Team zugreifen darf.
Einkauf: Sammeln Sie Verträge, Bestellungen und Abonnements, die auf KI-Werkzeuge hinweisen.
Fachbereiche: Vereinbaren Sie kurze Gespräche über konkrete Aufgaben: Texte, Recherche, Code, Kundenservice, Personal oder Analyse. Fragen Sie auch nach kostenlosen Tools und KI-Funktionen in Software, die Ihr Unternehmen schon nutzt.
Datenschutz, IT-Sicherheit und Recht: Klären Sie, wer Fragen zu Daten, Schutzmaßnahmen und den Anforderungen an einzelne Anwendungen übernimmt.

Ihr Tagesplan für das erste KI-Inventar

Der Ablauf ist ein Beispiel für einen Arbeitstag von 9 bis 17 Uhr. Passen Sie die Zeiten und den Umfang an Ihr Unternehmen an. Die kurzen Pausen und die Mittagspause sind eingeplant.

Beispiel: Bekannte KI-Anwendungen erfassen und nächste Schritte festlegen
Zeit	Was Sie tun	Was danach vorliegt
9:00–9:30	Geschäftsführung und Koordination: Grenzen Sie den Umfang ein und verteilen Sie Aufgaben.	Bereiche, Quellen und Zuständigkeiten stehen fest.
9:30–10:45	IT und Einkauf: Gleichen Sie Ihre Listen ab.	Sie haben eine erste Liste der bekannten Tools und KI-Funktionen.
10:45–11:00	Pause	15 Minuten
11:00–12:30	Koordination und Fachbereiche: Klären Sie Zweck, Daten und Ergebnisse der Anwendungen.	Sie ergänzen Einsatzzwecke und Hinweise auf Schatten-KI.
12:30–13:15	Mittagspause	45 Minuten
13:15–14:30	Koordination und IT: Führen Sie doppelte Einträge zusammen. Trennen Sie verschiedene Zwecke desselben Tools.	Zu jedem Fall stehen Quelle, Datenarten und eine verantwortliche Person in der Liste.
14:30–14:45	Pause	15 Minuten
14:45–16:00	Fachbereiche, Datenschutz und IT-Sicherheit: Markieren Sie offene Fragen. Binden Sie Recht bei Bedarf ein.	Sie sehen, wo Datenzugriffe, Folgen für Menschen oder Freigaben unklar sind.
16:00–17:00	Geschäftsführung, Fachbereiche und Koordination: Legen Sie für jede offene Frage eine Aufgabe, eine Person und einen Termin fest.	Ihr Team weiß, was als Nächstes zu klären ist.

Zwei Beispiele: So werden aus Toolnamen konkrete Einträge

Beide Beispiele sind frei erfunden. Sie zeigen, wie Sie einen Einsatz beschreiben und Fragen offenhalten, bis Sie die Fakten kennen.

Die Tabelle zeigt einen Ausschnitt aus dem Inventar. Auf schmalen Bildschirmen verschieben Sie sie seitlich.

Zwei fiktive Einträge, keine Freigabeempfehlung
Tool	Zweck	Datenarten	Ansprechperson	Freigabestatus	Nächster Schritt
Schreibtool A	Texte für Social Media entwerfen	Öffentliche Produktinformationen	Leitung Marketing	Unbekannt	IT prüft Konten und Datenzugriffe.
Bewerbungsassistent B	Bewerbungen vorsortieren	Lebensläufe und Bewerbungsunterlagen	Leitung Personal	Unbekannt	Personal beschreibt den Prozess und bindet Fachleute ein.

Ein Schreibtool im Marketing

Zweck: Die Redaktion erstellt Entwürfe für Social Media aus öffentlichen Produktinformationen. Offen: Welche Konten sind im Einsatz? Hat das Tool Zugriff auf interne Dateien? Nächster Schritt: Die IT prüft Konten und Datenzugriffe. Marketing gleicht den Zweck mit der internen Freigabe ab. Bis dahin steht der Freigabestatus auf „Unbekannt“.

Ein Assistent im Personalbereich

Zweck: Die Software sortiert Bewerbungen vor. Offen: Wie beeinflusst die Reihenfolge die Auswahl? Wer prüft das Ergebnis? Welche Anforderungen gelten für den konkreten Einsatz? Nächster Schritt: Personal beschreibt den Prozess und bindet Recht, Datenschutz und IT ein. Das Inventar hält den Prüfbedarf fest. Es entscheidet nicht automatisch über die rechtliche Risikoklasse.

Was am ersten Tag offen bleibt

Eine Softwareliste zeigt nicht jede KI-Funktion. Ein Interview erfasst nur, was die Person kennt und mitteilt. Und ein technischer Bericht belegt nur den Zeitraum und die Anwendungen, die er abdeckt. Fragen Sie deshalb nach der Quelle und ihrem Stand.

Nach dem ersten Tag prüfen Sie weitere Bereiche, klären Datenzugriffe und gleichen Aussagen mit Unterlagen ab. Rechtliche Fragen, technische Schutzmaßnahmen und Freigaben brauchen je nach Einsatz eigene Fachprüfungen. Leiten Sie aus der Zahl Ihrer Einträge keine Quote ab, wie viel Schatten-KI Sie entdeckt haben.

Warum das Thema jetzt dringender wird

Der EU AI Act gilt seit dem 1. August 2024 und wird stufenweise anwendbar. Nach Angaben der Europäischen Kommission gelten die Verbote bestimmter KI-Praktiken und die KI-Kompetenzpflicht seit dem 2. Februar 2025. Regeln für General-Purpose-AI-Modelle gelten seit dem 2. August 2025. Seit dem 2. August 2026 greifen weitere zentrale Regeln, darunter Transparenzpflichten und Durchsetzung für anwendbare Bereiche. Für bestimmte Hochrisiko-Systeme gelten nach dem aktuellen Zeitplan längere Übergänge.

Das ist der Punkt für den Mittelstand: Niemand muss jedes Detail an Tag eins perfekt gelöst haben. Aber Unternehmen sollten jetzt wissen, wo KI eingesetzt wird. Sonst lässt sich kaum prüfen, ob ein Chatbot gekennzeichnet werden muss, ob eine HR-Anwendung genauer einzuordnen ist oder ob Mitarbeitende für bestimmte Systeme gezielt geschult werden müssen.

Die IHK Darmstadt nennt das KI-Inventar deshalb als ersten praktischen Schritt: Unternehmen sollen einen Überblick über KI-Systeme schaffen, auch über Tools, die schon über Standardsoftware, Browser oder Fachanwendungen genutzt werden.

Ist ein KI-Inventar Pflicht?

Für normale Anwender steht im EU AI Act kein Satz wie: „Jedes Unternehmen muss eine Tabelle namens KI-Inventar führen.“ Wer so formuliert, macht es sich zu einfach.

Praktisch führt trotzdem kaum ein Weg daran vorbei. Denn viele Pflichten lassen sich erst prüfen, wenn der KI-Einsatz sichtbar ist. Welche Rolle hat das Unternehmen: Anbieter, Betreiber, Importeur oder Händler? Welche KI kann Menschen beeinflussen? Welche Systeme nutzen personenbezogene Daten? Wo entstehen Transparenzpflichten? Wo braucht es menschliche Aufsicht? Wo reicht eine interne Regel?

Ein KI-Inventar ersetzt keine rechtliche Einzelfallprüfung. Es macht sie überhaupt erst möglich.

Was gehört in ein KI-Inventar?

Mit den 16 Feldern der Vorlage erfassen Sie den Einsatz und halten fest, wer offene Fragen bis wann klärt. Die wichtigsten Angaben lassen sich in fünf Gruppen ordnen.

1. Tool, Anbieter und Fachbereich

Erfassen Sie den Namen des Tools, den Anbieter, die verantwortliche Abteilung und die interne Ansprechperson. Wichtig ist auch, ob die KI als eigenes Tool sichtbar ist oder als Funktion in Software steckt, die Ihr Unternehmen schon nutzt. Copilot, CRM-Assistent, Bewerbertool, Chatbot, Analysefunktion: Alles gehört auf die erste Prüfliste, wenn KI einen relevanten Beitrag leistet.

2. Zweck und erlaubte Nutzung

Der Zweck ist das Rückgrat. Nicht „KI im Marketing“. Sondern: „Erstellt Entwürfe für Social-Media-Texte ohne personenbezogene Kundendaten.“ Die Datenschutzkonferenz betont in ihrer Orientierungshilfe, dass Einsatzfelder und Zwecke vor dem Einsatz einer KI-Anwendung festgelegt werden sollten. Genau diese Zweckklarheit gehört ins Inventar.

3. Datenarten und personenbezogene Daten

Notieren Sie, welche Daten verarbeitet werden: öffentliche Informationen, interne Dokumente, Kundendaten, Beschäftigtendaten, Gesundheitsdaten, Finanzdaten, Quellcode, Geschäftsgeheimnisse. Sobald personenbezogene Daten im Spiel sind, laufen DSGVO-Fragen mit: Rechtsgrundlage, Zweckbindung, Datenminimierung, Auftragsverarbeitung, Löschung und Betroffenenrechte.

4. Nutzergruppe und betroffene Personen

Wer nutzt das System? Wer ist von den Ergebnissen betroffen? Ein internes Schreibtool hat ein anderes Gewicht als ein System, das Bewerbungen vorsortiert, Kundenanfragen priorisiert oder Entscheidungen vorbereitet. Genau hier trennt sich Komfortsoftware von Governance-Risiko.

5. Rolle, Risiko und Freigabestatus

Erfassen Sie eine erste Einschätzung: Nutzt das Unternehmen ein fremdes Tool nur intern? Wird ein eigenes KI-System angeboten? Wird KI in ein Produkt implementiert? Halten Sie mögliche Folgen und offene Fragen fest. Prüfen Sie mit Ihren Fachleuten, welche Anforderungen für den konkreten Einsatz gelten. Tragen Sie einen Freigabestatus erst ein, wenn eine Entscheidung vorliegt. Die Vorlage weist keine gesetzliche Risikoklasse automatisch zu.

So finden Sie Schatten-KI

Das Inventar beginnt selten leer. Meist läuft KI längst im Haus. Nur nicht dort, wo die Richtlinie sie vermutet.

Fragen Sie nicht: „Nutzt ihr verbotene Tools?“ Dann sagt niemand gern Ja. Fragen Sie konkret: „Welche KI-Funktionen helfen euch heute bei Texten, Recherche, Analyse, Code, Bildern, Tickets, Bewerbungen, Kundendialog oder Präsentationen?“ Das öffnet die Tür.

Prüfen Sie zusätzlich Einkaufsdaten, Single-Sign-on-Logs, Browser-Erweiterungen, Fachsoftware und vorhandene Automationen. Viele KI-Funktionen kommen nicht als neues Projekt. Sie kommen als Update in ein Tool, das schon bezahlt ist.

Wichtig: Schatten-KI wird nicht kleiner, wenn man sie moralisch behandelt. Sie wird kleiner, wenn der Meldeweg einfach ist und Fachbereiche keine Angst haben müssen, für brauchbare Experimente abgestraft zu werden.

Vom Inventar zur Entscheidung

Ein KI-Inventar ist nur dann nützlich, wenn daraus Entscheidungen entstehen. Für jeden Eintrag sollten vier Fragen beantwortet werden:

Darf dieses System weiter genutzt werden?
Welche Grenzen gelten für Daten, Nutzer und Einsatzbereich?
Wer muss Ergebnisse prüfen oder freigeben?
Welche Dokumentation brauchen wir für Risiko, Datenschutz und spätere Nachvollziehbarkeit?

NIST beschreibt KI-Risikomanagement als Arbeit über Governance, Mapping, Messung und Management. Übersetzt in den Alltag: Erst sichtbar machen. Dann bewerten. Dann messen, ob die Kontrolle trägt. Dann nachsteuern.

Genau dafür hilft ein schlankes KI-Inventar. Es verbindet die technische Realität mit Verantwortung. Es zeigt, wo eine einfache Nutzungsregel reicht. Und es zeigt, wo Datenschutz, Compliance, IT-Sicherheit oder Geschäftsführung einsteigen müssen.

Nach dem ersten Tag: So schließen Sie die Lücken

Planen Sie in den nächsten Wochen kurze Termine, um die Liste zu ergänzen. Sprechen Sie mit Bereichen, die am ersten Tag nicht dabei waren. Prüfen Sie Datenzugriffe und Anbieterunterlagen. Klären Sie die Rolle Ihres Unternehmens und die Anforderungen an den konkreten Einsatz.

Legen Sie anschließend fest, welche Anwendungen unter welchen Bedingungen weiterlaufen. Halten Sie jede Entscheidung und ihre Gründe fest. Verlangen Sie einen neuen Eintrag, bevor ein Team ein weiteres Tool produktiv einsetzt. Prüfen Sie einen Fall erneut, wenn sich Zweck, Datenzugriff oder Anbieterbedingungen ändern.

Das NIST AI RMF Playbook unter GOVERN 1.6 behandelt das Inventar als Aufgabe, die Zuständigkeiten und Pflege braucht. Ein fester Prüftermin hilft Ihnen, die Liste aktuell zu halten.

Sie wollen aus der Liste klare Entscheidungen ableiten

Im KI-Governance Readiness-Audit klären Sie mit Ekkehard Schmider von AI Governance Pro, wo Ihr Unternehmen steht und welche Schritte zuerst anstehen. Ihr Inventar liefert dafür konkrete Fälle: Welche Daten sind im Spiel? Wer trägt die Verantwortung? Wo fehlen Regeln oder Nachweise?

Für den eigenen Einstieg helfen die KI-Reifeprüfung und der KI-Governance Leitfaden. Im KI-Entscheidungsprotokoll halten Sie fest, warum Sie einen Einsatz erlauben, begrenzen oder stoppen.