Ohne KI-Inventar bleibt Governance blind
Ein KI-Inventar zu erstellen bedeutet: Ein Unternehmen hält fest, welche KI-Systeme und KI-Funktionen tatsächlich genutzt werden, wofür sie eingesetzt werden, welche Daten hineinfließen und wer dafür verantwortlich ist. Das klingt unspektakulär. Das ist es auch. Genau deshalb funktioniert es.
Viele Unternehmen starten beim EU AI Act mit der falschen Frage. Sie fragen: „Welche Pflicht gilt für uns?“ Die bessere erste Frage ist: „Welche KI läuft bei uns überhaupt?“ Ohne diese Antwort bleibt jede Risikoprüfung Nebel. Datenschutz, Transparenz, KI-Kompetenz, Hochrisiko-Einordnung: Alles hängt daran, den Bestand zu kennen.
Das KI-Inventar ist kein Compliance-Altar. Es ist die Werkbank. Darauf liegt sichtbar, was später geregelt, freigegeben, begrenzt oder abgeschaltet werden muss.
Warum das Thema jetzt dringender wird
Der EU AI Act gilt seit dem 1. August 2024 und wird stufenweise anwendbar. Nach Angaben der Europäischen Kommission gelten die Verbote bestimmter KI-Praktiken und die KI-Kompetenzpflicht seit dem 2. Februar 2025. Regeln für General-Purpose-AI-Modelle gelten seit dem 2. August 2025. Seit dem 2. August 2026 greifen weitere zentrale Regeln, darunter Transparenzpflichten und Durchsetzung für anwendbare Bereiche. Für bestimmte Hochrisiko-Systeme gelten nach dem aktuellen Zeitplan längere Übergänge.
Das ist der Punkt für den Mittelstand: Niemand muss jedes Detail an Tag eins perfekt gelöst haben. Aber Unternehmen sollten jetzt wissen, wo KI eingesetzt wird. Sonst lässt sich kaum prüfen, ob ein Chatbot gekennzeichnet werden muss, ob eine HR-Anwendung genauer einzuordnen ist oder ob Mitarbeitende für bestimmte Systeme gezielt geschult werden müssen.
Die IHK Darmstadt nennt das KI-Inventar deshalb als ersten praktischen Schritt: Unternehmen sollen einen Überblick über KI-Systeme schaffen, auch über Tools, die schon über Standardsoftware, Browser oder Fachanwendungen genutzt werden.
Ist ein KI-Inventar Pflicht?
Für normale Anwender steht im EU AI Act kein Satz wie: „Jedes Unternehmen muss eine Tabelle namens KI-Inventar führen.“ Wer so formuliert, macht es sich zu einfach.
Praktisch führt trotzdem kaum ein Weg daran vorbei. Denn viele Pflichten lassen sich erst prüfen, wenn der KI-Einsatz sichtbar ist. Welche Rolle hat das Unternehmen: Anbieter, Betreiber, Importeur oder Händler? Welche KI kann Menschen beeinflussen? Welche Systeme nutzen personenbezogene Daten? Wo entstehen Transparenzpflichten? Wo braucht es menschliche Aufsicht? Wo reicht eine interne Regel?
Ein KI-Inventar ersetzt keine rechtliche Einzelfallprüfung. Es macht sie überhaupt erst möglich.
Was gehört in ein KI-Inventar?
Eine brauchbare KI-Inventarliste muss nicht schön sein. Sie muss entscheidungsfähig machen. Starten Sie mit Feldern, die Geschäftsführung, IT, Datenschutz und Fachbereiche wirklich nutzen können.
1. Tool, Anbieter und Fachbereich
Erfassen Sie den Namen des Tools, den Anbieter, die verantwortliche Abteilung und die interne Ansprechperson. Wichtig ist auch, ob die KI als eigenes Tool sichtbar ist oder als Funktion in bestehender Software steckt. Copilot, CRM-Assistent, Bewerbertool, Chatbot, Analysefunktion: Alles gehört auf die erste Prüfliste, wenn KI einen relevanten Beitrag leistet.
2. Zweck und erlaubte Nutzung
Der Zweck ist das Rückgrat. Nicht „KI im Marketing“. Sondern: „Erstellt Entwürfe für Social-Media-Texte ohne personenbezogene Kundendaten.“ Die Datenschutzkonferenz betont in ihrer Orientierungshilfe, dass Einsatzfelder und Zwecke vor dem Einsatz einer KI-Anwendung festgelegt werden sollten. Genau diese Zweckklarheit gehört ins Inventar.
3. Datenarten und personenbezogene Daten
Notieren Sie, welche Daten verarbeitet werden: öffentliche Informationen, interne Dokumente, Kundendaten, Beschäftigtendaten, Gesundheitsdaten, Finanzdaten, Quellcode, Geschäftsgeheimnisse. Sobald personenbezogene Daten im Spiel sind, laufen DSGVO-Fragen mit: Rechtsgrundlage, Zweckbindung, Datenminimierung, Auftragsverarbeitung, Löschung und Betroffenenrechte.
4. Nutzergruppe und betroffene Personen
Wer nutzt das System? Wer ist von den Ergebnissen betroffen? Ein internes Schreibtool hat ein anderes Gewicht als ein System, das Bewerbungen vorsortiert, Kundenanfragen priorisiert oder Entscheidungen vorbereitet. Genau hier trennt sich Komfortsoftware von Governance-Risiko.
5. Rolle, Risiko und Freigabestatus
Erfassen Sie eine erste Einschätzung: Nutzt das Unternehmen ein fremdes Tool nur intern? Wird ein eigenes KI-System angeboten? Wird KI in ein Produkt implementiert? Dazu kommt eine grobe Risikoeinordnung: minimal, begrenzt, genauer zu prüfen oder potenziell hochriskant. Diese Einstufung ist noch kein Gutachten. Sie ist der Filter, der zeigt, wo genauer hingesehen werden muss.
So finden Sie Schatten-KI
Das Inventar beginnt selten leer. Meist läuft KI längst im Haus. Nur nicht dort, wo die Richtlinie sie vermutet.
Fragen Sie nicht: „Nutzt ihr verbotene Tools?“ Dann sagt niemand gern Ja. Fragen Sie konkret: „Welche KI-Funktionen helfen euch heute bei Texten, Recherche, Analyse, Code, Bildern, Tickets, Bewerbungen, Kundendialog oder Präsentationen?“ Das öffnet die Tür.
Prüfen Sie zusätzlich Einkaufsdaten, Single-Sign-on-Logs, Browser-Erweiterungen, Fachsoftware und vorhandene Automationen. Viele KI-Funktionen kommen nicht als neues Projekt. Sie kommen als Update in ein Tool, das schon bezahlt ist.
Wichtig: Schatten-KI wird nicht kleiner, wenn man sie moralisch behandelt. Sie wird kleiner, wenn der Meldeweg einfach ist und Fachbereiche keine Angst haben müssen, für brauchbare Experimente abgestraft zu werden.
Vom Inventar zur Entscheidung
Ein KI-Inventar ist nur dann nützlich, wenn daraus Entscheidungen entstehen. Für jeden Eintrag sollten vier Fragen beantwortet werden:
- Darf dieses System weiter genutzt werden?
- Welche Grenzen gelten für Daten, Nutzer und Einsatzbereich?
- Wer muss Ergebnisse prüfen oder freigeben?
- Welche Dokumentation brauchen wir für Risiko, Datenschutz und spätere Nachvollziehbarkeit?
NIST beschreibt KI-Risikomanagement als Arbeit über Governance, Mapping, Messung und Management. Übersetzt in den Alltag: Erst sichtbar machen. Dann bewerten. Dann messen, ob die Kontrolle trägt. Dann nachsteuern.
Genau dafür hilft ein schlankes KI-Inventar. Es verbindet die technische Realität mit Verantwortung. Es zeigt, wo eine einfache Nutzungsregel reicht. Und es zeigt, wo Datenschutz, Compliance, IT-Sicherheit oder Geschäftsführung einsteigen müssen.
Die 30-Tage-Version für Mittelständler
Wer wartet, bis das perfekte Governance-Tool ausgewählt ist, verliert Zeit. Eine gute erste Version kann in 30 Tagen entstehen.
Woche eins: Legen Sie die Felder fest und sammeln Sie bekannte KI-Tools aus IT, Einkauf, Datenschutz, Fachbereichen und Geschäftsführung. Woche zwei: Führen Sie kurze Interviews mit den wichtigsten Bereichen. Woche drei: Ordnen Sie Daten, Zweck, Nutzergruppe und grobes Risiko ein. Woche vier: Entscheiden Sie, welche Systeme freigegeben, begrenzt, nachgeprüft oder gestoppt werden.
Danach ist das Inventar nicht fertig. Es ist lebendig. Neue Tools brauchen einen Eintrag, bevor sie produktiv genutzt werden. Bestehende Tools brauchen ein Update, wenn sich Zweck, Datenzugriff oder Anbieterbedingungen ändern.
Der eigentliche Gewinn: weniger Rätsel
Viele KI-Diskussionen klingen groß. Strategie. Transformation. Disruption. Im Maschinenraum beginnt es kleiner.
Eine Liste. Ein Zweck. Ein Verantwortlicher. Eine Risikofarbe. Eine Entscheidung.
Genau daraus entsteht KI-Governance, die im Alltag funktioniert. Wenn Sie den Einstieg nicht allein sortieren wollen, ist die KI-Reifeprüfung ein pragmatischer Start. Der KI-Governance Leitfaden hilft danach, Rollen, Regeln und Kontrollen aufzubauen. Und das KI-Entscheidungsprotokoll hält fest, warum ein System freigegeben, begrenzt oder gestoppt wurde.
Wenn daraus ein konkreter Vorgehensplan werden soll, passt ein kurzes Strategiegespräch.
FAQ zum KI-Inventar
Was gehört in ein KI-Inventar?
Ein KI-Inventar sollte mindestens Toolname, Anbieter, Zweck, Fachbereich, verantwortliche Person, Datenarten, personenbezogene Daten, Nutzergruppe, mögliche Auswirkungen, Risikoeinschätzung und Freigabestatus enthalten.
Ist ein KI-Inventar nach EU AI Act Pflicht?
Der EU AI Act schreibt nicht für jedes Unternehmen ein einheitliches Inventarformat vor. Praktisch ist ein KI-Inventar aber oft die Grundlage, um Rollen, Risiken, Transparenzpflichten, KI-Kompetenz und Datenschutz sauber zu prüfen.
Wie findet man Schatten-KI im Unternehmen?
Am besten kombiniert man Fachbereichsinterviews, Einkaufsdaten, SSO- oder Lizenzinformationen, Browsertool-Prüfungen und konkrete Fragen nach KI-Funktionen in bestehender Software. Der Meldeweg sollte einfach sein und nicht als Schuldsuche wirken.
Quellen
- Europäische Kommission: AI Act, Risikostufen und aktueller Zeitplan
- AI Act Service Desk: Timeline for the Implementation of the EU AI Act
- Europäische Kommission: AI Literacy – Questions & Answers
- Datenschutzkonferenz: Orientierungshilfe KI und Datenschutz
- NIST: AI Risk Management Framework
- IHK Darmstadt: EU AI Act – Was Unternehmen jetzt wissen müssen