Der EU AI Act verpflichtet Sie nicht abstrakt zu „Compliance“, sondern knüpft Pflichten an konkrete KI-Systeme und an Ihre Rolle bei jedem einzelnen davon. Bevor Sie irgendetwas umsetzen, müssen Sie deshalb wissen, welche KI in Ihrem Unternehmen überhaupt läuft. Diesen Überblick liefert die KI-Inventur, der erste Schritt jeder belastbaren AI-Act-Compliance.

Das Wichtigste in Kürze

  • Der AI Act knüpft Pflichten an konkrete KI-Systeme und an Ihre Rolle bei jedem einzelnen, sodass sich diese Pflichten ohne einen Überblick über Ihre Systeme nicht beurteilen lassen.
  • Die KI-Inventur erfasst für jedes System mindestens Bezeichnung und Zweck, die Rolle als Anbieter oder Betreiber, die Herkunft, die Risikoklasse, die verarbeiteten Daten und die Verantwortlichkeit.
  • Der größte blinde Fleck ist Schatten-KI, also Werkzeuge, die Mitarbeitende ohne Freigabe nutzen und die in keinem Beschaffungsprozess auftauchen.
  • Die Inventur ist kein Einmal-Projekt, sondern ein lebendes Verzeichnis mit festem Aktualisierungsrhythmus, das mit dem Beschaffungsprozess verzahnt wird.

Warum die Inventur am Anfang steht

Die KI-Verordnung staffelt Pflichten nach Risikoklasse und nach Rolle. Ein verbotenes System (Art. 5 KI-VO) müssen Sie abschalten, ein Hochrisiko-System (Art. 6 i.V.m. Anhang III) löst umfangreiche Pflichten aus, ein System mit begrenztem Risiko nur Transparenzpflichten (Art. 50). Welche Kategorie greift, lässt sich nur pro System beurteilen, und auch ob Sie Anbieter oder Betreiber sind, entscheidet über den Pflichtenkreis. Ohne Liste Ihrer Systeme können Sie keine dieser Fragen beantworten.

Was in die KI-Inventur gehört

Erfassen Sie für jedes KI-System, das Sie entwickeln, einkaufen oder einsetzen, mindestens die folgenden Angaben. Die Tabelle eignet sich als Vorlage für Ihr eigenes Inventar-Dokument, unabhängig davon, ob Sie Anbieter, Betreiber oder beides sind.

Feld Was Sie erfassen
System Bezeichnung und Zweck: was das System tut und in welchem Prozess es eingesetzt wird.
Rolle Anbieter/Betreiber Anbieter, wenn Sie entwickeln oder unter eigenem Namen entwickeln lassen; Betreiber, wenn Sie ein fremdes System in eigener Verantwortung einsetzen (vertiefend: Anbieter oder Betreiber? Die zwei Rollen im AI Act).
Herkunft Eigenentwicklung, eingekauftes Tool oder ein in Ihr Produkt integriertes Fremdmodell.
Risikoklasse Verboten, hochriskant, begrenztes Risiko oder minimal.
Verarbeitete Daten Insbesondere ob personenbezogene Daten betroffen sind, was den DSGVO-Pflichtenkreis mit aufruft.
Verantwortlichkeit Verantwortliche Person intern und zuständiger Ansprechpartner beim Anbieter.

Der blinde Fleck: Schatten-KI

Die größte Lücke sind nicht die offiziell eingeführten Tools, sondern die, die Mitarbeitende auf eigene Faust nutzen: ein privater ChatGPT-Zugang für die Angebotserstellung, ein KI-Übersetzer im Browser, ein Transkriptionsdienst für Meetings. Diese Schatten-KI taucht in keinem Beschaffungsprozess auf und entzieht sich damit jeder Kontrolle. Eine KI-Inventur, die nur die freigegebenen Systeme kennt, ist unvollständig. Fragen Sie aktiv in den Teams nach, welche Werkzeuge tatsächlich im Einsatz sind.

Die Inventur ist kein Einmal-Projekt

KI-Landschaften verändern sich schnell: Ein Tool bekommt ein neues Feature, ein Anbieter integriert plötzlich ein Sprachmodell, ein Team führt ein neues System ein. Behandeln Sie die Inventur deshalb als lebendes Verzeichnis mit festem Aktualisierungsrhythmus, verzahnt mit Ihrem Beschaffungsprozess, damit neue KI gar nicht erst unerfasst hereinkommt. So wird aus einer Momentaufnahme ein tragfähiges Fundament für Ihre KI-Governance. Als laufende Begleitung dafür eignet sich die KI-Compliance als laufende Begleitung.

Häufige Fragen

Warum steht die KI-Inventur am Anfang der AI-Act-Compliance?

Weil die KI-Verordnung Pflichten nach Risikoklasse und nach Rolle staffelt und sich beides nur je System beurteilen lässt. Ohne eine Liste Ihrer Systeme können Sie weder die Risikoklasse noch Ihre Rolle als Anbieter oder Betreiber bestimmen.

Welche Angaben gehören in die KI-Inventur?

Für jedes entwickelte, eingekaufte oder eingesetzte KI-System sollten Sie mindestens Bezeichnung und Zweck, Ihre Rolle als Anbieter oder Betreiber, die Herkunft, die Risikoklasse, die verarbeiteten Daten und die Verantwortlichkeit festhalten.

Was ist Schatten-KI?

Schatten-KI bezeichnet Werkzeuge, die Mitarbeitende auf eigene Faust nutzen, etwa einen privaten ChatGPT-Zugang oder einen KI-Übersetzer im Browser. Sie taucht in keinem Beschaffungsprozess auf, weshalb Sie aktiv in den Teams nachfragen sollten, welche Werkzeuge tatsächlich im Einsatz sind.

Reicht eine einmalige KI-Inventur?

Nein. KI-Landschaften verändern sich schnell, weshalb Sie die Inventur als lebendes Verzeichnis mit festem Aktualisierungsrhythmus führen und mit Ihrem Beschaffungsprozess verzahnen sollten.

Quellen & Rechtsgrundlagen

Sie wollen einen strukturierten Überblick über Ihre KI-Systeme aufbauen? In einem 30-minütigen Erstgespräch klären wir, wie eine Inventur für Ihr Unternehmen aussieht.

→ Erstgespräch anfragen