Das KI-Inventar erfasst einen Einsatz mit seinem Kontext
Ein KI-Inventar ist die interne Übersicht darüber, welche KI-Systeme und Anwendungen Ihr Unternehmen nutzt oder entwickelt, zu welchem Zweck, mit welchen Daten und unter wessen Verantwortung. Es macht Freigaben, offene Prüfungen und Änderungen auffindbar. Für den Einstieg kann eine zugriffsgeschützte Tabelle ausreichen.
Die wichtigste Strukturentscheidung lautet: Ein Tool kann mehrere Anwendungsfälle haben. Derselbe Textassistent kann öffentliche Produkttexte überarbeiten und interne Supportanfragen zusammenfassen. Daten, Beteiligte und Kontrollen unterscheiden sich. Führen Sie deshalb eine System-ID und eigene Anwendungsfall-IDs oder einen eindeutig abgegrenzten Eintrag je Einsatz.
Ein Inventar ist kein automatischer Rechtsnachweis. Insbesondere beziehen sich die Betreiberpflichten aus Artikel 26 des AI Acts auf Hochrisiko-KI-Systeme. Die nachfolgenden Felder sind eine operative Empfehlung und keine für sämtliche Unternehmen gesetzlich vorgeschriebene Spaltenliste.
Quelle: EU AI Act, Artikel 26.
Diese Angaben machen den Eintrag entscheidungsfähig
Erfassen Sie zuerst das, was eine verantwortliche Entscheidung ermöglicht. Links auf Verträge, Bewertungen und Schulungsunterlagen sind besser als Kopien derselben Information an mehreren Stellen. Markieren Sie Unbekanntes als offen und vergeben Sie eine Person zur Klärung.
| Feldgruppe | Was eingetragen wird | Wofür es hilft |
|---|---|---|
| Identität | System-ID, Anwendungsfall-ID, Produkt, Anbieter, Tarif oder Umgebung | Gleiche Namen und verschiedene Zugänge unterscheiden |
| Einsatz | Konkrete Aufgabe, Team, fachlicher Owner und Vertretung | Verantwortung und Zweck bestimmen |
| Daten und Rechte | Datenkategorien, Quellen, Empfänger, angebundene Systeme, Lese-/Schreibrechte | Datenfluss und mögliche Folgen verstehen |
| Bewertung | Rechtliche Rolle, Einordnung mit Begründung, Betriebsrisiken, offene Fragen | Prüfentscheidungen nachvollziehen |
| Kontrollen | Ergebnisprüfung, Freigabeschritte, Einschränkungen und Stopppfad | Erlaubten Betrieb eingrenzen |
| Nachweise | Verweise auf Vertrag, Datenschutzprüfung, Tests, Einweisung und Entscheidung | Belege ohne Doppelablage finden |
| Pflege | Status, Freigabedatum, letzte Prüfung, nächster Prüftermin, Änderungsnotiz | Aktualität und Wiedervorlage sichern |
Wenn eine Anwendung ein Modell mit allgemeinem Verwendungszweck nutzt, können Sie Modellanbieter und Modellbezeichnung ergänzen. Ein einfaches Feld „GPAI: ja/nein“ ersetzt jedoch weder die Beschreibung des Systems noch die Prüfung der eigenen Rolle. Trennen Sie Anbieter des Modells, Anbieter der Anwendung und die Nutzung im Unternehmen.
Suchen Sie auch in vorhandener Software und Integrationen
Beginnen Sie mit den zuständigen Fachbereichen, der Beschaffung und dem Softwarebestand. Fragen Sie nach Funktionen, die Inhalte erzeugen, klassifizieren, vorhersagen oder Aktionen auslösen. So werden auch Anwendungen sichtbar, die im Unternehmen nicht ausdrücklich als KI bezeichnet werden.
Ergänzen Sie Eigenentwicklungen, APIs, Browser-Erweiterungen und Automatisierungsplattformen. Prüfen Sie bei bestehenden Produkten, welche Funktionen tatsächlich aktiviert sind. Die bloße Existenz einer KI-Funktion im Anbieterportfolio bedeutet nicht, dass Ihr Unternehmen sie nutzt.
Für private Zugänge und nicht freigegebene Anwendungen hilft der Leitfaden zum Umgang mit Shadow AI. Dokumentieren Sie dort gefundene Nutzungen zunächst als ungeprüft. Ihre Erfassung darf nicht versehentlich als Erlaubnis verstanden werden.
Ein fiktiver Eintrag zeigt den Unterschied zur Softwareliste
Eine reine Softwareliste nennt beispielsweise „Textassistent, Vertrieb“. Ein entscheidungsfähiger Eintrag beschreibt dagegen: „Entwürfe für Angebotsbegleitschreiben anhand öffentlicher Produktinformationen; Kundenunterlagen ausgeschlossen; Versand erst nach Prüfung durch den Vertrieb“. Diese Grenzen lassen sich prüfen und später gezielt verändern.
Im fiktiven Datensatz könnte der Status „Pilot mit Auflagen“ lauten. Fachlicher Owner ist die Vertriebsleitung, technische Ansprechstelle die IT. Als nächster Schritt ist ein Review nach dem vereinbarten Pilotumfang eingetragen. Die rechtliche Einordnung bleibt als offene Fachprüfung sichtbar, solange sie nicht abgeschlossen ist.
Tragen Sie keine erfundenen Freigabedaten ein, um Felder zu füllen. Verwenden Sie „nicht dokumentiert“ und halten Sie fest, wer die Entscheidung nachholt. Bei alten Einträgen ist eine nachvollziehbare Lücke besser als eine scheinbar vollständige Akte.
Ein Status braucht eine eindeutige Bedeutung
Vermeiden Sie uneindeutige Werte wie „aktiv“. Ein System kann technisch aktiv sein und zugleich keine dokumentierte Freigabe haben. Trennen Sie bei Bedarf Betriebszustand und Freigabestatus. Das folgende vereinfachte Modell beschreibt den Freigabeweg.
Nutzung bekannt; noch keine Freigabe abgeleitet.
Owner und offene Fachfragen sind benannt.
Begrenzte Nutzung innerhalb dokumentierter Bedingungen.
Zweck, Daten und Rechte durch Entscheidung abgedeckt.
Zugänge, Integrationen und Aufbewahrung bearbeiten.
Legen Sie zusätzlich fest, wer einen Status ändern darf und welcher Nachweis dafür nötig ist. Die Person, die das Register pflegt, muss nicht zugleich die fachliche Freigabe erteilen dürfen. Bewahren Sie ältere Entscheidungen und Änderungen nachvollziehbar auf.
Verankern Sie die Pflege an Ereignissen
Benennen Sie einen Register-Owner für Struktur, Erinnerungen und Qualitätskontrolle. Die fachlichen Owner verantworten den Inhalt ihrer Einträge. Neue Anwendungen werden über Beschaffung oder einen einfachen Antrag aufgenommen. Neue Datenquellen, Integrationen, Rechte oder Einsatzzwecke lösen eine Überprüfung aus.
Ein regelmäßiger Termin, etwa quartalsweise als interne Startvereinbarung, hilft bei der Vollständigkeitskontrolle. Er ist keine allgemeine gesetzliche Inventarfrist. Schnell veränderliche oder folgenreiche Anwendungen brauchen gegebenenfalls engere Kontrollen. Nach einer relevanten Änderung warten Sie nicht auf den nächsten Sammeltermin.
Verknüpfen Sie das Inventar mit vorhandenen Datenschutz- und IT-Verzeichnissen über IDs. Das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO und das KI-Inventar haben unterschiedliche Zwecke. Eine gemeinsame Datenbasis kann Doppelpflege reduzieren, ersetzt aber keine Prüfung, welche Angaben im jeweiligen Verzeichnis gebraucht werden.
Quelle: DSGVO, Artikel 30.
Mit einer Tabelle starten und den Pflegeweg mitbauen
Die KI-Inventar-Vorlage als CSV enthält empfohlene Spalten und einen ausdrücklich fiktiven Beispieleintrag. Importieren Sie sie als UTF-8-Datei mit Semikolon als Trennzeichen. Entfernen Sie das Beispiel und passen Sie Datenklassen, Statuswerte und Zuständigkeiten an Ihre Organisation an.
Speichern Sie das Inventar in einem Bereich mit passenden Zugriffsrechten und Versionshistorie. Zugangsdaten, API-Schlüssel und vollständige vertrauliche Prompts gehören nicht hinein. Für detaillierte Nachweise genügt häufig ein berechtigungsgeprüfter Verweis auf die zuständige Ablage.
Wie die Liste mit Rollen, Richtlinie und Review zusammenarbeitet, erklärt der Fahrplan zum Einführen von KI-Governance. Wenn Struktur und Verantwortlichkeiten gemeinsam aufgebaut werden sollen, unterstützt die operative Governance-Beratung beim Inventar-Setup und einem Pflegeprozess, der im Alltag anschlussfähig bleibt.
Quellen und Einordnung
Die verlinkten Quellen bilden den redaktionellen Stand ab. Praktische Muster und Beispiele sind Arbeitshilfen; die konkrete rechtliche Bewertung eines Einsatzes bleibt eine Einzelfallfrage.
Vom Lesen ins Umsetzen.
Sie möchten diese Schritte auf Ihr Unternehmen übertragen? Im Erstgespräch klären wir den passenden Einstieg.
Mit Liburn sprechen
Liburn Shala
Liburn Shala ist KI-Berater, Trainer und Speaker. Er unterstützt Unternehmen dabei, KI verständlich und praxisnah von der Strategie bis zur Umsetzung einzusetzen.