Ohne Inventar können Sie nicht klassifizieren, nicht schulen, nicht kennzeichnen und nichts nachweisen. Es ist zugleich das erste Dokument, nach dem in einer Prüfung gefragt wird. Hier steht, was hineingehört — und wie Sie das finden, was niemand angemeldet hat.
In dieser Form nicht — die Verordnung verlangt von Betreibern kein Verzeichnis mit festgelegten Feldern. Es ist aber die einzige praktikable Art, die Pflichten überhaupt erfüllen zu können: Sie können nicht einordnen, was Sie nicht kennen, und nicht nachweisen, was Sie nicht dokumentiert haben. In Lieferantenfragebögen wird inzwischen ausdrücklich danach gefragt.
Weniger reicht nicht, mehr wird erfahrungsgemäß nicht gepflegt.
| Feld | Warum es gebraucht wird |
|---|---|
| Bezeichnung und Anbieter | Identifikation, Grundlage für die Vertragsprüfung |
| Einsatzzweck | Konkret, nicht „diverse Aufgaben“ — der Zweck entscheidet über die Risikoklasse |
| Fachbereich und verantwortliche Person | Wer kann Auskunft geben, wenn gefragt wird |
| Risikoklasse mit Begründung | Das wertvollste Feld: Es belegt, dass Sie geprüft und nicht geraten haben |
| Verarbeitete Datenkategorien | Schnittstelle zum Datenschutz |
| Freigabestatus und -datum | Zeigt, dass es einen Prozess gibt |
| Vertragsgrundlage | Business-Vertrag, Auftragsverarbeitungsvertrag oder Gratis-Account |
| Letzte Überprüfung | Beantwortet die Frage „Wann haben Sie zuletzt geprüft?“ |
Der schwierige Teil ist nicht das Eintragen, sondern das Finden. In fast jedem Betrieb laufen KI-Werkzeuge, von denen die Leitung nichts weiß: private Accounts, Browser-Erweiterungen, KI-Funktionen in längst eingeführter Software. Erfahrungswert: Die erste Bestandsaufnahme fördert zwei- bis dreimal so viele Werkzeuge zutage wie zuvor vermutet.
„Wir bauen gerade eine Übersicht der KI-Werkzeuge auf. Alles, was jetzt genannt wird, ist ein Beitrag zur Lösung und kein Regelverstoß. Ab dem Stichtag gilt dann unser Freigabeprozess.“
Ein Inventar, das nach der Ersterfassung einschläft, ist wertlos — und in einer Prüfung schlimmer als keines, weil es Nachlässigkeit dokumentiert.
Wird ein Werkzeug abgeschafft, löschen Sie den Eintrag nicht, sondern markieren ihn als beendet mit Enddatum. Eine Prüfung kann sich auf einen zurückliegenden Zeitraum beziehen.
Rechnen Sie mit genau diesen — und bereiten Sie die Antworten vor:
Wer alle drei ruhig und mit Blick ins eigene System beantwortet, beendet das Thema in wenigen Minuten.
Gesetzlich ist kein Feldkatalog vorgegeben. Praktisch bewährt haben sich acht Felder: Bezeichnung, Anbieter, Einsatzzweck, verantwortliche Person, Risikoklasse mit Begründung, Datenkategorien, Freigabestatus, Vertragsgrundlage und Datum der letzten Überprüfung.
Ja. Sobald es beruflich genutzt wird, gehört es hinein — mit Angabe, ob es sich um einen Business-Vertrag oder einen privaten Gratis-Account handelt. Letzterer ist für dienstliche Inhalte in aller Regel problematisch, weil kein Auftragsverarbeitungsvertrag vorliegt.
KI-Werkzeuge, die im Betrieb genutzt werden, ohne dass die Leitung davon weiß — private Accounts, Browser-Erweiterungen oder KI-Funktionen, die per Update in bestehende Software gelangt sind.
Anlassbezogen bei jedem neuen Werkzeug, quartalsweise eine kurze Durchsicht und einmal jährlich eine vollständige Überprüfung inklusive Risikoklassen und Verträge.
Der kostenlose Quick-Check geht zehn Punkte durch — KI-Inventar, Schulungsstand, Transparenzpflichten, Zuständigkeiten. In zwei Minuten, ohne Anmeldung, mit ehrlichem Ergebnis und konkreten Lücken.
Quick-Check starten — kostenlos