KI-Inventar erstellen — die Grundlage für alles Weitere
Ein KI-Inventar ist in dieser Form gesetzlich nicht vorgeschrieben — die Verordnung verlangt von Betreibern kein Verzeichnis mit festgelegten Feldern. Praktisch führt trotzdem kein Weg daran vorbei: Ohne Inventar lässt sich nicht einordnen, schulen, kennzeichnen oder nachweisen. Acht Felder reichen. Fragt ein Lieferantenfragebogen nach Ihrer KI-Nutzung, ist genau dieses Verzeichnis gemeint.
Von Patrick de Kathen, Gründer von KlarComply · Fachlich geprüft am
Ist ein KI-Inventar gesetzlich vorgeschrieben?
In dieser Form nicht — die Verordnung verlangt von Betreibern kein Verzeichnis mit festgelegten Feldern. Es ist aber die einzige praktikable Art, die Pflichten überhaupt erfüllen zu können: Sie können nicht einordnen, was Sie nicht kennen, und nicht nachweisen, was Sie nicht dokumentiert haben. Wird in einem Lieferantenfragebogen danach gefragt, ist es genau dieses Verzeichnis, das gemeint ist.
Die acht Pflichtfelder
Weniger reicht nicht, mehr wird erfahrungsgemäß nicht gepflegt.
| Feld | Warum es gebraucht wird |
|---|---|
| Bezeichnung und Anbieter | Identifikation, Grundlage für die Vertragsprüfung |
| Einsatzzweck | Konkret, nicht „diverse Aufgaben“ — der Zweck entscheidet über die Risikoklasse |
| Fachbereich und verantwortliche Person | Wer kann Auskunft geben, wenn gefragt wird |
| Risikoklasse mit Begründung | Das wertvollste Feld: Es belegt, dass Sie geprüft und nicht geraten haben |
| Verarbeitete Datenkategorien | Schnittstelle zum Datenschutz |
| Freigabestatus und -datum | Zeigt, dass es einen Prozess gibt |
| Vertragsgrundlage | Business-Vertrag, Auftragsverarbeitungsvertrag oder Gratis-Account |
| Letzte Überprüfung | Beantwortet die Frage „Wann haben Sie zuletzt geprüft?“ |
Das eigentliche Problem: Schatten-KI
Der schwierige Teil ist nicht das Eintragen, sondern das Finden. In fast jedem Betrieb laufen KI-Werkzeuge, von denen die Leitung nichts weiß: private Accounts, Browser-Erweiterungen, KI-Funktionen in längst eingeführter Software. Erfahrungswert: Die erste Bestandsaufnahme fördert zwei- bis dreimal so viele Werkzeuge zutage wie zuvor vermutet.
Fünf Wege, die sich ergänzen
- Team-Umfrage mit Amnestie-Zusage. Der wirksamste Hebel überhaupt. Sagen Sie ausdrücklich zu, dass die Meldung eines bislang unbekannten Werkzeugs keine Konsequenzen hat. Ohne diese Zusage meldet niemand etwas.
- Rechnungen und Kreditkartenabrechnungen der letzten zwölf Monate. Abos verraten sich über die Buchhaltung.
- Browser-Erweiterungen auf den Arbeitsgeräten prüfen.
- Release Notes bestehender Software durchsehen. Nachträglich eingespielte KI-Funktionen sind der häufigste blinde Fleck überhaupt.
- Fachbereiche einzeln fragen statt pauschal ins Unternehmen. Marketing, Vertrieb, Personal und Buchhaltung haben je eigene Werkzeuge.
Formulierung für die Amnestie, die funktioniert
„Wir bauen gerade eine Übersicht der KI-Werkzeuge auf. Alles, was jetzt genannt wird, ist ein Beitrag zur Lösung und kein Regelverstoß. Ab dem Stichtag gilt dann unser Freigabeprozess.“
Wie oft gepflegt werden muss
Ein Inventar, das nach der Ersterfassung einschläft, ist wertlos — und in einer Prüfung schlimmer als keines, weil es Nachlässigkeit dokumentiert.
- Anlassbezogen: jedes neue Werkzeug vor der Freigabe eintragen
- Quartalsweise: Kurzdurchsicht, etwa fünfzehn Minuten
- Jährlich: vollständige Überprüfung inklusive Risikoklassen und Verträge
- Bei Rechtsänderungen: betroffene Einträge nachziehen
Wird ein Werkzeug abgeschafft, löschen Sie den Eintrag nicht, sondern markieren ihn als beendet mit Enddatum. Eine Prüfung kann sich auf einen zurückliegenden Zeitraum beziehen.
Die drei Fragen im Prüfgespräch
Rechnen Sie mit genau diesen — und bereiten Sie die Antworten vor:
- „Wie stellen Sie sicher, dass die Liste vollständig ist?“ → Erhebungsmethodik plus Freigabeprozess
- „Wann haben Sie zuletzt geprüft?“ → Datum aus dem Feld „letzte Überprüfung“
- „Wie kommen Sie auf diese Risikoklasse?“ → Ihre dokumentierte Begründung
Wer alle drei ruhig und mit Blick ins eigene System beantwortet, beendet das Thema in wenigen Minuten.
Häufige Fragen
Muss ein KI-Inventar bestimmte Felder enthalten?
Gesetzlich ist kein Feldkatalog vorgegeben. Praktisch bewährt haben sich acht Felder: Bezeichnung, Anbieter, Einsatzzweck, verantwortliche Person, Risikoklasse mit Begründung, Datenkategorien, Freigabestatus, Vertragsgrundlage und Datum der letzten Überprüfung.
Zählt ChatGPT als KI-System, das ins Inventar gehört?
Ja. Sobald es beruflich genutzt wird, gehört es hinein — mit Angabe, ob es sich um einen Business-Vertrag oder einen privaten Gratis-Account handelt. Letzterer ist für dienstliche Inhalte in aller Regel problematisch, weil kein Auftragsverarbeitungsvertrag vorliegt.
Was ist Schatten-KI?
KI-Werkzeuge, die im Betrieb genutzt werden, ohne dass die Leitung davon weiß — private Accounts, Browser-Erweiterungen oder KI-Funktionen, die per Update in bestehende Software gelangt sind.
Wie oft muss das Inventar aktualisiert werden?
Anlassbezogen bei jedem neuen Werkzeug, quartalsweise eine kurze Durchsicht und einmal jährlich eine vollständige Überprüfung inklusive Risikoklassen und Verträge.
Wo steht Ihr Unternehmen?
Der kostenlose Quick-Check geht zehn Punkte durch — KI-Inventar, Schulungsstand, Transparenzpflichten, Zuständigkeiten. In zwei Minuten, ohne Anmeldung, mit ehrlichem Ergebnis und konkreten Lücken.
Quick-Check starten — kostenlosArtikel 26 KI-VO — Pflichten der Betreiber
KI-Kompass der Bundesnetzagentur — interaktive Einstufungshilfe
Verordnung (EU) 2024/1689 — amtlicher Volltext