KI-Inventar aufbauen: So erfassen Sie alle KI-Systeme (AI Act)

Inhalt in Kürze

• Ein KI-Inventar ist die strukturierte Liste aller KI-Systeme, die Ihr Unternehmen nutzt, einkauft oder selbst entwickelt.
• Der AI Act schreibt das Inventar nicht wörtlich vor — aber ohne Bestandsaufnahme können Sie keine einzige AI-Act-Pflicht erfüllen. Es ist die Basis von allem.
• Der größte Stolperstein ist Schatten-KI: Tools, die Mitarbeiter ohne Freigabe nutzen und die in keiner Liste auftauchen.
• Für die meisten KMU reicht eine saubere Tabelle mit acht Spalten — kein teures Tool nötig.

Bevor Sie über AI-Act-Pflichten, Risikoklassen oder Dokumentation nachdenken, brauchen Sie eine simple Antwort: Welche KI nutzen wir eigentlich? Die wenigsten Unternehmen können das aus dem Stand beantworten. Genau hier setzt das KI-Inventar an — und es ist einfacher, als der Begriff klingt.

Was ein KI-Inventar ist — und was nicht

Ein KI-Inventar (auch KI-Register oder AI Asset Register) ist ein zentrales Verzeichnis aller KI-Systeme in Ihrem Unternehmen. Es schafft Transparenz und bildet die Grundlage für jede Compliance-Entscheidung.

Wichtig: Der EU AI Act verlangt kein Dokument namens “KI-Inventar”. Trotzdem ist es unverzichtbar — denn Risikoklassifizierung, Dokumentationspflichten und menschliche Aufsicht setzen alle voraus, dass Sie überhaupt wissen, welche Systeme Sie betreiben.

Warum es ohne Inventar nicht geht

Stellen Sie sich vor, eine Behörde fragt: “Welche KI setzen Sie ein und wie ist sie eingestuft?” Ohne Inventar müssten Sie das mühsam zusammensuchen — quer durch Abteilungen, Verträge und Tools. Mit Inventar haben Sie die Antwort in Minuten.

Das Inventar ist außerdem der natürliche Anknüpfungspunkt zum Datenschutz. Wo KI personenbezogene Daten verarbeitet, brauchen Sie ohnehin ein Verzeichnis von Verarbeitungstätigkeiten. Beide Listen lassen sich gut verzahnen.

Unsere interessanteste Datenpanne war ein Dienstleister mit nur 15 Mitarbeitern. Solche Risiken finden Sie nur, wenn Sie wissen, welche Tools überhaupt im Einsatz sind. Ein Inventar ist kein Bürokratie-Selbstzweck — es ist ein Frühwarnsystem.

Nils OehmichenDatenschutzberater bei frag.hugo

Diese acht Spalten gehören hinein

Ein KI-Inventar muss kein schweres Compliance-Monster sein. Für den Start reicht eine Tabelle mit diesen Spalten:

Diese acht Felder reichen für die meisten Mittelständler. Spezialisierte Governance-Tools lohnen sich erst, wenn Sie dutzende Hochrisiko-Systeme verwalten.

Schatten-KI: das größte Loch im Inventar

Der häufigste Fehler ist nicht eine falsche Spalte — es ist ein fehlender Eintrag. Schatten-KI entsteht, wenn Mitarbeiter Tools wie ChatGPT, Übersetzer oder Bildgeneratoren auf eigene Faust nutzen, ohne dass IT oder Geschäftsführung davon wissen.

Die saubere Lösung kombiniert zwei Dinge: eine klare KI-Richtlinie, die regelt, was erlaubt ist, und ein lebendiges Inventar, das den Ist-Zustand abbildet. Wie Sie den unbekannten Teil des Bestands technisch ermitteln — und wo die Grenzen jeder Auswertung liegen —, beschreibt der Beitrag Schatten-KI im Mittelstand.

In sechs Schritten zum KI-Inventar

1. Tabelle anlegen: Acht Spalten, ein zentral abgelegtes Dokument — Excel oder ein gemeinsames Sheet genügen.
2. Abteilungen befragen: Jede Abteilung meldet ihre Tools. Auch Plugins und Browser-Erweiterungen zählen.
3. Schatten-KI aufdecken: Anonyme Umfrage plus Blick in Rechnungen und genutzte Webdienste.
4. Risikoklasse je System eintragen: Grobe Einordnung nach den AI-Act-Stufen, Details später verfeinern.
5. Verantwortliche festlegen: Pro System eine Person, die für Updates und Prüfung zuständig ist.
6. Regelmäßig aktualisieren: Mindestens quartalsweise, sonst veraltet die Liste schneller als gedacht.

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „KI sicher einsetzen — Der Leitfaden für Geschäftsführer” (93 Seiten) ausführlich behandelt. Jetzt herunterladen →

Aus der Praxis

Bei einem Logistik-Kunden mit 80 Mitarbeitern haben wir das Inventar in einem halben Tag aufgesetzt. Das Ergebnis: 14 KI-Tools im Einsatz — die Geschäftsführung hatte mit fünf gerechnet. Drei davon verarbeiteten Kundendaten ohne sauberen Vertrag. Ohne die Bestandsaufnahme wäre das nie aufgefallen. Genau dafür ist das Inventar da: Es macht Unsichtbares sichtbar, bevor es zum Problem wird.

Ihr nächster Schritt

Wie Sie die einzelnen Systeme dann einordnen, lesen Sie im Beitrag zu den Hochrisiko-KI-Risikoklassen. Den rechtlichen Rahmen liefert unsere AI-Act-Beratung in Hamburg, die laufende KI-Governance unterstützt Hugo DSB mit Schulungen und Dokumentation. Mehr zur Registrierungspflicht finden Sie auf unserer Seite KI-Register-Pflicht.

Häufige Fragen (FAQ)

Ist ein KI-Inventar nach dem AI Act Pflicht?

Nicht als eigenes, vorgeschriebenes Dokument. Aber ohne Bestandsaufnahme lassen sich die AI-Act-Pflichten — Risikoklassifizierung, Dokumentation, Aufsicht — nicht erfüllen. In der Praxis ist das Inventar daher unverzichtbar.

Welche Systeme gehören ins KI-Inventar?

Alle: gekaufte, lizenzierte, Open-Source- und selbst entwickelte KI-Systeme. Auch eingebettete KI in Standardsoftware und von Mitarbeitern genutzte Online-Tools (Schatten-KI) gehören hinein.

Brauche ich für das KI-Inventar ein spezielles Tool?

Nein. Für die meisten KMU reicht eine gepflegte Tabelle mit etwa acht Spalten. Spezialisierte Governance-Software lohnt sich erst bei vielen Hochrisiko-Systemen.

Was ist Schatten-KI?

KI-Tools, die Mitarbeiter ohne Wissen oder Freigabe der IT nutzen — etwa kostenlose Chatbots im Browser. Sie sind das größte Risiko für ein unvollständiges Inventar.

Wie oft muss ich das KI-Inventar aktualisieren?

Mindestens vierteljährlich, besser bei jeder Einführung oder Abschaltung eines KI-Systems. Ein veraltetes Inventar ist im Ernstfall wertlos.