KI-Register erstellen: Schritt-für-Schritt-Anleitung für Unternehmen

Inhalt in Kürze

• Ein KI-Register ist ein Verzeichnis aller eingesetzten KI-Systeme – es ist die Grundlage jeder AI-Act-Nachweisführung, nicht bloß eine Fleißaufgabe.
• Sieben Felder machen ein Register prüfbar: Systemname, Anbieter, Zweck, betroffene Daten/Personen, Risikoklasse, Verantwortlicher und Dokumentationsstatus.
• Die Registrierung ist der erste Schritt vor der Klassifizierung: Erst wenn Sie wissen, welche Systeme im Einsatz sind, können Sie Risikoklassen bestimmen.
• Ein Register erleichtert auch die KI-Kompetenzpflicht nach Artikel 4 – es zeigt, wer welches System nutzt und geschult werden muss.

---

Rund 41 Prozent der Unternehmen in Deutschland setzen laut Bitkom aktiv künstliche Intelligenz ein – oft ohne vollständigen Überblick, welche KI-Anwendungen in welchem Fachbereich laufen. Genau hier setzt ein KI-Register an: Es schafft eine belastbare Übersicht über alle eingesetzten KI-Systeme. Wer ein KI-Register erstellen will, legt zugleich das Fundament seiner KI-Governance – die dokumentarische Basis, auf der jede weitere Pflicht des EU AI Act aufbaut.

Denn eine Wahrheit gilt für den AI Act (Verordnung (EU) 2024/1689) wie für die DSGVO: Was Sie nicht dokumentieren, können Sie nicht nachweisen. Und was Sie nicht nachweisen können, gilt im Zweifel als nicht erfüllt.

Lesetipp: Wie Sie KI im Unternehmen rechtssicher einführen – von der Risikoklassifizierung bis zur KI-Richtlinie – erklärt unser kostenloses E-Book „KI sicher einsetzen — Der Leitfaden für Geschäftsführer” (93 Seiten). Jetzt herunterladen →

Warum ein KI-Register die Grundlage jeder Nachweisführung ist

Der EU AI Act verlangt an mehreren Stellen, dass Betreiber wissen, was sie tun: Sie müssen bei KI-Systemen mit hohem Risiko eine menschliche Aufsicht sicherstellen, Transparenzpflichten nach Artikel 50 einhalten und seit dem 2. Februar 2025 nach Artikel 4 für ausreichende KI-Kompetenz ihres Personals sorgen. Je breiter der Einsatz von KI im Unternehmen wird, desto wichtiger ist eine zentrale Übersicht.

All das setzt einen Überblick voraus. Ohne ein Inventar Ihrer KI-Systeme können Sie weder Risiken einschätzen noch belegen, dass geschultes Personal die richtigen Werkzeuge bedient. Das KI-Register ist damit kein Selbstzweck, sondern das zentrale Steuerungsdokument, an das sich Klassifizierung, Schulung und Richtlinie andocken.

Ein weiterer Vorteil: Weil in viele KI-Systeme personenbezogene Daten fließen, überschneidet sich das Register eng mit dem Datenschutz beim KI-Einsatz. Das gilt besonders dort, wo KI-Anwendungen automatisierte Entscheidungen über Personen vorbereiten. Ein einziges, sauber geführtes Verzeichnis unterstützt Sie bei beiden Regelwerken gleichzeitig.

Die sieben Felder eines KI-Registers

Ein KI-Register muss nicht kompliziert sein. Eine gepflegte Tabelle mit den folgenden Spalten reicht als solide Basis. Entscheidend ist, dass jedes Feld konsequent ausgefüllt wird:

Feld	Was hineingehört	Warum es wichtig ist
Systemname	Bezeichnung und Version des Tools	Eindeutige Identifikation, auch bei ähnlichen Systemen
Anbieter	Hersteller bzw. Anbieter des KI-Systems	Klärt, ob Sie Betreiber oder Anbieter sind
Zweck / Einsatzkontext	Wofür und in welcher Abteilung genutzt	Basis für die spätere Risikoeinstufung
Betroffene Daten / Personen	Welche Daten fließen ein, wer ist betroffen	Schnittstelle zum Datenschutz und zur DSFA
Risikoklasse	minimal, begrenzt, hochrisiko oder unzulässig	Bestimmt Umfang der Pflichten
Verantwortlicher	Fachlich zuständige Person	Klare Zuständigkeit und Ansprechpartner
Dokumentationsstatus	offen, in Arbeit, abgeschlossen	Zeigt auf einen Blick, wo noch etwas fehlt

Die Risikoklasse orientiert sich an den vier Stufen der KI-Verordnung: unzulässige Praktiken (Artikel 5), Hochrisiko-Systeme – also KI-Systeme mit hohem Risiko für Grundrechte oder Sicherheit (Artikel 6 in Verbindung mit Anhang III) –, Systeme mit begrenztem Risiko (Transparenzpflichten nach Artikel 50) und minimales Risiko. Ein Spam-Filter fällt meist in die letzte Kategorie, ein KI-gestütztes Bewerbermanagement dagegen häufig unter Anhang III.

KI-Register erstellen: Schritt für Schritt

1. Bestandsaufnahme starten: Fragen Sie jeden Fachbereich einzeln ab, welche KI-Tools und Use Cases im Einsatz sind – auch die inoffiziellen. Häufig taucht mehr auf, als die Geschäftsführung vermutet.
2. Felder erfassen: Tragen Sie zu jedem System die sieben Felder ein. Lassen Sie noch offene Punkte bewusst leer und markieren Sie sie im Dokumentationsstatus – so bleibt sichtbar, wo nachgearbeitet werden muss.
3. Risikoklasse bestimmen: Ordnen Sie jedes System einer der vier Stufen zu. Für Systeme in sensiblen Bereichen folgt darauf die detaillierte Hochrisiko-Klassifizierung nach Anhang III.
4. Verantwortliche benennen: Weisen Sie jedem Eintrag eine fachlich zuständige Person zu und legen Sie eine zentrale Gesamtverantwortung fest – oft beim Datenschutzbeauftragten. So sind die Verantwortlichkeiten für jedes KI-System eindeutig geregelt.
5. Pflege festlegen: Ein Register ist ein lebendes Dokument. Definieren Sie, wer neue KI-Tools meldet und in welchem Rhythmus – etwa quartalsweise – das Verzeichnis überprüft wird.

Ein strukturiertes Werkzeug wie Hugo KI führt Sie durch genau diese Felder und verbindet das Register direkt mit Klassifizierung und Dokumentenablage – so entsteht die Nachweisführung ohne Excel-Wildwuchs.

Aus der Praxis

Was auf dem Spiel steht

Der allgemeine Geltungsbeginn der KI-Verordnung ist der 2. August 2026 – ab dann gelten unter anderem die Pflichten für Hochrisiko-Systeme nach Anhang III und die Transparenzpflichten nach Artikel 50. Wer diese Pflichten nicht belegen kann, riskiert nach Artikel 99 bei sonstigen Verstößen Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes; für KMU gilt jeweils der niedrigere Betrag.

Ein sauber geführtes Register senkt dieses Risiko spürbar, weil es die geforderte Dokumentation strukturiert bereithält und interne wie externe Audits erheblich vereinfacht. Es ist kein Garant für vollständige Compliance – aber ohne Register beginnt jede Prüfung mit einer Lücke.

Fazit

Ein KI-Register zu erstellen ist der pragmatische erste Schritt in die AI-Act-Compliance – und der, der sich am schnellsten umsetzen lässt. Sieben Felder, eine klare Zuständigkeit und ein fester Pflege-Rhythmus genügen für den Anfang. Von dieser Basis aus lassen sich Klassifizierung, Schulung und KI-Richtlinie geordnet aufbauen.

Wichtig ist, jetzt zu beginnen. Der 2. August 2026 rückt näher, und ein Inventar, das erst unter Zeitdruck entsteht, bleibt lückenhaft.

---

Häufige Fragen (FAQ)

Was ist ein KI-Register?

Ein KI-Register – auch KI-Inventar genannt – ist ein strukturiertes Verzeichnis aller KI-Systeme, die ein Unternehmen einsetzt oder bereitstellt. Es hält je System unter anderem Name, Anbieter, Zweck, betroffene Daten, Risikoklasse und Verantwortlichen fest und bildet die Grundlage jeder AI-Act-Nachweisführung.

Welche Felder gehören in ein KI-Register?

Als Minimum: Systemname, Anbieter, Zweck und Einsatzkontext, betroffene Daten und Personen, Risikoklasse nach der KI-Verordnung, verantwortliche Person sowie der Dokumentationsstatus. Diese sieben Felder machen ein Register prüf- und pflegbar.

Ist ein KI-Register nach dem AI Act Pflicht?

Ein internes KI-Register ist nicht unter diesem Namen als eigenständige Pflicht in der Verordnung (EU) 2024/1689 vorgeschrieben. In der Praxis ist es aber unverzichtbar, um Dokumentations-, Transparenz- und Kompetenzpflichten nachweisen zu können. Ohne Inventar lässt sich Compliance kaum belegen.

Wie fange ich mit einem KI-Register an?

Beginnen Sie mit einer Bestandsaufnahme: Fragen Sie jede Abteilung, welche KI-Tools genutzt werden – von ChatGPT über HR-Software bis zum Spam-Filter. Erfassen Sie die Systeme zunächst vollständig, bevor Sie sie klassifizieren und Verantwortliche zuweisen.

Wer ist im Unternehmen für das KI-Register verantwortlich?

Sinnvoll ist eine zentrale Zuständigkeit, häufig beim Datenschutzbeauftragten oder einer benannten KI-Verantwortlichen. Pro Eintrag sollte zusätzlich eine fachlich verantwortliche Person aus der jeweiligen Abteilung stehen, die das System tatsächlich betreibt.