Ohne Inventar keine Compliance: Jede Pflicht des AI Act setzt voraus, dass Sie wissen, welche Systeme Sie überhaupt einsetzen. In der Praxis liegt die Zahl der KI-Tools fast immer deutlich über der Schätzung der Geschäftsleitung.
Diese Felder braucht jedes Inventar
- Systemname, Anbieter, Version, Datenstandort
- Zweck und konkreter Anwendungsfall
- Fachbereich und fachlich verantwortliche Person
- Verarbeitete Datenarten (personenbezogen, vertraulich, öffentlich)
- Rolle: Anbieter oder Betreiber
- Risikoklasse mit Begründung
- Status: freigegeben, in Prüfung, abgelehnt
- Letzte Bewertung und Wiedervorlage
Wie Sie Schatten-KI finden
Reine Selbstauskunft reicht nicht. Kombinieren Sie drei Quellen: die Softwareliste der IT, eine kurze anonyme oder sanktionsfreie Abfrage in den Fachbereichen und die Auswertung von Browser-/Netzwerkzugriffen auf bekannte KI-Dienste. Zusätzlich lohnt der Blick in bestehende Tools: CRM, Ticketsystem und Office-Suiten haben inzwischen fast alle KI-Funktionen.
Vier-Wochen-Plan
- Woche 1: Fragebogen und Erhebungsstruktur, Kommunikation an alle Bereiche
- Woche 2: Rückläufe, Interviews mit Schlüsselbereichen
- Woche 3: technische Gegenprüfung, Konsolidierung
- Woche 4: Klassifizierung, Freigabeentscheidungen, Bericht an die Leitung
Vom Inventar zur Steuerung
Das Inventar ist kein Einmalprojekt, sondern das Register, an dem Richtlinie, Schulung und Audit hängen. Etablieren Sie eine Quartalsroutine und einen Pflichtschritt im Beschaffungsprozess: Kein neues Tool ohne Eintrag.
Häufige Fragen zu diesem Thema
Reicht eine Excel-Tabelle?
Für den Start ja. Wichtig sind Vollständigkeit, klare Verantwortlichkeiten und Versionierung – nicht das Werkzeug.
Zählen KI-Funktionen in bestehender Software mit?
Ja. Auch integrierte Assistenten in CRM, ERP oder Office sind KI-Systeme im Sinne der Verordnung und gehören ins Inventar.
Wer sollte das Inventar führen?
Idealerweise eine benannte Rolle mit Überblick über IT, Datenschutz und Fachprozesse – oft der KI- oder Compliance-Beauftragte.