KI-Inventar: Alle KI-Systeme im Betrieb vollständig erfassen

Fast jede Pflicht der KI-Verordnung setzt am einzelnen System an: Die Risikoklasse wird je System bestimmt, die Rolle je System, die Transparenzpflicht je System, das Verbot je System. Solange Sie nicht wissen, welche Systeme es gibt, können Sie keine dieser Fragen beantworten — und, was schwerer wiegt, Sie können nicht belegen, dass Sie sie gestellt haben.

Deshalb ist die Reihenfolge nicht beliebig. Betriebe, die mit einer Richtlinie beginnen, schreiben Regeln für Systeme, die sie nicht kennen. Betriebe, die mit der Schulung beginnen, unterweisen Mitarbeitende zu Werkzeugen, die im Alltag gar nicht die entscheidenden sind. Das Inventar ist der Punkt, an dem der Betrieb aufhört zu vermuten.

Ein Inventar, das seinen Zweck erfüllt, hält je System mindestens fest:

• Bezeichnung und Zweck. Wofür wird es im Betrieb tatsächlich verwendet — nicht, wofür der Hersteller es bewirbt.
• Anbieter. Wer stellt es bereit, unter welchem Vertrag, mit welchen Unterlagen.
• Ihre Rolle. Betreiber oder Anbieter, und ob eigene Änderungen die Rolle nach Artikel 25 verschieben.
• Risikoklasse mit Begründung. Die Begründung ist der eigentliche Wert des Feldes.
• Verantwortliche Person. Wer beaufsichtigt das System und entscheidet über Änderungen.
• Betroffene Daten. Insbesondere, ob personenbezogene Daten oder Geschäftsgeheimnisse verarbeitet werden.
• Außenwirkung. Interagiert das System direkt mit Menschen oder erzeugt es Inhalte? Davon hängt die Transparenzpflicht ab.
• Stand und Änderungsverlauf. Wann zuletzt geprüft, durch wen, mit welchem Ergebnis.

Die letzten beiden Felder werden am häufigsten vergessen und sind im Prüfungsfall die wichtigsten: Sie zeigen, dass das Inventar gepflegt wird und nicht einmalig entstanden ist.

Die Erfassung über einen Rundruf an die Abteilungsleitungen liefert erfahrungsgemäß die Hälfte. Vollständiger wird es, wenn Sie vier Quellen kombinieren:

1. Die Softwareliste. Gehen Sie jede eingesetzte Anwendung durch und fragen Sie gezielt nach KI-Funktionen. Bei Standardsoftware lohnt ein Blick in die Release Notes der letzten zwei Jahre — dort sind die meisten KI-Funktionen nachträglich hinzugekommen.
2. Die Buchhaltung. Abonnements für KI-Werkzeuge tauchen in den Kreditkartenabrechnungen einzelner Abteilungen auf, bevor die IT davon erfährt.
3. Die Fachbereiche. Nicht abstrakt nach KI fragen, sondern nach Tätigkeiten: Wer lässt Texte vorformulieren, Bilder erzeugen, Bewerbungen vorsortieren, Anfragen automatisch beantworten?
4. Die Belegschaft, anonym. Für alles, was niemand offiziell zugeben wird.

Schatten-KI bezeichnet die Nutzung privater KI-Konten für betriebliche Aufgaben — der Mitarbeitende, der den Kundenbeschwerdetext schnell in ein frei zugängliches Sprachmodell kopiert, weil es Zeit spart. Das ist selten böswillig und fast immer unerfasst.

Für die Verordnung ist das aus zwei Gründen bedeutsam. Erstens entstehen dabei Systeme im Einsatz, die in keinem Inventar stehen. Zweitens ist es der wahrscheinlichste Weg, auf dem personenbezogene Daten und Geschäftsgeheimnisse den Betrieb verlassen — ein Datenschutzproblem, das dem KI-Problem vorausgeht.

Die einzige Methode, die belastbare Zahlen liefert, ist die anonyme Befragung. Sie funktioniert nur, wenn die Anonymität glaubhaft ist und wenn vorher klar kommuniziert wurde, dass es um Bestandsaufnahme geht und nicht um Sanktionen. Eine Erhebung, die als Kontrolle wahrgenommen wird, liefert die Antworten, die der Fragende hören will — und ist damit wertlos.

Die Einordnung erfolgt je System und richtet sich nach dem konkreten Einsatzzweck, nicht nach der Technologie. Dieselbe Sprachmodell-Technik ist in der Textproduktion praktisch unreguliert und in der Bewerbervorauswahl ein Kandidat für die Hochrisiko-Klasse.

Für Betreiber im Mittelstand sind vor allem zwei Prüfungen wichtig. Erstens: Fällt das System unter eine der verbotenen Praktiken des Artikels 5? Der praktisch relevanteste Fall ist das Ableiten von Emotionen am Arbeitsplatz, das in Bewerbungs- und Callcenter-Software enthalten sein kann, ohne so genannt zu werden. Zweitens: Erzeugt das System Inhalte oder interagiert es direkt mit Menschen? Dann greifen ab dem 2. August 2026 die Transparenzpflichten.

Wo die Einordnung unklar bleibt, halten Sie das ausdrücklich fest — samt der Erwägungen, die Sie angestellt haben. Ein dokumentiertes Unbekannt ist deutlich besser als ein undokumentiertes Gering. Die Kommission hat im Mai 2026 einen Entwurf der Leitlinien zur Einstufung von Hochrisiko-Systemen veröffentlicht; wenn Sie sich darauf stützen, vermerken Sie den Entwurfsstand.

Ein Inventar veraltet schneller, als es entsteht. Software bekommt neue KI-Funktionen per Update, Abteilungen führen Werkzeuge ein, und die Rechtslage verschiebt Einordnungen — die Änderungsverordnung vom Juli 2026 etwa hat den Begriff des Sicherheitsbauteils enger gefasst, was in Fertigungsbetrieben Systeme aus der Hochrisiko-Logik herausnehmen kann.

Drei Auslöser sollten deshalb fest verankert sein: die Einführung eines neuen Systems, eine wesentliche Änderung an einem bestehenden und eine Änderung der Rechtslage. Ergänzend genügt ein fester Turnus, in dem das gesamte Inventar durchgesehen wird. Wichtig ist weniger die Frequenz als der Umstand, dass die Durchsicht dokumentiert stattfindet.