Risikoeinstufung, Transparenzpflichten, KI-Kompetenz: fast jede Pflicht des EU AI Act beginnt mit derselben Frage - welche KI-Systeme sind überhaupt im Einsatz? Dieser Beitrag zeigt in sechs Schritten, wie daraus ein gepflegtes KI-Verzeichnis wird, und stellt eine kostenlose Vorlage bereit.
Beispieleintrag mit den wichtigsten Feldern der Vorlage: ein System je Zeile, ein Feld je Spalte.
Wer im Text der Verordnung (EU) 2024/1689 nach dem Wort KI-Inventar sucht, sucht vergeblich: Für Systeme mit minimalem Risiko schreibt der EU AI Act kein solches Dokument vor. Daraus zu schließen, eine Bestandsaufnahme sei verzichtbar, wäre trotzdem ein Fehlschluss.
Denn fast jede Pflicht der Verordnung setzt an einem konkreten System an. Die Risikoeinstufung nach Art. 6 ff. braucht ein Objekt, das eingestuft wird. Die Transparenzpflichten nach Art. 50 lassen sich nur erfüllen, wenn bekannt ist, welche Chatbots und generativen Werkzeuge laufen. Die Maßnahmen zur KI-Kompetenz nach Art. 4 lassen sich nur planen, wenn klar ist, wer womit arbeitet. Und die Betreiberpflichten nach Art. 26 verlangen eine Zuordnung: Wer betreibt was, wofür? Eine gesetzliche Inventarpflicht gibt es für Systeme mit minimalem Risiko nicht - eine praktische schon.
Für Hochrisiko-Systeme nach Anhang III sieht Art. 49 eine Registrierungspflicht in der EU-Datenbank vor; sie trifft primär Anbieter. Das interne KI-Inventar dieses Beitrags ist davon zu unterscheiden: ein Arbeitsdokument des Unternehmens, kein Registereintrag.
Ein Inventar ist nur so viel wert wie seine Vollständigkeit. Drei Kategorien laufen an Einkaufs- und Rechnungslisten vorbei - genau deshalb gehören sie ausdrücklich in die Bestandsaufnahme.
Ein KI-Dienst, der über ein privates Konto für Aufgaben des Unternehmens genutzt wird, taucht in keiner Vertrags- oder Rechnungsliste auf. In die Bestandsaufnahme gehört er trotzdem: Erfasst wird der Einsatz im Unternehmen, nicht der Vertragsweg.
Gratis-Versionen von Text-, Bild- und Übersetzungswerkzeugen erzeugen keinen Beschaffungsvorgang. Sie lassen sich deshalb nicht über Unterlagen finden, sondern nur über eine direkte Abfrage in den Fachbereichen.
KI-Funktionen in bestehender Bürosoftware und SaaS-Produkten - etwa Assistenz-, Zusammenfassungs- oder Übersetzungsfunktionen - kommen oft per Update ins Haus. Das Produkt steht längst auf der Softwareliste, die neue Funktion nicht.
Die Reihenfolge ist bewusst schlicht: erst sammeln, dann einordnen, dann am Leben halten. Wer die Schritte drei und vier überspringt, hat am Ende eine Softwareliste - kein KI-Verzeichnis.
Befragen Sie die Fachbereiche, gehen Sie Software- und Rechnungslisten durch und fragen Sie ausdrücklich nach Gratis-Tools, privaten Konten und KI-Funktionen in bestehender Software. Ziel ist eine rohe, ungefilterte Liste - aussortiert wird später.
Notieren Sie zu jedem System die Basisdaten: was es ist, von welchem Anbieter, in welcher Version, wofür es eingesetzt wird, in welchem Fachbereich und mit welchen Datenarten. Die Spalten der Vorlage weiter unten decken genau diese Felder ab.
Betreiber, Anbieter, Einführer oder Händler: Die Rolle entscheidet über den Pflichtenkatalog, nicht die Branche. Wer ein fremdes System in der eigenen Tätigkeit einsetzt, ist in der Regel Betreiber - unter bestimmten Voraussetzungen kann daraus aber ein Anbieter werden. Die Abgrenzung mit Beispielen zeigt der Beitrag Provider oder Betreiber.
Ordnen Sie jedes System einer Risikostufe zu und halten Sie die Begründung fest. Vorläufig heißt: eine dokumentierte erste Einordnung, kein Gutachten. Ob ein Anwendungsfall in die Hochrisiko-Bereiche fällt, behandelt der Beitrag Hochrisiko-KI nach Anhang III; das methodische Vorgehen beschreibt die Seite Methodik der Risikoeinordnung.
Jedes System bekommt eine verantwortliche Person und ein Datum der letzten Prüfung. Ein Inventar ohne Zuständigkeit veraltet leise; ein festes Prüfintervall und die Spalte für die letzte Prüfung machen Lücken sichtbar.
Neue Tools kommen nur über einen definierten Freigabeweg in den Einsatz - eine kurze Meldung an die zuständige Person genügt. So wächst das Inventar mit, statt bei jeder Neuanschaffung von vorn zu beginnen.
Für den Anfang genügt eine Tabellenkalkulation. Die Vorlage enthält die Felder aus den Schritten zwei bis fünf - kostenlos, ohne Registrierung und ohne E-Mail-Adresse.
Lieber gleich in Software statt in Excel pflegen? CompliKI übernimmt Inventar, Einstufung und Export in einem Werkzeug - Starter-Tarif 399 € inkl. USt / Jahr.
Die ausgefüllte Tabelle ist Schritt eins, nicht das Ergebnis. Sie beantwortet die Frage, was im Einsatz ist - noch nicht, was daraus folgt. Welcher Stichtag welches System betrifft, hängt von Rolle und Risikostufe ab; die Termine ordnet der Beitrag EU-AI-Act-Fristen im Überblick ein. Für eine erste Einschätzung der eigenen Betroffenheit gibt es den kostenlosen Schnell-Check - fünf Fragen, ohne Login und ohne E-Mail-Adresse.
An dieser Stelle setzt CompliKI an: Die Software übernimmt die Systeme aus der Liste, führt durch die Risikoeinstufung mit dokumentierter Begründung und erstellt daraus ein exportierbares Dossier. Was sie nicht leistet: Software ersetzt keine juristische Einzelfallprüfung - sie strukturiert die Vorarbeit, auf der eine solche Prüfung aufsetzt.
Dieser Beitrag beschreibt ein praktisches Vorgehen zur Bestandsaufnahme von KI-Systemen im Anwendungsbereich der Verordnung (EU) 2024/1689 und ersetzt keine individuelle juristische Würdigung des Einzelfalls. Für verbindliche Angaben sind ausschließlich die offiziellen Quellen der EU maßgeblich. Eine Garantie auf jederzeitige Vollständigkeit besteht nicht.
Nein. Die Verordnung (EU) 2024/1689 verlangt für Systeme mit minimalem Risiko kein Dokument namens KI-Inventar. Mehrere Pflichten setzen aber voraus, dass ein Unternehmen weiß, welche Systeme im Einsatz sind: die Risikoeinstufung nach Art. 6 ff., die Transparenzpflichten nach Art. 50, die Maßnahmen zur KI-Kompetenz nach Art. 4 und die Betreiberpflichten nach Art. 26. Für Hochrisiko-Systeme nach Anhang III besteht daneben eine Registrierungspflicht in der EU-Datenbank nach Art. 49, die primär Anbieter trifft.
Ja. Dienste wie ChatGPT oder Microsoft Copilot gehören in die Bestandsaufnahme - unabhängig davon, ob sie kostenpflichtig, kostenlos oder über private Konten im Einsatz sind. Wer ein fremdes KI-System in der eigenen Tätigkeit einsetzt, ist in der Regel Betreiber im Sinne der Verordnung und hat eigene Pflichten, etwa nach Art. 26 und Art. 50. Die Rolle je System zu klären ist deshalb Teil der Bestandsaufnahme.
Die Verordnung gibt für Systeme mit minimalem Risiko keinen Turnus vor. Praktikabel ist ein fester Rhythmus, ergänzt um anlassbezogene Pflege: wenn ein neues Tool eingeführt wird, eine bestehende Software eine KI-Funktion erhält oder sich ein Einsatzzweck ändert. Wichtiger als die Frequenz ist, dass eine benannte Person zuständig ist und neue Tools nur über einen definierten Freigabeweg in den Einsatz kommen.
Sie gehören ins Inventar. KI-Funktionen werden oft per Update in Bürosoftware oder Fachanwendungen aktiviert, ohne dass ein neues Produkt beschafft wird. In Software- und Rechnungslisten tauchen sie deshalb nicht als eigener Posten auf. Erfassen Sie solche Funktionen je System mit Einsatzzweck und Datenarten und fragen Sie bei der Bestandsaufnahme in den Fachbereichen gezielt danach.
Der kostenlose Schnell-Check klärt Rolle und Risikoniveau in fünf Fragen - ohne Login und ohne E-Mail-Adresse.
Jahreslizenz ab 399 € inkl. USt, 7 Tage Geld zurück.