KI-Inventur

Eine KI-Inventur ist die systematische Erfassung aller KI-Systeme, die in einer Organisation entwickelt, gekauft oder genutzt werden – inklusive KI-Funktionen, die in bereits vorhandener Software stecken. Das Ergebnis ist ein strukturiertes Verzeichnis, das zeigt: Welche KI setzen wir ein, wofür, und welche Rolle haben wir dabei?

Der EU AI Act schreibt die KI-Inventur zwar nicht unter diesem Namen vor, setzt sie aber faktisch voraus. Ohne eine vollständige Bestandsaufnahme lassen sich die zentralen Pflichten der Verordnung nicht erfüllen: Risikoklassifizierung (Art. 6), Dokumentation (Art. 11), Transparenzpflichten (Art. 50) und Registrierung hochriskanter Systeme (Art. 49). Man kann Systeme nicht bewerten oder dokumentieren, die man nicht kennt. Vergleichbar ist die KI-Inventur mit dem Verzeichnis von Verarbeitungstätigkeiten (VVT) aus der DSGVO – nur eben für KI-Systeme.

Für jedes erfasste System sollten mindestens folgende Angaben festgehalten werden:

• Bezeichnung und kurze Beschreibung des KI-Systems

• Einsatzzweck und betroffene Geschäftsprozesse

• Eigene Rolle: Anbieter, Betreiber, Importeur oder Händler

• Risikoklasse nach AI Act: minimal, begrenzt, hoch oder verboten

• Verwendete Daten, insbesondere personenbezogene Daten

• Verantwortliche Person im Unternehmen (fachlich und technisch)

• Anbieter oder Hersteller des Systems

Die KI-Inventur ist kein einmaliges Projekt, sondern ein lebendes Dokument, das regelmäßig aktualisiert werden muss – mindestens bei Einführung neuer Systeme oder wesentlichen Änderungen bestehender Systeme.

Paxis-Beispiel

Eine mittelständische Marketingagentur setzt mehrere KI-Tools ein: ChatGPT für Textentwürfe, eine Bilderkennungs-Funktion in ihrem CRM-System und einen automatisierten Chatbot auf der Website. Bei der KI-Inventur werden alle drei Systeme erfasst, mit jeweiligem Einsatzzweck, Datenquellen und Risikoklasse dokumentiert. Dabei stellt die Agentur fest, dass der Chatbot direkt mit Kundendaten arbeitet und unter die Transparenzpflichten des Art. 50 fällt – Nutzer müssen darüber informiert werden, dass sie mit einer KI interagieren. Ohne die Inventur wäre dieser Pflicht möglicherweise übersehen worden.

Eine gepflegte KI-Inventur ist damit nicht nur eine Pflichtübung, sondern das Fundament, auf dem alle weiteren Schritte der KI-Compliance aufbauen – wer seine Systeme nicht kennt, kann sie weder verantwortungsvoll einsetzen noch regulatorisch absichern.