KI-Inventar erstellen: Vorlage, Rollen und Risikoklassen nach dem EU AI Act
KI-Inventar für Unternehmen erstellen: Pflichtfelder, Verantwortliche, Anbieter- und Betreiberrollen, Risikoklassen und Reviewprozess.
Ein KI-Inventar ist die belastbare Liste aller KI-Systeme, Modelle und eingekauften KI-Funktionen im Unternehmen. Es schafft die Grundlage für ISO 42001, EU-AI-Act-Rollenklärung, Risikobewertung, Lieferantensteuerung und Schulung. Erfasst werden nicht nur eigene Modelle, sondern auch SaaS-Funktionen, Copilots, Chatbots und eingebettete KI in Fachanwendungen.
Welche Systeme in das Inventar gehören
- Eigene KI-Produkte und selbst entwickelte Modelle
- Externe Modelle und APIs
- KI-Funktionen in SaaS-, HR-, CRM- oder Supportsystemen
- Generative Assistenten und Copilots
- Pilotprojekte, Shadow AI und zeitlich begrenzte Tests
- Außer Betrieb genommene Systeme mit verbleibenden Aufbewahrungs- oder Nachweispflichten
Empfohlene Felder der Vorlage
| Feld | Zweck |
|---|---|
| Name und Zweck | Eindeutige Identifikation und geschäftlicher Use Case |
| Owner | Verantwortung für Freigabe, Betrieb und Review |
| Rolle | Anbieter, Betreiber, Importeur, Händler oder weitere relevante Rolle |
| Daten | Eingaben, Ausgaben, personenbezogene oder vertrauliche Daten |
| Betroffene Personen | Wer kann durch Output oder Entscheidung beeinflusst werden? |
| Risikoeinstufung | Vorläufige Einordnung und Begründung |
| Lieferant / Modell | Abhängigkeiten, Versionen und Vertragsbezug |
| Kontrollen | Freigabe, Human Oversight, Tests, Monitoring und Incident-Prozess |
| Reviewdatum | Nächste Prüfung und Änderungsanlass |
Rollen und Risikoklasse nicht vermischen
Der EU AI Act unterscheidet Akteursrollen und risikobasierte Pflichten. Die gleiche technische Lösung kann je nach Nutzung, Veränderung und Marktrolle unterschiedliche Verpflichtungen auslösen. Erfassen Sie deshalb zuerst, was das Unternehmen mit dem System tut, und bewerten Sie danach die rechtliche Rolle und Risikoklasse.
Eine automatische Einstufung nur anhand des Produktnamens reicht nicht. Relevant sind Zweck, Einsatzkontext, betroffene Personen und konkrete Entscheidungsauswirkungen.
So bleibt das Inventar aktuell
- Beschaffung und Freigabe an die Inventarpflicht koppeln
- Verantwortliche pro System benennen
- Änderungen an Modell, Zweck, Daten und Lieferant protokollieren
- Mindestens periodisch und bei wesentlichen Änderungen reviewen
- Shadow-AI-Meldeweg und verständliche Nutzungsvorgaben schaffen
Wie Sternberg Consulting unterstützt
Wir strukturieren KI-Inventar, Risiken, Rollen, Nachweise und interne Prüfungen zu einem pragmatischen AIMS. Mehr zur ISO-42001-Beratung.
Häufig gestellte Fragen
Gehört ChatGPT in das KI-Inventar?
Ja, wenn es im Unternehmen freigegeben, pilotiert oder tatsächlich genutzt wird. Zweck, Datenregeln, Owner und Kontrollen sollten erfasst werden.
Wer pflegt das Inventar?
Die zentrale Governance kann koordinieren, aber jeder Use Case braucht einen fachlichen Owner.
Ist das Inventar allein ausreichend?
Nein. Es ist Ausgangspunkt für Rollenprüfung, Risiko- und Folgenbewertung, Kontrollen, Schulung und Monitoring.