Sie nutzen KI. Aber wissen Sie auch, wo? 

KI-Inventarisierung als Grundlage für die regulatorische Einordnung und eine unternehmensweite KI-Governance

Fragt man Unternehmen, welche KI-Systeme sie einsetzen, werden meist einige bekannte Anwendungen genannt. Die tatsächliche Zahl ist häufig höher. KI-Funktionen finden sich inzwischen in Bürosoftware, CRM-Systemen, Übersetzungsdiensten, Analysewerkzeugen und weiteren Anwendungen, die bereits seit Jahren genutzt werden.

Das ist auch rechtlich relevant. Die Pflichten der KI-Verordnung knüpfen nicht allein an den Namen oder Hauptfunktion eines Werkzeugs an, sondern insbesondere an dessen konkrete Funktionen, Einsatzzwecke und die Rolle des Unternehmens. Wer seine KI-Anwendungen nicht kennt, kann deshalb auch nicht zuverlässig beurteilen, welche Anforderungen das Unternehmen treffen. 

Warum eine Toolliste nicht genügt
 

Die KI-Verordnung verlangt kein allgemeines Register, in das jedes Unternehmen ausnahmslos alle KI-Anwendungen eintragen muss. Eine strukturierte Übersicht ist in der Praxis dennoch eine wesentliche Voraussetzung für eine belastbare KI-Compliance.

Eine bloße Liste mit Produktnamen reicht dafür nicht aus. Ein System kann für unverbindliche Textvorschläge, für die Analyse von Kundenvorgängen oder zur Vorbereitung von Entscheidungen eingesetzt werden. Je nach Verwendung können sich die rechtliche Einordnung und die erforderlichen Maßnahmen erheblich für das System unterscheiden.

Ein KI-Inventar sollte daher erkennen lassen, welches System beziehungsweise welche KI-Funktion tatsächlich genutzt werden, welchem geschäftlichen Zweck sie dienen, wer sie bereitstellt und wer intern verantwortlich ist. Hinzukommen die betroffenen Personen und betroffenen Daten sowie die Frage, ob das Ergebnis lediglich den Nutzer unterstützt oder Entscheidungen beeinflusst.
 

Wo Unternehmen KI-Systeme übersehen
 

Eine typische Lücke entsteht durch sogenannte Schatten-KI. Beschäftigte verwenden private Accounts oder frei verfügbare Anwendungen außerhalb der vorgesehenen Freigabeprozesse. Werden dabei personenbezogene Daten, vertrauliche Informationen oder Geschäftsgeheimnisse eingegeben, können neben der KI-Verordnung insbesondere Anforderungen der DSGVO sowie Vertraulichkeits- und Sicherheitsvorgaben betroffen sein.

Eine weitere Lücke liegt in bestehenden Softwareprodukten. Anbieter integrieren KI-Funktionen häufig im Rahmen regulärer Updates. Automatische Gesprächszusammenfassungen, Empfehlungen im CRM oder neue Analysefunktionen werden dann nicht als eigenständiges KI-System wahrgenommen. Für die rechtliche Bewertung ist jedoch entscheidend, was die Funktion tatsächlich leistet.

Schließlich kann sich der Einsatzzweck im laufenden Betrieb verändern. Wird eine zunächst eng begrenzte Funktion später in weiteren Prozessen eingesetzt, kann eine erneute rechtliche Bewertung erforderlich werden. Ein belastbares Inventar muss solche Änderungen deshalb erfassen können.
 

Handlungsempfehlungen
 

Für eine strukturierte KI-Inventur sollten Unternehmen:
 

• Fachabteilungen gezielt nach eingesetzten Systemen und aktivierten KI-Funktionen befragen
• System, Funktion und tatsächlichen Einsatzzweck nachvollziehbar beschreiben
• Anbieter, Unternehmensrolle sowie betroffene Personen und Daten erfassen
• fachliche Verantwortung, Freigabe und regelmäßige Überprüfung festlegen
• die Erfassung mit Beschaffung, Software-Updates und internen Änderungsprozessen verbinden

So entsteht keine einmalige Excel-Liste, sondern eine fortlaufend nutzbare Grundlage für die weitere rechtliche Einordnung und die unternehmensweite KI-Governance.

Ausblick
 

Die KI-Inventur ist der Ausgangspunkt, nicht der Abschluss der Prüfung. Auf ihrer Grundlage lassen sich konkrete KI-Projekte rechtssicher ausgestalten, Rollen und Pflichten zuordnen sowie mögliche Hochrisiko-Einstufungen gezielt prüfen.

Wir unterstützen Unternehmen dabei, vorhandene KI-Anwendungen zu erfassen, Einsatzszenarien rechtlich einzuordnen und daraus eine belastbare KI-Systemmatrix mit klaren Verantwortlichkeiten und priorisierten Maßnahmen zu entwickeln.

Kontakt
 

Sie möchten wissen, welche KI-Systeme in Ihrem Unternehmen tatsächlich eingesetzt werden und wo konkreter Handlungsbedarf besteht?

Wir begleiten Ihre KI-Inventur von der strukturierten Bestandsaufnahme über die rechtliche Einordnung bis zur Entwicklung eines dauerhaft nutzbaren Erfassungs- und Prüfprozesses.

Melden Sie sich gern unter datenschutz@bitkom-consult.de