Regfortis

EU-KI-Gesetz: KI-System-Inventar — praktischer Leitfaden und Vorlage für KMU

Ein KI-System-Inventar — ein strukturiertes Verzeichnis aller KI-Tools Ihres Unternehmens — ist die unverzichtbare Grundlage für die EU-KI-Gesetz-Compliance. Ohne zu wissen, welche KI Sie nutzen, können Sie Ihre Article-4-, Article-50- oder Article-26-Pflichten nicht erfüllen. Dieser Leitfaden erklärt, was einzuschließen ist und wie man eines aufbaut.

Letzte regulatorische Überprüfung: 14. August 2026 · Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744

Was ist ein KI-System-Inventar?

Ein KI-System-Inventar ist ein strukturiertes Register jedes KI-Systems oder KI-Tools, das Ihr Unternehmen professionell nutzt. Für jedes System erfasst das Inventar seinen Zweck, die betroffenen Personen, wie es verwendet wird und seinen Compliance-Status nach dem EU-KI-Gesetz.

Im Gegensatz zu einem allgemeinen IT-Asset-Register geht ein KI-Inventar weiter: Es erfasst die Risikoklassifizierung jedes KI-Systems, welche EU-KI-Gesetz-Pflichten dafür gelten und welche Compliance-Maßnahmen ergriffen wurden. Es ist ein lebendes Dokument, das sich weiterentwickelt, wenn sich Ihre KI-Anwendungsfälle ändern.

Warum brauchen Sie eines für die EU-KI-Gesetz-Compliance?

Das EU-KI-Gesetz stellt je nach den von Ihnen genutzten KI-Systemen und deren Nutzung unterschiedliche Pflichten auf. Ohne ein vollständiges Bild Ihres KI-Bestands können Sie nicht:

Article 4 erfüllen (KI-Kompetenz)

Sie können nicht sicherstellen, dass Mitarbeiter für Systeme, die Sie nicht erfasst haben, über "ausreichende KI-Kompetenz" verfügen. Das Inventar zeigt Ihnen, welche Mitarbeiter mit welcher KI interagieren — und damit, wer welche Kompetenzunterstützung benötigt.

Article 50 einhalten (Transparenz)

Sie müssen wissen, welche KI-Systeme mit Kunden oder der Öffentlichkeit interagieren, um die erforderlichen Offenlegungen zu implementieren. Das Fehlen eines kundenseitigen KI-Chatbots in Ihrem Inventar bedeutet eine Offenlegungslücke.

Sich auf Article 26 vorbereiten (Hochrisiko-KI)

Die Ermittlung, welche Ihrer KI-Systeme unter Annex III fallen, ist der erste Schritt. Ohne das Inventar können Sie nicht priorisieren, welche Systeme vor Dezember 2027 Grundrechtsbewertungen benötigen.

Auf aufsichtsbehördliche Anfragen reagieren

Wenn eine Datenschutzbehörde, Marktüberwachungsbehörde oder das Europäische KI-Büro fragt, welche KI-Systeme Sie nutzen, bietet Ihnen das Inventar einen strukturierten Ausgangspunkt für Gespräche mit Behörden oder Beratern.

Was gilt als "KI-System" für Inventarzwecke?

Das EU-KI-Gesetz definiert in Article 3(1) ein KI-System als ein maschinenbasiertes System, das mit unterschiedlichen Grad an Autonomie betrieben wird und Ausgaben wie Vorhersagen, Empfehlungen, Entscheidungen oder Inhalte aus Eingaben ableitet. Nicht jede Software qualifiziert sich.

Wahrscheinlich im Anwendungsbereich — ins Inventar aufnehmen

→ Generative KI-Tools (ChatGPT, Gemini, Copilot, Claude)
→ KI-gestützte Kundenchatbots und virtuelle Assistenten
→ KI-gestützte Recruiting- oder HR-Tools
→ KI-Kreditscoring- oder Risikobewertungstools
→ KI-Inhalts- und Bilderstellungstools
→ KI-basierte E-Mail-Filter- oder Triage-Systeme
→ Auf maschinellem Lernen basierende Analysen mit Empfehlungen

Wahrscheinlich außerhalb des Anwendungsbereichs — kann ausgeschlossen werden

→ Einfache regelbasierte Automatisierung (wenn/dann-Entscheidungsbäume)
→ Traditionelle statistische Tools ohne Lernkomponenten
→ Einfache Rechtschreib- und Grammatikprüfer
→ Suchfunktionen ohne KI-gestütztes Ranking
→ Standard-Datenbankabfragen und -filter

Im Zweifelsfall das System ins Inventar aufnehmen und seinen Anwendungsbereichsstatus zur Überprüfung kennzeichnen. Ein zu umfassendes Inventar ist besser als eine Lücke.

KI-System-Inventar-Vorlage

Füllen Sie einen Datensatz pro KI-System aus. Sie können dies als Tabellenkalkulation, als freigegebenes Dokument oder in Ihrem bestehenden DSGVO-/DSFA-Register führen, wenn Sie eines nutzen. Die Regfortis Starter-Paket-Dokumentation enthält eine bearbeitbare Vorlagenversion.

Systemidentifikation

Systemname

Name des KI-Tools oder -Systems (z. B. „ChatGPT Enterprise“, „HireVue Video Interview AI“)

Anbieter

Name des Unternehmens, das das KI-System entwickelt oder liefert

Version / Modell

Versionsnummer oder Modellbezeichnung, soweit bekannt

Datum der ersten Nutzung

Wann Ihre Organisation mit der Nutzung dieses Systems begann

Zweck und Kontext

Geschäftsfunktion

Welche Abteilung oder Funktion dieses System nutzt (z. B. HR, Marketing, Finanzen, Kundensupport)

Beabsichtigter Zweck

Wofür das System verwendet wird — bitte spezifisch (z. B. „Zusammenfassung von Kundensupporttickets“ vs. „Ranking von Bewerbern“)

Betroffene Personen

Wer von den KI-Ausgaben betroffen ist — Mitarbeiter, Kunden, Bewerber oder die allgemeine Öffentlichkeit

Entscheidungstyp

Beeinflusst die KI-Ausgabe Entscheidungen, die Personen erheblich betreffen? (Ja / Nein / Teilweise)

Risikoklassifizierung

Verbotene Praktiken geprüft

Bestätigt, dass das System nicht unter eine Article-5-verbotene Praxis fällt (Ja / Überprüfung erforderlich)

Annex-III-Kategorie

Entspricht dieses System einem Hochrisiko-Anwendungsfall nach Annex III? (Ja / Nein / Unsicher — Kategorie angeben, wenn Ja)

Risikoniveau

Ihre Einschätzung: Minimal / Begrenzt / Hoch

Compliance-Status

Article 4 (KI-Kompetenz)

Haben relevante Mitarbeiter KI-Kompetenzunterstützung für dieses System erhalten? (Ja / In Bearbeitung / Noch nicht)

Article 50 (Transparenz)

Falls nutzerorientiert: Ist KI-Offenlegung vorhanden? (Ja / Nicht zutreffend / Nein — Maßnahme erforderlich)

Article 26 (Hochrisiko-Betreiber)

Falls Annex III: FRIA-Status, Datenbankregistrierungsstatus (N/A, wenn kein Hochrisiko)

Letztes Compliance-Überprüfungsdatum

Datum, an dem der Compliance-Status dieses Systems zuletzt überprüft wurde

Aufsicht und Kontakte

Interner Verantwortlicher

Name und Rolle der für die Compliance dieses KI-Systems verantwortlichen Person

Anbieterdokumentation

Speicherort der technischen Dokumentation des Anbieters, des Datenverarbeitungsvertrags oder der Konformitätserklärung

Nächstes Überprüfungsdatum

Geplantes Datum der nächsten Compliance-Überprüfung

Wie das Inventar aktuell gehalten wird

Ein veraltetes Inventar schafft Compliance-Lücken. Integrieren Sie diese Praktiken in Ihre KI-Governance-Routine:

Bei jeder neuen KI-Einführung überprüfen

Bevor ein Team ein neues KI-Tool oder einen neuen Dienst abonniert, führen Sie es durch einen kurzen Inventaraufnahmeprozess. Fügen Sie das System hinzu, bevor es in Betrieb geht.

Vierteljährliche Überprüfung

Bitten Sie jedes Quartal jeden Teamleiter zu bestätigen, welche KI-Tools sein Team verwendet. Shadow-KI-Adoption (Tools, die ohne IT-Kenntnis genutzt werden) ist häufig und schafft unentdeckte Compliance-Lücken.

Jährliche Compliance-Überprüfung

Überprüfen Sie einmal jährlich jeden Eintrag auf Änderungen des Compliance-Status — einschließlich ob Systeme, die einmal kein Hochrisiko darstellten, nun unter Annex-III-Kategorien fallen oder ob sich die regulatorische Landschaft verändert hat.

Bei Anbieteränderungen aktualisieren

Wenn ein KI-Tool-Anbieter ein wesentliches Update veröffentlicht, seine Datenverarbeitungsbedingungen ändert oder das ihrem Produkt zugrunde liegende KI-Modell anpasst, den betroffenen Eintrag neu bewerten.

Häufige Fehler bei KMU

Nur IT-beschaffte Tools auflistend — KI-Tools fehlend, die direkt von Abteilungen über SaaS-Abonnements eingeführt wurden
KI, die in Standard-Produktivitätssoftware eingebettet ist (Microsoft 365 Copilot, Google Workspace AI), ohne Überprüfung als außerhalb des Anwendungsbereichs behandeln
Das Inventar einmal erstellen und nie aktualisieren, wenn neue Tools eingeführt werden
Nicht erfassen, welche spezifischen Mitarbeiter mit jedem KI-System interagieren — wodurch Article-4-Kompetenzmaßnahmen nicht zielgerichtet durchgeführt werden können
Datenverarbeitungsverträge der Anbieter nicht ins Inventar aufnehmen, was eine Lücke für die Annex-III-Dokumentationsanforderungen hinterlässt

Häufig gestellte Fragen

Ist ein KI-System-Inventar eine gesetzliche Anforderung nach dem EU-KI-Gesetz?

Das EU-KI-Gesetz schreibt nicht vor, dass Unternehmen ein Dokument erstellen, das ausdrücklich als "KI-System-Inventar" bezeichnet wird. Es ist jedoch praktisch notwendig, um die Compliance mit Article 4 (KI-Kompetenz — Sie müssen wissen, welche KI-Systeme Ihre Mitarbeiter nutzen), Article 50 (Transparenz — Sie müssen wissen, welche KI-Systeme mit Nutzern interagieren) und den Annex-III-Betreiberpflichten nach Article 26 nachzuweisen, die Sie verpflichten, Hochrisiko-KI-Systeme zu identifizieren, zu bewerten und zu registrieren. Ohne ein Inventar ist systematische Compliance nicht erreichbar.

Muss Microsoft 365 Copilot oder ChatGPT Enterprise in meinem KI-Inventar erfasst sein?

Ja. Sowohl Microsoft 365 Copilot als auch ChatGPT Enterprise sind KI-Systeme im Anwendungsbereich der Article-3(1)-Definition des EU-KI-Gesetzes. Jedes KI-Tool, das Ihr Unternehmen professionell nutzt — einschließlich KI-Funktionen, die in Produktivitätssoftware eingebettet sind — sollte bewertet und in Ihr Inventar aufgenommen werden. Der Eintrag sollte den Zweck des Tools, welche Mitarbeiter damit interagieren und seinen Compliance-Status nach Article 4 und Article 50 festhalten.

Wie oft sollte ich mein KI-System-Inventar aktualisieren?

Mindestens: Fügen Sie einen neuen Eintrag hinzu, bevor ein neues KI-Tool professionell genutzt wird, und führen Sie mindestens einmal jährlich eine umfassende Compliance-Überprüfung durch. In der Praxis benötigen viele Unternehmen vierteljährliche Überprüfungen, um KI-Tools zu erfassen, die von einzelnen Teams außerhalb der zentralen IT-Beschaffung eingeführt wurden. Das Inventar sollte auch überprüft werden, wenn ein Anbieter wesentliche Änderungen an seinem KI-Modell oder seinen Datenverarbeitungsbedingungen vornimmt.

Was ist der Unterschied zwischen einem KI-System-Inventar und einem DSGVO-Verzeichnis von Verarbeitungstätigkeiten?

Ein DSGVO-Verzeichnis von Verarbeitungstätigkeiten (VVT) dokumentiert alle personenbezogenen Datenverarbeitungen in Ihrer Organisation. Ein KI-System-Inventar konzentriert sich speziell auf KI-Systeme und deren EU-KI-Gesetz-Compliance-Status. Die beiden überschneiden sich, wo KI-Systeme personenbezogene Daten verarbeiten — was häufig ist — dienen aber unterschiedlichen regulatorischen Zwecken. Sie können als verknüpfte Dokumente geführt werden, mit EU-KI-Gesetz-Compliance-Feldern neben den relevanten VVT-Einträgen für KI-gesteuerte Verarbeitungsaktivitäten.

Gebrauchsfertige Inventarvorlage erhalten

Die Regfortis-Dokumentationspakete enthalten eine bearbeitbare KI-System-Inventar-Vorlage, die auf Article-4-, Article-50- und Annex-III-Compliance-Felder vorgemappt ist. Starten Sie Ihre kostenlose Bewertung, um zu sehen, welches Paket für Ihr Unternehmen geeignet ist.

Kostenlose Bewertung starten

Annex-III-Leitfaden →