KI-Inventar im Unternehmen erstellen: Tools, Risiken und Verantwortlichkeiten im Blick behalten

Montagmorgen, ein Teammitglied zeigt dir eine überzeugende Präsentation. Auf Nachfrage erklärt es, dass ein KI-Tool die Folienstruktur, Texte und Bilder vorgeschlagen hat. Das Tool kennst du nicht, die IT hat es nicht freigegeben, und niemand kann spontan sagen, welche Daten eingegeben wurden. Genau in solchen Situationen zeigt sich: KI-Nutzung findet längst nicht nur dort statt, wo sie offiziell eingeführt wurde.

Seit die Pflichten des EU AI Act schrittweise praktisch relevant werden, reicht es nicht mehr, KI nur als allgemeines Digitalisierungsthema zu behandeln. Du brauchst als Führungskraft einen belastbaren Überblick: Welche KI-Systeme werden genutzt? Wofür? Mit welchen Daten? Wer entscheidet über den Einsatz? Und was passiert, wenn ein Tool Fehler produziert, vertrauliche Informationen verarbeitet oder Entscheidungen beeinflusst?

Ein schlankes KI-Inventar beantwortet diese Fragen. Es ist keine bürokratische Liste für die Schublade, sondern eine Arbeitsgrundlage für sichere Entscheidungen, klare Verantwortlichkeiten und eine realistische KI-Strategie.

Infografik zu KI-Inventar im Unternehmen erstellen: Tools, Risiken und Verantwortlichkeiten im Blick behalten (KI-generiert).

Warum ein KI-Inventar jetzt zur Führungsaufgabe gehört

Ein KI-Inventar erfasst die Systeme, die im Unternehmen tatsächlich eingesetzt werden oder deren Einführung geplant ist. Dazu gehören nicht nur große Softwarelösungen mit eingebauter KI. Auch Browser-Erweiterungen, Meetingassistenten, Textgeneratoren, Übersetzungstools, Analysefunktionen in Fachsoftware, Chatbots und selbst erstellte Anwendungen können relevant sein.

Ohne Inventar entstehen typische blinde Flecken:

• Teams verwenden unterschiedliche Tools für ähnliche Aufgaben, ohne abgestimmte Qualitäts- und Datenschutzregeln.
• Mitarbeitende geben sensible Inhalte in öffentliche KI-Dienste ein, weil die Grenzen nicht klar sind.
• Entscheidungen werden durch KI-Ergebnisse beeinflusst, ohne dass Prüfschritte definiert sind.
• Verantwortliche erfahren erst von einer Anwendung, wenn ein Fehler, eine Beschwerde oder eine Sicherheitsfrage auftaucht.
• Das Unternehmen kann nicht nachvollziehen, welche Kompetenzen Mitarbeitende für den verantwortungsvollen Einsatz benötigen.

Der EU AI Act arbeitet mit unterschiedlichen Rollen und Risikostufen. Ob dein Unternehmen Anbieter, Betreiber, Importeur, Händler oder nur Nutzer eines Systems ist, hängt vom konkreten Einsatz ab. Für Führungskräfte ist vor allem wichtig: Die rechtliche und organisatorische Bewertung gelingt nur, wenn bekannt ist, welche Systeme überhaupt im Umlauf sind.

Das Inventar ersetzt keine Rechtsberatung und keine technische Sicherheitsprüfung. Es schafft aber die Voraussetzung dafür, dass Fachbereiche, IT, Datenschutz, Informationssicherheit, Personalbereich und Geschäftsführung über dieselben Anwendungen sprechen.

Welche Systeme gehören in das Inventar?

Starte bewusst breit. Die häufigste Schwäche besteht darin, nur zentral beschaffte Software zu erfassen. Gerade Fachbereiche organisieren sich oft selbst Lösungen, etwa für Marketingtexte, Bewerberkommunikation, Datenanalyse oder Kundensupport.

Nimm mindestens diese Kategorien auf:

• Generative KI für Texte, Bilder, Präsentationen, Programmcode oder Übersetzungen
• KI-Funktionen in bestehender Büro-, CRM-, ERP- oder Projektsoftware
• KI-Meetingassistenten für Aufzeichnung, Transkription und Zusammenfassung
• Chatbots für Mitarbeitende, Kundinnen und Kunden oder Bewerbende
• KI-gestützte Analyse-, Prognose- und Empfehlungssysteme
• Automatisierungen und KI-Agenten, die selbstständig Schritte in Prozessen ausführen
• Eigenentwicklungen, No-Code-Anwendungen und fachbereichsnahe Prototypen
• Externe Dienstleister, die KI bei der Leistungserbringung einsetzen

Wichtig ist die Abgrenzung: Nicht jedes digitale Werkzeug ist ein KI-System. Sobald ein System Inhalte erzeugt, Muster auswertet, Empfehlungen gibt, priorisiert, vorhersagt oder Entscheidungen unterstützt, solltest du genauer hinschauen. Im Zweifel ist es sinnvoller, einen Eintrag zunächst aufzunehmen und später fachlich einzuordnen.

Wenn bei dir bereits ungeklärte Tools im Umlauf sind, hilft unser Beitrag Schatten-KI im Team erkennen und sicher nutzen bei der ersten Bestandsaufnahme.

Die schlanke Struktur für dein KI-Inventar

Ein brauchbares Inventar muss nicht sofort ein komplexes Governance-System sein. Für den Anfang genügt eine zentrale, zugriffsgeschützte Liste oder ein geeignetes internes Tool. Entscheidend ist, dass die Felder einheitlich gepflegt werden.

Erfasse pro System mindestens folgende Informationen:

Feld	Leitfrage
Name des Systems	Wie heißt das Tool oder die KI-Funktion?
Anbieter und Version	Wer stellt es bereit, und welche Variante wird genutzt?
Einsatzgebiet	Welche konkrete Aufgabe unterstützt das System?
Nutzende Einheit	Welches Team oder welcher Fachbereich setzt es ein?
Prozessbezug	In welchem Arbeitsablauf wird das System verwendet?
Datenarten	Werden öffentliche, interne, vertrauliche oder personenbezogene Daten verarbeitet?
Ergebnisse	Erzeugt das System Texte, Empfehlungen, Bewertungen, Entscheidungen oder automatisierte Aktionen?
Risikoeinschätzung	Welche möglichen Schäden, Fehler oder Abhängigkeiten sind erkennbar?
Freigabestatus	Ist der Einsatz geplant, geprüft, freigegeben, eingeschränkt oder untersagt?
Verantwortliche Person	Wer trägt fachlich die Verantwortung für Zweck, Nutzung und Aktualisierung?
Prüftermin	Wann wird der Eintrag erneut bewertet?

Der Eintrag „Chatbot für Texte“ wäre zu ungenau. Besser ist: „KI-Assistent des Anbieters X zur Erstellung erster Entwürfe für interne Vertriebspräsentationen. Keine Eingabe von Kundendaten, Vertragsinhalten oder personenbezogenen Daten. Ergebnisse werden vor Nutzung durch die Vertriebsleitung geprüft.“

So wird aus einer bloßen Toolliste ein nachvollziehbarer Steuerungsmechanismus.

Datenarten und Risiken verständlich bewerten

Viele Teams denken bei Risiken zuerst an Datenschutz. Das ist wichtig, aber nicht der einzige Punkt. Ein KI-System kann auch durch unzutreffende Ergebnisse, Verzerrungen, fehlende Nachvollziehbarkeit, Urheberrechtsfragen oder unklare Verantwortlichkeiten problematisch werden.

Für eine erste Bewertung kannst du fünf Fragen stellen:

• Welche Daten werden eingegeben, abgerufen oder verarbeitet?
• Wer ist von den Ergebnissen betroffen?
• Welche Folgen hätte ein falsches, diskriminierendes oder erfundenes Ergebnis?
• Führt das System nur zu einem Entwurf, oder beeinflusst es Entscheidungen?
• Kann ein Mensch die Ergebnisse fachlich prüfen und korrigieren?

Besonders aufmerksam solltest du werden, wenn KI in Personalprozessen, bei Leistungsbewertungen, Kredit- oder Versicherungsentscheidungen, im Zugang zu Dienstleistungen, in Sicherheitskontexten oder bei der Bewertung von Menschen eingesetzt wird. Solche Einsatzfelder können unter den EU AI Act in strengere Kategorien fallen. Ziehe bei der konkreten Einordnung frühzeitig die zuständigen Fachstellen im Unternehmen hinzu.

Auch bei scheinbar einfachen Anwendungen gilt: KI-Ausgaben sind Vorschläge, keine Tatsachen. Unser Leitfaden KI-Ergebnisse im Team prüfen: Qualität und Verantwortung sichern zeigt, wie du Prüfschritte im Arbeitsalltag verbindlich machst.

Verantwortlichkeiten klar und realistisch verteilen

Ein Inventar scheitert oft nicht an der Tabelle, sondern an fehlenden Zuständigkeiten. „Die IT kümmert sich um KI“ ist zu pauschal. Die IT kann technische Fragen bewerten, kennt aber nicht immer den fachlichen Zweck, die tatsächlichen Nutzungsweisen oder die Folgen im jeweiligen Prozess.

Bewährt hat sich eine Verteilung in vier Rollen:

• Die Fachverantwortung beschreibt Zweck, Nutzen, Nutzungsgrenzen und betroffene Prozesse.
• Die IT oder Informationssicherheit bewertet technische Integration, Zugriffsrechte und Sicherheitsanforderungen.
• Datenschutz und gegebenenfalls weitere Fachstellen prüfen Anforderungen, sobald personenbezogene oder besonders schutzbedürftige Daten betroffen sind.
• Die Führungskraft sorgt dafür, dass Regeln im Team bekannt sind, eingehalten werden und Rückmeldungen nicht versanden.

Für jedes KI-System braucht es dennoch eine konkret benannte Person. Diese Person muss nicht alle Prüfungen selbst durchführen. Sie stellt aber sicher, dass der Eintrag aktuell bleibt, Änderungen gemeldet werden und offene Punkte nicht verschwinden.

Bei KI-Tools, die neu beschafft oder unternehmensweit zugelassen werden sollen, brauchst du einen wiederholbaren Freigabeprozess. Wie dieser praxistauglich aussehen kann, erfährst du in unserem Beitrag KI-Tools im Unternehmen freigeben: Ein praxistauglicher Prozess für Führungskräfte.

So führst du das Inventar ohne Widerstand ein

Wenn du ankündigst, alle KI-Tools erfassen zu wollen, befürchten manche Mitarbeitende Kontrolle oder Verbote. Diese Reaktion ist nachvollziehbar, besonders wenn Teams KI bereits nutzen, um Zeit zu sparen oder Qualität zu verbessern.

Kommuniziere deshalb den Zweck klar: Es geht nicht darum, sinnvolle Eigeninitiative nachträglich zu bestrafen. Es geht darum, gute Anwendungen sicher nutzbar zu machen und kritische Risiken früh zu erkennen.

Ein pragmatischer Ablauf sieht so aus:

• Eröffne eine zeitlich begrenzte Meldephase und bitte alle Teams, genutzte oder getestete KI-Anwendungen zu benennen.
• Frage zunächst einfach nach Tool, Zweck, Team und eingegebenen Daten.
• Bündele ähnliche Anwendungen und identifiziere besonders kritische Fälle für eine vertiefte Prüfung.
• Entscheide sichtbar über Freigabe, Einschränkungen, Ersatzlösungen oder Beendigung der Nutzung.
• Veröffentliche verständliche Teamregeln und eine aktuelle Liste der zugelassenen Systeme.
• Wiederhole die Erhebung regelmäßig und verankere sie im Beschaffungs- und Einführungsprozess.

Psychologische Sicherheit ist dabei entscheidend. Wenn Mitarbeitende Nachteile befürchten, werden sie Schattenlösungen eher verbergen als melden. Unser Artikel KI im Team einführen, ohne Ängste zu schüren unterstützt dich dabei, Orientierung zu geben und zugleich offen für Erfahrungen aus dem Arbeitsalltag zu bleiben.

Aktualisierung ist wichtiger als die erste Erfassung

Ein KI-Inventar ist nie abgeschlossen. Anbieter ändern Funktionen, neue Modelle werden integriert, Datenflüsse verändern sich und Teams entdecken neue Einsatzmöglichkeiten. Ein einmal jährlich gepflegtes Dokument ist deshalb häufig zu träge.

Lege für jeden Eintrag einen Überprüfungstermin fest. Zusätzlich sollte eine Aktualisierung verpflichtend sein, wenn sich einer dieser Punkte ändert:

• Neue Datenarten werden verarbeitet.
• Das Tool wird in einem weiteren Fachbereich eingesetzt.
• Eine KI-Funktion trifft oder beeinflusst stärker als bisher Entscheidungen.
• Der Anbieter, die Vertragsgrundlage oder die technische Einbindung ändern sich.
• Ein Vorfall, eine Beschwerde oder ein auffälliges Fehlerbild tritt auf.

Verknüpfe das Inventar außerdem mit bestehenden Abläufen. Bei Softwarebeschaffung, Prozessänderungen, neuen Projekten und Tooltests sollte die Frage nach KI-Einsatz fest dazugehören. So muss niemand später mühsam rekonstruieren, was bereits eingeführt wurde.

Ein belastbares KI-Inventar macht nicht jede Anwendung automatisch sicher. Es sorgt jedoch dafür, dass du nicht im Blindflug führst. Du erkennst, wo KI echten Nutzen stiftet, wo Regeln fehlen und wer die Verantwortung übernimmt. Passende Seminare und Termine findest du bei uns auf cmt.de.