Wie bauen Sie ein vollständiges KI-Inventar auf?

Nehmen Sie als Ausgangspunkt eine konkrete Tätigkeit. Ein Textwerkzeug kann sowohl öffentliche Produktinformationen zusammenfassen als auch vertrauliche Personalunterlagen auswerten. Der Anbietername ist in beiden Fällen gleich, die Auswirkungen und die notwendigen Prüfungen unterscheiden sich erheblich. Führen Sie deshalb für unterschiedliche Einsatzzwecke getrennte Einträge oder eindeutig voneinander abgegrenzte Anwendungsfälle. Ein Eintrag sollte erklären, wer das Ergebnis verwendet und was anschließend damit geschieht.

Notieren Sie den fachlichen Zweck in einem vollständigen Satz. Eine Angabe wie Unterstützung der Verwaltung ist zu weit. Aussagekräftiger ist die Beschreibung, dass eingehende allgemeine Anfragen vorsortiert werden und eine Person die Zuordnung vor der Weiterleitung kontrolliert. Ergänzen Sie die eingesetzten Datenarten und die betroffenen Personengruppen. So können Datenschutz, Informationssicherheit und Fachbereich mit derselben Beschreibung arbeiten. Falls noch unklar ist, ob eine Funktion überhaupt als KI-System einzuordnen ist, kennzeichnen Sie die offene Frage. Ein ungeklärter Eintrag ist hilfreicher als eine unbegründete Auslassung.

Eine erste Abfrage sollte nach Arbeitsabläufen fragen und nicht nur nach dem Begriff KI. Fragen Sie beispielsweise, welche Werkzeuge Texte erzeugen, Gespräche zusammenfassen, Dokumente auslesen oder Vorschläge zur Bewertung von Vorgängen liefern. Beschäftigte erkennen eine automatische Funktion oft an ihrem Nutzen, ohne deren technische Grundlage zu kennen. Ergänzen Sie die Antworten um Informationen aus Beschaffung, IT und bestehenden Verträgen. Keine dieser Quellen ist allein vollständig.

Erläutern Sie vorab, dass die Erhebung klare Regeln und geeignete Arbeitsmittel ermöglichen soll. Wer mit pauschalen Sanktionen rechnet, meldet einen Versuch möglicherweise nicht. Eine sachliche Bestandsaufnahme unterscheidet deshalb zwischen Entdeckung, fachlicher Bewertung und Entscheidung über die weitere Nutzung. Erfassen Sie auch Testzugänge und bereits beendete Versuche, wenn darüber noch Daten beim Anbieter liegen könnten. Eine gemeinsame Durchsicht mit den Teams hilft, doppelte Einträge zusammenzuführen und dieselbe Funktion in verschiedenen Anwendungen zu erkennen.

Beginnen Sie mit Feldern, die Entscheidungen tatsächlich unterstützen. Dazu gehören Bezeichnung, Anbieter, verantwortlicher Fachbereich, Zweck, Nutzergruppe, Datenarten, Ergebnisverwendung und aktueller Nutzungsstatus. Verweisen Sie auf die maßgebliche Vertragsfassung und vorhandene technische Informationen. Halten Sie fest, wer die Beschreibung geliefert hat und wann sie zuletzt bestätigt wurde. Ohne diesen Bezug wirkt eine alte Angabe schnell wie eine aktuelle Zusicherung.

Trennen Sie nachgewiesene Angaben von Vermutungen. Die Aussage eines Mitarbeiters über eine mögliche Trainingsnutzung ersetzt keine Prüfung der geltenden Vertragsbedingungen. Schreiben Sie bei fehlenden Informationen offen ungeklärt und benennen Sie eine Person für die Klärung. Begrenzen Sie Freitextfelder, die dieselbe Information in wechselnden Formulierungen sammeln. Einheitliche Statusbegriffe wie erfasst, in Prüfung, eingeschränkt freigegeben und beendet erleichtern die Zusammenarbeit. Eine fachliche Bewertung gehört in einen eigenen Bereich, damit die bloße Aufnahme in das Verzeichnis nicht mit einer Freigabe verwechselt wird.

Das Inventar zeigt, welche Fragen als Nächstes zu bearbeiten sind. Bei personenbezogenen Daten ist die Datenschutzprüfung anzuschließen. Bei vertraulichen Unterlagen werden Zugriffe, Übermittlung und Anbieterbedingungen relevant. Wenn Ergebnisse Entscheidungen über Menschen beeinflussen, muss die rechtliche Einordnung des konkreten Einsatzes genauer betrachtet werden. Der AI Act verwendet einen risikobasierten Ansatz. Eine Beurteilung allein nach Produktnamen lässt den vorgesehenen Verwendungszweck außer Acht.

Definieren Sie interne Auslöser für eine vertiefte Prüfung. Ein Beispiel ist die geplante Verwendung von KI-Ergebnissen bei der Auswahl von Bewerbungen. Ein anderes ist eine neue Verbindung zu einem internen Datenbestand. Diese Auslöser sind organisatorische Hilfen und ersetzen keine rechtliche Klassifizierung. Verknüpfen Sie offene Punkte mit einer zuständigen Person und einer nachvollziehbaren Entscheidung. Eine Freigabe kann sich auf einen begrenzten Test mit geeigneten Daten beziehen. Sie sollte dann ausdrücklich festhalten, welche weitergehende Nutzung davon noch nicht erfasst ist.

Ein Verzeichnis veraltet, wenn es nur jährlich herumgeschickt wird. Nutzen Sie Ereignisse, die ohnehin auftreten. Die Bestellung einer Anwendung, die Aktivierung einer Zusatzfunktion, ein Wechsel des Verantwortlichen oder die Verbindung mit einer neuen Datenquelle können eine Überprüfung auslösen. Beschreiben Sie in der Beschaffung, welche Angaben vorliegen müssen, bevor ein neuer Einsatz startet. Vereinbaren Sie mit der IT, wie Änderungen an bereits freigegebenen Anwendungen an die zuständige Stelle gelangen.

Auch kleine Änderungen können die Bewertung verschieben. Ein Werkzeug, das zunächst nur Formulierungen vorschlägt, kann später automatisch Nachrichten versenden. Damit verändert sich der Einfluss menschlicher Kontrolle. Dokumentieren Sie nicht jede kosmetische Oberfläche, sondern entscheidungsrelevante Änderungen am Zweck, an den Daten oder an der Ergebnisverwendung. Geben Sie Fachverantwortlichen eine kurze Anleitung, wann sie einen Eintrag aktualisieren müssen. Eine Vertretung stellt sicher, dass diese Aufgabe bei Urlaub oder Stellenwechsel nicht liegen bleibt.

Prüfen Sie Ihr Inventar anhand einer konkreten Rückfrage. Können Sie erkennen, welche Anwendung vertrauliche Dokumente erhält, wer ihre Verwendung genehmigt hat und auf welche Bedingungen sich die Genehmigung bezieht? Können Sie feststellen, welche Fachbereiche von einer geänderten Anbieterbedingung betroffen wären? Wenn die Antworten noch zusätzliche Suchaktionen in privaten Postfächern verlangen, fehlen Verbindungen oder verständliche Angaben.

Beginnen Sie die Qualitätskontrolle mit wenigen unterschiedlichen Einsätzen und verbessern Sie das Datenmodell anhand tatsächlicher Lücken. Vermeiden Sie neue Pflichtfelder, die niemand nutzt. Ein brauchbares Register hat nicht möglichst viele Spalten, sondern trägt Entscheidungen. PrivIQ unterstützt die Inventarisierung von KI-Systemen sowie die Dokumentation von Einsatzzwecken und Verantwortlichkeiten. Entscheidend bleibt, dass Ihre Fachbereiche die tatsächliche Nutzung bestätigen. Die Software ordnet Informationen, während die inhaltliche Verantwortung bei den dafür benannten Personen liegt. So bleibt das Inventar auch nach dem ersten Projektabschluss verwendbar.