KI-System-Inventar erstellen 2026: 8-Schritt-Leitfaden

1. Warum ein KI-Inventar Pflicht ist

Auch wenn der EU AI Act keinen expliziten "Inventar"-Artikel hat, ist es operativer Mindeststandard für mehrere Pflichten:

• Art. 4 (seit 02.02.2025) — AI Literacy verlangt, dass Personal über eingesetzte KI geschult ist. Wer kein Inventar hat, kann nicht schulen. Verstöße gegen Art. 4 sind nicht vom Bußgeldkatalog des Art. 99 Abs. 4 erfasst — Sanktionen richten sich nach dem nationalen Recht gemäß Art. 99 Abs. 1.
• Art. 5 — Verbotene Praktiken müssen ausgeschlossen werden. Geht nur mit Übersicht.
• Art. 26 — Betreiber-Pflichten für Hochrisiko-KI. Ohne Klassifizierung keine Pflichterfüllung.
• Art. 99 — Bußgelder gestaffelt: bis 35 Mio. EUR / 7 % (Verbote Art. 5), bis 15 Mio. EUR / 3 % (Abs. 4 — Pflichten der Anbieter Art. 16, Bevollmächtigten Art. 22, Einführer Art. 23, Händler Art. 24, Betreiber Art. 26, notifizierten Stellen Art. 31/33/34 sowie Transparenzpflichten Art. 50), bis 7,5 Mio. EUR / 1 % (falsche Info an Behörden) — Beweislast liegt bei Verantwortlichem.

Der Grund liegt in der Systematik der Verordnung: Die KI-VO (Verordnung (EU) 2024/1689) folgt einem risikobasierten Ansatz — Art und Inhalt der Vorschriften sind auf Intensität und Umfang der Risiken zugeschnitten (Erwägungsgrund 26). Daraus ergeben sich verbotene Praktiken (Art. 5), Hochrisiko-KI-Systeme (Art. 6 ff.) und KI-Systeme mit besonderen Transparenzpflichten (Art. 50). Jede dieser Stufen knüpft am einzelnen KI-System an, nicht am Unternehmen. Wer nicht weiß, welche Systeme im Haus laufen, kann weder die Stufe bestimmen noch die daran hängenden Pflichten zuordnen.

Hinzu kommt die Transparenzebene des Art. 50 KI-VO, die nach Adressat getrennt ist: Anbieter müssen sicherstellen, dass zur direkten Interaktion mit natürlichen Personen bestimmte KI-Systeme diese über den KI-Einsatz informieren (Abs. 1), und synthetische Audio-, Bild-, Video- oder Textinhalte maschinenlesbar als künstlich erzeugt oder manipuliert kennzeichnen (Abs. 2). Betreiber von Emotionserkennungs- oder biometrischen Kategorisierungssystemen informieren die betroffenen Personen (Abs. 3); Betreiber, die Deepfakes erzeugen oder manipulieren, legen offen, dass die Inhalte künstlich erzeugt oder manipuliert wurden (Abs. 4). Welche dieser Pflichten Sie treffen, hängt an Ihrer Rolle je Anwendung — das Inventar ist die Liste, gegen die Sie das abarbeiten.

2. 8-Schritt-Leitfaden

Der Aufbau folgt acht Schritten: erst erfassen, dann prüfen, ob überhaupt ein KI-System vorliegt, dann Modell- und Risikoklasse bestimmen, danach FRIA-Trigger, Rolle, Schulung und Fortschreibung. Die Spalte „Grundlage" nennt die Norm, an die der jeweilige Schritt anknüpft; wo keine Norm den Schritt selbst vorgibt, ist er ausdrücklich als Praxisempfehlung gekennzeichnet.

Schritt 1 — Discovery: erst sammeln, nicht bewerten

Ziel ist eine ungefilterte Roh-Liste aller tatsächlich genutzten Werkzeuge. Was tun: Fachbereiche einzeln befragen, IT-Systeme und Lizenz- beziehungsweise Abrechnungsdaten auswerten und die Ergebnisse in einer Liste zusammenführen — ohne in diesem Schritt schon zu urteilen. Warum: Alle folgenden Prüfungen setzen an einem konkreten System an; was hier fehlt, taucht auch in Klassifizierung, Schulung und Aufsicht nicht auf. Fundstelle: Für die Discovery selbst gibt die KI-VO keine eigene Norm vor — dieser Schritt ist Praxisempfehlung. Verbindlich werden erst die Schritte, die darauf aufsetzen.

Schritt 2 — KI-System ja/nein: der Art.-3-Test

Geprüft wird pro Tool die Legaldefinition. Ein KI-System ist nach Art. 3 Nr. 1 KI-VO ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist, nach seiner Betriebsaufnahme anpassungsfähig sein kann und aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben — etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen — erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können. Warum das dokumentiert gehört: Die Einordnung entscheidet, ob die Verordnung für dieses Tool überhaupt greift. Praxisempfehlung: Halten Sie je Tool fest, welches Definitionsmerkmal Sie bejaht oder verneint haben — die nachvollziehbare Prüfung ist Ihr Nachweis, nicht das Ergebnis allein.

Schritt 3 — GPAI-Markierung: Modellebene von Systemebene trennen

Markiert wird, welche Systeme auf einem KI-Modell mit allgemeinem Verwendungszweck aufsetzen. Nach Art. 3 Nr. 63 KI-VO ist das ein Modell mit erheblicher allgemeiner Verwendbarkeit, das ein breites Spektrum unterschiedlicher Aufgaben kompetent erfüllen kann und in eine Vielzahl nachgelagerter Systeme integrierbar ist. Warum die Markierung zählt: Auf der Modellebene gelten eigene Anbieterpflichten aus Art. 53 KI-VO — technische Dokumentation nach Anhang XI, Informationen für nachgelagerte Anbieter nach Anhang XII, Urheberrechts-Strategie und öffentliche Trainingsdaten-Zusammenfassung — und zwar bereits seit dem 2. August 2025 (Kapitel V, Art. 113 lit. b KI-VO). Für Sie als Betreiber trennt die Spalte die Systeme, die auf einem fremden Modell aufsetzen, von den übrigen: Bei ihnen kann ein Modellwechsel des Anbieters Funktionsumfang und Datenfluss verändern, ohne dass sich das Werkzeug äußerlich ändert.

Schritt 4 — Risiko bestimmen: erst Art. 5, dann Anhang III

Die Risiko-Einstufung läuft in zwei Durchgängen. Zuerst das Verbots-Screening: Art. 5 Abs. 1 KI-VO untersagt unter anderem Social Scoring, die Ausnutzung von Vulnerabilitäten aufgrund von Alter, Behinderung oder sozialer beziehungsweise wirtschaftlicher Lage, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie biometrische Kategorisierung zur Ableitung sensibler Merkmale. Danach der Anhang-III-Check über die acht Bereiche: Biometrie; kritische Infrastruktur; allgemeine und berufliche Bildung; Beschäftigung und Personalmanagement; Zugänglichkeit grundlegender privater und öffentlicher Dienste; Strafverfolgung; Migration, Asyl und Grenzkontrolle; Rechtspflege und demokratische Prozesse (Art. 6 Abs. 2). Der Filter-Mechanismus des Art. 6 Abs. 3 ist eng: Ein gelistetes System gilt ausnahmsweise nicht als hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt — nicht aber, wenn es ein Profiling natürlicher Personen durchführt. Praxisempfehlung: bei Zweifel hoch klassifizieren.

Schritt 5 — FRIA-Trigger: nur für den gesetzlich benannten Betreiberkreis

Die Grundrechte-Folgenabschätzung ist kein Automatismus jeder Hochrisiko-KI. Nach Art. 27 Abs. 1 KI-VO trifft sie Betreiber, bei denen es sich um Einrichtungen des öffentlichen Rechts oder um private Einrichtungen handelt, die öffentliche Dienste erbringen, sowie Betreiber von Hochrisiko-KI-Systemen nach Anhang III Nr. 5 lit. b (Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen) und lit. c (Risikobewertung bzw. Scoring bei Lebens- und Krankenversicherungen). Warum die Spalte trotzdem für jedes Hochrisiko-System gefüllt wird: Sie dokumentiert auch das begründete „nicht erforderlich". Ein privates Unternehmen, das keine öffentlichen Dienste erbringt und Hochrisiko-KI im Personalmanagement (Anhang III Nr. 4) einsetzt, gehört nicht zu diesem Kreis — die datenschutzrechtliche Folgenabschätzung kann davon unberührt bestehen (siehe Abschnitt 3).

Schritt 6 — Anbieter/Betreiber-Rolle: pro Tool, nicht pro Unternehmen

Festzuhalten ist je System, ob Sie Anbieter (Art. 3 Nr. 3 KI-VO) oder Betreiber (Art. 3 Nr. 4 KI-VO) sind — Anbieter entwickelt oder bringt in Verkehr, Betreiber verwendet unter eigener Verantwortung. Die meisten KMU sind reine Betreiber und keine Anbieter. Warum die Zeile pro Tool geführt wird: Die Rolle kann je System unterschiedlich sein und sie kann wechseln. Nach Art. 25 KI-VO wird aus dem Betreiber ein Anbieter, wenn er den Zweck oder die Funktionalität wesentlich ändert oder das System unter eigenem Namen in Verkehr bringt — etwa ein RAG-System auf einer GPAI-Schnittstelle, das als eigenes Produkt vermarktet wird. Welche Pflichten an welcher Rolle hängen, zeigt Abschnitt 7.

Schritt 7 — AI-Literacy-Schulung pro Tool

Geschult wird nicht „KI allgemein", sondern der konkrete Einsatz. Art. 4 KI-VO gilt seit dem 2. Februar 2025 und verlangt, dass Personal über die eingesetzte KI geschult ist; als Inhalte haben sich KI-Definition, Risikoklassen, verbotene Praktiken, Transparenzpflichten und menschliche Aufsicht bewährt. Warum das an der Inventar-Zeile hängt: Ohne Zuordnung Tool → Nutzergruppe → Schulungsdatum lässt sich der Nachweis nicht führen. Zur Sanktionslage siehe Abschnitt 1: Art. 4 fällt nicht unter Art. 99 Abs. 4. Praxisempfehlung: Schulungsdatum, Teilnehmerkreis und ein Wissens-Quiz je Tool dokumentieren.

Schritt 8 — Update-Zyklus verankern

Der letzte Schritt macht aus der Momentaufnahme ein gepflegtes Register: benannte Verantwortliche, feste Review-Termine und definierte Anlässe. Ein quartalsweiser Review-Termin ist eine Praxisempfehlung und keine gesetzliche Frist (siehe Abschnitt 5). Verbindlich sind dagegen die Pflichten, die an einzelnen Systemen hängen: Wer ein neues Hochrisiko-System als Betreiber in Betrieb nimmt, löst damit die Pflichten des Art. 26 KI-VO aus. Welche Anlässe ein Update auslösen sollten, steht ebenfalls in Abschnitt 5.

3. Excel-Vorlage Spalten (Mindeststandard)

Zwölf Spalten reichen für den Mindeststandard — jede davon bedient eine konkrete Prüfung aus den acht Schritten:

1. Tool-Name + Version
2. Anbieter (Hersteller)
3. Use Case (kurzer Satz)
4. GPAI ja/nein (Modell-ID falls bekannt)
5. Datenkategorien verarbeitet
6. Anhang III-Bereich (1-8 oder "kein")
7. Risiko-Klasse (verboten / hoch / begrenzt / minimal)
8. FRIA-Status (nicht erforderlich / offen / abgeschlossen)
9. AI-Literacy-Schulung (Datum)
10. Genehmigt durch / Datum
11. Verantwortlicher Fachbereich
12. Letztes Update + nächste Review

Spalte 5 (Datenkategorien) ist die Brücke zum Datenschutz und die am häufigsten unterschätzte. Sie hält fest, ob personenbezogene Daten und insbesondere besondere Kategorien nach Art. 9 Abs. 1 DSGVO verarbeitet werden — Gesundheitsdaten, biometrische Daten zur eindeutigen Identifizierung, Daten über ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, Sexualleben oder sexuelle Orientierung. Daran hängt die Datenschutz-Folgenabschätzung: Sie ist nach Art. 35 Abs. 1 DSGVO vorab durchzuführen, wenn eine Verarbeitung — insbesondere bei Einsatz neuer Technologien — voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. DSFA und FRIA haben unterschiedliche Auslöser und sind getrennt zu führen; die Abgrenzung im Detail behandelt DSGVO + EU AI Act: Doppel-Pflicht.

Praxisempfehlung für zwei weitere Felder, die keine eigene Norm vorschreibt: ein Verweis auf den Auftragsverarbeitungsvertrag, wenn der Tool-Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet — nach Art. 28 Abs. 1 und 3 DSGVO nur mit Auftragsverarbeitern mit hinreichenden Garantien und auf Grundlage eines Vertrags mit gesetzlich vorgegebenem Mindestinhalt — sowie ein Freitextfeld für die Begründung der Risiko-Einstufung.

4. 12 KMU-Beispiele typischer KI-Tools (Stand 04/2026)

Die folgenden Beispiele zeigen, wie die Spalten 4, 6, 7 und 8 zusammenspielen. Die Tool- und Marktangaben sind der Stand der Erstfassung (04/2026) und hier unverändert übernommen; prüfen Sie Produktstände und Modellwechsel vor der Übernahme in Ihr eigenes Inventar.

Zwei Zeilen sind bewusst unterschiedlich: Beim Kreditscoring greift die FRIA unmittelbar aus Art. 27 Abs. 1 KI-VO, weil Anhang III Nr. 5 lit. b dort ausdrücklich genannt ist. Bei der HR-Recruiting-Software gilt das nicht — Anhang III Nr. 4 löst die FRIA nur aus, wenn der Betreiber zugleich öffentliche Stelle oder privater Erbringer öffentlicher Dienste ist. Dass ein bewertendes HR-System dennoch Hochrisiko ist, folgt aus Anhang III Nr. 4 selbst: CV-Match-Scoring, Performance-Scoring und Workforce-Planning mit Beförderungs- oder Kündigungs-Empfehlungen bewerten Personen; ein reiner HR-FAQ-Chatbot tut das nicht.

5. Update-Zyklus + Triggers

• Quartalsweise: Review aller Einträge, neue Tools nachtragen, Veraltetes streichen
• Trigger-basiert: Anhang III-Änderung, Änderungen der KI-VO wie durch die Digital-Omnibus-Verordnung (EU) 2026/1744 (in Kraft seit 27. Juli 2026), neue Aufsichtsbehörden-FAQs
• Bei jeder Tool-Anschaffung: KI-Check vor Kauf, IT muss "KI ja/nein" markieren
• Bei Vertragsverlängerung: Anbieter-AUP prüfen, Datenfluss aktualisieren

Der quartalsweise Review und die genannten Anlässe sind Praxis-Rhythmen, keine gesetzlichen Fristen: Die KI-VO enthält keinen eigenen Inventar-Artikel (siehe Abschnitt 1) und damit auch kein vorgeschriebenes Intervall für seine Fortschreibung. Gesetzlich fest sind dagegen die Termine des Art. 113 KI-VO (siehe Abschnitt 8) und die Pflichten, die ein neues System auslöst.

Der Digital-Omnibus zur KI ist beschlossen: Die Verordnung (EU) 2026/1744 vom 08.07.2026 ist in Kraft seit 27. Juli 2026. Seither gelten die Hochrisiko-Pflichten der Kapitel III Abschnitte 1–3 für Anhang-III-Systeme ab 2. Dezember 2027 und für Anhang-I-Systeme ab 2. August 2028; der allgemeine Geltungsbeginn 2. August 2026 (u. a. Art. 50) bleibt. Prüfen Sie den jeweils aktuellen Stand vor jeder Terminplanung dennoch an der Primärquelle. Eine weitere Praxisempfehlung zu den Anlässen: Ein Modellwechsel beim Tool-Anbieter (etwa ein Wechsel der Modellgeneration hinter einem Assistenten) ändert Ihre Zeile im Inventar — Datenfluss, GPAI-Markierung und Schulungsinhalt sind dann neu zu prüfen.

6. Audit-Vorbereitung

1. Inventar <6 Monate alt
2. Pro Tool: Genehmigungs-Workflow nachvollziehbar
3. FRIAs für die nach Art. 27 Abs. 1 KI-VO erfassten Betreiber vorbereitet — Art. 27 gehört zu Kapitel III Abschnitt 3 und erfasst nur Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 und Anhang III; für diese gelten die Pflichten der Kapitel III Abschnitte 1–3 nach der Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026, erst ab 2. Dezember 2027 (Art. 113 Abs. 3 lit. c KI-VO)
4. AI-Literacy-Schulungs-Logbuch mit Wissens-Quiz
5. Acceptable Use Policy <12 Monate alt
6. Datenpannen-Verfahren auch für KI-Tools dokumentiert

Die Altersangaben in Punkt 1 und 5 sind Praxisempfehlungen und keine gesetzlichen Fristen. Was dagegen normgestützt vorzulegen ist, hängt an Ihrer Rolle: Als Betreiber eines Hochrisiko-Systems sind das die Relevanzprüfung der Eingabedaten (Art. 26 Abs. 4), die Aufbewahrung der automatisch erzeugten Protokolle über mindestens sechs Monate (Art. 26 Abs. 6) und die Information der betroffenen Beschäftigten (Art. 26 Abs. 7). Praxisempfehlung: Legen Sie je Hochrisiko-Zeile ab, wo die Protokolle gespeichert werden und wer sie herausgeben kann.

Für Punkt 6 gilt die datenschutzrechtliche Seite unverändert weiter: Eine Verletzung des Schutzes personenbezogener Daten ist der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu melden, sofern sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (Art. 33 Abs. 1 DSGVO); bei voraussichtlich hohem Risiko kommt die unverzügliche Benachrichtigung der betroffenen Personen hinzu (Art. 34 Abs. 1 DSGVO).

7. Pflichten je Rolle: was hinter der Rollen-Spalte steckt

Die Rollen-Spalte entscheidet über den Pflichtenumfang: Anbieter tragen die Produktpflichten, Betreiber die Einsatzpflichten, GPAI-Anbieter zusätzlich die Modellpflichten aus Kapitel V. Die folgende Übersicht nennt je Zeile die Pflicht, wen sie trifft und die Fundstelle.

Der Schwellenwert für systemisches Risiko liegt bei einer kumulierten Trainings-Rechenleistung von mehr als 10²⁵ Gleitkommaoperationen; dann werden Fähigkeiten mit hohem Wirkungsgrad angenommen (Art. 51 Abs. 1 und 2 KI-VO). Für die Aufsicht über Kapitel V ist die Europäische Kommission zuständig, die die Durchführung dem Büro für Künstliche Intelligenz überträgt (Art. 88 Abs. 1 KI-VO) — die nationalen Marktüberwachungsbehörden sind für die GPAI-Anbieterpflichten also nicht zuständig. Zum Nachweis können sich Anbieter bis zur Veröffentlichung einer harmonisierten Norm auf Praxisleitfäden nach Art. 56 KI-VO stützen (Art. 53 Abs. 4, bei systemischem Risiko Art. 55 Abs. 2) — die Vermutung der Konformität begründet ausdrücklich nur eine harmonisierte europäische Norm.

8. Gesetzliche Termine im Überblick

Für die Planung zählen die Termine der KI-VO — sie gelten in Deutschland und Österreich identisch. Die folgende Übersicht nennt ausschließlich gesetzliche Termine, keine Praxisempfehlungen.

Für das Inventar heißt das: Die Zeilen mit Anhang-III-Bezug tragen die vollen Betreiber- beziehungsweise Anbieterpflichten der Kapitel III Abschnitte 1–3 ab dem 2. Dezember 2027. Für Systeme, die über Art. 6 Abs. 1 hochriskant werden — Sicherheitsbauteile in Produkten des Anhangs I mit Drittkonformitätsbewertung —, greifen die entsprechenden Pflichten erst ab dem 2. August 2028; Praxisempfehlung: diese Zeilen trotzdem heute schon anlegen und mit dem Termin markieren.

9. Deutschland und Österreich

Die KI-VO ist eine unmittelbar anwendbare EU-Verordnung: Definitionen, Anhang III, die Ausnahme des Art. 6 Abs. 3, die Anbieter- und Betreiberpflichten sowie alle Termine gelten in Österreich wortgleich wie in Deutschland. Die Inventar-Struktur aus den acht Schritten ist damit 1:1 übertragbar; ein Umbau auf nationale Paragrafen ist dafür nicht nötig. National geregelt sind nur die Behördenstruktur und das Sanktionsregime im Rahmen von Art. 99 Abs. 1 KI-VO.

Behörden: Jeder Mitgliedstaat richtet mindestens eine notifizierende Behörde und mindestens eine Marktüberwachungsbehörde ein oder benennt sie; eine Marktüberwachungsbehörde ist als zentrale Anlaufstelle zu benennen, deren Kontaktinformationen bis zum 2. August 2025 öffentlich zugänglich zu machen waren (Art. 70 Abs. 1 und 2 KI-VO). Marktüberwachungsbehörde ist in Deutschland seit 29. Juli 2026 die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG), soweit nicht sektorale Behörden — etwa die BaFin — zuständig sind. Österreich hat bis zum Stand dieses Artikels (17.08.2026) keine Marktüberwachungsbehörde nach Art. 70 KI-VO benannt; die KI-Servicestelle der RTR ist eine Informations- und Beratungsstelle ohne Aufsichtsbefugnis. Praxisempfehlung: Hinterlegen Sie die für Ihren Standort zuständige Anlaufstelle im Inventar-Deckblatt, bevor Sie sie im Ernstfall suchen müssen.

Diskriminierungshaftung im HR-Fall: Hier laufen die Rechtsräume auseinander, und zwar unabhängig von der KI-VO. In Deutschland gilt § 22 AGG: Beweist die eine Partei Indizien, die eine Benachteiligung wegen eines in § 1 AGG genannten Grundes vermuten lassen, trägt die andere Partei die Beweislast dafür, dass kein Verstoß vorlag. In Österreich tritt an diese Stelle die Glaubhaftmachung nach § 12 Abs. 12 GlBG (Diskriminierung wegen des Geschlechts) beziehungsweise § 26 Abs. 12 GlBG (ethnische Zugehörigkeit, Religion oder Weltanschauung, Alter, sexuelle Orientierung): Die betroffene Person macht den Diskriminierungstatbestand glaubhaft, danach obliegt es der beklagten Partei zu beweisen, dass bei Abwägung aller Umstände wahrscheinlich ein anderes Motiv ausschlaggebend war oder ein Rechtfertigungsgrund vorliegt. Das sind unterschiedliche Maßstäbe — die österreichische Regel ist keine Beweislastumkehr deutscher Prägung. Zuständig sind in Österreich die Gleichbehandlungsanwaltschaft und die Gleichbehandlungskommission sowie die Arbeits- und Sozialgerichte, in Deutschland die Antidiskriminierungsstelle des Bundes (§ 25 AGG). Für das Inventar bedeutet das: Bei HR-Systemen gehört der Rechtsraum in die Zeile, weil daran die Nachweisführung hängt.