KI-System-Inventar erstellen 2026: 8-Schritt-Leitfaden

Q: Ist ein KI-Inventar Pflicht?

Indirekt ja: Art. 26 EU AI Act verlangt von Betreibern Hochrisiko-KI-Dokumentation, Art. 4 AI Literacy verlangt Wissen über eingesetzte KI. Ohne Inventar nicht erfüllbar.

Q: Welche Tools zählen als 'KI-System' nach Art. 3?

Maschinelles Lernen-Modelle, Logik-/wissensbasierte Systeme mit Inferenzfunktion, statistische Verfahren mit Optimierungslernen. ChatGPT, Copilot, Claude, Gemini, Mistral, alle GPAI-basierten Tools sind KI-Systeme.

Q: Wie tief muss das Inventar gehen?

Pro KI-System: Anbieter, Use Case, Datenkategorien, GPAI ja/nein, Risiko-Klasse, FRIA-Status, Verantwortlicher, Genehmigungs-Datum. Min. 8 Spalten.

Q: Wer pflegt das Inventar?

Verantwortlicher (Geschäftsführung delegiert) oder benannter KI-Beauftragter. Empfehlung: zentrale Stelle, dezentrale Eingaben durch Fachbereiche.

Q: Wie oft aktualisieren?

Bei jeder Änderung der KI-Nutzung + mindestens jährlich. Trigger: neue Tools, Vertragsverlängerungen, Anhang-III-Änderungen, Trilog-Beschlüsse zum Digital-Omnibus-Vorschlag (19.11.2025, Stand 02.05.2026 NICHT beschlossen).

Q: Was, wenn Anhang III sich ändert?

Re-Klassifizierung aller Use Cases. Aktuell (Stand 02.05.2026): Filter-Mechanismus nach Art. 6 Abs. 3 — nur 'wesentlicher Beitrag zur Entscheidung' = Hochrisiko. Digital-Omnibus-Vorschlag (19.11.2025) im Trilog, noch nicht beschlossen.

Stand: 02.05.2026 · Letzte Prüfung: 02.05.2026· Kategorie: EU AI Act

Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Wir sind Compliance-Spezialist, keine Anwaltskanzlei. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.

TL;DR

KI-Inventar ist Voraussetzung für Art. 4 (AI Literacy) + Art. 26 (Betreiber-Pflichten)
8-Schritt-Aufbau: Discovery → Klassifizierung → GPAI-Markierung → Risiko → FRIA-Trigger → Anbieter/Betreiber → Schulung → Update
Mindest-Spalten: 12 (Tool-Name, Anbieter, Use Case, GPAI ja/nein, Datenklasse, Anhang III, Risiko, FRIA, AI-Lit., Genehmigungsdatum, Verantwortlicher, Update)
Update-Zyklus: bei Änderung + jährlich
Bußgeldrisiko: bis 15 Mio. EUR / 3 % (Art. 99 Abs. 4 — Hochrisiko-/Operator-Pflichten); bis 7,5 Mio. EUR / 1 % (Art. 99 Abs. 5 — falsche Info an Behörden)

1. Warum ein KI-Inventar Pflicht ist

Auch wenn der EU AI Act keinen expliziten "Inventar"-Artikel hat, ist es operativer Mindeststandard für mehrere Pflichten:

Art. 4 (seit 02.02.2025) — AI Literacy verlangt, dass Personal über eingesetzte KI geschult ist. Wer kein Inventar hat, kann nicht schulen.
Art. 5 — Verbotene Praktiken müssen ausgeschlossen werden. Geht nur mit Übersicht.
Art. 26 — Betreiber-Pflichten für Hochrisiko-KI. Ohne Klassifizierung keine Pflichterfüllung.
Art. 99 — Bußgelder gestaffelt: bis 35 Mio. EUR / 7 % (Verbote Art. 5), bis 15 Mio. EUR / 3 % (Hochrisiko-/Operator-Pflichten inkl. AI-Literacy), bis 7,5 Mio. EUR / 1 % (falsche Info an Behörden) — Beweislast liegt bei Verantwortlichem.

2. 8-Schritt-Leitfaden

Schritt	Aktivität	Output
1. Discovery	Mitarbeiter-Befragung, IT-Systeme-Scan, Auswertung Lizenzen	Roh-Liste >=20 Tools
2. KI-System ja/nein	Art. 3-Test pro Tool	Bereinigte Liste
3. GPAI-Markierung	Modell-Klassifikation (ChatGPT, Claude, Gemini = GPAI)	GPAI-Spalte
4. Anhang III-Check	8 Bereiche, Filter-Mechanismus prüfen	Hochrisiko-Markierung
5. FRIA-Trigger	Bei Hochrisiko + bestimmten Betreibern (Art. 27)	FRIA-To-Do-Liste
6. Anbieter/Betreiber-Rolle	Pro Tool dokumentieren	Rollen-Spalte
7. AI-Literacy-Schulung pro Tool	Individuelle Schulungspflichten	Trainings-Plan
8. Update-Zyklus	Quartalsweise Review-Termin	Verantwortliche, Termine

3. Excel-Vorlage Spalten (Mindeststandard)

Tool-Name + Version
Anbieter (Hersteller)
Use Case (kurzer Satz)
GPAI ja/nein (Modell-ID falls bekannt)
Datenkategorien verarbeitet
Anhang III-Bereich (1-8 oder "kein")
Risiko-Klasse (verboten / hoch / begrenzt / minimal)
FRIA-Status (nicht erforderlich / offen / abgeschlossen)
AI-Literacy-Schulung (Datum)
Genehmigt durch / Datum
Verantwortlicher Fachbereich
Letztes Update + nächste Review

Vorlage als Excel + 12 vorausgefüllte KMU-Beispiele im EU-AI-Act-Kit.

4. 12 KMU-Beispiele typischer KI-Tools (Stand 04/2026)

Tool	Use Case	GPAI	Risiko	Pflicht
ChatGPT Enterprise	Allgemeine Texterstellung	ja	begrenzt (Art. 50 Transparenz)	AUP, AI-Lit.
Microsoft 365 Copilot	Office-Assistenz	ja (GPT-4)	begrenzt	AUP, Datenklassifikation
Claude (Anthropic)	Recherche, Code-Hilfe	ja	begrenzt	AUP, AI-Lit.
HR-Recruiting-Software (mit ML-Score)	Bewerber-Scoring	nein	HOCH (Anhang III, 4)	FRIA, Bias-Test
Lohnabrechnungs-KI (Anomaly-Detection)	Fehler-Erkennung	nein	minimal	nur Doku
DeepL Pro	Übersetzung	nein (NMT)	minimal	nur Doku
Grammarly	Sprachoptimierung	nein	minimal	nur Doku
Zendesk AI (Chatbot)	Customer Support	ja (GPAI-basiert)	begrenzt (Art. 50)	AUP, Bot-Markierung
Otter.ai (Transkription)	Meeting-Transkription	ja (Whisper-basiert)	minimal	nur Doku
Sales-Forecast-Tool	Umsatz-Prognose	nein	minimal	nur Doku
Kreditscoring-Software	Kreditvergabe-Empfehlung	variabel	HOCH (Anhang III, 5)	FRIA, Bias-Test
Spam-Filter (klassisch)	E-Mail-Filter	nein (Bayes)	minimal	nur Doku

5. Update-Zyklus + Triggers

Quartalsweise: Review aller Einträge, neue Tools nachtragen, Veraltetes streichen
Trigger-basiert: Anhang III-Änderung, Trilog-Beschlüsse zum Digital-Omnibus-Vorschlag (19.11.2025, Stand 02.05.2026 NICHT beschlossen), neue Aufsichtsbehörden-FAQs
Bei jeder Tool-Anschaffung: KI-Check vor Kauf, IT muss "KI ja/nein" markieren
Bei Vertragsverlängerung: Anbieter-AUP prüfen, Datenfluss aktualisieren

6. Audit-Vorbereitung

Inventar <6 Monate alt
Pro Tool: Genehmigungs-Workflow nachvollziehbar
FRIAs für Hochrisiko-Use-Cases ab 02.08.2026 vorhanden (Vorschlag DO 19.11.2025: Verschiebung auf 02.12.2027 — noch nicht beschlossen)
AI-Literacy-Schulungs-Logbuch mit Wissens-Quiz
Acceptable Use Policy <12 Monate alt
Datenpannen-Verfahren auch für KI-Tools dokumentiert

Häufig gestellte Fragen

Ist ein KI-Inventar Pflicht?

Indirekt ja: Art. 26 EU AI Act verlangt von Betreibern Hochrisiko-KI-Dokumentation, Art. 4 AI Literacy verlangt Wissen über eingesetzte KI. Ohne Inventar nicht erfüllbar.

Welche Tools zählen als 'KI-System' nach Art. 3?

Maschinelles Lernen-Modelle, Logik-/wissensbasierte Systeme mit Inferenzfunktion, statistische Verfahren mit Optimierungslernen. ChatGPT, Copilot, Claude, Gemini, Mistral, alle GPAI-basierten Tools sind KI-Systeme.

Wie tief muss das Inventar gehen?

Pro KI-System: Anbieter, Use Case, Datenkategorien, GPAI ja/nein, Risiko-Klasse, FRIA-Status, Verantwortlicher, Genehmigungs-Datum. Min. 8 Spalten.

Wer pflegt das Inventar?

Verantwortlicher (Geschäftsführung delegiert) oder benannter KI-Beauftragter. Empfehlung: zentrale Stelle, dezentrale Eingaben durch Fachbereiche.

Wie oft aktualisieren?

Bei jeder Änderung der KI-Nutzung + mindestens jährlich. Trigger: neue Tools, Vertragsverlängerungen, Anhang-III-Änderungen, Trilog-Beschlüsse zum Digital-Omnibus-Vorschlag (19.11.2025, Stand 02.05.2026 NICHT beschlossen).

Was, wenn Anhang III sich ändert?

Re-Klassifizierung aller Use Cases. Aktuell (Stand 02.05.2026): Filter-Mechanismus nach Art. 6 Abs. 3 — nur 'wesentlicher Beitrag zur Entscheidung' = Hochrisiko. Digital-Omnibus-Vorschlag (19.11.2025) im Trilog, noch nicht beschlossen.

Quellen

Stand: 02.05.2026

Verordnung (EU) 2024/1689 (KI-VO) — Art. 4, 6, 26, 99 (EUR-Lex DE) (Stand: 02.05.2026)
AI Act Art. 99 — Bußgeld-Tier (Service Desk)
AI Act Annex III — 8 Hochrisiko-Bereiche
EU-Kommission — Digital-Omnibus-Vorschlag (Stand: 02.05.2026, Trilog läuft)
EU AI Office — GPAI Code of Practice (Stand: 02.05.2026)

Werkzeuge & Selbsttests

EU AI Act Schnelltest Klassifiziert Ihr KI-System nach Risiko-Stufe (Art. 6, Annex III). Bussgeld-Rechner Berechnen Sie das potenzielle Bussgeld-Risiko fuer Ihr Unternehmen. EU AI Act Self-Assessment Klassifizierung + Pflichten-Mapping fuer alle KI-Systeme im Unternehmen. KI-Inventar Schnellcheck Systematische Erfassung Ihrer KI-Anwendungen in 8 Schritten.