Warum die KI-Bestandsaufnahme zum Pflicht-Schritt wird
Der EU AI Act (Verordnung (EU) 2024/1689) gilt gestaffelt. Erste Pflichten sind bereits in Kraft, darunter das Verbot bestimmter KI-Praktiken und die Pflicht, dass Mitarbeitende im Umgang mit KI ausreichend geschult sind. Weitere Stufen folgen, die strengsten Pflichten für Hochrisiko-Systeme wurden zuletzt zeitlich nach hinten verschoben. In Deutschland übernimmt das BSI die Aufsicht.
Was auch immer im Detail greift: Ohne Überblick über die eingesetzten Systeme ist keine Bewertung möglich.
Die Bestandsaufnahme ist der erste Schritt, und sie lohnt sich auch dann, wenn der EU AI Act für Sie nicht unmittelbar verpflichtend ist. Sie schafft die Grundlage für interne Regeln, für Datenschutz-Bewertungen nach DSGVO und für ein späteres KI-Managementsystem nach ISO/IEC 42001.
Schatten-KI: das unterschätzte Risiko
Schatten-KI ist KI-Nutzung, von der IT und Compliance nichts wissen, vergleichbar mit der klassischen Schatten-IT.
- In der Praxis sind das private ChatGPT-Konten, mit denen Geschäftsdokumente bearbeitet werden
- Stillschweigend aktivierte KI-Funktionen in vorhandener Software wie Copilot
- Einzeln beschaffte KI-Tools für Transkription oder Übersetzung
- Eigene Automatisierungen mit eingebundener KI.
Das ist weniger ein technisches als ein Compliance-Problem. Kopiert jemand einen Mandantenvertrag in ein öffentliches KI-Tool, ist das in der Regel ein DSGVO-Vorfall, je nach Vertragslage auch ein Verstoß gegen Kundenvereinbarungen. Die Bestandsaufnahme macht solche Risiken sichtbar und schafft die Basis für klare Nutzungsregeln.
Wie wir vorgehen
Eine Bestandsaufnahme dauert je nach Unternehmensgröße zwei bis vier Wochen und folgt vier Schritten.
- Wir führen strukturierte Gespräche mit Schlüsselpersonen aus IT, HR, Marketing, Vertrieb, Einkauf und Recht, um bekannte und vermutete KI-Nutzung zu erfassen.
- Parallel erheben wir technisch, welche Systeme tatsächlich im Einsatz sind.
- Jedes gefundene System ordnen wir einer Risiko-Klasse des EU AI Act zu, mit nachvollziehbarer Begründung.
- Am Ende steht ein strukturierter Bericht mit Risiko-Bewertung und priorisierten Handlungs-Empfehlungen.
Die Bestandsaufnahme ist ein abgeschlossenes Mandat ohne Verpflichtung zur Folge-Beratung. Das Ergebnis dient der Geschäftsleitung als Entscheidungsgrundlage.
Was Sie am Ende in der Hand haben
Sie erhalten ein vollständiges KI-Inventar, das pro System festhält:
- Was es ist
- Wer es wofür nutzt
- Welche Daten verarbeitet werden
- Welcher Risiko-Klasse es zugeordnet ist und wer im Unternehmen dafür verantwortlich ist
Erkennbare Compliance-Lücken sind mit einer Handlungs-Priorität versehen. Das Inventar wird in einem Format geliefert, das Sie selbst weiterpflegen oder in vorhandene Systeme übernehmen können. Da ein einmaliges Inventar schnell veraltet, geben wir eine Methodik mit, wie Sie es im Tagesgeschäft aktuell halten.
Anschluss an ISO/IEC 42001 und Ihr ISMS
ISO/IEC 42001 ist die internationale Norm für KI-Managementsysteme, das Pendant zu ISO/IEC 27001, aber für KI-Governance. Das Inventar aus der Bestandsaufnahme ist zugleich der erste Baustein eines solchen Managementsystems.
Für Unternehmen mit bestehendem ISMS nach ISO/IEC 27001 ist das besonders effizient: ISO/IEC 42001 ist gleich aufgebaut und kann auf vorhandene Risiko-Methodik, Dokumenten-Lenkung und Audit-Prozesse aufsetzen. Es entsteht kein zweites ISMS. Die Bestandsaufnahme klärt früh, welche Synergien bestehen und was neu aufzubauen ist.
Häufig gestellte Fragen
Sechs Fragen, die in fast jedem Bestandsaufnahme-Erstgespräch vorkommen. Klicken Sie eine Frage an, um die Antwort zu sehen.
Wir wissen schon, was wir an KI nutzen. Brauchen wir trotzdem eine Bestandsaufnahme?
Die meisten Geschäftsleitungen kennen erfahrungsgemäß 60 bis 70 Prozent der KI-Nutzung im Haus. Der nicht bekannte Teil ist der riskantere: private Konten in Marketing und Vertrieb, KI-Funktionen in vorhandener Software, ungeklärte Lieferanten-Nutzung. Eine Bestandsaufnahme bringt diese Lücke ans Licht. Bei Unternehmen mit weniger als 50 Mitarbeitenden ist der Aufwand entsprechend kleiner.
Wie aufwendig ist eine Bestandsaufnahme für einen Mittelständler?
Der Aufwand hängt von Größe, Standortzahl und Komplexität der IT-Landschaft ab. Bei mehreren Standorten ist er höher, bei kleinen Unternehmen oft sehr kompakt. Die konkrete Kalkulation erfolgt aufwandsbasiert nach dem Scoping-Gespräch.
Ist eine Bestandsaufnahme schon nach EU AI Act verpflichtend?
Nicht als formaler Schritt, aber faktisch unverzichtbar. Der EU AI Act verlangt, dass Sie Hochrisiko-Systeme im Unternehmen kennen und entsprechend behandeln. Ohne Überblick wissen Sie nicht, welche Systeme das sind. Spätestens bei einer Aufsichts-Prüfung oder gegenüber Kunden wird die Bestandsaufnahme zum wesentlichen Element der Nachweisführung.
Können wir die Bestandsaufnahme selbst durchführen?
Grundsätzlich ja. In der Praxis stoßen interne Teams aber regelmäßig an Grenzen: Die regulatorische Einordnung fällt schwer, und Schatten-KI wird leicht übersehen, gerade weil sie außerhalb der bekannten Wege läuft. Ein externer Blick beschleunigt die Erhebung und liefert eine belastbare Einstufung.
Was passiert, wenn wir verbotene KI-Praktiken finden?
Im mittelständischen Umfeld ist das selten, da die meisten Verbote auf staatliche oder sehr spezifische Anwendungen zielen. Sollte sich doch ein Fall finden, dokumentieren wir ihn sauber und unterstützen Sie bei der Kommunikation gegenüber Aufsichtsbehörden, falls eine Meldung nötig ist.
Wie aktuell muss das KI-Inventar gehalten werden?
Wir empfehlen eine regelmäßige Aktualisierung, da KI-Tools schnell beschafft und schnell aktiviert werden. Ohne laufende Pflege veraltet ein einmaliges Inventar rasch. Die nötige Methodik dafür liefern wir mit, sodass sich die Pflege in Ihre vorhandenen Abläufe einfügt.
Wie wir die KI-Bestandsaufnahme durchführen.
Wir verbinden strukturierte Gespräche mit technischer Erhebung und liefern ein vollständiges Inventar mit Risiko-Einstufung nach EU AI Act. Unser Vorgehen ist auf Tempo ausgelegt: Erstgespräch, Interviews und technische Erhebung innerhalb von zwei Wochen, danach eine Woche für den Bericht.
EU AI Act, ISO/IEC 42001 und ISO/IEC 27001 denken wir von Anfang an zusammen, auch wenn noch keine Zertifizierung ansteht, damit das Inventar später ohne Bruch in ein Managementsystem überführbar ist. Auf Wunsch begleiten wir die nächsten Schritte.