KI im Betrieb erfassen: Inventur, Zuständigkeit und Aufsicht

In fast jedem Betrieb, mit dem wir sprechen, läuft mehr KI als die Geschäftsführung glaubt. Der Übersetzungsdienst im Browser, die Transkription im Videocall, der Textassistent im CRM, das private ChatGPT-Konto der Vertriebsleiterin. Wer den EU AI Act ernst nehmen will, fängt deshalb nicht bei den Risikoklassen an, sondern bei einer ehrlichen Liste.

Dieser Beitrag ist die Arbeitsanleitung dafür: wie Sie die Inventur aufziehen, welche Felder in das KI-Register gehören, wer im Haus welche Rolle übernimmt und wie menschliche Aufsicht im Alltag aussieht. Die rechtliche Seite mit Risikoklassen, Rollen nach der Verordnung und Sanktionen behandeln wir ausführlich in der Checkliste zu den Pflichten aus dem EU AI Act.

Warum die Inventur vor jeder Rechtsfrage kommt

Die KI-Verordnung knüpft ihre Pflichten an zwei Fragen: Welche Rolle hat Ihr Unternehmen bei einem System (Anbieter oder Betreiber), und in welche Risikoklasse fällt die konkrete Verwendung? Beide Fragen lassen sich nur je System beantworten. Ein Unternehmen ohne Liste kann also gar nicht sagen, welche Pflichten es trifft.

Dazu kommt ein praktischer Grund. Datenschutz, IT-Sicherheit und Mitbestimmung stellen dieselben Fragen, nur mit anderem Blick: Welche Daten fließen wohin, wer hat Zugriff, wird Verhalten oder Leistung von Beschäftigten ausgewertet? Eine einzige Inventur bedient alle drei Stellen.

Einmal sauber gemacht, spart das doppelte Arbeit.

Die Inventur in sieben Schritten

1. Abfrage in allen Abteilungen: Welche Programme mit KI-Funktion nutzen Sie, auch testweise und auch über private Konten?
2. Abgleich mit der Software- und Lizenzliste der IT und mit den Abrechnungen aus der Buchhaltung, denn viele KI-Abos laufen über Kreditkarte.
3. Je System den Zweck in einem Satz festhalten: Wofür wird es eingesetzt, wer nutzt es, welche Entscheidungen hängen daran?
4. Datenarten notieren: öffentliche Informationen, Kundendaten, Beschäftigtendaten, Gesundheitsdaten oder Geschäftsgeheimnisse.
5. Rolle bestimmen: Kaufen Sie das System ein und nutzen es (Betreiber), oder bringen Sie selbst ein KI-System unter eigenem Namen auf den Markt (Anbieter)?
6. Vorläufige Risikoeinstufung eintragen und offene Fragen markieren, statt sie zu raten.
7. Eine verantwortliche Person je System benennen und einen Termin für die nächste Durchsicht setzen.

Rechnen Sie für einen Betrieb mit 30 bis 80 Beschäftigten mit zwei bis drei Arbeitstagen für die erste Runde, verteilt auf mehrere Personen. Der Aufwand steckt fast immer in Schritt 1 und 2, weil dort die Tools auftauchen, von denen niemand wusste.

Welche Felder ein KI-Register braucht

Ein Tabellenblatt reicht für den Anfang. Wichtiger als das Werkzeug ist, dass jede Zeile vollständig ist und jemand sie pflegt.

Die Spalte zur Einweisung ist kein Selbstzweck. Nach der Neufassung von Art. 4 durch den Digital Omnibus ergreifen Anbieter und Betreiber Maßnahmen, um die KI-Kompetenz ihres Personals zu fördern. Ein bestimmtes Kompetenzniveau schreibt die Verordnung nicht vor, und eine Nachweispflicht steht nicht im Text. Wer dennoch festhält, wer wozu eingewiesen wurde, kann später zeigen, dass er etwas getan hat.

Wer im Betrieb wofür zuständig ist

Die Verordnung verlangt keinen KI-Beauftragten. In der Praxis braucht es trotzdem eine Stelle, bei der die Fäden zusammenlaufen, sonst veraltet das Register nach dem ersten Quartal. In kleineren Betrieben übernimmt das oft die Person, die ohnehin IT oder Datenschutz koordiniert.

Daneben gibt es feste Aufgaben. Die Geschäftsführung entscheidet, welche Einsatzfelder erlaubt sind, und trägt die Verantwortung. Die Fachbereiche melden neue Tools, bevor sie genutzt werden, und benennen je System eine verantwortliche Person. Datenschutz prüft Rechtsgrundlage, Auftragsverarbeitung und bei hohem Risiko für Betroffene die Datenschutz-Folgenabschätzung. Die IT prüft Zugänge, Datenabfluss und Löschkonzepte. Gibt es einen Betriebsrat, ist er bei der Planung früh zu unterrichten, denn § 90 Abs. 1 Nr. 3 BetrVG nennt den Einsatz von Künstlicher Intelligenz ausdrücklich. Wie das Verfahren mit dem Betriebsrat läuft, zeigt unser Beitrag zur Mitbestimmung bei KI-Systemen.

Eine schriftliche KI-Richtlinie für das Unternehmen hält diese Aufteilung fest und sagt den Beschäftigten, was sie ohne Rückfrage tun dürfen.

Menschliche Aufsicht, ohne dass der Betrieb stillsteht

Für Hochrisiko-Systeme ist die Sache klar geregelt. Betreiber müssen die menschliche Aufsicht Personen übertragen, die dafür die nötige Kompetenz, Ausbildung und Befugnis haben (Art. 26 Abs. 2 KI-VO). Diese Pflichten greifen für Systeme nach Anhang III ab dem 2. Dezember 2027.

Für die vielen Alltagswerkzeuge ohne Hochrisiko-Einstufung gibt es keine vergleichbare Vorschrift. Sinnvoll ist eine Aufsicht trotzdem, und sie muss nicht aufwendig sein. Es reicht, wenn für jedes System feststeht, welche Ergebnisse vor der Verwendung ein Mensch liest, wer bei Fehlern angesprochen wird und wie ein Fehler gemeldet wird. Ein Angebotstext aus dem Textassistenten geht nicht ungelesen an den Kunden. Eine KI-Zusammenfassung eines Vertrags ersetzt nicht den Blick in den Vertrag.

Wir sehen in Betrieben regelmäßig, dass die Aufsicht an der falschen Stelle hängt: Die Geschäftsführung will jedes Ergebnis selbst sehen, und nach drei Wochen schaut niemand mehr hin. Besser funktioniert es, wenn die Person, die mit dem Ergebnis weiterarbeitet, auch prüft und dafür ausdrücklich zuständig ist. Das kostet keine zusätzliche Stelle, nur eine klare Absprache.

Welche Fristen jetzt wirklich zählen

Seit der Digital Omnibus am 27. Juli 2026 in Kraft getreten ist, haben sich mehrere Termine verschoben. Für die Planung einer Inventur ist diese Übersicht ausreichend.

Die Verschiebung ist kein Grund, die Inventur zu vertagen. Wer im Dezember 2027 ein Hochrisiko-System betreibt, muss vorher wissen, dass er eines hat.

Wie das Register lebendig bleibt

Die meisten Register sterben an einem einzigen Punkt: Neue Tools kommen dazu, ohne dass jemand es meldet. Hängen Sie die Meldung deshalb an einen Vorgang, den es ohnehin gibt, etwa an die Freigabe einer Software-Bestellung oder an die Anlage eines neuen Benutzerkontos. Eine halbjährliche Durchsicht mit den verantwortlichen Personen reicht dann meist aus.

Wer die Inventur mit eigenen Leuten dauerhaft betreuen will, braucht jemanden, der Prozesse, Datenflüsse und KI-Werkzeuge gleichermaßen versteht. Für Beschäftigte eignet sich dafür die berufsbegleitende Weiterbildung zum KI-Prozessmanager in Teilzeit, deren Förderung der Arbeitgeber nach § 82 SGB III bei der Agentur für Arbeit beantragt.

Häufige Fragen

Muss ich private KI-Konten meiner Mitarbeiter in die Inventur aufnehmen?

Ja, wenn damit dienstliche Aufgaben erledigt werden. Gerade dort fließen oft Kundendaten oder interne Unterlagen ab, ohne dass ein Vertrag mit dem Anbieter besteht. Die Inventur ist der Moment, solche Nutzung entweder zu erlauben und zu regeln oder sie auf freigegebene Werkzeuge umzulenken.

Reicht eine Excel-Tabelle als KI-Register?

Für kleine und mittlere Betriebe reicht sie in aller Regel. Entscheidend sind vollständige Zeilen, eine verantwortliche Person je System und ein festes Datum für die nächste Durchsicht. Ein eigenes Werkzeug lohnt sich erst, wenn viele Systeme und Standorte zu verwalten sind.

Wie oft sollte die KI-Inventur wiederholt werden?

Eine vollständige Runde einmal im Jahr, dazwischen eine kurze Durchsicht nach sechs Monaten. Wichtiger ist die laufende Meldung neuer Tools, zum Beispiel gekoppelt an die Softwarebestellung.

Wer entscheidet, ob ein System als Hochrisiko gilt?

Zunächst Ihr Unternehmen selbst, anhand von Art. 6 und Anhang III der KI-Verordnung. Bei Grenzfällen, etwa KI in Bewerbungsverfahren oder bei der Leistungsbewertung von Beschäftigten, sollten Sie die Einstufung schriftlich begründen und rechtlich prüfen lassen.