Eine KI-Inventur ist die strukturierte Bestandsaufnahme aller KI-Systeme und KI-gestützten Funktionen in Ihrem Unternehmen. Sie ist die zwingende Voraussetzung für jede ernsthafte KI-Strategie — und seit 2026 zugleich die Grundlage für Ihre Compliance mit dem EU AI Act. Ohne KI-Inventur wissen Sie nicht, was Sie haben. Ohne dieses Wissen können Sie weder steuern, noch absichern, noch skalieren.
Die Praxis zeigt: In jedem mittelständischen Industrieunternehmen sind heute zwischen 8 und 30 KI-gestützte Funktionen produktiv im Einsatz — ein Großteil davon ohne Wissen der Geschäftsführung oder IT-Leitung. Microsoft Copilot, ChatGPT-Logins einzelner Mitarbeitender, KI-Funktionen in DATEV, in der CRM-Software, im Mailprogramm, im Übersetzungstool. Das ist Schatten-KI. Und Schatten-KI ist Risiko.
Dieser Artikel zeigt Ihnen, wie Sie eine vollständige KI-Inventur in 5 Schritten aufsetzen, welche Felder ein belastbares KI-Register enthalten muss und wie Sie aus der Pflichtaufgabe einen echten Steuerungsvorteil machen.
Warum eine KI-Inventur jetzt keine Kür mehr ist
Drei Entwicklungen machen die KI-Inventur 2026 zur Pflicht für jedes mittelständische Unternehmen:
Erstens — der EU AI Act greift schrittweise. Seit Februar 2025 gilt die KI-Kompetenzpflicht für alle Unternehmen, die KI-Systeme einsetzen. Ab August 2026 greifen weitere Pflichten für Hochrisiko-Systeme. Wer nicht weiß, welche KI-Systeme im eigenen Haus laufen, kann keine Risikoeinstufung vornehmen — und damit keine Compliance herstellen.
Zweitens — die Schatten-KI wächst exponentiell. Mit jedem Microsoft-365-Update, jedem Software-Release, jedem Browser-Plug-in kommen neue KI-Funktionen ins Unternehmen. Mitarbeitende experimentieren mit ChatGPT, Claude, Gemini und Perplexity — oft mit unternehmenseigenen Daten. Ohne Inventur kennen Sie weder die Tools noch die Datenflüsse.
Drittens — KI-Investitionen ohne Inventur sind blindes Geld. Wer Microsoft Copilot oder eine RAG-Lösung einführt, ohne den Status quo zu kennen, riskiert Doppellizenzierung, Tool-Wildwuchs und Akzeptanzprobleme im Team. Die KI-Inventur ist der Ausgangspunkt jeder belastbaren KI-Roadmap.
Was eine vollständige KI-Inventur enthält
Eine belastbare KI-Inventur dokumentiert für jedes KI-System mindestens die folgenden zwölf Felder:
- Bezeichnung des Systems — Produktname und Version
- Anbieter — Hersteller, Vertragspartner, Sitz innerhalb oder außerhalb der EU
- Einsatzbereich — Welche Abteilung, welcher Prozess, welche Use Cases
- Verarbeitete Datenarten — Personenbezogene Daten, Geschäftsgeheimnisse, Kundendaten, technische Daten
- Datenflüsse — Welche Systeme liefern Daten ein, welche Systeme erhalten Daten zurück
- Risikoklasse nach EU AI Act — Verboten, Hochrisiko, begrenztes Risiko, minimales Risiko
- Verantwortliche Person — Fachlicher Owner und technischer Owner
- Vertragslage — Verarbeitungsvertrag, Auftragsverarbeitung, EU-Standardvertragsklauseln
- Hosting-Region — EU, USA, gemischt, EU Data Boundary aktiv ja/nein
- Lizenzkosten pro Jahr — Aktive Nutzer und Gesamtkosten
- Zugangskontrolle — Wer darf wofür, mit welchen Berechtigungen
- Datum der letzten Prüfung — Wann wurde das System zuletzt formal bewertet
Diese zwölf Felder sind das Minimum. Wer ernsthaft Governance betreiben will, ergänzt zusätzlich die Felder Auditierbarkeit, Logging-Status und Notfallplan.
KI-Inventur in 5 Schritten — der Praxis-Leitfaden
Die folgende Vorgehensweise hat sich in Projekten mit mittelständischen Industrieunternehmen mit 50 bis 500 Mitarbeitenden bewährt. Rechnen Sie mit einem Zeitaufwand von vier bis sechs Wochen für die Erst-Inventur.
Schritt 1 — Quellen identifizieren
Beginnen Sie mit drei Datenquellen parallel: dem IT-Asset-Management, der Buchhaltung und dem Tool-Stack der Fachbereiche. Aus dem Asset-Management ziehen Sie alle aktiven Software-Lizenzen. Aus der Buchhaltung filtern Sie alle Software-Rechnungen der letzten zwölf Monate. Aus den Fachbereichen sammeln Sie über eine kurze Umfrage die täglich genutzten Tools — explizit auch private oder kostenlose Accounts.
Erfahrungswert: Die Schnittmenge aus diesen drei Quellen liefert in der Regel 70 bis 80 Prozent aller KI-Systeme. Die übrigen 20 bis 30 Prozent sind Schatten-KI und brauchen aktive Aufdeckung.
Schritt 2 — KI-Funktionen klassifizieren
Nicht jedes Tool mit KI-Etikett ist ein KI-System im Sinne des AI Acts. Klassifizieren Sie jedes erfasste System anhand von drei Fragen: Trifft das System eigenständige Entscheidungen oder Empfehlungen? Verarbeitet es personenbezogene Daten? Hat es Einfluss auf Menschen — auf Bewerbende, auf Mitarbeitende, auf Kunden, auf Geschäftspartner?
Werden zwei der drei Fragen mit Ja beantwortet, gehört das System zwingend in die KI-Inventur. Wird nur eine Frage bejaht, erfolgt eine Einzelfallprüfung. Werden alle drei verneint, kann das System aus der KI-Inventur ausgeschlossen werden — bleibt aber relevant für das allgemeine IT-Asset-Management.
Schritt 3 — Risikoklasse zuordnen
Die EU-KI-Verordnung kennt vier Risikoklassen: verboten, Hochrisiko, begrenztes Risiko, minimales Risiko. Für den industriellen Mittelstand sind in der Praxis drei Konstellationen besonders relevant:
- Hochrisiko: KI-gestützte Bewerber-Vorauswahl, KI-basierte Mitarbeiterüberwachung, KI in sicherheitskritischen Maschinensteuerungen, KI in Kreditentscheidungen
- Begrenztes Risiko: Chatbots im Kundenkontakt, generative KI für Texte und Bilder, KI-Übersetzungstools
- Minimales Risiko: KI-gestützte Spam-Filter, KI-Empfehlungen in Office-Software für interne Nutzung
Die Einstufung muss dokumentiert und begründet werden. Sie ist nicht statisch — bei Funktionserweiterungen kann sich die Risikoklasse ändern.
Schritt 4 — Verantwortlichkeiten festlegen
Jedes erfasste KI-System braucht zwei benannte Verantwortliche: einen fachlichen Owner aus dem nutzenden Bereich und einen technischen Owner aus der IT. Diese Doppelverantwortung verhindert das klassische Problem, dass entweder die IT entscheidet ohne Fachkenntnis oder der Fachbereich agiert ohne IT-Sicherheit.
Für Hochrisiko-Systeme kommt zwingend eine dritte Rolle hinzu: ein KI-Governance-Verantwortlicher auf Geschäftsführungs- oder Bereichsleiterebene. Diese Rolle ist nicht delegierbar.
Schritt 5 — Register lebendig halten
Eine KI-Inventur ist kein Dokument, das man einmal erstellt und dann ablegt. Sie ist ein lebendes Register, das mindestens vierteljährlich überprüft und nach jeder relevanten Veränderung aktualisiert wird. Etablieren Sie hierfür einen festen quartalsweisen Review-Termin und einen Anlass-getriebenen Update-Prozess: Wer ein neues KI-Tool einführen will, meldet es zur Aufnahme in das Register an.
Häufige Fehler bei der KI-Inventur — und wie Sie sie vermeiden
In der Praxis sehen wir vier wiederkehrende Fehler, die KI-Inventuren scheitern lassen:
Fehler 1: Die Inventur als reines IT-Projekt verstehen. KI lebt in den Fachbereichen. Eine Inventur, die nur die IT-Ebene erfasst, übersieht 40 bis 60 Prozent der real genutzten Systeme. Beziehen Sie HR, Vertrieb, Marketing, Service und Produktion von Anfang an aktiv ein.
Fehler 2: Excel-Liste ohne Eigentümer. Eine KI-Inventur in einer einmaligen Excel-Liste ohne klare Verantwortung ist nach drei Monaten überholt. Nutzen Sie ein lebendiges Tool — SharePoint, Confluence, ein dediziertes Compliance-Tool oder eine Airtable-Base — und benennen Sie eine Person, die den Prozess steuert.
Fehler 3: Inventur ohne Risikoeinstufung. Eine reine Auflistung ohne Risikoklassifizierung erfüllt nicht die Anforderungen des AI Acts. Die Risikoeinstufung ist der Punkt, an dem aus der Liste ein Steuerungsinstrument wird.
Fehler 4: Fokus nur auf Anbieter, nicht auf Nutzung. Microsoft Copilot ist nicht gleich Microsoft Copilot. Es macht einen erheblichen Unterschied, ob das Tool für Meeting-Zusammenfassungen oder für die Bewertung von Bewerbungen genutzt wird. Erfassen Sie immer den konkreten Use Case — nicht nur das Produkt.
KI-Inventur und KI-Governance — wie beides zusammenwirkt
Eine KI-Inventur ohne Governance ist eine Liste. Eine Governance ohne Inventur ist Theorie. Beides gehört zusammen. Aus einem belastbaren Register leiten sich vier konkrete Governance-Bausteine ab:
Erstens eine KI-Richtlinie, die regelt, welche Tools für welche Zwecke erlaubt sind. Zweitens ein Genehmigungsprozess für neue KI-Tools, der vor der Einführung greift. Drittens ein Schulungsplan, der die KI-Kompetenzpflicht aus dem AI Act erfüllt — angepasst an die tatsächlich eingesetzten Systeme. Viertens ein Notfallplan für den Ausfall oder die Fehlfunktion kritischer KI-Systeme.
Diese vier Bausteine bauen direkt auf der Inventur auf. Ohne Inventur lassen sie sich nicht sinnvoll formulieren.
Häufige Fragen
Wie lange dauert eine erste KI-Inventur in einem mittelstaendischen Unternehmen?
Bei einem strukturierten Vorgehen mit benannter Projektleitung und aktiver Mitwirkung der Fachbereiche dauert die Erst-Inventur in der Regel vier bis sechs Wochen. Die laufende Pflege benoetigt anschliessend ein bis zwei Stunden pro Quartal je Bereich.
Wer ist im Unternehmen fuer die KI-Inventur verantwortlich?
Die Gesamtverantwortung liegt bei der Geschaeftsfuehrung. Die operative Verantwortung wird in der Regel an die IT-Leitung, den Datenschutzbeauftragten oder einen dezidierten KI-Beauftragten delegiert. Zwingend ist eine schriftliche Beauftragung.
Muss auch ChatGPT in die KI-Inventur, wenn es nur einzelne Mitarbeitende privat nutzen?
Ja, sobald unternehmenseigene Daten verarbeitet werden. Genau hier entsteht die groesste Schatten-KI-Luecke im Mittelstand. Erfassen Sie diese Nutzung aktiv und entscheiden Sie bewusst, ob Sie sie verbieten, dulden oder durch eine offizielle Lizenz ersetzen.
Welche Tools eignen sich fuer ein KI-Register im Mittelstand?
Fuer kleinere Unternehmen reicht eine SharePoint-Liste oder eine Airtable-Base. Ab etwa 200 Mitarbeitenden empfiehlt sich ein dediziertes Compliance- oder GRC-Tool. Wichtiger als das Tool ist der gelebte Prozess.
Wie unterscheidet sich eine KI-Inventur vom IT-Asset-Management?
Das IT-Asset-Management erfasst Lizenzen und Hardware. Die KI-Inventur erfasst zusaetzlich Datenfluesse, Use Cases, Risikoklassen und ethische Implikationen. Sie ist tiefer und prozessorientierter.
Was passiert, wenn wir keine KI-Inventur haben?
Bei einer Pruefung durch die zustaendige Aufsichtsbehoerde droht die Einstufung als grobes Compliance-Versaeumnis. Bei Hochrisiko-Systemen koennen Bussgelder von bis zu 7 Prozent des Jahresumsatzes greifen.
Sie wollen wissen, wo bei Ihnen der erste KI-Hebel liegt?
In 30 Minuten schauen wir auf Ihre echten Prozesse und benennen den Anwendungsfall, der sich bei Ihnen zuerst rechnet. Kostenfrei, ohne Folienschlacht.