Wer nicht weiss, welche KI im Unternehmen läuft, kann weder Pflichten erfüllen noch Risiken steuern. Das KI-Inventar ist deshalb der erste Schritt jeder KI-Governance und jeder Vorbereitung auf den AI Act.
Was hineingehört
Pro System: Name und Anbieter, Zweck und Einsatzbereich, Nutzerkreis, verarbeitete Daten mit besonderem Blick auf Personendaten, Ort der Verarbeitung, Rolle des Unternehmens als Anbieter oder Betreiber, Risikoklasse nach AI Act, anwendbare Transparenzpflichten, verantwortliche Person, Datum der letzten Überprüfung. Für Systeme mit Personendaten gehört ein Verweis auf das Bearbeitungsverzeichnis dazu.
Schatten-KI finden
Die grösste Lücke sind Werkzeuge, die Mitarbeitende selbst eingeführt haben: Chat-Assistenten, Übersetzungs- und Schreibhilfen, Browser-Erweiterungen, KI-Funktionen, die in bestehender Software still aktiviert wurden. Eine kurze Befragung aller Teams, ein Blick in Ausgaben und Abonnements und eine Prüfung der Funktionen in CRM, Office- und HR-Software finden die meisten davon. Ziel ist nicht, sie zu verbieten, sondern sie sichtbar zu machen und bewusst zu entscheiden.
Einordnen
Für jedes System wird festgehalten, ob es unter die verbotenen Praktiken fallen könnte, ob es nach Anhang III hochriskant ist, ob Transparenzpflichten gelten oder ob es minimal reguliert ist. Die Begründung gehört dazu, besonders wenn sich das Unternehmen auf eine Ausnahme stützt. So wird aus der Liste ein Werkzeug, das zeigt, wo Handlungsbedarf besteht.
Pflegen
Ein Inventar veraltet schnell. Es braucht eine verantwortliche Person, einen Auslöser für neue Einträge — etwa die Freigabe eines neuen Werkzeugs oder die Einführung einer KI-Funktion im Produkt — und eine regelmässige Überprüfung. Wer das Inventar an den Beschaffungs- und Freigabeprozess koppelt, hält es mit wenig Aufwand aktuell.
Wofür es gebraucht wird
Das Inventar ist die Grundlage für die KI-Kompetenzmassnahmen nach Art. 4, für die Umsetzung der Transparenzpflichten, für die Vorbereitung auf die Hochrisiko-Pflichten, für Datenschutzfragen wie Auslandbekanntgaben und für die Erwartungen von Aufsichtsbehörden wie der FINMA. Den Einstieg beschreibt der 30-Tage-Plan zur AI-Act-Readiness.