← Zurück zur Übersicht

6. August 2026

KI-Inventar: Die zehn Fragen um bestehende KI-Nutzung zu erfassen

In vielen kleinen und mittleren Unternehmen beginnt die KI-Nutzung organisch und nicht mit einem offiziell beschlossenen Projekt. Beispielsweise nutzt eine Mitarbeiterin einen Textassistenten für Entwürfe, im CRM erscheint eine "smarte" Zusammenfassung, oder in der Praxis hilft eine neue Software intelligent beim Sortieren von Anfragen. In einer Kanzlei können neuestens Dokumente mithilfe semantischer Suche durchsucht werden oder es werden Formulierungsvorschläge abseits der üblichen Textbausteine kontextbezogen erstellt.

Die Geschäftsführung kennt oft einzelne Tools, jedoch ohne den genauen Zusammenhang: Wofür wird jetzt KI genau eingesetzt? Welche Daten fließen hinein? Wer prüft die Ergebnisse? Und wo entstehen Risiken oder sinnvolle Ansatzpunkte für weitere Anwendungen?

An diesen Stellen hilft ein KI-Inventar. Dabei handelt es sich weder um eine reine Liste installierter Programme noch um ein juristisches Gutachten, sondern man schafft damit eine belastbare Arbeitsgrundlage, um KI-Nutzung sicher und wirtschaftlich zu steuern, und Complianceanforderungen proaktiv anzugehen.

Warum eine Tool-Liste nicht genügt

Ein Toolname beantwortet die entscheidenden Fragen nicht, weder im Kontext der Entwicklung weiterer Anwendungsfälle, noch im Bezug auf eventuelle Compliance-Anforderungen. Dasselbe KI-Werkzeug kann intern für harmlose Ideensammlungen genutzt werden, die weder nach außen gelangen, noch personenbezogene Daten enthalten oder Texte erzeugen, die auf Basis extrem sensibler Daten erzeugt werden und direkt an Patienten, Mandanten, Kunden oder Bewerber gehen. Der Unterschied liegt nicht allein im Werkzeug, sondern im konkreten Einsatz.

Auch KI-Funktionen in vorhandener Standardsoftware gehören in den Blick: Büroanwendungen, Praxissoftware, CRM-Systeme, Suchfunktionen oder Dokumentenmanagement können KI-gestützte Funktionen enthalten, ohne dass sie als separates „KI-Projekt“ wahrgenommen werden.

Ein gutes Inventar betrachtet daher nicht nur die Technik, sondern den betrieblichen Kontext. Es macht sichtbar, welche Nutzung bereits freigegeben ist, welche noch ungeklärt ist und wo Mitarbeitende möglicherweise auf eigene Lösungen ausweichen. Dass das kein Anlass für Schuldzuweisungen ist habe ich hier erst im letzen Artikel zur Schatten-KI dargelegt. Schatten-KI entsteht häufig, weil Teams Aufgaben effizient erledigen wollen, aber sichere Alternativen, klare Regeln oder Ansprechpartner fehlen. Ein ordentliches KI-Inventar hilft enorm bei der Standartisierung dieser Anwendungen.

Die zehn Fragen für jede KI-Anwendung

Für den Einstieg reicht eine einfache Tabelle: eine Zeile pro klar abgegrenztem Einsatzfall. Die folgenden zehn Fragen machen aus einer Tool-Liste ein brauchbares KI-Inventar.

1. Welches Tool oder welche KI-Funktion wird genutzt?

Erfassen Sie Produktname, Hersteller und die konkrete Funktion. „Microsoft 365“ oder „Praxissoftware“ ist zu ungenau. Aussagekräftiger ist etwa: „Zusammenfassung von Besprechungsnotizen“ oder „KI-gestützte Suche in Patientenformularen“ und dazu das Tool mit Hersteller.

2. Welchen Zweck erfüllt der Einsatz?

Beschreiben Sie die Aufgabe in Alltagssprache: Personalisierte Entwürfe für Angebote erstellen, Vertragsinformationen in alten Vertragsunterlagen suchen oder Email-Anfragen zwischen Verkauf und Support vorsortieren. Der Zweck zeigt später, ob mehrere Teams ähnliche Anforderungen haben und ob sich ein geeigneter, freigegebener Weg bündeln lässt, und bildet außerdem die Grundlage der Risikoschätzung. Hier ist es wichtig, so genau wie möglich zu formulieren, um Missverständnisse vorzubeugen und eine Risikoeinschätzung zu erleichtern.

3. Wer nutzt die Anwendung?

Notieren Sie die Nutzergruppe und ihre Rolle: Verwaltung, Vertrieb, Assistenz, Behandlerteam, Fachabteilung oder Geschäftsführung. Wichtig ist auch, ob externe Dienstleister im Auftrag des Unternehmens damit arbeiten. So lässt sich zum einen schnell feststellen, ob hier eventuell schon erste Grenzen der Datenübetragung überschritten werden und zum anderen lässt sich KI-Kompetenz später passend zu Rolle und Nutzungskontext organisieren, statt allen dieselbe Schulung vorzulegen.

4. Welche Daten werden eingegeben oder verarbeitet?

Diese Frage verdient besonders hohe Sorgfalt. Werden nur allgemein verfügbare Informationen verarbeitet, interne Arbeitsunterlagen, personenbezogene Daten, Gesundheitsdaten, Mandatsinformationen oder Geschäftsgeheimnisse? Nicht jede Eingabe ist gleich sensibel. Ohne diese Unterscheidung bleiben Regeln wie „Keine Daten in KI eingeben“ im Alltag zu unpräzise. Hier trennt sich die Spreu vom Weizen, da beispielsweise personenbezogene oder gar medizinische Daten auf gar keinen Fall ohne explizite Zustimmung der Betroffenen zu dieser speziellen Verarbeitung in Tools wie ChatGPT oder Gemini eingegeben werden dürfen.

5. Welches Ergebnis erzeugt die KI?

Halten Sie fest, ob die Anwendung Texte, Zusammenfassungen, Empfehlungen, Klassifizierungen, Bilder oder Vorschläge für Entscheidungen erzeugt. Außerdem: Wird das Ergebnis lediglich intern als Entwurf genutzt, oder beeinflusst es eine Entscheidung beziehungsweise eine Kommunikation nach außen?

6. Hat der Einsatz eine externe Wirkung?

Eine intern formulierte Ideensammlung ist anders einzuordnen als ein Chatbot auf der Website, ein automatisch versendeter Antwortentwurf oder eine KI-gestützte Vorauswahl im Bewerbungsprozess. Diese Frage hilft, Fälle zu erkennen, in denen Transparenz- oder weitere Anforderungen relevant werden können. Maßgeblich ist stets der konkrete Anwendungsfall, nicht die pauschale Annahme, jede KI-Ausgabe müsse gekennzeichnet werden.

7. Wer ist Anbieter, und welche Rolle hat das eigene Unternehmen?

Ermitteln Sie, wer die Anwendung bereitstellt und wie Ihr Unternehmen sie nutzt. Ein Unternehmen, das ein eingekauftes System im eigenen Betrieb verwendet, hat eine andere Rolle als ein Anbieter, der ein KI-System entwickelt oder unter eigenem Namen vertreibt. Diese Unterscheidung ist in der Compliance mit dem EU AI Act zentral und verhindert, dass Pflichten anderer Akteure vorschnell auf den eigenen Betrieb übertragen werden, und gleichermaßen, dass eventuell Anbieterpflichten übersehen werden.

8. Ist die Nutzung freigegeben und nachvollziehbar?

Vermerken Sie, ob die Anwendung offiziell freigegeben, geduldet, in Erprobung oder unbekannt ist. Ergänzen Sie, wer die Freigabe erteilt hat und welche Informationen dazu vorliegen: Vertragsmodell, Kontoeinstellungen, Zugriffsrechte, Auftragsverarbeitung oder interne Vorgaben. Wo diese Angaben fehlen, gehört zunächst ein Klärungsbedarf in die Tabelle, eine vorschnelle Freigabe ist hier genau so unangebracht wie ein pauschales Verbot, Ausnahmen mit "Reißleine" bilden hier natürlich die Verarbeitung von besonders sensiblen Daten.

9. Wie werden Ergebnisse geprüft und wer entscheidet?

KI kann überzeugend formulierte, aber fehlerhafte oder unpassende Ergebnisse liefern. Deshalb sollte jede Zeile beantworten: Prüft ein Mensch das Ergebnis und nach welchem Maßstab? Wer trägt die fachliche Verantwortung, wenn daraus eine Entscheidung, ein Schreiben oder eine Handlung entsteht?

In einer Kanzlei kann das die fachliche Prüfung eines Entwurfs sein, in einer Zahnarztpraxis kann es die Kontrolle einer organisatorischen Antwort durch das zuständige Team sein. Bei Anwendungen mit möglichen Auswirkungen auf Menschen, Gesundheit, Beschäftigung oder Finanzierung ist diese Frage besonders wichtig, eine verantwortliche Person muss jedoch in jedem Fall feststehen.

10. Was ist der nächste sinnvolle Schritt?

Ein Inventar muss nicht sofort vollständig sein. Hilfreich ist eine letzte Spalte mit einer klaren Folgeaktion: Nutzung bestätigen, Datenfluss klären, fachliche Prüfung definieren, Freigabe einholen, Regeln ergänzen, Mitarbeitende sensibilisieren oder Einsatz vorerst nicht weiterführen.

Damit wird die Tabelle zu einem Steuerungsinstrument und zur Grundlage einer effektiven KI-Strategie, sowohl in der rechtlichen Absicherung in Compliance-Fragen, als auch in der Identifikation möglicher neuer Ansätze zur Weiterentwicklung der eigenen KI-Nutzung.

Aus der Liste werden Risiko- und Nutzencluster

Nach der ersten Erfassung lohnt sich eine einfache Sortierung; Anwendungen mit ähnlichen Datenarten oder ähnlichem Zweck können gemeinsam betrachtet werden. Häufen sich beispielsweise Textassistenten für Kundenkommunikation, ist möglicherweise eine einheitliche Regel für Freigabe, Ergebnisprüfung und zulässige Daten sinnvoll. Werden mehrfach Inhalte aus internen Dokumenten gesucht, kann ein gemeinsamer, sicher gestalteter Anwendungsfall wirtschaftlicher sein als viele Einzelkonten.

Ebenso werden Prioritäten sichtbar. Zuerst geklärt werden sollten Anwendungen mit sensiblen Daten, direkter Außenwirkung oder potenziell weitreichenden Folgen, da hier schnelles und entschiedenes Handeln erforderlich ist. Gleichzeitig kann die Liste schnell zeigen, wo KI bereits messbar entlastet, etwa bei wiederkehrender Dokumentation, der Aufbereitung von Informationen oder der Vorbereitung standardisierter Kommunikation.

Verbindung zu Datenschutz und KI-Regelwerk

Ein KI-Inventar ersetzt keine Datenschutzdokumentation oder Einzelfallprüfung, liefert aber die Informationen, die für solche Prüfungen häufig benötigt werden. Dazu zählen Zweck, Datenarten, Beteiligte, Verarbeitung und vorgesehene Schutzmaßnahmen. Der KI-Fragenkatalog der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zeigt, wie breit eine datenschutzbezogene Betrachtung einer KI-Anwendung angelegt sein kann.

Auch ein schlankes KI-Regelwerk wird durch das Inventar konkreter. Statt abstrakt über „KI“ zu sprechen, kann es auf tatsächlich genutzte Anwendungen, Datenklassen, Freigabewege und Verantwortlichkeiten Bezug nehmen und erleichtert damit Mitarbeitenden, im Alltag bei KI-Nuztung nachvollziehbar zu handeln.

Konkrete praktische Schritte

  1. Legen Sie eine einfache Tabelle mit den zehn Fragen an.
  2. Bitten Sie Bereiche nicht nur um Toolnamen, sondern um konkrete Einsatzfälle.
  3. Sortieren Sie offene Punkte nach Datenart, Außenwirkung und möglicher Auswirkung.
  4. Klären Sie bei priorisierten Fällen Freigabe, Datenumgang und Ergebnisprüfung.
  5. Überführen Sie wiederkehrende Erkenntnisse in verständliche interne Regeln und passende KI-Kompetenzmaßnahmen.

Ein KI-Inventar ist dabei ein lebendiges Dokument und sollte auf keinen Fall eine eine einmalige Bestandsaufnahme sein. Es sollte wachsen, wenn neue Funktionen, Anbieter oder Einsatzfelder hinzukommen. Gerade für kleinere Betriebe bietet es sich als pragmatischer Start an, und kann die Grundlage für größere Grundsatzentscheidungen, wie die Standardisierung auf einen bestimmen Anbieter, sein.

Quellen