KI-Inventar erstellen: Erfassen, was im Haus wirklich läuft

Die naheliegende Variante ist eine Aufzählung der Programme, die jemand freigegeben hat. Sie greift aus drei Richtungen zu kurz. Erstens fehlt darin alles, was nie freigegeben wurde und trotzdem benutzt wird: Die privaten Konten, die Browser-Erweiterung, das Werkzeug, das jemand für ein Angebot ausprobiert und dann behalten hat. Zweitens fehlt alles, was niemand als KI wahrnimmt, weil es als Funktion in einem Programm steckt, das man seit Jahren hat. Zuletzt ist damit auch keine gute Grundlage für eine ordentliche Risikoklassifizierung nach EU-KI-VO geschaffen, diese wird nämlich nicht nach KI-Werkzeug, sondern nach Anwendungsfall aufgeschlüsselt.

Ein Inventar erfasst deshalb nicht Programme, sondern Verwendungen. Dasselbe Werkzeug kann harmlos und heikel zugleich sein, je nachdem, wer es wofür mit welchen Daten benutzt, und genau diese Unterscheidung braucht jede spätere Entscheidung.

Mehr braucht es nicht, und weniger sollte nicht sein. Die Reihenfolge ist bewusst so gewählt, dass die einfachen Fragen vorn stehen und das Risiko des Hängenbleibens beim Ausfüllen minimiert wird.

Der erste Durchgang findet üblicherweie nur einen Teil. Der andere Teil steckt an Stellen, an die beim ersten Durchlauf nicht gedacht wurde. Mit dieser Liste eine Begehung durchzuführen bringt mehr als eine Rundmail.

Der letzte Punkt gelingt nur ohne Schuldzuweisung. Wer Schatten-KI als Regelverstoß behandelt, bekommt eine unvollständige Liste, denn die Nutzung verschwindet dann nicht, sie wird nur unsichtbar.

Das Inventar ist kein Selbstzweck. Sobald es steht, sortieren Sie es zweimal: einmal nach Risiko und einmal nach Nutzen. Einträge mit sensiblen Daten oder Außenwirkung gehören zuerst geklärt, unabhängig davon, wie nützlich sie sind. Einträge mit hohem Nutzen und geringem Risiko sind die Kandidaten, die man ausbauen statt einschränken sollte.

Aus diesen beiden Sortierungen ergibt sich die Reihenfolge der nächsten Monate fast von selbst, und zwar eine, die sich gegenüber der Geschäftsführung begründen lässt, weil sie auf einer Liste beruht und nicht auf einem Bauchgefühl.

Ein Inventar, das einmal erstellt und dann abgelegt wird, ist nach dem nächsten Software-Update nicht mehr nützlich. Es braucht deshalb genau zwei Festlegungen: eine benannte Person, bei der neue Werkzeuge gemeldet und von dieser gepflegt werden, und einen festen Termin, an dem die Liste kontrolliert wird. Solange die Meldestelle funktioniert, reicht für die vollständige Kontrolle ein Termin im Quartal.

Damit ist das Inventar gleichzeitig die Grundlage für das Regelwerk und für die Einweisung: Es sagt, welche Werkzeuge geregelt werden müssen und wer über sie Bescheid wissen muss.