KI-Inventar für den Betrieb: Was hineingehört, welche Werkzeuge fast jeder vergisst, mit Vorlage

Kurzantwort: Ein KI-Inventar ist eine Tabelle mit allen KI-Werkzeugen, die im Betrieb dienstlich verwendet werden: je Werkzeug Anbieter, Zweck, Bereich, verantwortliche Person, ob personenbezogene Daten hineindürfen, ob ein Vertrag mit dem Anbieter besteht, Freigabestatus, Auflagen und Prüfdatum. Kein Gesetz schreibt Kleinbetrieben diese Liste vor. Sie ist trotzdem der erste Schritt zur KI-Kompetenzpflicht nach Art. 4 der KI-Verordnung, weil sich erst daraus ergibt, wer was lernen muss und welche Regeln in die KI-Richtlinie gehören. Eine Excel-Vorlage mit Beispielzeile gibt es kostenlos unter Vorlagen.

Warum das Inventar vor der Schulung kommt

Art. 4 verlangt Maßnahmen, die zu den eingesetzten KI-Systemen und zu den Personen passen, die damit arbeiten. Wer nicht weiß, dass die Buchhalterin den Übersetzer mit Vertragsdaten füttert und der Praktikant Kampagnenbilder generiert, kann weder die richtige Schulung wählen noch eine Regel dafür aufstellen. Bundesnetzagentur und KI-Servicestelle der RTR empfehlen deshalb, zuerst festzustellen, welche KI-Systeme im Betrieb verwendet werden, von wem und wofür. Das Inventar ist die Antwort auf diese drei Fragen in einer Tabelle. Datenschutzbeauftragte nutzen dieselbe Liste, um das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO zu ergänzen; Cyberversicherer fragen bei der Verlängerung danach.

Die zehn Spalten, die reichen

Mehr braucht ein Betrieb mit fünf bis fünfzig Personen nicht. Risikoklassen nach der KI-Verordnung, Modellversionen und Rechtsgrundlagen gehören in das Inventar eines Konzerns, nicht in das einer Kanzlei mit sechs Leuten.

Werkzeuge, die fast jeder vergisst

• KI-Funktionen in vorhandener Software. Besprechungszusammenfassungen in Teams und Zoom, Belegerkennung in der Buchhaltungssoftware, Textvorschläge im CRM, Schreibhilfen in Word und Outlook, Bildwerkzeuge in Canva und Photoshop. Sie stehen auf keiner Rechnung mit dem Wort KI und laufen trotzdem.
• Übersetzer und Korrekturhilfen. DeepL, Grammarly und LanguageTool bekommen Kundentexte, Verträge und Bewerbungen zu sehen.
• Private Konten. Das ChatGPT-Konto auf dem privaten Handy, mit dem die Kollegin schnell eine Mail formuliert. Es gehört ins Inventar, und zwar mit dem Status „nicht erlaubt“ oder mit einem betrieblichen Konto als Ersatz.
• Chatbots und Diktat. Der Chatbot auf der eigenen Website und die Spracherkennung, die Briefe oder Befunde schreibt.
• Werkzeuge externer Dienstleister. Wer mit Kundendaten des Betriebs arbeitet, sollte gefragt werden, welche KI-Werkzeuge er dabei einsetzt.

Drei Stufen der Freigabe

Ein Inventar, in dem alles „in Nutzung“ steht, entscheidet nichts. Jede Zeile bekommt eine von drei Entscheidungen, dazu vorübergehend „zu prüfen“ für Werkzeuge, über die noch niemand entschieden hat.

• Freigegeben: Firmenvertrag mit Auftragsverarbeitung, Trainingsnutzung abgeschaltet, betriebliches Konto. Personenbezogene Daten dürfen hinein, wenn die Richtlinie es vorsieht.
• Eingeschränkt: darf genutzt werden, aber ohne personenbezogene Daten, ohne Geschäftsgeheimnisse, ohne Kalkulationen. Das ist der übliche Status für öffentliche Dienste ohne Vertrag.
• Nicht erlaubt: private Konten, Dienste ohne erkennbaren Anbieter, Werkzeuge, die der Betrieb nicht braucht.

Die Stufe steht in der KI-Richtlinie im Abschnitt „Freigegebene KI-Systeme“ und wird in der Schulung erklärt. Bei Verbrieft füllt sich dieser Abschnitt aus dem Inventar, damit die Richtlinie nie etwas als freigegeben führt, was im Inventar „zu prüfen“ oder „nicht erlaubt“ ist.

Häufige Fehler

• Die Liste wird einmal gemacht und nie geprüft. Anbieter ändern Bedingungen, neue Funktionen kommen dazu. Einmal im Jahr durchgehen, bei neuen Werkzeugen sofort.
• Alles auf einer Person. Wenn nur die Geschäftsführung Werkzeuge eintragen darf, entstehen Schattenkonten. Besser: Jeder meldet neue Werkzeuge, eine Person entscheidet.
• Zweck fehlt oder ist zu allgemein. „Diverses“ hilft im Vorfall nicht. Eine Zeile je Zweck, wenn ein Werkzeug sehr unterschiedlich genutzt wird.
• Vertragslage nicht geprüft. „Team-Konto“ heißt nicht automatisch Auftragsverarbeitung. Die Vereinbarung des Anbieters lesen oder abschließen, Datum notieren.

Vorlage und Abkürzung

• Kostenlos: das KI-Inventar als Excel mit den Spalten oben, einer Beispielzeile und Hinweisen zum Ausfüllen, ohne Anmeldung unter Vorlagen.
• Vorbefüllt: im Komplettpaket mit 25 gängigen Werkzeugen und ihrer Datenlage laut Anbieter, dazu Richtlinie, Schulungskonzept und Register für einen Musterbetrieb, 24 € inklusive Umsatzsteuer.
• Automatisch: Verbrieft legt das Inventar beim Anlegen des Betriebs aus einer Vorschlagsliste an, jede Zeile bekommt mit einem Klick ihre Freigabestufe, die Richtlinie übernimmt den Stand, und alles landet im Nachweis-Ordner. Wie das aussieht, zeigt der Beispiel-Ordner eines erfundenen Betriebs mit acht Personen. Kostenlos starten, 14 Tage testen.

Quellen

• Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 3 Nr. 1, Art. 4 und Art. 26, in der Fassung der Verordnung (EU) 2026/1744 (Digital Omnibus)
• Bundesnetzagentur, Hinweispapier zur KI-Kompetenz nach Art. 4 KI-Verordnung, Juni 2025
• RTR, KI-Servicestelle: KI-Kompetenz nach Art. 4 und FAQ
• Europäische Kommission, Fragen und Antworten zur KI-Kompetenz, Stand Juli 2026
• Verordnung (EU) 2016/679 (DSGVO), Art. 28 und Art. 30