01
Vier grobe Gruppen als Einstieg
Der EU AI Act unterscheidet vereinfacht zwischen verbotenen Anwendungen, bestimmten Hochrisiko-Systemen, Systemen mit Transparenzpflichten und Anwendungen mit geringem oder keinem besonderen Risiko. Diese Einordnung ersetzt keine Prüfung des Einzelfalls.
Ein allgemeines Schreibwerkzeug und eine Anwendung, die über Zugang, Beschäftigung oder andere sensible Fragen mitentscheidet, brauchen nicht dieselbe Bewertung. Der Zweck des Einsatzes verändert die Prüfung.
02
Mit einem KI-Inventar anfangen
Erfassen Sie für jedes System den Anbieter, die Nutzergruppe, den Zweck, die Daten, die Ausgaben und die Person, die das Ergebnis verantwortet. Notieren Sie außerdem, ob das System intern arbeitet oder Entscheidungen mit Wirkung nach außen vorbereitet.
- Name und Version des Systems
- Konkreter Zweck im Arbeitsablauf
- Betroffene Personen und Datenarten
- Menschliche Kontrolle und Eskalation
- Zuständige Rolle für Prüfung und Aktualisierung
03
Warum allgemeine Listen nicht reichen
Die gleiche Technologie kann in zwei Abläufen unterschiedlich zu bewerten sein. Eine interne Zusammenfassung unterstützt Mitarbeitende bei der Recherche; eine automatisierte Bewertung von Bewerbungen oder Kreditentscheidungen hat andere Folgen und Anforderungen.
Dokumentieren Sie deshalb nicht nur, welches Tool installiert ist. Halten Sie fest, was es im Unternehmen tatsächlich tut.
04
Was der nächste praktische Schritt sein kann
Wenn die Liste unklar ist, eignet sich ein Workshop mit Fachbereich, Technik und der zuständigen Datenschutz- oder Compliance-Rolle. Ziel ist keine theoretische Sammlung, sondern eine sortierte Liste mit Zuständigkeit, offenen Fragen und einem begrenzten nächsten Test.
Quellen
Rechts- und Regulierungsfragen ändern sich. Diese Quellen waren Stand 10. September 2026 maßgeblich für den Artikel.