KI-Inventar aufbauen: So schaffen Unternehmen Transparenz über ihre AI Tools

Künstliche Intelligenz (KI) ist in vielen Unternehmen bereits Teil des Arbeitsalltags. Mitarbeiter*innen verwenden KI-gestützte Anwendungen für die Texterstellung, Datenanalyse, Softwareentwicklung oder Automatisierung. Doch nicht immer ist bekannt, welche Tools tatsächlich eingesetzt werden und welche Daten dabei verarbeitet werden.

Wer ein KI-Inventar aufbauen möchte, schafft eine strukturierte Übersicht über die eingesetzten KI-Anwendungen. Diese Bestandsaufnahme unterstützt Unternehmen dabei, Verantwortlichkeiten zu klären, mögliche Risiken zu erkennen und den Einsatz von KI gezielt zu steuern. Ein KI-Inventar ist damit eine wichtige organisatorische Grundlage für eine transparente und verantwortungsvolle KI-Nutzung.

Was ist ein KI-Inventar und warum ist es wichtig?

Ein KI-Inventar ist ein zentrales Verzeichnis der KI-Systeme und KI-gestützten Anwendungen, die innerhalb eines Unternehmens eingesetzt werden. Es dokumentiert, welche Lösungen verwendet werden, welchen Zweck sie erfüllen, wer dafür verantwortlich ist und welche Daten verarbeitet werden.

Dabei geht es nicht ausschliesslich um eigenständig entwickelte KI-Systeme. Auch externe Anwendungen, integrierte KI-Funktionen in bestehender Software oder KI-Dienste über Programmierschnittstellen (Application Programming Interfaces, APIs) können relevant sein.

Eine besondere Herausforderung stellt sogenannte Shadow AI dar. Darunter versteht man KI-Anwendungen, die Mitarbeiter*innen ohne ausreichende Kenntnis oder Freigabe der zuständigen Unternehmensbereiche nutzen. Dadurch können beispielsweise vertrauliche Informationen in externe Systeme gelangen, ohne dass bestehende Sicherheits- und Datenschutzprozesse greifen.

Ein KI-Inventar schafft die notwendige Transparenz, um solche Nutzungsszenarien sichtbar zu machen. Gleichzeitig erleichtert es die Zusammenarbeit zwischen IT, Informationssicherheit, Datenschutz und Fachabteilungen. Unternehmen erhalten eine gemeinsame Informationsbasis, auf der sie Entscheidungen über die Einführung, Freigabe und Weiterentwicklung von KI-Anwendungen treffen können.

Welche KI-Anwendungen gehören in ein KI-Inventar?

Grundsätzlich sollten Unternehmen alle relevanten KI-Anwendungen berücksichtigen, die im geschäftlichen Kontext eingesetzt werden. Dazu gehören sowohl offiziell bereitgestellte Lösungen als auch KI-Funktionen, die innerhalb bestehender Softwareprodukte verfügbar sind.

Typische Beispiele sind generative KI-Assistenten, KI-gestützte Suchfunktionen, automatisierte Analysewerkzeuge, Anwendungen zur Dokumentenverarbeitung sowie KI-Komponenten in Entwicklungs- und Sicherheitswerkzeugen.

Für eine aussagekräftige Bestandsaufnahme reicht es jedoch nicht aus, lediglich Produktnamen zu sammeln. Entscheidend ist, den jeweiligen Einsatzkontext nachvollziehbar zu dokumentieren.

Ein KI-Inventar sollte unter anderem folgende Informationen enthalten:

• Anwendung und Anbieter: Name des Tools, Hersteller und gegebenenfalls verwendete Version oder Modellbezeichnung.
• Einsatzzweck: Beschreibung der Aufgaben und Geschäftsprozesse, für die das System genutzt wird.
• Verantwortlichkeiten: Zuständige Fachabteilung und verantwortliche Ansprechpartner*innen.
• Datenverarbeitung: Kategorien verarbeiteter Daten, mögliche externe Datenübertragungen und relevante Datenschutzanforderungen.
• Risikobewertung: Dokumentierte Risiken und vorhandene Sicherheitsmassnahmen.
• Freigabestatus: Information darüber, ob eine Anwendung geprüft, freigegeben, eingeschränkt oder nicht zugelassen ist.

Wichtig ist eine einheitliche Dokumentationsstruktur. Nur wenn vergleichbare Informationen vorliegen, lassen sich KI-Anwendungen unternehmensweit sinnvoll bewerten.

KI-Inventar Schritt für Schritt aufbauen

Der Aufbau eines KI-Inventars beginnt mit einer systematischen Erhebung der vorhandenen Anwendungen. Dafür sollten IT-Verantwortliche und Fachabteilungen gemeinsam festlegen, welche Systeme erfasst werden und welche Informationen benötigt werden.

Empfiehlt sich eine Bestandsaufnahme über mehrere Informationsquellen. Dazu gehören bestehende Softwareverzeichnisse, Beschaffungsunterlagen, Lizenz Übersichten und Gespräche mit Mitarbeiter*innen. Auch technische Auswertungen können Hinweise auf genutzte KI-Dienste liefern, sofern diese datenschutzkonform erfolgen.

Anschließend werden die identifizierten Anwendungen anhand eines einheitlichen Schemas dokumentiert. Für einen ersten Überblick kann eine strukturierte Tabelle ausreichend sein. Bei umfangreichen IT-Landschaften kann die Integration in bestehende IT-Service-Management- oder Governance-Prozesse sinnvoll sein.
Hier erfolgt die Bewertung. Dabei sollten Unternehmen insbesondere prüfen, welche Daten verarbeitet werden, welche externen Anbieter beteiligt sind und welche Auswirkungen die KI-Anwendung auf betroffene Personen oder Geschäftsprozesse haben kann. Die Ergebnisse helfen dabei, Prioritäten für weitere Prüfungen und Maßnahmen festzulegen.

Wie unterstützt ein KI-Inventar die KI-Governance und Compliance?

KI-Governance umfasst organisatorische Regeln, Verantwortlichkeiten und Kontrollmechanismen für den Einsatz künstlicher Intelligenz. Ein KI-Inventar liefert dafür eine wesentliche Informationsgrundlage.

Nur wenn Unternehmen wissen, welche KI-Systeme sie einsetzen, können sie deren Risiken systematisch beurteilen und geeignete Massnahmen definieren. Dazu gehören beispielsweise interne Freigabeprozesse, Zugriffsregelungen, Datenschutzprüfungen und Vorgaben für die Verwendung vertraulicher Informationen.

Auch im Zusammenhang mit der europäischen KI-Verordnung, dem EU AI Act, ist Transparenz relevant. Die Verordnung sieht abhängig von der Rolle eines Unternehmens, der Art des KI-Systems und dessen Risikoeinstufung unterschiedliche Anforderungen vor. Ein internes KI-Inventar kann dabei unterstützen, relevante Systeme zu identifizieren und erforderliche Prüfungen vorzubereiten.

Dabei ist zwischen einem unternehmensinternen Inventar und möglichen gesetzlichen Dokumentations- oder Registrierungspflichten zu unterscheiden. Ein KI-Inventar ersetzt weder eine rechtliche Bewertung noch die jeweils erforderlichen Compliance-Massnahmen.

Ergänzend können etablierte Rahmenwerke Orientierung bieten. Dazu gehören etwa ISO/IEC 42001 für KI-Managementsysteme und das AI Risk Management Framework des US-amerikanischen National Institute of Standards and Technology (NIST).

Ein gut gepflegtes Inventar erleichtert somit nicht nur interne Entscheidungen, sondern unterstützt auch eine nachvollziehbare Dokumentation des KI-Einsatzes.

KI-Kompetenzen als Grundlage für ein aktuelles Inventar

Ein KI-Inventar kann nur dann zuverlässig gepflegt werden, wenn Mitarbeiter*innen KI-Anwendungen erkennen und deren Einsatz angemessen einordnen können. Technische Werkzeuge allein reichen dafür nicht aus. IT-Verantwortliche benötigen beispielsweise Kenntnisse über KI-Dienste, Schnittstellen, Identitätsmanagement und Informationssicherheit. Fachabteilungen müssen verstehen, welche KI-Funktionen sie verwenden und welche Informationen bei der Nutzung verarbeitet werden.

Auch Führungskräfte und Compliance-Verantwortliche sollten grundlegende KI-Risiken und organisatorische Anforderungen kennen. Dazu gehört insbesondere die Fähigkeit, zwischen unterschiedlichen Einsatzszenarien zu unterscheiden und geeignete Verantwortlichkeiten festzulegen.

Gezielte Weiterbildungen können diese Kompetenzen aufbauen. Schulungen zu generativer KI, Datenschutz, Cybersecurity und KI-Governance unterstützen Mitarbeiter*innen dabei, Anwendungen bewusster einzusetzen und mögliche Risiken frühzeitig zu erkennen.

Für Unternehmen empfiehlt es sich, den Aufbau des KI-Inventars mit klaren internen Richtlinien und einem verständlichen Meldeprozess zu verbinden. Mitarbeiter*innen sollten wissen, an wen sie sich bei Fragen zu neuen KI-Anwendungen wenden können.  Damit wird das KI-Inventar zu einem Bestandteil der laufenden Unternehmensorganisation.

Es schafft Transparenz über bestehende Anwendungen und bildet eine Grundlage, um neue KI-Lösungen kontrolliert, sicher und entsprechend den betrieblichen Anforderungen einzuführen.