AI Act für Betreiber: Das KI-Inventar in fünf Schritten

Warum das Inventar zuerst kommt

Fachabteilungen führen Chatbots, Scoring-Modelle und KI-Assistenten häufig eigenständig ein, ohne dass die Compliance davon erfährt. Was nicht erfasst ist, wird nicht eingestuft. Ohne vollständiges Inventar lässt sich die zentrale Frage der Verordnung (EU) 2024/1689 nicht beantworten: Zählt ein System zu den Hochrisiko-Anwendungen nach Annex III, mit allen daran hängenden Pflichten?

Die Verordnung gilt gestaffelt: Verbotene Praktiken (Art. 5) und die Pflicht zur KI-Kompetenz (Art. 4) gelten seit 2. Februar 2025, die Pflichten für General-Purpose-AI seit 2. August 2025, der allgemeine Anwendungsbeginn einschließlich Annex III steht im Verordnungstext mit 2. August 2026, produktintegrierte Hochrisiko-KI nach Art. 6 Abs. 1 folgt am 2. August 2027. Ein „Digital-Omnibus"-Paket, das einzelne Fristen verschieben soll, war zum Stand unserer Regulierungsseite politisch vereinbart, aber noch nicht im Amtsblatt veröffentlicht. Wer erst mit der nächsten Pflichtenstufe beginnt, verliert die Vorlaufzeit für Einstufung und Dokumentation.

Schritt 1: Erfassen — jedes System, auch die agentischen

Erfassen Sie alles, was KI nutzt: gekaufte Produkte mit eingebetteter KI, eigene Modelle, Chatbots, Scoring- und Empfehlungssysteme und KI-Assistenten — einschließlich agentischer Systeme, die selbstständig mehrere Schritte ausführen. Je System: Zweck, Fachbereich, Anbieter, Verantwortlicher, betroffene Personen. General-Purpose-AI-Modelle gehören in ein eigenes Register mit Systemrisiko-Flag, wenn sie die Schwellen nach Art. 51 erreichen, getrennt von klassischen Anwendungssystemen.

Schritt 2: Rolle klären — Anbieter oder Betreiber

Der AI Act adressiert Anbieter und Betreiber unterschiedlich. Wer ein System nur einsetzt, ist Betreiber; wer es entwickelt oder unter eigenem Namen in Verkehr bringt, Anbieter. Die Rolle bestimmt den Pflichtenkatalog und kann je System verschieden sein. Die Pflicht zur KI-Kompetenz nach Art. 4 trifft beide: Das Personal muss über ausreichende KI-Kompetenz verfügen.

Schritt 3: Risikoklasse einstufen

Die Verordnung kennt vier Stufen: verbotene Praktiken (Art. 5), Hochrisiko-KI (Art. 6 in Verbindung mit Annex III sowie Sicherheitsbauteile regulierter Produkte nach Annex I), General-Purpose-AI mit eigenem Pflichtenkatalog und Systeme mit begrenztem Risiko, für die Transparenzpflichten gelten. Stufen Sie jedes erfasste System nach Art. 6 ein und dokumentieren Sie die Begründung — auch für die Systeme, die nicht Hochrisiko sind.

Schritt 4: Pflichten ableiten und dokumentieren

Aus der Risikoklasse folgt der Pflichtenkatalog. Für Hochrisiko-Systeme sind das unter anderem:

• ein Risikomanagementsystem mit Risikobewertung nach Art. 9 — Auswirkung, Minderungsmaßnahmen, Restrisiko je System;
• technische Dokumentation nach Annex IV;
• Konformitätsbewertung nach Art. 43 und ein Fundamental Rights Impact Assessment;
• Post-Market-Monitoring nach Art. 72 und ein Vorfallregister, das sich bis zur zuständigen Meldebehörde nach Art. 73 nachverfolgen lässt.

Eine wesentliche Änderung am System löst die Bewertung erneut aus; das Inventar ist ein laufender Bestand.

Schritt 5: Nachweisen — so, dass es hält

Für die Konformitätsbewertung zählt ein Beleg, dessen Stand sich nachträglich nicht verschieben lässt. Führen Sie jeden Nachweis mit Verantwortlichem und Zeitstempel — für Hochrisiko-Systeme als Attestation des Konformitätsstatus. Im Finanzinstitut ist die IKT-Risikobewertung für KI-Systeme nach DORA dieselbe Arbeit; ein Cross-Mapping vermeidet die doppelte Erfassung.

Mehr zum Service: EU AI Act · KI-Inventar. Verordnungstext, Fristen und Primärquellen: EU-AI-Act-Regulierungsseite.