Schatten-KI im Unternehmen: In fünf Schritten zum vollständigen KI-Verzeichnis

Ein KI-Verzeichnis erfasst alle eingesetzten KI-Systeme, ihre Verantwortlichen, Zwecke, Datenarten, Anbieter und Nutzergruppen. Es trennt genehmigte Anwendungen von Schatten-KI und verbindet jeden Einsatz mit einer Risikoeinstufung sowie konkreten Maßnahmen. Damit entsteht die Arbeitsgrundlage für Datenschutz, Informationssicherheit, Einkauf, Schulung und die Umsetzung des EU AI Act.

Rechtsstand: 14. Juli 2026. Dieser Beitrag dient der betrieblichen Orientierung und ersetzt keine Rechtsberatung.

Warum wissen viele Unternehmen nicht, welche KI-Systeme tatsächlich genutzt werden?

Auf der offiziellen Softwareliste eines mittelständischen Unternehmens stehen vielleicht Microsoft 365, das CRM, die Telefonanlage, ein ERP-System und mehrere Fachanwendungen. Was dort häufig nicht auftaucht, sind die KI-Funktionen, die längst innerhalb dieser Lösungen oder über zusätzliche Browserdienste verwendet werden.

Ein Vertriebsmitarbeiter fasst mit ChatGPT ein Gesprächsprotokoll zusammen. Die Projektleitung lässt umfangreiche Ausschreibungsunterlagen analysieren. Im Kundenservice werden eingehende E-Mails automatisch kategorisiert. Microsoft Copilot erstellt Besprechungsnotizen, eine Übersetzungsplattform bearbeitet technische Dokumente und die Telefonanlage erzeugt aus einem Anruf eine strukturierte Rückrufnotiz.

Im SHK-Betrieb wird aus einer gesprochenen Monteurnotiz ein Servicebericht. Ein Elektroinstallateur nutzt ein Bilderkennungswerkzeug zur Dokumentation. In der Verkehrssicherung lässt die Arbeitsvorbereitung eine Leistungsbeschreibung zusammenfassen. Ein Yachtservice-Unternehmen verwendet einen KI-Assistenten für Kundenanfragen, während die Marina eine automatische Liegeplatzkommunikation testet.

Keines dieser Beispiele muss als eigenständiges „KI-Projekt“ gestartet worden sein. Manche Funktionen wurden mit einem regulären Softwareupdate freigeschaltet. Andere hat ein Fachbereich selbst abonniert. Wieder andere werden über private Konten oder kostenlose Versionen verwendet, weil ein Mitarbeiter eine konkrete Aufgabe schneller erledigen möchte.

So entsteht Schatten-KI: KI-Systeme oder KI-Funktionen werden geschäftlich genutzt, ohne dass sie vollständig genehmigt, bewertet, dokumentiert oder durch die vorgesehenen Stellen begleitet wurden. Der Begriff umfasst nicht nur ausdrücklich verbotene Anwendungen. Auch ein sachlich nützliches Werkzeug kann zur Schatten-KI werden, wenn niemand weiß, welche Daten dort verarbeitet werden, welche Vertragsbedingungen gelten oder wer die Ergebnisse kontrolliert.

Das KI-Verzeichnis setzt deshalb nicht erst bei großen Anwendungen an. Es beginnt bei der einfachen Frage: Wo erzeugt, bewertet, sortiert, übersetzt, prognostiziert oder entscheidet Software mit Verfahren der künstlichen Intelligenz?

Schreibt der EU AI Act jedem Unternehmen ein KI-Verzeichnis vor?

Der EU AI Act enthält keine pauschale Vorschrift, nach der jedes Unternehmen sämtliche risikoarmen KI-Anwendungen in einem einheitlichen Register erfassen muss. Die Verordnung arbeitet stattdessen mit unterschiedlichen Rollen, Risikokategorien und Einzelpflichten.

Für bestimmte Hochrisiko-Systeme gelten beispielsweise Anforderungen an Dokumentation, Betriebsanleitung, menschliche Aufsicht, Protokollierung, Überwachung und teilweise Registrierung. Betreiber von Hochrisiko-Systemen müssen unter anderem automatisch erzeugte Protokolle aufbewahren, soweit diese ihrer Kontrolle unterliegen. Hinzu kommen Transparenzpflichten für bestimmte interaktive oder generative Systeme sowie Anforderungen an die KI-Kompetenz der beteiligten Personen.

Für einen gewöhnlichen Textassistenten, der interne Formulierungsentwürfe erzeugt, entsteht daraus nicht automatisch eine gesetzliche Pflicht zu einem bestimmten Registerformular. Ohne eine interne Bestandsaufnahme kann das Unternehmen jedoch kaum beurteilen, welche Vorschriften für welches System gelten.

Ein KI-Verzeichnis ist deshalb vor allem ein Governance-Instrument. Es übersetzt verschiedene Rechts-, Sicherheits- und Betriebsanforderungen in eine gemeinsame Arbeitsgrundlage. Das National Institute of Standards and Technology empfiehlt in seinem AI Risk Management Framework ausdrücklich organisatorische Mechanismen zur Inventarisierung von KI-Systemen. Ein solches Inventar kann Systemunterlagen, Ansprechpartner, Datenbeschreibungen, Softwarekomponenten und Informationen für Wartung oder Vorfallbehandlung enthalten.

Auch Datenschutz- und Sicherheitsbehörden betrachten die Bestandsaufnahme als wesentlichen Ausgangspunkt. Die französische Datenschutzaufsicht CNIL empfiehlt ein vollständiges und präzises Inventar der eingesetzten KI-Systeme. Das britische Information Commissioner’s Office verbindet KI-Governance unter anderem mit dokumentierten Verantwortlichkeiten, Managementfreigaben und der Einbindung bestehender Datenschutzstrukturen.

Das KI-Verzeichnis ist damit nicht einfach ein zusätzliches Tabellenblatt für die Ablage. Es schafft die Voraussetzung dafür, Systeme überhaupt einordnen, genehmigen, absichern, überwachen und bei Bedarf stilllegen zu können.

Was sollte ein Unternehmen überhaupt als KI-System erfassen?

Ein vollständiges Verzeichnis darf sich nicht auf bekannte Chatbots beschränken. KI steckt inzwischen in Anwendungen, die im Einkauf oder in der IT zunächst wie gewöhnliche Software behandelt werden.

Zu erfassen sind zunächst allgemeine Assistenten wie ChatGPT, Claude, Gemini, Microsoft Copilot oder vergleichbare Dienste. Relevant ist nicht nur, ob das Unternehmen eine kostenpflichtige Unternehmenslizenz besitzt. Auch kostenlose Konten, private Zugänge oder Funktionen innerhalb eines Browsers können betrieblich genutzt werden.

Hinzu kommen Übersetzungs- und Schreibwerkzeuge. DeepL, integrierte Übersetzungsdienste, Rechtschreibassistenten, Transkriptionsdienste und automatische Zusammenfassungen verarbeiten häufig vollständige Dokumente, Gesprächsinhalte oder E-Mails. Für das Verzeichnis zählt deshalb nicht nur die Produktkategorie, sondern der konkrete betriebliche Zweck.

Bei KI-Telefonie und digitalen Kundenschnittstellen sollten Sprachassistenten, Chatbots, automatische Rückrufannahmen, Terminassistenten und dialogorientierte Kundenportale erfasst werden. Dabei ist zu dokumentieren, ob das System lediglich Angaben aufnimmt, Vorgänge im CRM anlegt, Termine bestätigt, Dringlichkeiten bewertet oder selbstständig Antworten erteilt.

CRM- und Vertriebsplattformen enthalten zunehmend KI-Funktionen für Leadbewertung, Gesprächszusammenfassungen, E-Mail-Entwürfe, Verkaufsprognosen, Kontaktdatenanreicherung und automatische Aktivitäten. Eine bereits lizenzierte CRM-Plattform kann daher mehrere unterschiedliche KI-Anwendungsfälle enthalten, die separat bewertet werden sollten.

Dasselbe gilt für ERP-, Personal-, Finanz- und Projektsoftware. Ein Rechnungsleser, eine automatische Kontierung, ein Bewerberranking, eine Einsatzplanung oder eine Prognose für Materialbedarf können jeweils eine eigenständige KI-Funktion darstellen.

Fachanwendungen verdienen besondere Aufmerksamkeit. In Bau, Handwerk und technischem Service können KI-Funktionen Angebote vorbereiten, Leistungsverzeichnisse auswerten, Bilder einordnen, Wartungsinformationen suchen oder Dokumentationen erzeugen. In Produktion und Logistik kommen Qualitätsprüfung, vorausschauende Wartung, Tourenplanung und Nachfrageprognosen hinzu.

Schließlich gehören selbst entwickelte Anwendungen, KI-Agenten, Company-Brain-Lösungen, lokale Sprachmodelle und Automatisierungen auf Basis von APIs in das Verzeichnis. Gerade bei solchen Lösungen verteilt sich die Verantwortung häufig auf mehrere Komponenten: Modellanbieter, Hosting, Datenbank, Integrationsplattform, Fachanwendung und interner Systemverantwortlicher.

Wann wird aus einer gewöhnlichen Softwarefunktion ein eigener Eintrag?

Nicht jede kleine Funktion benötigt zwingend eine eigene Zeile. Die Aufteilung sollte aber so gewählt werden, dass unterschiedliche Zwecke, Datenzugriffe und Risiken nicht in einem Sammelbegriff verschwinden.

Microsoft Copilot kann beispielsweise als allgemeiner Schreibassistent in Word genutzt werden. Derselbe Dienst kann jedoch auch Besprechungen transkribieren, E-Mails zusammenfassen, Kalenderdaten auswerten und auf Dateien in SharePoint zugreifen. Ein einziger Eintrag „Microsoft Copilot“ wäre dann zu grob, wenn Nutzergruppen, Datenquellen und Freigaben erheblich voneinander abweichen.

Eine sinnvolle Regel lautet: Ein separater Anwendungsfall wird angelegt, sobald sich mindestens einer der folgenden Punkte wesentlich verändert: Zweck, Nutzergruppe, betroffene Personen, Datenarten, Datenquellen, Entscheidungsauswirkung, Automatisierungsgrad oder verantwortlicher Fachbereich.

Ein CRM-System kann deshalb mehrere Einträge erhalten. Die automatische Gesprächszusammenfassung im Vertrieb ist ein anderer Anwendungsfall als eine KI-gestützte Leadbewertung. Die erste Funktion erstellt eine Arbeitshilfe. Die zweite kann beeinflussen, welche Kunden angesprochen, priorisiert oder aussortiert werden.

Bei einer KI-Telefonlösung kann die reine Anrufannahme von einer später ergänzten Terminbuchung getrennt werden. Sobald das System verbindliche Vorgänge anlegt, Kunden kategorisiert oder Entscheidungen vorbereitet, verändern sich die erforderlichen Kontrollen.

Das Verzeichnis sollte daher weder jedes einzelne Softwaremerkmal atomisieren noch alle Funktionen unter einem Produktnamen zusammenfassen. Die passende Einheit ist der betriebliche Anwendungsfall.

Wie findet ein Unternehmen seine Schatten-KI?

Eine Rundmail mit der Frage „Wer nutzt KI?“ liefert selten ein vollständiges Ergebnis. Manche Mitarbeiter betrachten einen Übersetzungsdienst nicht als KI. Andere möchten ein hilfreiches Werkzeug nicht melden, weil sie mit einem sofortigen Verbot rechnen. Wieder andere wissen nicht, dass ihre Fachanwendung inzwischen generative Funktionen enthält.

Die Bestandsaufnahme sollte daher mehrere Informationsquellen verbinden.

Erster Schritt: Bekannte Systeme und Verträge zusammentragen.
Ausgangspunkt sind Softwareverträge, Auftragsverarbeitungsverträge, Rechnungen, Kreditkartenabrechnungen, App-Marktplätze, Single-Sign-on-Verzeichnisse, Browsererweiterungen und vorhandene IT-Asset-Listen. Der Einkauf kennt häufig Anwendungen, die in der IT-Dokumentation fehlen. Die Fachbereiche kennen wiederum Funktionen, die auf der Rechnung nur unter dem Namen der Hauptsoftware erscheinen.

Zweiter Schritt: Prozesse statt Produktnamen abfragen.
Mitarbeiter sollten nicht nur gefragt werden, welche KI-Tools sie nutzen. Ergiebiger sind Fragen nach Tätigkeiten: Werden Texte automatisch formuliert? Werden Gespräche transkribiert? Werden Bilder ausgewertet? Werden Bewerber, Kunden oder Vorgänge bewertet? Erzeugt eine Anwendung Empfehlungen, Prognosen oder Prioritäten?

Diese Fragen funktionieren auch in Bereichen, in denen der Begriff KI kaum verwendet wird. Ein Disponent spricht möglicherweise von einer „automatischen Tourenoptimierung“, ein Personalmitarbeiter von einem „Matching-Modul“ und ein Servicetechniker von einer „intelligenten Fehlersuche“.

Dritter Schritt: Technische Nutzungshinweise auswerten.
Abhängig von den betrieblichen und rechtlichen Voraussetzungen können Identitätsplattformen, Proxy- oder Firewall-Protokolle, SaaS-Management, Endpoint-Lösungen und Data-Loss-Prevention Hinweise auf genutzte Dienste liefern. Die technische Erkennung ersetzt allerdings nicht das Gespräch mit den Fachbereichen. Sie zeigt Zugriffe, aber nicht zuverlässig den Zweck, die eingegebenen Inhalte oder die Bedeutung für den Arbeitsablauf.

Vierter Schritt: Eingebettete Funktionen prüfen.
Die größten Lücken liegen häufig nicht bei bekannten Chatbots, sondern bei KI-Funktionen innerhalb vorhandener Systeme. Bei Vertragsverlängerungen und Softwareupdates sollte deshalb abgefragt werden, welche neuen Assistenten, Prognosen, automatischen Bewertungen oder generativen Funktionen freigeschaltet wurden.

Fünfter Schritt: Einen geschützten Meldeweg anbieten.
Das Ziel der ersten Erhebung sollte nicht die Suche nach Schuldigen sein. Mitarbeiter melden nicht genehmigte Werkzeuge eher, wenn das Unternehmen zwischen gut gemeinter Eigeninitiative, fahrlässigem Umgang und vorsätzlicher Umgehung unterscheidet. Ein zeitlich begrenztes Meldefenster kann helfen, bisherige Nutzung offenzulegen und gemeinsam zu bewerten.

Die Bestandsaufnahme endet nicht mit einer einmaligen Befragung. Neue KI-Dienste erscheinen laufend, und bestehende Software erhält zusätzliche Funktionen. Das Verzeichnis braucht deshalb einen dauerhaften Melde- und Aktualisierungsprozess.

Wie sollten genehmigte und nicht genehmigte Anwendungen unterschieden werden?

Eine binäre Einteilung in „erlaubt“ und „verboten“ ist für die Praxis häufig zu grob. Zwischen einer vollständig freigegebenen Unternehmenslösung und einem ausdrücklich unzulässigen Dienst liegen mehrere sinnvolle Zwischenstufen.

Genehmigt bedeutet, dass Zweck, Anbieter, Vertrag, Datenverarbeitung, Sicherheitsmaßnahmen und betriebliche Nutzung geprüft wurden. Nutzergruppen und Bedingungen sind dokumentiert.

Bedingt genehmigt eignet sich für Anwendungen, die nur unter bestimmten Voraussetzungen genutzt werden dürfen. Ein öffentlicher Schreibassistent kann beispielsweise für allgemeine Formulierungsentwürfe erlaubt sein, nicht aber für Kunden-, Mitarbeiter-, Projekt- oder Vertragsdaten.

Pilotbetrieb beschreibt einen zeitlich und sachlich begrenzten Test. Nutzer, Daten, Laufzeit, Erfolgskriterien und Abbruchbedingungen sollten festgelegt sein. Ein Pilot ist keine dauerhafte Freigabe.

In Prüfung bedeutet, dass ein Anwendungsfall gemeldet wurde, die Bewertung aber noch nicht abgeschlossen ist. Bis zur Entscheidung sollte feststehen, ob und in welchem Umfang eine vorläufige Nutzung zulässig ist.

Nicht genehmigt bezeichnet Anwendungen, die ohne erforderliche Prüfung oder Freigabe eingesetzt werden. Das bedeutet nicht automatisch, dass der Dienst dauerhaft ungeeignet ist. Er darf jedoch nicht stillschweigend als reguläre Unternehmenslösung behandelt werden.

Unzulässig oder gesperrt betrifft Systeme oder Nutzungsweisen, die gegen gesetzliche Verbote, interne Vorgaben, Verträge oder grundlegende Sicherheitsanforderungen verstoßen. Hier sollte das Verzeichnis auch dokumentieren, welche technische oder organisatorische Sperre umgesetzt wurde.

Eine siebte Kategorie kann außer Betrieb lauten. Historische Einträge bleiben erhalten, damit nachvollziehbar ist, wann ein System abgeschaltet wurde, wie Daten gelöscht oder exportiert wurden und welches Nachfolgesystem verwendet wird.

Welche Angaben gehören in ein belastbares KI-Verzeichnis?

Ein KI-Verzeichnis muss nicht mit einer umfangreichen Spezialsoftware beginnen. Für viele KMU genügt zunächst eine strukturierte Tabelle oder Liste, sofern Verantwortlichkeiten, Zugriffe und Änderungen gesteuert werden.

Jeder Eintrag sollte eine eindeutige System- oder Anwendungsfall-ID erhalten. Neben Produktname und Anbieter wird der konkrete Zweck beschrieben: nicht „Texterstellung“, sondern beispielsweise „Erstellung erster Entwürfe für Angebotsanschreiben im Vertrieb“.

Der fachlich Verantwortliche ist die Person, die den Einsatz im Geschäftsprozess beurteilen kann. Ein technischer Verantwortlicher kann zusätzlich für Konfiguration, Zugänge und Schnittstellen zuständig sein. Bei extern betriebenen Lösungen sollte auch der interne Vertragsverantwortliche erfasst werden.

Die Nutzergruppe sollte genauer beschrieben werden als „alle Mitarbeiter“. Sinnvoll sind Abteilung, Rolle, Standort oder konkret berechtigte Personenkreise. Bei einem Pilotprojekt können auch einzelne benannte Nutzer hinterlegt werden.

Zu den Datenarten gehören beispielsweise öffentlich verfügbare Informationen, interne Arbeitsunterlagen, Kontaktdaten, Kundenkommunikation, Vertragsdaten, Bewerberdaten, technische Messwerte, Fotos, Sprachaufzeichnungen, Kalkulationen oder Geschäftsgeheimnisse. Zusätzlich sollte festgehalten werden, ob besondere Kategorien personenbezogener Daten verarbeitet werden können.

Der Betriebsort umfasst Cloud, eigenes Rechenzentrum, lokales Gerät oder eine hybride Architektur. Bei Cloud-Diensten sind Anbieter, Vertragspartei, Hostingregion und wesentliche Unterauftragnehmer relevant.

Weitere Felder betreffen Modell oder Modellfamilie, eingebundene Datenquellen, Schnittstellen, Zugriffsrechte, Speicherdauer, Nutzung von Eingaben zu Trainingszwecken, Protokollierung, menschliche Prüfung, Freigabestatus, Risikoeinstufung, erforderliche Schulungen und Datum der letzten Überprüfung.

Nicht jeder Eintrag muss jedes Feld in derselben Tiefe enthalten. Ein interner Formulierungsassistent braucht weniger Dokumentation als ein Bewerberranking oder eine sicherheitsbezogene Anwendung. Das Grundschema sollte jedoch einheitlich bleiben.

Wie könnte ein einfacher Eintrag konkret aussehen?

Ein mittelständischer Servicebetrieb verwendet einen KI-Telefonassistenten außerhalb der Bürozeiten. Ein vereinfachter Eintrag könnte folgende Informationen enthalten:

Anwendungsfall-ID: KI-TEL-003
System: KI-Telefonassistent für die Serviceannahme
Zweck: Aufnahme von Name, Rückrufnummer, Objektadresse, Anlagentyp, Fehlerbild und gewünschtem Rückrufzeitraum
Fachlich verantwortlich: Serviceleitung
Technisch verantwortlich: IT-Leitung
Anbieter: beauftragter Telefonieanbieter
Nutzer: Anrufer sowie Mitarbeiter in Service und Disposition
Datenarten: Kontaktdaten, Objektinformationen, technische Störungsbeschreibung, Gesprächstranskript
Automatisierte Aktionen: Anlage eines Servicevorgangs und Versand einer internen Benachrichtigung
Menschliche Kontrolle: Prüfung des Vorgangs durch die Disposition vor Termin- oder Leistungszusage
Freigabestatus: genehmigt mit Bedingungen
AI-Act-Prüfung: direkte Interaktion mit natürlichen Personen; Transparenzhinweis erforderlich
Datenschutzprüfung: Auftragsverarbeitung, Informationspflichten, Speicherdauer und Rechtsgrundlage geprüft
Informationssicherheit: Rollen, Zugriff auf Transkripte, Protokollierung und Löschung festgelegt
Nächste Überprüfung: nach Anbieterupdate oder spätestens zum festgelegten Reviewtermin

Der Eintrag zeigt, dass das Verzeichnis mehr leistet als eine Produktliste. Es beschreibt, was im Betrieb tatsächlich geschieht.

Wie unterscheiden sich typische KI-Anwendungen im Verzeichnis?

Die Tabelle zeigt typische Ausgangslagen. Die tatsächliche Einstufung hängt immer davon ab, wie die Anwendung im jeweiligen Unternehmen eingesetzt wird.

Wie lässt sich die Risikoklasse sinnvoll festhalten?

Das Feld „Risikoklasse“ sollte nicht aus einer einzigen Ampelfarbe bestehen. Ein System kann nach dem EU AI Act kein Hochrisiko-System sein und trotzdem erhebliche Datenschutz-, Sicherheits- oder Betriebsrisiken verursachen.

Sinnvoll ist eine mehrdimensionale Betrachtung.

Einordnung nach dem EU AI Act:
Hier wird dokumentiert, ob Hinweise auf eine verbotene Praxis, ein Hochrisiko-System, eine besondere Transparenzpflicht oder einen sonstigen Anwendungsfall bestehen. Bei Unsicherheit kann der Status zunächst „vertiefte Prüfung erforderlich“ lauten.

Datenschutzrisiko:
Zu bewerten sind personenbezogene Daten, sensible Daten, Umfang, Zweck, betroffene Personen, automatisierte Entscheidungen, Überwachung und mögliche Folgen. Das KI-Verzeichnis ersetzt nicht das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO. Es sollte jedoch auf den zugehörigen Verarbeitungsvorgang und gegebenenfalls auf eine Datenschutz-Folgenabschätzung verweisen.

Informationssicherheitsrisiko:
Relevant sind Vertraulichkeit, Integrität, Verfügbarkeit, Identitäten, Berechtigungen, externe Schnittstellen, Lieferkette, Protokollierung und Wiederherstellung. Besondere Risiken entstehen, wenn ein System auf interne Wissensbestände zugreift oder selbstständig Aktionen in anderen Anwendungen ausführen kann.

Betriebs- und Qualitätsrisiko:
Hier geht es um mögliche Falschaussagen, fehlerhafte Klassifizierungen, Ausfälle und unkontrollierte Automatisierung. Ein falscher interner Formulierungsvorschlag hat andere Folgen als eine fehlerhafte Einsatzplanung, eine unzutreffende technische Empfehlung oder ein verbindlich wirkendes Kundenangebot.

Auswirkung auf Personen:
Zu betrachten sind Bewerber, Mitarbeiter, Kunden, Lieferanten und andere Betroffene. Je stärker die Anwendung Zugang, Auswahl, Bewertung, Preis, Leistung oder Arbeitsbedingungen beeinflusst, desto höher ist der Prüfbedarf.

Reputations- und Vertragsrisiko:
Ein System kann Zusagen erzeugen, Urheberrechte verletzen, vertrauliche Inhalte offenlegen oder nicht mit Kundenverträgen vereinbar sein. Diese Risiken werden in rein technischen Bewertungen häufig übersehen.

Aus diesen Dimensionen lassen sich Maßnahmen ableiten. Ein Eintrag sollte daher nicht nur „mittleres Risiko“ nennen, sondern auch festhalten, was daraus folgt: Schulung, Freigabe, Zugriffsbeschränkung, menschliche Kontrolle, Datenschutzprüfung, Anbieterwechsel, technische Absicherung oder Stilllegung.

Welche Maßnahmen sollten direkt mit dem Eintrag verbunden werden?

Ein gutes KI-Verzeichnis ist handlungsorientiert. Für jeden Anwendungsfall wird festgehalten, welche Voraussetzungen vor Aufnahme oder Fortsetzung des Betriebs erfüllt sein müssen.

Bei einem allgemeinen Schreibassistenten kann die Maßnahme aus einer freigegebenen Unternehmensversion, einer Vorgabe zu zulässigen Daten, einer Basisschulung und einer fachlichen Prüfung vor externer Nutzung bestehen.

Bei einem Company Brain stehen Berechtigungen, Quellenfreigabe, Protokollierung, Löschregeln und Schutz vor unberechtigten Abfragen im Vordergrund. Zusätzlich sollte festgelegt werden, wer neue Datenquellen anbinden darf.

Bei einer KI-Telefonlösung gehören Transparenzhinweis, Datenschutzinformation, Auftragsverarbeitung, Übergabe an Mitarbeiter, Löschfristen und Eskalationsregeln zum Eintrag.

Bei einer HR-Anwendung können eine vertiefte AI-Act-Prüfung, Datenschutz-Folgenabschätzung, Beteiligung des Betriebsrats, Anbieterunterlagen, Prüfung auf Benachteiligung und dokumentierte menschliche Entscheidung erforderlich sein.

Bei selbstständig handelnden KI-Agenten sollte außerdem festgehalten werden, welche Aktionen sie ausführen dürfen. Lesen, Entwerfen, Ändern, Senden und Löschen sind unterschiedliche Berechtigungsstufen. Ein Agent, der lediglich einen E-Mail-Entwurf erstellt, benötigt andere Kontrollen als ein System, das Nachrichten eigenständig versendet oder Daten im CRM verändert.

Jede Maßnahme erhält einen Verantwortlichen, einen Termin und einen Status. Andernfalls wird aus dem Verzeichnis lediglich eine Sammlung offener Feststellungen.

Wie wird das KI-Verzeichnis mit dem Datenschutz verbunden?

Datenschutz und KI-Governance sollten nicht in zwei voneinander getrennten Tabellenwelten betrieben werden.

Verarbeitet ein KI-System personenbezogene Daten, sollte der Eintrag auf den zugehörigen Verarbeitungsvorgang im Datenschutzmanagement verweisen. Umgekehrt kann das Verzeichnis der Verarbeitungstätigkeiten einen Verweis auf den KI-Anwendungsfall enthalten.

Beide Verzeichnisse verfolgen jedoch unterschiedliche Zwecke. Das Datenschutzverzeichnis beschreibt die Verarbeitung personenbezogener Daten. Das KI-Verzeichnis erfasst zusätzlich Systeme ohne personenbezogene Daten, technische Funktionen, Unternehmensrollen, AI-Act-Kategorien, menschliche Kontrolle, Anbieterabhängigkeiten und betriebliche Auswirkungen.

Ein Übersetzungsdienst kann beispielsweise in beiden Verzeichnissen erscheinen, wenn Kundenmails verarbeitet werden. Wird er ausschließlich für öffentlich zugängliche Produkttexte genutzt, bleibt er möglicherweise nur im KI-Verzeichnis relevant.

Der Datenschutzbeauftragte sollte nicht automatisch Eigentümer des gesamten KI-Verzeichnisses werden. Er berät zu Datenschutzfragen und überwacht die Einhaltung der DSGVO. Die Verantwortung für Zweck, Beschaffung, Betrieb und fachliche Ergebnisse bleibt bei der Unternehmensleitung und den zuständigen Fachbereichen.

Das gemeinsame Datenmodell reduziert Doppelarbeit. Anbieter, Hosting, Datenarten, Auftragsverarbeitung, Speicherdauer und Betroffenengruppen müssen nicht mehrfach neu erhoben werden.

Wie wird das KI-Verzeichnis mit der Informationssicherheit verbunden?

Für die Informationssicherheit ist ein KI-System ein schützenswerter Bestandteil der IT-Landschaft. Das Verzeichnis sollte deshalb mit Asset-Management, Identitätsverwaltung, Berechtigungsmanagement, Lieferantensteuerung und Vorfallbehandlung verbunden sein.

Eine öffentlich erreichbare Chat-Anwendung kann Datenabfluss verursachen, obwohl sie nicht auf internen Servern installiert ist. Ein Company Brain kann sicher gehostet sein und dennoch zu weitreichende Berechtigungen besitzen. Eine CRM-KI kann Daten nur innerhalb der Plattform verarbeiten, aber durch falsche Rollen ganze Kundenbestände sichtbar machen.

Die Sicherheitsbewertung sollte deshalb mindestens erfassen, wer auf das System zugreifen darf, welche Datenquellen verbunden sind, welche Informationen das System ausgeben kann, ob Protokolle vorhanden sind und wie ein Zugang entzogen wird.

Bei externen Diensten sind zusätzlich Mandantentrennung, Verschlüsselung, Unterauftragnehmer, Schwachstellenmanagement, Sicherheitsvorfälle und Ausstiegsmöglichkeiten relevant.

Auch Prompt Injection und manipulierte Dokumente gehören in die Betrachtung. Ein Wissensassistent kann durch Inhalte in Dokumenten zu ungeeigneten Aktionen oder Antworten veranlasst werden. Bei einem rein lesenden System ist der mögliche Schaden begrenzt. Bei einem Agenten mit Schreib-, Sende- oder Löschrechten steigt das Risiko erheblich.

Das KI-Verzeichnis sollte daher auf vorhandene Sicherheitsbewertungen, Schutzbedarfsfeststellungen und Notfallverfahren verweisen. Es ersetzt diese Unterlagen nicht, sorgt aber dafür, dass keine KI-Anwendung außerhalb der bestehenden Sicherheitsprozesse betrieben wird.

Wie wird das KI-Verzeichnis mit dem Einkauf verbunden?

Viele Schatten-KI-Fälle entstehen, weil Software schneller beschafft als bewertet wird. Ein Fachbereich benötigt kurzfristig eine Übersetzung, eine Transkription oder eine Bildanalyse und schließt selbst ein Monatsabonnement ab.

Der Einkauf sollte deshalb eine einfache Prüffrage in seinen Prozess aufnehmen: Enthält das Produkt KI-Funktionen, automatisierte Bewertungen, generative Inhalte oder selbstständig handelnde Komponenten?

Bei einer positiven Antwort wird vor Vertragsschluss ein Eintrag oder Vorabeintrag im KI-Verzeichnis angelegt. Der Umfang der Prüfung richtet sich anschließend nach Zweck und Risiko.

Wichtige Beschaffungsfragen betreffen Datenverwendung, Hosting, Unterauftragnehmer, Trainingsnutzung, Löschung, Exportmöglichkeiten, Protokolle, Modelländerungen, Sicherheitsinformationen, Support und Vertragsbeendigung.

Bei Fachsoftware sollte der Anbieter außerdem erläutern, welche Funktionen tatsächlich auf KI beruhen, ob sie standardmäßig aktiviert sind und welche Daten an externe Modelle übertragen werden.

Vertragsverlängerungen sind ein wichtiger Kontrollpunkt. Viele Anwendungen verändern sich während der Laufzeit. Eine ursprünglich konventionelle Software kann inzwischen Assistenten, Prognosen oder Agenten enthalten. Der bestehende Eintrag sollte deshalb vor Verlängerung aktualisiert werden.

Das Verzeichnis unterstützt auch die wirtschaftliche Steuerung. Mehrere Abteilungen bezahlen möglicherweise unterschiedliche Dienste für dieselbe Aufgabe. Eine gemeinsame Übersicht zeigt Überschneidungen, ungenutzte Lizenzen und Möglichkeiten zur Standardisierung.

Wer sollte das KI-Verzeichnis besitzen und pflegen?

Die organisatorische Verantwortung sollte bei einer benannten Stelle liegen, aber nicht isoliert in einer einzigen Abteilung.

Die Geschäftsführung gibt den Rahmen frei und entscheidet bei wesentlichen Risiken. Ein KI-Governance-Verantwortlicher oder ein kleines Steuerungsteam pflegt Methode, Statusmodell und Reviewprozess. Die Fachbereiche verantworten Zweck, fachliche Nutzung und Ergebnisprüfung. Die IT dokumentiert Architektur, Berechtigungen und Schnittstellen. Datenschutz und Informationssicherheit bearbeiten ihre jeweiligen Prüfgebiete. Der Einkauf steuert Anbieter und Verträge.

In kleineren Unternehmen können mehrere Rollen von derselben Person übernommen werden. Die Zuständigkeiten sollten trotzdem getrennt beschrieben werden. Ein externer IT-Dienstleister kann technische Angaben liefern, ist aber nicht automatisch für die betriebliche Zweckentscheidung verantwortlich.

Für jeden Eintrag benötigt das Unternehmen mindestens einen fachlichen Verantwortlichen. Ein System ohne Eigentümer wird erfahrungsgemäß nicht regelmäßig geprüft, nicht rechtzeitig aktualisiert und bei Problemen zwischen Fachbereich, IT und Anbieter weitergereicht.

Die zentrale Stelle sollte nicht jede Änderung selbst erfassen müssen. Besser ist ein verteilter Prozess: Fachbereiche melden neue oder geänderte Anwendungen, während die Governance-Stelle die Vollständigkeit, Einstufung und erforderlichen Freigaben überwacht.

Wie bleibt das Verzeichnis nach der ersten Erhebung aktuell?

Ein einmal angelegtes KI-Verzeichnis veraltet schnell, wenn es nicht an bestehende Abläufe angeschlossen wird.

Neue Softwarebeschaffungen, Pilotprojekte und Vertragsverlängerungen sollten automatisch einen Prüfpunkt auslösen. Dasselbe gilt für neue Schnittstellen, zusätzliche Datenquellen, veränderte Nutzergruppen und Erweiterungen des Automatisierungsgrads.

Auch Softwareupdates können relevant sein. Wird eine neue KI-Funktion zunächst nur angezeigt, aber nicht aktiviert, kann ein kurzer Hinweis im bestehenden Eintrag genügen. Wird sie produktiv genutzt oder erhält sie Zugriff auf weitere Daten, ist eine erneute Bewertung erforderlich.

Ein regelmäßiger Reviewtermin sollte mindestens prüfen, ob das System noch verwendet wird, ob Zweck und Nutzergruppe unverändert sind, ob der Anbieter oder das Modell gewechselt hat und ob offene Maßnahmen erledigt wurden.

Vorfälle lösen ebenfalls eine Aktualisierung aus. Eine falsche Kundenantwort, ein Datenabfluss, ein ungeeigneter Zugriff, ein Qualitätsproblem oder eine nicht vorgesehene automatisierte Aktion können zeigen, dass Risikoeinstufung und Kontrollen angepasst werden müssen.

Austritte von Mitarbeitern, Rollenwechsel und organisatorische Veränderungen sind weitere Auslöser. Zugänge zu KI-Systemen werden in manchen Unternehmen weniger konsequent entzogen als Zugänge zu ERP oder CRM, weil das Werkzeug als unverbindlicher Onlinedienst betrachtet wird.

Ein einfaches Statusdatum reicht daher nicht aus. Jeder Eintrag sollte den Anlass der letzten Prüfung, das Ergebnis und den nächsten Reviewtermin enthalten.

Welche vier Kennzahlen zeigen das Ausmaß von Schatten-KI?

Schatten-KI ist kein theoretisches Randphänomen. Im deutschen Work Trend Index von Microsoft gaben 71 Prozent der KI-Nutzer an, eigene KI-Werkzeuge mit zur Arbeit zu bringen. Das bedeutet nicht, dass jede dieser Anwendungen gegen interne Vorgaben verstößt. Die Zahl zeigt aber, wie schnell sich Nutzung außerhalb zentraler Einführungsprojekte entwickeln kann.

Die Folgen fehlender Übersicht werden bei Sicherheitsvorfällen sichtbar. Im Cost of a Data Breach Report 2025 von IBM berichteten 20 Prozent der untersuchten Organisationen von einer Datenschutzverletzung oder einem Sicherheitsvorfall im Zusammenhang mit Schatten-KI. Gleichzeitig verfügten nur 37 Prozent über Richtlinien zur Steuerung von KI oder zur Erkennung nicht genehmigter KI-Nutzung.

Auch die technische Erkennung bleibt schwierig. Im Cisco Cybersecurity Readiness Index 2025 erklärten 60 Prozent der Organisationen, dass ihnen das Vertrauen in ihre Fähigkeit fehlt, nicht regulierte KI-Nutzung in der eigenen Umgebung zu erkennen.

Die Kennzahlen stammen aus internationalen beziehungsweise herstellergetragenen Untersuchungen und lassen sich nicht ohne Weiteres auf jedes deutsche KMU übertragen. Gemeinsam zeigen sie jedoch ein wiederkehrendes Muster: Die tatsächliche Nutzung entwickelt sich schneller als Richtlinien, Inventarisierung und technische Kontrolle.

Wie entsteht aus dem Verzeichnis eine arbeitsfähige KI-Governance?

Das KI-Verzeichnis ist kein Selbstzweck. Sein Nutzen entsteht erst, wenn es mit Entscheidungen verbunden wird.

Ein neuer Anwendungsfall durchläuft einen einfachen Prozess: melden, beschreiben, einstufen, prüfen, genehmigen und regelmäßig überprüfen. Für risikoarme Anwendungen kann dieser Weg sehr kompakt sein. Bei Personalentscheidungen, umfangreichen Kundendaten, sicherheitsrelevanten Vorgängen oder automatisierten Aktionen sind zusätzliche Prüfschritte erforderlich.

Die KI-Richtlinie legt fest, welche Systeme und Daten grundsätzlich zulässig sind. Das Verzeichnis zeigt, wo diese Regeln konkret angewendet werden. Die Rollenmatrix benennt, wer nutzen, administrieren, prüfen und freigeben darf. Das Schulungsregister weist nach, ob die betroffenen Personen passend eingewiesen wurden.

Auf diese Weise entsteht aus mehreren Einzelunterlagen eine Governance-Grundstruktur. Ein Unternehmen kann neue KI-Anwendungen schneller bewerten, weil Zuständigkeiten, Prüffragen und Freigabestufen bereits vorhanden sind.

KrambergAI GmbH, https://krambergai.com/, unterstützt mittelständische Unternehmen beim Aufbau dieser Struktur aus KI-Verzeichnis, KI-Richtlinie, Rollenmodell, Schulung und pragmatischem Freigabeprozess. Der Einstieg kann mit einer Bestandsaufnahme der vorhandenen Anwendungen beginnen und anschließend auf die wichtigsten Risiken und Geschäftsprozesse erweitert werden.

Welche Quellen belegen die verwendeten Kennzahlen?

Microsoft Deutschland: Work Trend Index 2024 – Einsatz von KI bei der Arbeit
https://news.microsoft.com/de-de/work-trend-index-2024-microsoft-und-linkedin-veroeffentlichen-bericht-zum-einsatz-von-ki-bei-der-arbeit/

IBM: Cost of a Data Breach Report 2025 – Schatten-KI und fehlende Kontrollen
https://newsroom.ibm.com/2025-07-30-ibm-report-13-of-organizations-reported-breaches-of-ai-models-or-applications%2C-97-of-which-reported-lacking-proper-ai-access-controls

Cisco: Cybersecurity Readiness Index 2025 – Erkennung von Schatten-KI
https://newsroom.cisco.com/c/r/newsroom/en/us/a/y2025/m05/cisco-study-reveals-alarming-deficiencies-in-security-readiness.html

Welche interessanten Links vertiefen das Thema?

NIST: AI Risk Management Framework Playbook – Inventarisierung und Governance von KI-Systemen
https://airc.nist.gov/airmf-resources/playbook/govern/

Information Commissioner’s Office: Governance und Verantwortlichkeit beim Einsatz von KI
https://ico.org.uk/for-organisations/advice-and-services/audits/data-protection-audit-framework/toolkits/artificial-intelligence/governance-and-accountability-in-ai/

CNIL: Sicherheitsmaßnahmen für KI-Systeme und vollständige Bestandsaufnahme
https://linc.cnil.fr/en/ai-system-security-actions-make-difference

Muss jedes KMU ein KI-Verzeichnis führen?

Eine allgemeine gesetzliche Pflicht zu einem einheitlichen Register sämtlicher KI-Anwendungen besteht nicht für jedes KMU. Das Verzeichnis ist dennoch eine zentrale Governance-Maßnahme. Ohne Bestandsaufnahme kann das Unternehmen kaum feststellen, welche Systeme unter Transparenz-, Schulungs-, Datenschutz-, Sicherheits-, Dokumentations- oder spätere Hochrisikoanforderungen fallen und wer für den jeweiligen Einsatz verantwortlich ist.

Gehören kostenlose KI-Dienste ebenfalls in das Verzeichnis?

Ja, sofern sie betrieblich genutzt werden. Ob eine Anwendung kostenlos, privat abonniert oder zentral beschafft wurde, ändert nichts an möglichen Daten-, Sicherheits- und Compliance-Risiken. Gerade kostenlose Konten sollten erfasst werden, weil Vertragsbedingungen, Trainingsnutzung, Speicherfristen, Administrationsmöglichkeiten und Unternehmensfunktionen häufig von kostenpflichtigen Geschäftsversionen abweichen.

Muss jede einzelne Nutzung von ChatGPT dokumentiert werden?

Normalerweise wird nicht jede einzelne Eingabe als separater Verzeichniseintrag erfasst. Dokumentiert wird der betriebliche Anwendungsfall, beispielsweise die Erstellung von Angebotsentwürfen oder die Zusammenfassung öffentlicher Recherchen. Weichen Zweck, Datenarten, Nutzergruppen oder Auswirkungen erheblich voneinander ab, sollten mehrere Anwendungsfälle angelegt und unterschiedlich freigegeben werden.

Wie geht ein Unternehmen mit bereits vorhandener Schatten-KI um?

Zunächst sollte die Nutzung ohne vorschnelle Sanktion erfasst und bewertet werden. Das Unternehmen kann prüfen, ob eine sichere Unternehmensversion, eingeschränkte Freigabe oder alternative Anwendung möglich ist. Bei unzulässiger Datenverarbeitung oder erheblichen Risiken muss die Nutzung beendet werden. Zusätzlich sind gespeicherte Daten, bestehende Konten, Verträge und mögliche Vorfälle zu untersuchen.

Ist das KI-Verzeichnis dasselbe wie das Verzeichnis der Verarbeitungstätigkeiten?

Nein. Das Datenschutzverzeichnis nach Artikel 30 DSGVO beschreibt Verarbeitungsvorgänge mit personenbezogenen Daten. Das KI-Verzeichnis erfasst zusätzlich technische Systeme, KI-Funktionen, Unternehmensrollen, Zwecke, Modelle, Nutzer, Freigaben, Risikokategorien und Kontrollen. Beide Verzeichnisse sollten miteinander verknüpft werden, wenn eine KI-Anwendung personenbezogene Daten verarbeitet.

Wer sollte einen neuen Eintrag anlegen?

Der Fachbereich sollte einen neuen Einsatz melden und Zweck, Nutzer sowie Arbeitsablauf beschreiben. Die zentrale Governance-Stelle oder ein benannter Verantwortlicher ergänzt Einstufung und Prüfstatus. IT, Datenschutz, Informationssicherheit und Einkauf liefern ihre jeweiligen Bewertungen. Für den dauerhaften Betrieb muss ein fachlicher Systemverantwortlicher benannt sein.

Sollte auch eine deaktivierte KI-Funktion erfasst werden?

Eine standardmäßig vorhandene, aber deaktivierte Funktion muss nicht immer als vollständiger produktiver Anwendungsfall dokumentiert werden. Bei relevanten Systemen ist ein kurzer Hinweis dennoch sinnvoll, insbesondere wenn die Funktion später leicht aktiviert werden kann. Vor Aktivierung sollte geprüft werden, welche Datenzugriffe, Anbieterübertragungen, Nutzergruppen und zusätzlichen Verpflichtungen entstehen.

Wie detailliert muss die Risikoeinstufung sein?

Die Tiefe sollte sich nach Zweck und möglichen Folgen richten. Für einen internen Formulierungsassistenten kann eine kompakte Bewertung genügen. Bei Bewerberauswahl, Mitarbeiterbewertung, sicherheitsbezogenen Empfehlungen, Kundenscoring oder automatisierten Aktionen sind getrennte Bewertungen für EU AI Act, Datenschutz, Informationssicherheit, fachliche Qualität und Auswirkungen auf Personen erforderlich.

Welches Werkzeug eignet sich für ein KI-Verzeichnis?

Zum Einstieg genügt häufig eine strukturierte Tabelle, eine SharePoint-Liste, Airtable, Notion oder ein vorhandenes Governance-System. Entscheidend sind Zugriffssteuerung, Pflichtfelder, Versionierung, Verantwortliche und Wiedervorlagen. Bei einer größeren Zahl von Systemen sollte das Verzeichnis mit Beschaffung, Datenschutzmanagement, Asset-Management und Ticketsystem verbunden werden.

Wie oft sollte das KI-Verzeichnis überprüft werden?

Ein jährlicher Gesamtüberblick ist für viele KMU ein brauchbarer Grundrhythmus. Zusätzlich braucht es anlassbezogene Aktualisierungen bei neuen Systemen, Funktionsänderungen, zusätzlichen Datenquellen, Anbieter- oder Modellwechseln, erweiterten Automatisierungen, Vorfällen und Vertragsverlängerungen. Besonders dynamische oder risikoreiche Anwendungen sollten in kürzeren Abständen überprüft werden.

Gehören selbst entwickelte KI-Agenten in dasselbe Verzeichnis?

Ja. Bei eigenen Agenten ist die Dokumentation besonders wichtig, weil mehrere Komponenten zusammenwirken können. Erfasst werden sollten Modell, Hosting, Datenquellen, Werkzeuge, Systemanweisungen, Berechtigungen, automatisierte Aktionen, Protokollierung, menschliche Freigaben und Abschaltmöglichkeiten. Änderungen an Werkzeugen oder Aktionsrechten können das Risiko erheblich verändern.

Darf der Betriebsrat das KI-Verzeichnis einsehen?

Das hängt von Inhalt, Mitbestimmungsrechten und betrieblicher Ausgestaltung ab. Bei Anwendungen, die Verhalten, Leistung, Einsatzplanung oder Beschäftigungsbedingungen betreffen, sollte der Betriebsrat frühzeitig eingebunden werden. Das Verzeichnis kann hierfür eine geeignete Übersicht liefern. Personenbezogene Administrations- oder Sicherheitsinformationen sollten jedoch nur im erforderlichen Umfang zugänglich gemacht werden.