EU AI Act für KMU: ein AI-Inventar in 5 Schritten erstellen

Der EU AI Act regelt seit August 2024 den Einsatz von KI-Systemen in der EU. Für KMU beginnt Compliance mit einer Inventur der KI-Tools, die tatsächlich genutzt werden, auch derer, von denen die Geschäftsführung nichts weiß. Diese Shadow-IT wird am häufigsten übersehen. Alle weiteren Schritte bauen auf einem strukturierten AI-Inventar auf.

Schritt 1: Alle AI-Tools erfassen, auch die inoffiziellen

Die offiziellen Tools sind schnell gelistet. Aufwendiger ist es, die inoffizielle Nutzung zu finden: der Vertrieb, der mit ChatGPT Angebote formuliert, das Marketing mit einem Bild-Generator, die Buchhaltung mit einem KI-Plugin in der Tabellenkalkulation.

• Abteilungen einzeln befragen, anonym oder ohne Schuldzuweisung. Sonst bleibt Shadow-IT verborgen.
• Browser-Erweiterungen und Plugins prüfen: viele KI-Funktionen sitzen unsichtbar in bestehenden Tools.
• Abo- und Ausgaben-Listen sichten: KI-Dienste tauchen oft als kleine Monats-Posten auf.
• Eingebaute KI-Funktionen erfassen: Microsoft Copilot, KI in CRM, ERP und Design-Werkzeugen zählen mit.

Schritt 2: Use-Case und Datenfluss pro Tool beschreiben

Für jedes gefundene Tool halten Sie fest, wofür es genutzt wird und welche Daten hineingehen. Die Datenfrage verbindet den EU AI Act direkt mit der DSGVO: Werden personenbezogene Daten in ein KI-Tool gegeben, gelten beide Regelwerke gleichzeitig.

• Zweck: Was leistet das Tool konkret im Arbeitsalltag?
• Daten-Input: Welche Daten werden eingegeben: anonym, personenbezogen, geschäftskritisch?
• Datenstandort: Wo verarbeitet der Anbieter, innerhalb oder außerhalb der EU?
• Output-Nutzung: Wird das Ergebnis intern genutzt oder fließt es in Kundenkommunikation?

Schritt 3: Risikoklasse zuordnen

Der EU AI Act kennt vier Risikoklassen. Die meisten KMU-Anwendungen fallen in die unteren beiden. Ordnen Sie trotzdem jeden Use-Case einzeln ein. Dasselbe Tool kann je nach Einsatz in verschiedenen Klassen landen.

1. 1

   Unannehmbares Risiko

   Verboten, etwa Social Scoring oder manipulative Systeme. Für KMU praktisch nicht relevant, aber zu prüfen.

2. 2

   Hohes Risiko

   Strenge Pflichten, etwa für KI in Personalauswahl, Bonitätsbewertung oder kritischer Infrastruktur. Diese Fälle genau prüfen.

3. 3

   Begrenztes Risiko

   Transparenzpflicht, etwa für Chatbots, die sich als KI zu erkennen geben müssen, oder für KI-generierte Inhalte, die gekennzeichnet werden.

4. 4

   Minimales Risiko

   Keine spezifischen Pflichten. Hierher gehört der Großteil der KI-Nutzung im Büroalltag.

Schritt 4: Pflichten ableiten

Aus der Risikoklasse ergeben sich die konkreten Maßnahmen. Für die meisten KMU dominiert das begrenzte Risiko mit Transparenzpflichten. Dazu kommen die DSGVO-Pflichten überall dort, wo personenbezogene Daten im Spiel sind.

• Transparenzhinweise dort, wo Kunden mit KI interagieren (z. B. Chatbot-Kennzeichnung).
• KI-generierte Inhalte kennzeichnen, wo der EU AI Act es verlangt.
• Bei personenbezogenen Daten: DSGVO-Rechtsgrundlage und ggf. AV-Vertrag mit dem Anbieter.
• Eine interne AI-Richtlinie, die regelt, welche Tools für welche Daten erlaubt sind.
• Hochrisiko-Use-Cases gesondert dokumentieren und rechtlich prüfen lassen.

Schritt 5: Das Inventar lebendig halten

Ein AI-Inventar ist kein einmaliges Dokument. KI-Tools kommen und gehen, Funktionen ändern sich, neue Mitarbeitende bringen neue Werkzeuge mit. Legen Sie Verantwortliche und einen Update-Rhythmus fest, sonst ist das Inventar in drei Monaten veraltet.

• Eine verantwortliche Person pro Bereich, die neue Tools meldet.
• Quartalsweise Review des Inventars, mindestens halbjährlich.
• Ein einfaches, gemeinsam zugängliches Format. Eine Tabelle genügt, solange sie gepflegt wird.
• Onboarding-Prozess: Neue KI-Tools werden vor dem produktiven Einsatz eingetragen und eingeordnet.