Viele Unternehmen wissen inzwischen, dass KI im Arbeitsalltag genutzt wird. Schwieriger ist die nächste Frage: Welche Systeme sind es genau, wer nutzt sie, wofür werden sie eingesetzt und welche internen Regeln gelten dafür? Ohne diese Übersicht bleiben Schulungen, Datenschutzprüfungen und Governance schnell abstrakt.
Ein internes KI-Nutzungsregister kann diese Lücke schließen. Gemeint ist hier keine pauschale gesetzliche Registerpflicht für jedes Unternehmen, sondern ein praktisches Steuerungsinstrument: eine gepflegte Übersicht über relevante KI-Systeme und Use Cases, Verantwortlichkeiten, Datenarten und Kontrollmaßnahmen.
Kurz gesagt
- Ein allgemeines KI-Nutzungsregister ist nicht allein deshalb für jedes Unternehmen gesetzlich vorgeschrieben, weil der EU AI Act gilt.
- Praktisch hilft eine zentrale Übersicht dabei, AI-Literacy-Maßnahmen, Datenschutz, Freigaben und Verantwortlichkeiten am tatsächlichen KI-Einsatz auszurichten.
- Erfasst werden sollten nicht möglichst viele technische Details, sondern die Informationen, die konkrete Governance-Entscheidungen ermöglichen: Tool, Zweck, Nutzerkreis, Datenarten, Verantwortliche, Freigabestatus und wesentliche Kontrollen.
- Ein Register ist nur nützlich, wenn neue Tools und Use Cases einfach gemeldet und bestehende Einträge regelmäßig aktualisiert werden können.
- Für Hochrisiko-KI gelten im AI Act spezifische Pflichten, etwa zu Protokollierung und Betreiberpflichten. Diese sind von einem freiwilligen allgemeinen Unternehmensregister sauber zu unterscheiden.
Warum Unternehmen zuerst wissen müssen, welche KI sie überhaupt nutzen
Governance beginnt mit Sichtbarkeit. Wer eine KI-Richtlinie schreibt oder Mitarbeitende schult, muss den realen Nutzungskontext kennen. Genau diesen Kontext stellt auch Artikel 4 des EU AI Act bei der KI-Kompetenz in den Mittelpunkt: Anbieter und Betreiber sollen Maßnahmen zur Entwicklung von KI-Kompetenz unterstützen und dabei unter anderem Wissen, Erfahrung, Ausbildung sowie den Nutzungskontext der Systeme berücksichtigen.
Die Europäische Kommission nennt in ihren aktuellen Fragen und Antworten zur KI-Kompetenz als Ausgangsfragen ausdrücklich: Welche KI wird in der Organisation verwendet? Welche Chancen und Gefahren bestehen? Welche Rolle hat die Organisation und welche Risiken gehen von den eingesetzten Systemen aus?
Das ist keine Anweisung, zwingend eine Excel-Liste mit dem Titel „KI-Register“ zu führen. Es zeigt aber, warum eine belastbare Bestandsaufnahme praktisch wertvoll ist. Ohne sie ist schwer zu beantworten, welche Zielgruppen welche Kompetenzen brauchen.
Ein Marketingteam, das mit einem freigegebenen Textassistenten öffentliche Inhalte entwirft, hat einen anderen Schulungsbedarf als HR, wenn dort KI Bewerbungsunterlagen strukturiert. Ein Entwickler, der über eine API ein Modell in einen Geschäftsprozess integriert, braucht wiederum andere Leitplanken.
Was ist ein KI-Nutzungsregister?
Ein KI-Nutzungsregister ist in diesem Beitrag eine interne Governance-Übersicht. Es dokumentiert ausgewählte Informationen über KI-Systeme und deren tatsächliche Einsatzfälle im Unternehmen.
Der entscheidende Punkt ist der Use Case. Ein einzelnes generatives KI-Tool kann in derselben Organisation für sehr unterschiedliche Aufgaben genutzt werden. „Wir verwenden Tool X“ sagt deshalb wenig über das Risiko aus.
Beispiele für getrennte Use Cases können sein:
- Entwürfe für öffentliche Marketingtexte,
- Zusammenfassung interner Besprechungsnotizen,
- Unterstützung bei Programmcode,
- Analyse von Kundenanfragen,
- Vorbereitung von Bewerbungsunterlagen,
- Klassifikation eingehender Dokumente,
- automatisierte Weiterverarbeitung in einem Geschäftsprozess.
Dasselbe technische System kann dabei mit unterschiedlichen Daten, Nutzergruppen und Konsequenzen arbeiten. Für Governance sollte deshalb nicht nur der Produktname erfasst werden.
Welche Angaben gehören sinnvollerweise hinein?
Ein schlankes Register sollte Fragen beantworten, nicht Dokumentation um ihrer selbst willen produzieren. Als praktische Ausgangsstruktur eignen sich folgende Felder.
1. KI-System und Anbieter
Dokumentiert werden sollte, welches System oder welcher Dienst eingesetzt wird und wer ihn bereitstellt. Bei Eigenentwicklungen oder integrierten APIs sollte zusätzlich klar sein, welche interne Anwendung betroffen ist.
Das erleichtert später die Zuordnung, wenn sich Vertragsbedingungen, Modelle, Funktionen oder Freigaben ändern.
2. Konkreter Zweck und Use Case
„Produktivität“ ist als Zweck zu unscharf. Besser ist eine Beschreibung wie: „Mitarbeitende im Vertrieb lassen Entwürfe für Follow-up-E-Mails erstellen; Versand erfolgt nach manueller Prüfung.“
Eine solche Beschreibung zeigt gleichzeitig, wo KI in den Prozess eingreift und wo der Mensch beteiligt bleibt.
3. Nutzerkreis und verantwortliche Rolle
Wer darf das System für diesen Zweck nutzen? Gibt es einen fachlichen Owner? Wer entscheidet über Änderungen?
Ownership ist wichtig, weil KI-Anwendungen nicht dauerhaft im Zustand ihrer Einführung bleiben. Funktionen ändern sich, neue Datenquellen kommen hinzu und Teams erweitern Use Cases.
4. Verarbeitete Datenarten
Für Datenschutz und Informationssicherheit ist relevant, welche Kategorien von Informationen in den Prozess gelangen können. Statt jedes einzelne Datenfeld zu katalogisieren, kann mit verständlichen Klassen gearbeitet werden, zum Beispiel:
- öffentliche Informationen,
- interne Geschäftsinformationen,
- vertrauliche Informationen,
- personenbezogene Daten,
- besonders schutzbedürftige oder intern gesondert geregelte Daten.
Die konkrete Klassifikation muss zur eigenen Datenschutz- und Informationssicherheitsorganisation passen. Ein KI-Register ersetzt keine Datenschutzprüfung.
5. Wirkung des KI-Ergebnisses
Was passiert mit dem Output? Ist er nur ein Entwurf? Wird er von einer fachkundigen Person geprüft? Fließt er automatisch in einen Folgeprozess? Hat er Auswirkungen auf Kunden, Beschäftigte oder andere Personen?
Diese Information ist für die Risikoeinschätzung häufig wichtiger als die Frage, welches Sprachmodell im Hintergrund läuft.
6. Freigabestatus und Leitplanken
Mitarbeitende brauchen eine klare Antwort: Ist dieser Use Case erlaubt, eingeschränkt, in Prüfung oder nicht freigegeben?
Dazu können konkrete Bedingungen gehören:
- nur über Unternehmenskonto,
- bestimmte Datenklassen ausgeschlossen,
- menschliche Prüfung vor externer Verwendung,
- Quellenprüfung bei faktischen Aussagen,
- keine automatische Weitergabe ohne definierten Kontrollschritt,
- Nutzung nur durch geschulte Rollen.
Damit wird das Register zur Verbindung zwischen Governance und Alltag.
7. Schulungs- und Kompetenzbedarf
Artikel 4 des AI Act knüpft KI-Kompetenz an den tatsächlichen Kontext. Ein Register kann deshalb festhalten, welche Nutzergruppen für einen Use Case welche Lerninhalte benötigen.
Das muss kein kompliziertes Punktesystem sein. Häufig reichen nachvollziehbare Zuordnungen: Basistraining, Datenschutzmodul, rollenbezogene Vertiefung oder technische Schulung für Personen, die KI in Prozesse integrieren.
Die Kommission stellt ausdrücklich klar, dass Artikel 4 kein bestimmtes individuelles Kompetenzniveau garantiert verlangt und keine Pflicht enthält, den Wissensstand aller Beschäftigten zu messen. Die Maßnahmen sollen jedoch zum konkreten Einsatz passen.
Was ein allgemeines KI-Register nicht mit gesetzlichen Aufzeichnungspflichten verwechselt werden darf
Hier ist eine saubere Trennung wichtig. Der EU AI Act enthält für bestimmte Systeme konkrete Anforderungen an Dokumentation und Aufzeichnungen.
Artikel 12 verlangt beispielsweise für Hochrisiko-KI-Systeme technische Möglichkeiten zur automatischen Aufzeichnung von Ereignissen. Artikel 26 enthält Pflichten für Betreiber von Hochrisiko-KI-Systemen. Je nach Rolle und System können also spezifische gesetzliche Anforderungen greifen.
Daraus folgt aber nicht, dass jedes Unternehmen wegen jeder Nutzung eines generativen KI-Assistenten ein identisches allgemeines „KI-Register“ nach einem gesetzlich vorgegebenen Schema führen muss.
Das hier beschriebene Nutzungsregister ist eine praktische Governance-Synthese. Es kann dabei helfen, relevante Systeme zu erkennen und anschließend zu prüfen, welche konkreten rechtlichen, datenschutzrechtlichen, sicherheitsbezogenen oder internen Anforderungen jeweils gelten.
Praktische Entscheidungslogik: Was muss ins Register?
Ein Register verliert seinen Nutzen, wenn jede Rechtschreibkorrektur zu einem eigenen Datensatz führt. Umgekehrt bleiben Risiken unsichtbar, wenn nur offiziell beschaffte Großsysteme erfasst werden.
Eine mögliche interne Entscheidungslogik besteht aus fünf Fragen:
- Wird ein KI-System wiederkehrend für eine geschäftliche Aufgabe genutzt?
- Werden interne, vertrauliche oder personenbezogene Informationen verarbeitet?
- beeinflusst der Output Kommunikation, Entscheidungen oder weitere Geschäftsprozesse?
- Wird das System technisch integriert, automatisiert aufgerufen oder mit weiteren Datenquellen verbunden?
- Braucht der Use Case besondere Freigaben, Kontrollen oder Schulungsmaßnahmen?
Wenn eine oder mehrere Fragen relevant sind, spricht viel dafür, den Use Case in die Governance-Übersicht aufzunehmen. Das ist eine praktische Organisationslogik, keine gesetzliche Klassifizierungsregel.
Wie verhindert man, dass das Register nach drei Monaten veraltet ist?
Die größte Schwäche vieler Inventare ist nicht ihr Aufbau, sondern ihre Pflege. Ein Register, das nur bei einem einmaligen KI-Projekt erstellt wird, bildet die Realität bald nicht mehr ab.
Der Meldeweg sollte deshalb einfacher sein als das Umgehen des Prozesses.
Praktisch kann das bedeuten:
- Mitarbeitende können neue Tools oder Use Cases über ein kurzes Formular melden.
- Es gibt einen klaren Ansprechpartner für Zweifelsfälle.
- Beschaffung und IT-Onboarding verweisen auf denselben Prozess.
- Freigegebene Tools und zulässige Use Cases sind für Beschäftigte leicht auffindbar.
- Verantwortliche bestätigen in angemessenen Abständen, ob Einträge noch aktuell sind.
- Wesentliche Änderungen am Zweck, an Datenarten oder an Automatisierung lösen eine erneute Betrachtung aus.
Ein solcher Prozess kann auch gegen Shadow AI helfen. Wenn Beschäftigte keine praktikable Möglichkeit haben, einen sinnvollen KI-Use-Case prüfen zu lassen, steigt der Anreiz, auf private oder ungeprüfte Werkzeuge auszuweichen.
Vom Register zur rollenbezogenen AI Literacy
Die eigentliche Stärke einer Bestandsaufnahme entsteht, wenn daraus Handlungen folgen.
Aus den Einträgen lässt sich beispielsweise ableiten:
- welche Teams überhaupt mit KI arbeiten,
- welche Datenrisiken in deren Alltag vorkommen,
- wo menschliche Kontrolle besonders wichtig ist,
- welche internen Regeln in Schulungen erklärt werden müssen,
- welche Rollen technische oder rechtliche Vertiefung benötigen.
Damit wird AI Literacy konkreter. Statt allen Beschäftigten dieselbe abstrakte Schulung zu geben, können gemeinsame Grundlagen mit relevanten Rollen- und Praxismodulen verbunden werden.
Die Kommission beschreibt einen risikobasierten und kontextbezogenen Ansatz: Organisationen sollen ihre Rolle, die Risiken ihrer KI-Systeme sowie Wissen und Erfahrung der betroffenen Personen berücksichtigen. Ein internes Nutzungsregister kann die Informationsbasis dafür liefern, ohne selbst einen Compliance-Nachweis zu garantieren.
Mehr zur praktischen Einordnung von KI-Governance und Einführung finden Unternehmen unter limabravo-solutions.de/ki-beratung-karlsruhe.
Eine schlanke Startversion für den Mittelstand
Unternehmen müssen nicht mit einem komplexen Governance-System beginnen. Eine erste belastbare Version kann sich auf zehn Informationen beschränken:
- Name des Systems,
- Anbieter oder interne Anwendung,
- konkreter Use Case,
- Fachbereich,
- verantwortliche Rolle,
- Nutzergruppe,
- relevante Datenklassen,
- Wirkung und Weiterverwendung des Outputs,
- Freigabestatus und wesentliche Kontrollen,
- benötigte Schulung beziehungsweise nächste Überprüfung.
Entscheidend ist anschließend der Prozess darum herum. Wer darf Einträge anlegen? Wer prüft neue Fälle? Wo sehen Mitarbeitende freigegebene Anwendungen? Wann wird neu bewertet?
Ein einfaches Register mit klarer Verantwortung ist wertvoller als ein perfektes Datenmodell, das niemand pflegt.
Fazit: Sichtbarkeit vor Steuerung
Unternehmen können KI nur sinnvoll steuern, wenn sie wissen, wo und wie sie eingesetzt wird. Ein KI-Nutzungsregister ist dafür ein pragmatisches Werkzeug: Es verbindet Systeme und Use Cases mit Datenarten, Verantwortlichkeiten, Freigaben, Kontrollen und Kompetenzbedarf.
Dabei sollte sauber zwischen einem freiwillig beziehungsweise organisatorisch eingesetzten Governance-Instrument und konkreten gesetzlichen Pflichten für bestimmte KI-Systeme unterschieden werden. Das Register schafft nicht automatisch Compliance. Es schafft aber eine bessere Informationsbasis, um relevante Anforderungen überhaupt systematisch zu bearbeiten.
LimaBravo AI Mastery setzt genau an dieser Verbindung von Nutzungskontext, internen Regeln und KI-Kompetenz an. Das Lernangebot kann auf Rollen, reale Einsatzsituationen und unternehmensbezogene Leitplanken ausgerichtet werden.