Ein KI-Register aufbauen: Überblick über alle KI in Ihrer Organisation
Kurz gesagt
Ein KI-Register ist eine Übersicht aller KI-Systeme, die Ihre Organisation nutzt: was, wofür, mit welchen Daten, von welchem Anbieter und mit welchem Risiko. Es ist nicht für jede Organisation gesetzlich vorgeschrieben, aber ohne diesen Überblick können Sie keine der Fragen aus KI-Verordnung, DSGVO oder NIS2 beantworten. Beginnen Sie klein, mit den zehn Feldern, die zählen, und verknüpfen Sie es mit Ihrem Verarbeitungsverzeichnis.
Warum Sie ein KI-Register brauchen
- KI-Verordnung: Sie müssen wissen, ob Sie verbotene Praktiken nutzen, wo Transparenzpflichten gelten und welche Anwendungen künftig Hochrisiko sind. Siehe KI-Verordnung 2026.
- DSGVO: KI-Anwendungen mit personenbezogenen Daten gehören in Ihr Verarbeitungsverzeichnis, und oft ist eine DSFA nötig. Siehe DSFA für generative KI.
- NIS2: KI-Dienste sind Lieferanten in Ihrer Kette. Siehe NIS2 und KI.
- KI-Kompetenz: Wer welche Schulung braucht, ergibt sich daraus, welche KI jemand nutzt.
Öffentliche Stellen haben zudem einen eigenen Weg: Betreiber von Hochrisiko-KI, die Behörden sind, müssen deren Einsatz in der EU-Datenbank registrieren. In den Niederlanden veröffentlicht die Verwaltung wirkungsrelevante Algorithmen bereits in einem nationalen Algorithmenregister.
Welche Felder gehören hinein?
| Feld | Beispiel |
|---|---|
| Name und Beschreibung | Zusammenfassungsassistent Kundenservice |
| Zweck | Kundenanfragen für die Übergabe zusammenfassen |
| Verantwortliche Person | Teamleitung Kundenservice |
| Modell und Anbieter | Open-Weight-Modell auf eigenem Node; oder externer Dienst X |
| Wo läuft es? | Eigener Serverraum; EU-Rechenzentrum; außerhalb der EU |
| Daten | Kundenname, Kontaktdaten, Anliegen |
| Nutzer | Kundenservice, 40 Beschäftigte |
| Risikostufe KI-Verordnung | Minimal; Transparenz; Hochrisiko |
| DSFA und Auftragsverarbeitung | DSFA abgeschlossen am Datum; nicht nötig (eigene Infrastruktur) |
| Menschliche Kontrolle | Beschäftigte prüfen die Zusammenfassung vor dem Versand |
So bauen Sie es auf
- Breit erfassen. Nicht nur die Tools, die die IT kennt, sondern auch KI in bestehender Software (CRM, HR-Systeme, Office-Pakete) und was Beschäftigte selbst nutzen. Siehe Schatten-KI.
- Klein beginnen. Zehn Felder in einer gemeinsamen Tabelle sind besser als ein aufwendiges System, das niemand pflegt.
- An bestehende Prozesse koppeln. Neue KI-Tools erst freigeben, wenn sie im Register stehen, und mit dem Verarbeitungsverzeichnis des Datenschutzbeauftragten verknüpfen.
- Verantwortliche benennen für das Register insgesamt und je System.
- Regelmäßig überprüfen, etwa quartalsweise und bei jedem neuen Tool.
Je weniger einzelne KI-Dienste, desto kürzer das Register
Jeder externe KI-Dienst ist eine Zeile mit eigenen Fragen: Anbieter, Standort, Auftragsverarbeitungsvertrag, Übermittlung. Organisationen, die KI in einer eigenen Umgebung bündeln, haben weniger Zeilen und einfachere Antworten.
Mit werqly laufen Ihre Modelle und Automatisierungen auf einem eigenen Node. werqly AI Control zeigt pro Rolle, welches Modell und welche Automatisierung verfügbar ist, und das Audit-Log zeigt, was tatsächlich genutzt wird. Das ist der lebende Teil Ihres KI-Registers. Siehe Was ist private KI?
Häufige Fragen
Fragen zu diesem Thema
Ist ein KI-Register Pflicht?
Nicht für jede Organisation. Behörden, die Hochrisiko-KI einsetzen, müssen diesen Einsatz in der EU-Datenbank registrieren. Für andere Organisationen ist das Register vor allem das Mittel, um KI-Verordnung, DSGVO und NIS2 einhalten zu können.
Was ist der Unterschied zum Verarbeitungsverzeichnis?
Das Verarbeitungsverzeichnis nach der DSGVO beschreibt Verarbeitungen personenbezogener Daten. Das KI-Register beschreibt KI-Systeme, auch ohne personenbezogene Daten, mit KI-spezifischen Feldern wie Modell, Risikostufe und menschlicher Kontrolle. Verknüpfen Sie beide.
Gehört KI in bestehender Software auch ins Register?
Ja. KI-Funktionen in CRM-, HR- und Office-Software verarbeiten oft dieselben sensiblen Daten wie einzelne KI-Tools. Sie gehören ins Register, mit dem Softwareanbieter als Beteiligtem.
Wer pflegt das KI-Register?
Benennen Sie eine verantwortliche Person für das Register, oft aus Risiko, Compliance oder dem Team des CISO, und je KI-System eine fachlich verantwortliche Person. Arbeiten Sie eng mit dem Datenschutzbeauftragten zusammen.
Quellen
- KI-Verordnung — Verordnung (EU) 2024/1689
- Algorithmenregister der niederländischen Verwaltung (Niederländisch)
- Europäische Kommission — AI Literacy: Questions & Answers (Englisch)
Dieser Beitrag ist eine allgemeine Information, keine Rechtsberatung. Regeln und Leitlinien ändern sich; prüfen Sie im Zweifel die genannten Quellen oder fragen Sie Ihre Rechtsabteilung oder Ihren Datenschutzbeauftragten.