KI-Register nach EU AI Act: Struktur, Pflichtfelder und Vorlage

Das KI-Register ist das zentrale Compliance-Dokument jedes Unternehmens, das KI einsetzt. Es ist die Voraussetzung für alle weiteren Compliance-Maßnahmen — Risikobewertung, Folgenabschätzung, Schulungsplanung, Monitoring. Ohne Register ist keine dieser Pflichten belastbar erfüllbar.

Dieser Ratgeber erklärt, welche Pflichtfelder ein KI-Register enthalten muss, wie die Abgrenzung zum DSGVO-Verarbeitungsverzeichnis läuft und wie eine praktikable Struktur aussieht.

Warum ein KI-Register zwingend ist

Der EU AI Act fordert an mehreren Stellen eine systematische Dokumentation:

• Art. 11 + Anhang IV — Technische Dokumentation für Hochrisiko-KI (für Anbieter verpflichtend, für Betreiber empfohlen)
• Art. 12 — Protokollierungspflichten
• Art. 26 Abs. 5 — Betreiber müssen das Monitoring dokumentieren
• Art. 49 — Registrierung bestimmter Hochrisiko-Systeme in der EU-Datenbank

In der Praxis konsolidiert sich diese Anforderung in einem einzigen zentralen Dokument: dem KI-Register. Es dient drei Zwecken gleichzeitig:

1. Internes Steuerungsinstrument — welche KI nutzen wir, wo, wofür?
2. Basis für Risikobewertung und Dokumentation — jeder Pflichtenaufbau startet hier
3. Auskunftsgrundlage bei Behördenanfragen — ein sauberes Register reduziert Prüfungsaufwand dramatisch

Die 15 Pflichtfelder je KI-System

Die folgenden 15 Felder sollten für jedes einzelne KI-System im Unternehmen dokumentiert sein. Die Struktur orientiert sich an Anhang IV EU AI Act und berücksichtigt die praktischen Bedürfnisse in der laufenden Pflege:

Block A — Identifikation (Felder 1–3)

1. Name und Versionsnummer — wie heißt das System intern? Welche Version ist im Einsatz? Bei Updates ist die Versionshistorie zu pflegen.

2. Anbieter / Hersteller — wer hat das System entwickelt oder in Verkehr gebracht? Name, Sitz, Ansprechpartner, Support-Kanäle.

3. Bezug zu anderen Systemen — ist das System Teil eines größeren Workflows? In welche anderen Systeme fließen Outputs ein?

Block B — Zweckbestimmung (Felder 4–6)

4. Zweckbestimmung — wofür wird das System eingesetzt? Möglichst konkret, nicht „Produktivitätssteigerung”, sondern „automatisiertes Ranking von Bewerbungen für Stellen im Vertrieb”.

5. Betroffene Personen / Personengruppen — welche Personen sind vom Output betroffen? Mitarbeiter, Bewerber, Kunden, Patienten?

6. Einsatzkontext — in welcher Abteilung, in welchem Prozess? Wer bedient das System, wer entscheidet auf Basis der Outputs?

Block C — Risikoklassifizierung (Felder 7–9)

7. Risikostufe nach EU AI Act — Verboten / Hochrisiko / Limited / Minimal. Mit Begründung.

8. Begründung der Klassifizierung — warum diese Einstufung? Verweis auf Anhang III, Art. 5, Art. 50 oder Art. 6 Abs. 3 Ausnahme.

9. Datum der letzten Risikobewertung — Risikoeinstufungen sind nicht statisch, sie müssen bei Modelländerungen und mindestens jährlich überprüft werden.

Block D — Daten und Modell (Felder 10–12)

10. Datenbasis / Trainingsdaten — woher stammen die Daten, auf denen das Modell trainiert wurde? Bei Fremdsystemen: Angaben aus der Anbieter-Dokumentation.

11. Bekannte Limitationen — was kann das System nachweislich nicht? Bei welchen Datenlagen versagt es? Wichtig für die menschliche Aufsicht.

12. Update-Zyklen — wie oft wird das Modell aktualisiert? Automatisch oder manuell? Haben wir Einfluss auf Updates?

Block E — Verantwortlichkeiten & Aufsicht (Felder 13–15)

13. Interner Systemverantwortlicher — wer ist fachlich und organisatorisch für den Einsatz zuständig? Name, Rolle, Abteilung.

14. Menschliche Aufsicht — wer prüft Outputs, bevor sie wirksam werden? Welche Eingriffsmöglichkeiten gibt es? Dies ist besonders bei Hochrisiko-KI zentral.

15. Monitoring-Kennzahlen — welche Metriken werden wie erfasst? Genauigkeit, Fehlerrate, Bias-Indikatoren, Auffälligkeiten?

Für Hochrisiko-KI kommen nach Anhang IV weitere 9 Felder hinzu (Konformitätsbewertungsverfahren, CE-Kennzeichnung, Registrierung in der EU-Datenbank, etc.). Diese 15 Grundfelder sind das Minimum für jedes KI-System.

Abgrenzung zum DSGVO-Verarbeitungsverzeichnis

KI-Register und DSGVO-Verarbeitungsverzeichnis (Art. 30) haben Schnittmengen, sind aber nicht identisch:

Dimension	DSGVO-Verarbeitungsverzeichnis	KI-Register
Rechtsgrundlage	DSGVO Art. 30	EU AI Act, Anhang IV + Art. 12
Gegenstand	Personenbezogene Datenverarbeitung	KI-System (mit oder ohne Personenbezug)
Fokus	Rechtsgrundlage, Betroffenenrechte, Löschfristen	Risiko, Modell, Aufsicht
Verantwortlich	Datenschutzbeauftragter	KI-Beauftragter

Für KI-Systeme mit personenbezogenen Daten sind beide Verzeichnisse zu führen. In der Praxis ist eine verknüpfte Struktur sinnvoll: Eine KI, die personenbezogene Daten verarbeitet, hat einen Eintrag im KI-Register UND im Verarbeitungsverzeichnis, mit Querverweisen.

Format: Excel, Datenbank oder Governance-Tool?

Drei Formate sind in der Praxis gängig:

Excel / Google Sheets — pragmatisch, kostenlos, flexibel. Passend für Unternehmen mit bis zu 20 KI-Systemen. Nachteil: keine Audit-Trails, keine Versionierung, manuelle Pflege.

Datenbank / CRM-basiert — für Unternehmen mit 20–100 KI-Systemen. Integration in bestehende IT-Landschaft möglich, Berechtigungskonzepte sauber abbildbar.

Spezialisierte Governance-Tools — ab 100+ Systemen oder bei stark regulierten Branchen (Finanzwesen, Gesundheitswesen). Tools wie OneTrust, Credo AI, Holistic AI bieten Workflow-Unterstützung und Behörden-Export. Kostet ab 20.000 €/Jahr.

Für mittelständische Unternehmen empfehlen wir typischerweise den Excel-Einstieg. Er reicht für die ersten 12–18 Monate und bietet genug Struktur, um die Pflichten zu erfüllen. Der Umstieg auf eine professionelle Lösung lohnt sich erst, wenn das Register regelmäßig außerhalb der Compliance-Abteilung genutzt wird.

Excel-Vorlage als Startpunkt

Wir stellen unseren Mandanten eine vorgefertigte Excel-Vorlage mit allen 15 Pflichtfeldern plus 9 zusätzlichen Feldern für Hochrisiko-KI zur Verfügung. Die Vorlage enthält:

• Spaltenkopf mit Erläuterungen — was gehört in welches Feld, mit Beispielen
• Dropdown-Listen für Risikostufen und Kategorien
• Bedingte Formatierung — Hochrisiko-Zeilen werden rot markiert, fehlende Pflichtfelder gelb
• Versionshistorie-Tab — Änderungen nachvollziehbar
• Schulungs-Matrix-Tab — welcher Mitarbeiter wurde wann geschult? Verknüpfung zum KI-Register.

Die Vorlage ist für unsere Mandanten im Rahmen der KI-Inventarisierung enthalten. Wer sie separat möchte, kann sie über das Kontaktformular anfragen.

Typische Fehler beim Aufbau

Aus unserer Mandatspraxis sehen wir sechs Fehler besonders häufig:

1. Register nur für „offensichtliche” KI — ChatGPT und dedizierte KI-Tools werden erfasst, KI-Funktionen in bestehender Software (Salesforce Einstein, Microsoft 365 Copilot, SAP AI Core) werden vergessen. Das Register ist dann unvollständig.

2. Zu grobe Einträge — „Marketing nutzt KI” ist kein Eintrag. Jede einzelne KI-Anwendung bekommt einen eigenen Eintrag mit eindeutiger Zweckbestimmung.

3. Keine Pflege — das Register wird einmal aufgebaut und dann nie aktualisiert. Bei der ersten Behördenprüfung stimmen die Angaben nicht mehr. Mindestens halbjährliche Review ist Pflicht.

4. Risikoeinstufung ohne Begründung — eine Tabellenzelle mit „Low Risk” reicht nicht. Die Begründung ist zentral für die Verteidigung der Einstufung.

5. Keine Verknüpfung zum Verarbeitungsverzeichnis — KI mit personenbezogenen Daten braucht beide Dokumente. Ohne Querverweise entstehen Inkonsistenzen.

6. Ein einziger Verantwortlicher für alle Systeme — bei größeren Unternehmen unrealistisch. Pro System sollte ein fachlicher Verantwortlicher benannt sein.

Pflege-Prozess: Was, wann, wer?

Ein lebendiges KI-Register erfordert klare Prozesse:

• Anlage-Trigger — jede neue KI-Einführung muss VOR Produktivsetzung ins Register. Der Freigabeprozess sollte „Register-Eintrag vorhanden?” als Pflichtschritt haben.
• Änderungs-Trigger — Versionsupdate, Änderung des Anbieters, neuer Einsatzbereich → Register-Eintrag aktualisieren.
• Halbjährlicher Review — der KI-Beauftragte prüft systematisch alle Einträge auf Aktualität.
• Jährlicher Vollständigkeits-Check — stimmen die Einträge mit der realen KI-Landschaft überein? Hier wird oft Schatten-KI entdeckt.

Wie DATUREX unterstützt

Den Aufbau und die laufende Pflege des KI-Registers übernehmen wir als Teil der externen KI-Beauftragten-Funktion. Das spart Ihnen typischerweise 6–12 Stunden pro Monat an interner Arbeit — und stellt sicher, dass das Register dem aktuellen regulatorischen Stand entspricht.

Startpunkt ist immer eine strukturierte KI-Inventarisierung, in der wir gemeinsam alle eingesetzten Systeme erfassen. Danach läuft die Register-Pflege im Rhythmus Ihrer monatlichen Paketleistungen.

Fazit

Das KI-Register ist kein Selbstzweck, sondern das Rückgrat Ihrer EU-AI-Act-Compliance. Mit einer strukturierten Vorlage, klaren Verantwortlichkeiten und einem gelebten Pflegeprozess ist der Aufbau auch für mittelständische Unternehmen in 4–6 Wochen leistbar. Die langfristige Pflege kostet ab da typischerweise 2–4 Stunden pro Monat — ein Bruchteil dessen, was ein Nachaufbau bei einer Behördenprüfung an Aufwand verursachen würde.