KI-Verordnung 2026: Welches System gehört zuerst in Ihr KI-Inventar?

Im Einkauf läuft ein Assistent, im Recruiting sortiert ein Dienstleister Bewerbungen, und das Serviceteam lässt Antworten von einem Sprachmodell formulieren. Niemand hat absichtlich ein „KI-Portfolio“ aufgebaut; trotzdem sind Entscheidungen, Daten und Anbieter längst miteinander verbunden. Nach dem aktuellen amtlichen Zeitplan gelten seit dem 2. August 2026 weitere Teile der europäischen KI-Verordnung, darunter Regeln für bestimmte Hochrisiko-Systeme nach Anhang III und Transparenzpflichten. Die erste sinnvolle Leistung ist deshalb weder eine Zertifizierung noch ein umfassendes Governance-Programm. Sie ist ein begrenztes KI-Inventar für eine Rechtseinheit und einen definierten Prozessbereich . Es dokumentiert System, Zweck, Rolle, Betroffene, Daten, Anbieter, Einsatzdatum, Änderung und einen begründeten nächsten Prüfschritt. Diese Lektüre zeigt, wie daraus ein kaufbarer Diagnoseauftrag und ein glaubwürdiger Akquisitionspfad entstehen, ohne Hochrisiko-Einstufung, Konformität oder Behördenfreigabe vorwegzunehmen.

Nach dem aktuellen amtlichen Zeitplan gelten seit dem 2. August 2026 weitere Anforderungen der KI-Verordnung, darunter Regeln für Hochrisiko-KI nach Anhang III, bestimmte Transparenzpflichten und Marktüberwachungsaufgaben. Welche Pflicht ein Unternehmen trifft, hängt von System, Zweck, Rolle, Einsatz und Übergang ab.

Die Bundesnetzagentur beschreibt Zeitplan und Marktüberwachung. Der Verordnungstext bleibt die rechtliche Grenze. Für Alt-Systeme, wesentliche Änderungen und besondere Rollen gelten Übergänge, die ein Inventar sichtbar machen muss, statt sie pauschal zu beantworten.

KI-Governance beginnt mit einem Inventar, weil eine Richtlinie ohne bekannte Systeme, Zwecke und Verantwortliche nicht anwendbar ist. Erst die Zuordnung von Anbieter, Betreiber, Importeur oder Händler sowie von Einsatzkontext und Betroffenen zeigt, welche Prüfung überhaupt erforderlich ist.

Ein allgemeiner Chatbot und ein System zur Bewerberauswahl benötigen nicht denselben Prüfpfad. Auch eine intern entwickelte Funktion und ein eingekaufter Cloud-Dienst können andere Verantwortungen erzeugen. Das Inventar verhindert, dass alle Anwendungen in ein identisches Compliance-Paket gezwungen werden.

Lieferbar ist ein KI-Inventar-Sprint für eine Rechtseinheit und einen begrenzten Bereich. Er erfasst bekannte Systeme, interviewt Prozessverantwortliche, prüft Verträge und Zweck, markiert Hochrisiko- oder Transparenz-Anhaltspunkte und endet mit einer priorisierten Entscheidungsliste.

Der Sprint endet nicht mit einem Konformitätsstempel. Er liefert eine Liste: vertiefen, Transparenz korrigieren, Vertrag ergänzen, Nutzung begrenzen, Alt-System beobachten oder mangels KI-Bezug schließen.

Ein Hochrisiko-Anhaltspunkt wird über vorgesehenen Zweck, Einsatzbereich, betroffene Entscheidung, Ausnahme und Rolle geprüft. Recruiting, Kreditwürdigkeitsprüfung oder Zugang zu wesentlichen Diensten können relevante Kontexte sein; der Branchenname oder die Nutzung eines großen Sprachmodells allein genügt nicht.

Jeder Vermerk erhält Quelle, Annahme und offenen Punkt. So kann der zuständige Fachpartner gezielt entscheiden, statt alle Systeme mit der teuersten Kontrolltiefe zu behandeln.

Verträge, technische Dokumentation, Produktbeschreibung, Änderungsprotokoll, Prozessanweisung und tatsächlicher Einsatz zeigen die Rolle. Marketingbegriffe wie „Copilot“ oder „intelligent“ beweisen weder ein KI-System noch die Position als Anbieter.

Besonders wichtig ist die wesentliche Änderung. Wer einen Dienst konfiguriert, trainiert oder unter eigenem Namen anbietet, braucht eine andere Rollenprüfung als ein unveränderter Standardnutzer. Das Inventar dokumentiert den Sachverhalt; es erfindet keine Rechtsfolge.

Akute Signale sind eine KI-Beschaffung, ein Recruiting- oder Scoring-Projekt, ein öffentlich angebotener Chatbot, eine Modellmigration, ungeklärte Schatten-KI, ein Audit des Kunden oder eine Produktfreigabe nach August 2026. Sie zeigen Entscheidungsdruck, aber noch keine Hochrisiko-Einstufung.

Suchinhalte fangen Informationsbedarf zu Zeitplan und Hochrisiko-Kontexten ab. Partnerschaften mit Datenschutz-, Arbeitsrechts- und Informationssicherheitsberatern bringen Fälle mit klarer Übergabe. Direktansprache eignet sich für öffentlich erkennbare KI-Funktionen und Stellenausschreibungen für AI Governance.

Das KI-Inventar ordnet KI-System, Zweck und Rolle. NIS2 ordnet Cyberpflichten einer Einrichtung, DORA die digitale Resilienz im Finanzsektor und der CRA Pflichten für Produkte mit digitalen Elementen. Dieselbe Anwendung kann mehrere Regeln berühren; erster Kauf und Evidenz bleiben getrennt.

Die NIS2-Lektüre behandelt die Organisation, die DORA-Lektüre Finanz-ICT und die CRA-Lektüre Produktmeldungen. Dieses Canon verhindert eine Vermischung zu „Digital Compliance“ ohne abnehmbares Ergebnis.

Wirtschaftlichen Wert zeigen bezahlte Inventar-Sprints, geklärte Systemeigentümer, entschiedene Vertiefungen, vermiedene Fehlprüfungen und pünktliche Produktfreigaben. Die Anzahl gefundener KI-Tools oder ausgefüllter Felder ist nur Aktivität und ersetzt keine geschlossene Entscheidung.

In der Akquisition zählen Unternehmen mit benanntem Use Case, Sponsor und Zeitfenster. Ein „Interesse an KI“ ohne Prozess oder Entscheidung ist kein qualifizierter Auftrag.

Das KI-Inventar wird bei neuen Systemen, Zweckänderungen, Modellwechseln, Anbietern, wesentlichen Änderungen und neuen Rechtsständen erneut geprüft. Ein Retainer braucht Ereignisse und Entscheidungen; ein unveränderter Monatsreport erzeugt keinen Wert.

Ein quartalsweiser Review kann zu viel oder zu wenig sein. Die Frequenz folgt der Beschaffungs- und Releasegeschwindigkeit und wird im Betreuungsvertrag festgelegt. Jede Runde schließt definierte Änderungen ab.

Die KI-Verordnung, der aktuelle Zeitplan und die Informationen der Bundesnetzagentur zur Marktüberwachung begrenzen diese Lektüre. Sie liefern keine pauschale Klassifizierung eines Kundensystems und ersetzen keine technische oder rechtliche Prüfung.

Offizielle URLs und Abrufdaten liegen im privaten Recherchepaket. Wegen laufender europäischer Umsetzungs- und Vereinfachungsarbeit wird der Rechtsstand vor jeder Kampagne erneut verifiziert.

Der kostenfreie Eignungstest prüft Zielkunden, Inventar-Sprint, Fachgrenzen, Übergaben und Lieferkapazität. Er zeigt, ob getfishnet eine maßgeschneiderte Akquisitionsstrategie für Ihre aktuellen KI-Governance-Probleme entwickeln kann. Ohne klaren Erstkauf oder Abnahme stoppt der Test.

Fachstand: 7. August 2026. Veröffentlichung, CMS-Import und Übersetzung bleiben bis zur menschlichen Freigabe gesperrt.