KI-System im Inventar erfassen

Ein vollständiges Verzeichnis aller Systeme mit KI-Komponenten ist die Voraussetzung dafür, Risikoklasse und Maßnahmen nach der KI-Verordnung belastbar bestimmen zu können. In dieser Anleitung erfassen Sie ein KI-System im Modul „KI-Systeme“, stellen seinen Schutzbedarf fest und verknüpfen die zugehörigen Maßnahmen.

Voraussetzungen

• Ihr Team verfügt über eine Lizenz für die „KI-Verordnung“.
• Sie verfügen über die Berechtigung, KI-Systeme zu sehen (ai-systems); zum Anlegen, Bearbeiten oder Freigeben benötigen Sie zusätzlich die jeweils passende Berechtigung.
• Sie haben Zugriff auf die Organisation, der das System zugeordnet werden soll.

Schritt für Schritt

1. Schalten Sie den Umschalter oben in der Hauptnavigation auf „ISMS“ um. Der Umschalter erscheint nur, wenn Ihr Team sowohl für den Datenschutz als auch für die Informationssicherheit lizenziert ist.
2. Klicken Sie im linken Menü auf die Kategorie „KI-Verordnung“ und anschließend auf den Eintrag „KI-Systeme“. Die Übersicht zeigt ausschließlich die Systeme Ihres Teams, die KI-Komponenten enthalten.
3. Klicken Sie rechts oben auf „Neu“ und wählen Sie „KI-System erstellen“. Für ein bewährtes Mustersystem wählen Sie stattdessen „Aus Musterdokumenten laden“, für einen abgeleiteten Eintrag „Verbundenes Dokument erstellen“.
4. Füllen Sie mindestens das Feld „Bezeichnung“ aus und wählen Sie unter „Zugehörigkeit“ mindestens eine „Organisation“ aus oder aktivieren Sie „Alle Organisationen“. Ohne Zuordnung erscheint der Hinweis „Organisationen muss ausgefüllt werden.“
5. Klicken Sie auf „Erstellen“. Das KI-System wird angelegt und automatisch als System mit KI-Komponenten gekennzeichnet; seine Detailansicht öffnet sich mit dem Brotkrumenpfad „KI-Verordnung › KI-Systeme › [Bezeichnung]“.
6. Vervollständigen Sie im Reiter „Inhalt“ die Abschnitte „Allgemein“, „Einstellungen“ und „Schutzmaßnahmen“ sowie die Unterlisten „Datenfelder“, „Benutzer:innen“, „Rollen“ und „Clients“. Über die „Kategorische Einordnung“ ordnen Sie das System fachlich ein, etwa als „Künstliche Intelligenz“.
7. Wechseln Sie auf den Reiter „Schutzbedarf“ und stellen Sie den Schutzbedarf für „Vertraulichkeit“, „Integrität“ und „Verfügbarkeit“ fest. Solange keine Einstufung vorliegt, zeigt der Reiter „Nicht bewertet“; die ermittelte Stufe erscheint anschließend in der Übersicht als Spalte und Filter „Schutzbedarf“.
8. Verknüpfen Sie das System über „KI-Technische und organisatorische Maßnahmen“ mit den KI-spezifischen Schutz- und Governance-Maßnahmen, die für seinen Betrieb gelten.
9. Geben Sie den Eintrag über „Freigeben“ frei. Der Status wechselt auf „Freigegeben“ und es wird eine Revision angelegt. Mehrere Einträge geben Sie frei, indem Sie sie in der Tabelle markieren und rechts oben unter „Aktionen“ die Aktion „Freigeben“ wählen.

Risikoklasse nach der KI-Verordnung

Die Risikoeinstufung wird nicht am Systemdatensatz selbst hinterlegt: Die hier erfassten KI-Systeme sind die Bezugsgröße für die „KI-Compliance-Prüfungen“ in derselben Kategorie „KI-Verordnung“, in denen Risikoklasse und Betreiberpflichten dokumentiert werden. Der Schutzbedarf bleibt daneben der Maßstab für die Risikobewertung und die Auswahl angemessener Maßnahmen im ISMS.

Tipp aus der Praxis

• Pflegen Sie zuerst das Systemverzeichnis vollständig, bevor Sie Risikoeinstufung und Maßnahmen dokumentieren — die übrigen Module der Kategorie „KI-Verordnung“ bauen darauf auf.
• Sie erfassen das System nur einmal: Es wird zugleich Teil der „Assets“-Gesamtmenge und kann bei Bedarf zusätzlich als „datenschutzrelevant“ gekennzeichnet werden, damit es auch unter „Datenverarbeitungssysteme“ erscheint.
• Verschachtelte Systemlandschaften prüfen Sie am schnellsten über den Umschalter „Baum“ rechts oben, der die Beziehungen „Übergeordnetes Asset“ und „Untergeordnete Assets“ abbildet.