Dokuflex enthält ein kostenloses KI-Tool-Inventar: Erfassen Sie jedes KI-Tool und jedes KI-System, das Ihr Unternehmen entwickelt oder nutzt, von ChatGPT oder Copilot bis zum Scoring in Ihrem CRM, klassifizieren Sie es nach Risikostufe gemäß der KI-Verordnung (EU AI Act) und legen Sie die Nachweise neben dem Datensatz ab. Geführtes Formular, 11 automatische Regeln, Dashboard und sechs Beispiele. Aktiviert in unter einer Minute, ohne Einführungsprojekt, aus dem Modulkatalog von Dokuflex, der Low-Code-BPM-Plattform mit KI, mit Daten in der EU.
Ein KI-Tool-Inventar (oder KI-Systeme-Register, in der Sprache der Verordnung) ist das Verzeichnis der KI-Tools und KI-Systeme, die eine Organisation entwickelt oder nutzt, mit Zweckbestimmung, Anbieter, Daten, Rolle (Anbieter oder Betreiber) und Risikostufe jedes Systems gemäß der KI-Verordnung. Es ist der Nachweis, den die nationale KI-Aufsicht (in Spanien AESIA), ein Auditor oder ein Kunde von Ihnen verlangen wird.
Die Verordnung (EU) 2024/1689 regelt jedes System nach seinem Zweck und seiner Risikostufe und verteilt die Pflichten zwischen dem, der es entwickelt (Anbieter), und dem, der es in eigener Verantwortung verwendet (Betreiber). Für ein KMU oder ein mittelständisches Unternehmen sind es vier Pflichten:
Die Bußgelder nach Artikel 99 reichen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, 15 Millionen oder 3 % für die übrigen Verstöße und 7,5 Millionen oder 1 % für falsche Angaben gegenüber den Behörden (in Spanien AESIA). Keine der vier Pflichten lässt sich erfüllen, ohne vorher zu wissen, welche Systeme es gibt und welcher Art sie sind: Die Anleitung Feld für Feld steht in So inventarisieren und klassifizieren Sie die KI, die Ihr Unternehmen bereits nutzt (auf Spanisch).
Die Verordnung gilt auch für KMU, und ein KI-Register für Unternehmen ist kein Luxus großer Konzerne; bei den Bußgeldern (Artikel 99) gilt der niedrigere der beiden Beträge, der Festbetrag oder der Prozentsatz. Was sich ändert, ist der Zeitplan: Jedes Datum fügt bestimmten Systemen Pflichten hinzu, und das KI-Systeme-Register ist das, womit Sie zu jedem Stichtag nachweisen, was Sie haben, welches Risiko es hat und welche Maßnahmen Sie ergriffen haben.
Seit dem 2. Februar 2025 sind die Praktiken nach Artikel 5 verboten, und das Personal, das KI nutzt, muss geschult sein (Artikel 4). Ab dem 2. August 2026 muss darüber informiert werden, dass mit einer KI interagiert wird oder dass ein Inhalt KI-generiert ist (Artikel 50), was jeden Chatbot und jeden Text- oder Bildgenerator betrifft. Im Register: alle Systeme angelegt, der Status „verboten“ auf die unannehmbaren angewendet und die Transparenz in jedem Datensatz mit begrenztem Risiko bestätigt.
Lebenslauf-Screening, Mitarbeiterbewertung, Kredit-Scoring, Versicherungen, Bildung oder Biometrie erfordern dann menschliche Aufsicht, Datenkontrolle, Ereignisprotokollierung, DSFA und Information der Beschäftigten (Artikel 26). Im Register: Kategorie des Anhangs III, Datum der Konformitätsbewertung, CE-Kennzeichnung, Aufsichtsmaßnahmen und die Dokumentation des Anbieters, vor diesem Datum an jeden Datensatz angehängt.
Eine vollständige KI-Governance-Plattform ergibt Sinn, wenn die Organisation eigene Modelle entwickelt und betreibt. Für alle, die vor allem eingekaufte KI nutzen, ist der Ausgangspunkt einfacher: Inventar, Risikoklassifizierung, Nachweise und Nachvollziehbarkeit. Dokuflex deckt das mit einem kostenlosen Modul innerhalb seiner Low-Code-BPM-Software mit KI ab, mit Daten in der EU (auf Spanisch), und wächst mit dem Low-Code-Designer, wenn Ihre interne Richtlinie einen Freigabe-Workflow oder branchenspezifische Felder verlangt.
Fast alle Unternehmen beginnen das Inventar in einer geteilten Tabelle, und fast alle geben es im ersten Quartal auf, weil das Register Dinge leisten muss, die eine Tabelle nicht leistet:
Und die Tabelle erfasst nur, was die IT gekauft hat. Die in ERP oder CRM eingebettete KI und die, die Mitarbeitende auf eigene Faust nutzen (die Schatten-KI), taucht erst auf, wenn das Anlegen ein Formular ist, das jede Abteilung ausfüllen kann. Für diesen ersten Durchgang durch die Abteilungen eignet sich die kostenlose Excel-Vorlage für das KI-Systeme-Inventar (Vorlage auf Spanisch), mit der Risikokategorie des EU AI Act und dem Bereich des Anhangs III als Dropdown.
Das Modul ist ein direkter Erfassungsprozess ohne Freigabe-Workflow (das Anlegen eines Systems sollte auf niemanden warten müssen), mit vier Feldblöcken, elf Regeln, die die Logik der Verordnung beim Ausfüllen anwenden, und einem Dashboard, das die Frage „Wie viel KI haben wir und mit welchem Risiko?“ beantwortet.
Die Verordnung definiert ein „KI-System“ danach, was es tut, nicht danach, wer es verkauft hat oder ob es bezahlt wird. In der Praxis hat das Inventar eines KMU meist vier Arten von Einträgen, und jeder erhält seinen Datensatz mit Zweck, Anbieter, Rolle und Risikostufe:
Automatische Nummer (IA-1, IA-2 …), Name, Zweckbestimmung, Einsatzbereich (HR, Kundenservice, Marketing, Finanzen, Betrieb, Sicherheit), Rolle der Organisation (Anbieter, Betreiber, Einführer, Händler), Anbieter oder Produkt, Basismodell, interner Verantwortlicher, Anlagedatum und Status (in Bewertung, Pilot, in Produktion, zurückgezogen, verboten).
Ob personenbezogene Daten verarbeitet werden, Datenkategorien (Identifikation, Finanzen, Gesundheit, Biometrie, Standort, Verhalten), durchgeführte DSFA, betroffene Personen (Mitarbeitende, Kunden, Bewerber, Bürger, Minderjährige) und ob automatisierte Entscheidungen mit Wirkung auf Personen getroffen werden. Es ist die Brücke zum Verzeichnis der Verarbeitungstätigkeiten nach DSGVO; Betroffenenrechte und Datenpannen werden im Modul DSGVO-Betroffenenrechte und Datenpannen verwaltet.
Risikostufe (minimal, begrenzt, hoch, unannehmbar), Kategorie des Anhangs III (Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, wesentliche Dienste, Strafverfolgung, Migration, Justiz), Maßnahmen der menschlichen Aufsicht, Transparenz nach Artikel 50, Ereignisprotokollierung, Datum der Konformitätsbewertung, CE-Kennzeichnung und geltender Stichtag.
Letzte und nächste Bewertung, erfasste Vorfälle, angehängte Dokumentation (Datenblätter, DSFA, Bewertungen wie die Grundrechte-Folgenabschätzung oder FRIA nach Artikel 27, Verträge), Bemerkungen und der Anwendungskalender der Verordnung im Blick.
Die Einstufung als Unannehmbar setzt den Status auf Verboten. Der Datensatz bildet Artikel 5 sofort ab, ohne dass jemand daran denken muss.
Bei hohem Risiko erscheinen die Felder des Anhangs III: die Kategorie (Pflicht), das Datum der Konformitätsbewertung und die CE-Kennzeichnung. Bei jeder anderen Stufe stören sie nicht.
Bei begrenztem Risiko ist die Transparenz nach Artikel 50 Pflicht: Ein Chatbot oder ein Inhaltsgenerator wird nicht gespeichert, ohne zu bestätigen, dass die Personen informiert werden.
Bei personenbezogenen Daten erscheinen die Datenkategorien und sind Pflicht; bei automatisierten Entscheidungen wird die DSFA zur Pflicht.
Ein System in Produktion braucht ein Datum für die nächste Bewertung. Das Inventar bleibt nicht ohne Verantwortlichen und ohne Kalender.
Die Liste beginnt mit vier Kacheln (hohes Risiko, in Produktion, in Bewertung und mit personenbezogenen Daten) und einer nach Bereich, Risiko, Rolle, Stichtag, Status und Verantwortlichem filterbaren Tabelle, exportierbar nach Excel, plus einer Kanban-Ansicht nach Status. Das Dashboard teilt das Inventar in sechs Diagramme auf: Risikostufe, Einsatzbereich, Status, Rolle, Neuanlagen pro Monat und automatisierte Entscheidungen. Jede Änderung an einem Datensatz bleibt mit Benutzer und Datum in seiner Historie. Wenn ein Auditor, ein Kunde oder die Behörde Nachweise verlangt, ist die Antwort das exportierte Inventar, die an jeden Datensatz angehängte Dokumentation und diese Historie, keine im Nachhinein rekonstruierte Tabelle.
Ein Großteil der KI, die ein Unternehmen nutzt, kommt von Dritten: der Chatbot des Kundenservice-Tools, das Lebenslauf-Screening der Recruiting-Software oder das im ERP integrierte Scoring. Dass sie eingekauft ist, entbindet Sie nicht: Ist das System ein Hochrisiko-System, verlangt Artikel 26 vom Betreiber menschliche Aufsicht, Datenkontrolle und Protokolle, und um das zu erfüllen, hängen Sie davon ab, was der Anbieter liefert. Jeder Datensatz identifiziert Anbieter oder Produkt, Basismodell und Ihre Rolle und bewahrt daneben Datenblatt und Vertrag auf; bei Hochrisiko-Systemen zusätzlich das Datum der Konformitätsbewertung und die CE-Kennzeichnung.
Das Datum der nächsten Bewertung macht die Überprüfung jedes kritischen Anbieters zu einer terminierten Verpflichtung, und die Historie hält fest, wer sie wann vorgenommen hat: Das ist der Nachweis des Drittrisiko-Managements, den ein Audit üblicherweise verlangt, ohne ein eigenes Projekt zu eröffnen. Wenn Sie das Cybersicherheitsrisiko Ihrer IKT-Anbieter beschäftigt, verlangen NIS2 und DORA zusätzlich zu wissen, welcher Dritte an jedem Vorfall beteiligt war, und das wird im Vorfallregister nach NIS2 und DORA dokumentiert.
Es wird aus dem Modulkatalog eines beliebigen Dokuflex-Kontos (Gruppe „Regulatorische Compliance“) aktiviert und in unter einer Minute installiert:
Im Vorlagenkatalog steht es als KI-Systeme-Register (EU AI Act) in der Gruppe „Regulatorische Compliance“. Um die Zeitersparnis gegenüber dem manuellen Inventar abzuschätzen, erledigt das der ROI-Rechner (auf Spanisch), ohne nach einer E-Mail-Adresse zu fragen.
Das Modul ist in jedem Dokuflex-Konto kostenlos. Wenn Sie zusätzlich weitere Prozesse automatisieren möchten, beginnt der Starter-Plan in den Dokuflex-Preisen bei 25 €/Nutzer/Monat im Jahresabonnement, und es gibt eine kostenlose 14-tägige Testumgebung ohne Kreditkarte.
Jede Organisation, die KI nutzt, auch eingekaufte; diese vier Profile fragen zuerst danach.
Bewerber-Screening, Leistungsbewertung, Schichtzuteilung: Bereich 4 des Anhangs III und der häufigste in jedem Unternehmen. Das Register dokumentiert die menschliche Aufsicht und die Information der Arbeitnehmervertretung nach Artikel 26.
Bonitäts-Scoring, Zahlungsaufschübe, Tarifierung: Bereich 5 des Anhangs III, mit Grundrechte-Folgenabschätzung (Artikel 27) für Kreditinstitute und Versicherer. Die Rechnungs-OCR wird ebenfalls erfasst, auch wenn sie minimales Risiko hat.
Chatbots, Sprachassistenten, Text- und Bildgeneratoren: begrenztes Risiko mit Transparenz nach Artikel 50, durchsetzbar ab dem 2. August 2026. Die Regel des Moduls lässt den Datensatz nicht speichern, ohne den Hinweis an die Personen zu bestätigen.
Wer den Fragebogen eines Kunden, ein Audit oder die Behörde beantwortet. Das Register verknüpft sich mit der DSGVO, bringt Schatten-KI ans Licht und hält die Historie jeder Klassifizierung fest. Wenn Sie innerhalb von Dokuflex mit KI automatisieren, erklären die gesteuerten KI-Agenten (auf Spanisch) und das Trust Center, wie Aufsicht und Nachvollziehbarkeit auf der Plattform selbst umgesetzt werden.
Das KI-Systeme-Register und KI-Tool-Inventar ist eines der kostenlosen Module der Gruppe „Regulatorische Compliance“ des Dokuflex-Katalogs. Alle folgen demselben Muster: geführtes Formular, Regeln, die die Vorschrift in Pflichtfelder verwandeln, Nachweise neben jedem Datensatz und Änderungshistorie. Sie werden in unter einer Minute aktiviert, und das Compliance-Management für EU AI Act, DSGVO, NIS2 oder ISO 27001 bleibt auf derselben Low-Code-BPM-Plattform mit KI, mit Daten in der EU und Support auf Spanisch und Englisch:
Wenn Sie zusätzlich Risikoanalyse, ISO-27001-Maßnahmen, Business Continuity oder kontinuierliche Lieferantenbewertung brauchen, ergibt eine GRC-Plattform Sinn und kann mit Dokuflex koexistieren: Das Inventar wird nach Excel exportiert, und die Plattform verbindet sich über das Low-Code-iPaaS mit 200+ Konnektoren und REST-API mit dem Rest Ihres Stacks.
Nicht unter diesem Namen, in der Praxis aber ja. Die Verordnung (EU) 2024/1689 legt Pflichten fest, die vom jeweiligen System abhängen (Verbote, KI-Kompetenz, Transparenz nach Artikel 50 und Hochrisiko-Pflichten), und um zu wissen, welche gelten, und das nachzuweisen, braucht es ein Inventar mit der Risikoklassifizierung jedes Systems. Das Register ist der Nachweis, dass diese Analyse existiert und aktuell ist.
Der Anbieter entwickelt das System und bringt es unter seinem Namen in Verkehr oder nimmt es in Betrieb; der Betreiber verwendet es in eigener Verantwortung. Fast alle Unternehmen sind Betreiber der KI, die sie nutzen. Der Hochrisiko-Anbieter trägt die technische Dokumentation und die Konformitätsbewertung; der Betreiber Artikel 26 (menschliche Aufsicht, Datenkontrolle, Überwachung, Protokolle sechs Monate, Information von Beschäftigten und Betroffenen). Das Modul erfasst die Rolle in jedem Datensatz.
Ab dem 2. Dezember 2027 für die Systeme des Anhangs III (Beschäftigung, Kredit, Bildung, Biometrie, wesentliche Dienste) und ab dem 2. August 2028 für die in Produkte des Anhangs I integrierten Systeme, nach der Verschiebung durch die Verordnung (EU) 2026/1744. Die Verbote gelten seit dem 2. Februar 2025 und die Transparenz nach Artikel 50 ab dem 2. August 2026.
Das Modul setzt seinen Status automatisch auf Verboten und vermerkt es in der Historie des Datensatzes. Die Praktiken nach Artikel 5 (Social Scoring, Emotionserkennung am Arbeitsplatz, biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen, unter anderem) sind seit dem 2. Februar 2025 verboten und tragen die höchsten Bußgelder: bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes.
Ja. Das Modul wird als ein weiterer Dokuflex-Prozess installiert und mit dem Low-Code-Designer bearbeitet: Felder hinzufügen, die Listen der Bereiche oder Datenkategorien ändern, die Regeln anpassen oder einen Freigabe-Workflow einbauen, wenn Ihre interne Richtlinie das verlangt. Die Felder und die elf Regeln sind ein Ausgangspunkt, keine starre Form.
Nein, und misstrauen Sie jedem, der das verspricht. Dokuflex liefert das Inventar, die geführte Klassifizierung, die Regeln gegen Auslassungen, die Dokumentation neben jedem Datensatz und die Nachvollziehbarkeit jeder Änderung; die Klassifizierung jedes Systems und die Maßnahmen, die Sie ergreifen, entscheidet Ihre Organisation mit ihrer Beratung. Was das Modul garantiert, ist, dass die Antwort, wenn jemand fragt, ein Datum, einen Verantwortlichen und Nachweise hat.
In unter einer Minute aus dem Modulkatalog eines beliebigen Dokuflex-Kontos, auch des kostenlosen. Es kommt mit sechs Beispielsystemen und drei geführten Touren; die Beispiele werden gelöscht, sobald Sie die echten Systeme anlegen. Das vollständige Inventar eines KMU ist in der Regel an einem Nachmittag mit einem Fragebogen je Abteilung erstellt.
Je System: Name und Zweckbestimmung, Einsatzbereich, Anbieter oder Produkt und Basismodell, Rolle der Organisation (Anbieter, Betreiber, Einführer oder Händler), interner Verantwortlicher, verarbeitete personenbezogene Daten und betroffene Personen, Risikostufe und Kategorie des Anhangs III bei hohem Risiko, Maßnahmen der menschlichen Aufsicht, Transparenz nach Artikel 50, durchgeführte Bewertungen und angehängte Dokumentation. Das sind die vier Feldblöcke des Moduls.
Nach der Zweckbestimmung und den Personen, auf die es wirkt, nicht nach der Technologie. Es gibt vier Stufen: unannehmbar (Praktiken nach Artikel 5), hoch (Zweck in Anhang III enthalten, außer bei der Ausnahme nach Artikel 6 Absatz 3), begrenzt (interagiert mit Personen oder erzeugt Inhalte, Artikel 50) und minimal. Im Modul aktiviert die Wahl der Stufe die Pflichtfelder des jeweiligen Falls, und die Änderung bleibt in der Historie des Datensatzes.
Governance ist der vollständige Rahmen, mit dem eine Organisation die KI-Systeme steuert, die sie entwickelt oder nutzt. Das KI-Systeme-Register ist ihr Ausgangspunkt und das Erste, was braucht, wer vor allem eingekaufte KI nutzt: Inventar, Risikoklassifizierung, Nachweise neben jedem Datensatz und Nachvollziehbarkeit der Änderungen. Bei Dokuflex ist es ein kostenloses Modul innerhalb des BPM, erweiterbar mit dem Low-Code-Designer.
Nein. Artikel 49 der Verordnung sieht eine EU-Datenbank vor, in der bestimmte Hochrisiko-Systeme registriert werden. Das KI-Systeme-Register ist das interne Inventar der gesamten KI, die Sie entwickeln oder nutzen, mit ihrer Klassifizierung und ihren Nachweisen: Es lässt Sie erkennen, ob eines Ihrer Systeme in dieser Datenbank stehen muss, und der nationalen Aufsichtsbehörde (in Spanien AESIA) antworten.
Bei Dokuflex ist das KI-Systeme-Register ein kostenloses Modul: Es wird in unter einer Minute aus jedem Konto aktiviert, auch aus dem kostenlosen, ohne Kreditkarte. Sie zahlen nur, wenn Sie weitere Prozesse automatisieren möchten: Der Starter-Plan beginnt bei 25 €/Nutzer/Monat im Jahresabonnement, und es gibt eine kostenlose 14-tägige Testumgebung.
Wie jedes andere System: Der Datensatz identifiziert den Anbieter oder das Produkt, das Basismodell und Ihre Rolle, die fast immer die des Betreibers ist. Daneben werden das Datenblatt und der Vertrag angehängt, und bei einem Hochrisiko-System werden das Datum der Konformitätsbewertung und die CE-Kennzeichnung erfasst. Das Datum der nächsten Bewertung zwingt dazu, jeden Anbieter regelmäßig zu überprüfen.
Ja. Die Gruppe Regulatorische Compliance des Dokuflex-Katalogs enthält neben dem KI-Systeme-Register kostenlose Module für DSGVO-Betroffenenrechte und Datenpannen, das Vorfallregister nach NIS2 und DORA, Abweichungen und Korrekturmaßnahmen nach ISO 9001 und 27001 und die KYC-Akte. Sie teilen Plattform, Daten in der EU und Änderungshistorie; sie ersetzen keine GRC-Suite, wenn Sie Risikoanalyse oder Business Continuity brauchen.
Es ist ratsam. Das Inventar sollte die KI-Tools mit allgemeinem Verwendungszweck, die das Personal nutzt, und die in die Unternehmenssoftware (CRM, ERP, HR) eingebetteten KI-Funktionen abbilden, auch wenn die IT sie nicht gekauft hat: Nutzt jemand sie mit Unternehmensdaten, gelten die KI-Kompetenz nach Artikel 4 und die Transparenz nach Artikel 50 für erzeugte Inhalte genauso, und ohne Datensatz können Sie nicht nachweisen, dass Sie es bewertet haben. Im Modul werden sie wie jedes System angelegt, in der Regel mit der Rolle Betreiber; die Risikostufe entscheidet Ihre Organisation im Datensatz selbst.
Es deckt das Inventar der KI-Systeme ab, das ein KI-Managementsystem (AIMS) nach ISO/IEC 42001 als Ausgangspunkt braucht, mit Zweck, Rolle, Risiko, Nachweisen und Historie, und wird als Nachweis nach Excel exportiert. Es ersetzt nicht das vollständige Managementsystem: KI-Richtlinie, Rollen, Folgenabschätzung, internes Audit und fortlaufende Verbesserung bleiben Aufgabe der Organisation.
Es ist die Grundrechte-Folgenabschätzung nach Artikel 27 der Verordnung. Durchführen müssen sie, bevor ein Hochrisiko-System des Anhangs III in Betrieb genommen wird, Betreiber, die Einrichtungen des öffentlichen Rechts oder private Einrichtungen mit öffentlichen Dienstleistungen sind, sowie wer Hochrisiko-Systeme zur Bewertung der Kreditwürdigkeit von Personen oder zur Tarifierung von Lebens- und Krankenversicherungen nutzt. Im Modul wird sie neben der DSFA an den Datensatz des Systems angehängt, und das Datum der nächsten Bewertung erinnert daran, wann sie zu überprüfen ist.
Ja. Das Register sagt, welche KI-Tools es gibt, wer sie nutzt und welches Risiko sie haben; die Richtlinie sagt, wer welche nutzen darf, mit welchen Daten, unter welcher Aufsicht und was verboten ist. Beide speisen sich gegenseitig: Die Richtlinie verpflichtet dazu, jedes neue Tool anzulegen, und das Register bringt die Schatten-KI ans Licht, die die Richtlinie regeln muss. Die Richtlinie kann wie eine DSFA oder ein Vertrag als Dokumentation an die Datensätze angehängt werden.
Orientierende Information, erstellt vom Redaktionsteam Dokuflex und geprüft vom Rechts- und Compliance-Team. Für konkrete Fälle wenden Sie sich an Ihre Rechtsberatung oder an Ihre nationale KI-Aufsicht (in Spanien AESIA).
Aktivieren Sie das kostenlose Modul, gehen Sie die sechs Beispiele mit der Tour durch und legen Sie noch heute Nachmittag das erste echte System an. Wenn Sie es lieber mit jemandem aus dem Team ansehen möchten, fragen Sie eine Demo an.