Die Excel-Liste war beim Anlegen korrekt. Heute weiß niemand mehr, was sich geändert hat.
Eine Excel-Liste für KI-Systeme ist der richtige erste Schritt. Sie hat nur eine Eigenschaft, die man kennen sollte, bevor man sich auf sie verlässt: Sie funktioniert an Tag 1 und versagt an Tag 90.
Warum Excel der naheliegende Anfang ist
Mehrere Beratungshäuser empfehlen dem Mittelstand ausdrücklich den schlanken Weg: eine Tabelle mit Systemname, Zweck, Anbieter, verarbeiteten Datenarten, Risikoklasse und verantwortlicher Person. Aufwand: zwei bis vier Arbeitstage. Diese Empfehlung ist nicht falsch. Sie schafft in kurzer Zeit mehr Klarheit als jede Governance-Strategie, die nicht umgesetzt wird.
Wenn Sie heute noch keine Übersicht haben, ist eine Tabelle der richtige nächste Schritt — nicht eine Softwareentscheidung.
Gibt es eine gesetzliche Pflicht zu einem KI-Register?
Diese Frage steht am Anfang fast jedes Gesprächs, und sie wird in veröffentlichten Ratgebern häufig falsch beantwortet. Die genaue Antwort hat drei Teile — und der erste überrascht die meisten.
Eine allgemeine Registerpflicht besteht nicht
Artikel 49 der KI-Verordnung regelt die Registrierung in der EU-Datenbank. Erfasst sind Anbieter von Hochrisiko-KI-Systemen nach Anhang III und Betreiber, die Behörden oder Einrichtungen der Union sind. Ein privates Unternehmen, das ein solches System lediglich einsetzt, ist dort nicht genannt. Wenn Ihnen jemand sagt, Sie müssten Ihre KI-Systeme bei einer Behörde registrieren, fragen Sie nach der Fundstelle.
Mehrere Pflichten sind ohne Register aber nicht erfüllbar
| Pflicht | Wen sie trifft | Was sie verlangt |
|---|---|---|
| DORA Art. 28 Abs. 3 | Finanzunternehmen | Register aller vertraglichen Vereinbarungen über IKT-Dienstleistungen, mindestens jährlich einzureichen. Externe KI-Dienste sind IKT-Dienstleistungen. |
| DSGVO Art. 30 | die meisten Unternehmen | Verzeichnis von Verarbeitungstätigkeiten — und damit jedes KI-System, das personenbezogene Daten berührt. |
| NIS2 | wesentliche und wichtige Einrichtungen | Lieferketten- und Anlagenverwaltung einschließlich der genutzten IKT-Dienste. |
| KI-VO Art. 26 Abs. 6 | Betreiber von Hochrisiko-Systemen | Aufbewahrung der automatisch erzeugten Protokolle für mindestens sechs Monate. |
| KI-VO Art. 4 | jeden, der KI einsetzt | Ausreichende KI-Kompetenz des Personals — ohne Kenntnis der eingesetzten Systeme nicht zielgerichtet herstellbar. |
Quelle: Verordnung (EU) 2024/1689 (KI-Verordnung), Artikel 4, 26 und 49. Verordnung (EU) 2022/2554 (DORA), Artikel 28 Absatz 3. Verordnung (EU) 2016/679 (DSGVO), Artikel 30. Richtlinie (EU) 2022/2555 (NIS2). Die Hochrisiko-Pflichten nach Anhang III wurden auf den 2. Dezember 2027, nach Anhang I auf den 2. August 2028 verschoben. · Stand Oktober 2026
Das Register ist also ein Werkzeug, keine Auflage
Das ist der nützlichere Ausgangspunkt. Sie führen es nicht, weil eine Verordnung es beim Namen nennt, sondern weil vier verschiedene Pflichten dieselbe Grundfrage stellen — was nutzen wir, wer ist verantwortlich, und was können wir zeigen? Diese Frage einmal zu beantworten ist günstiger als viermal.
Im Finanzsektor ist der Fall am konkretesten, weil dort ein datierter Termin daran hängt: das DORA-Informationsregister ist jährlich bis zum 31. März einzureichen.
Welche Felder ein KI-Register braucht
Bevor es um das Werkzeug geht, die Felder. Sechs Gruppen — und die rechte Spalte ist der Teil, den Vorlagen weglassen: ob eine Tabelle diese Gruppe überhaupt tragen kann.
Was nach etwa drei Monaten passiert
Der Bruch kommt nicht plötzlich, sondern schleichend, und er hat drei typische Erscheinungsformen:
1. Die Liste veraltet, ohne dass es auffällt
KI-Werkzeuge werden nicht in Projekten eingeführt, sondern nebenbei: ein Abo hier, eine aktivierte Funktion im bestehenden System dort. Eine Tabelle hat keinen Mechanismus, der auf eine Änderung aufmerksam macht. Sie ist so aktuell wie ihr letzter Bearbeiter — und der weiß meist nicht, was in anderen Abteilungen passiert ist.
2. Es entstehen mehrere Wahrheiten
IT führt eine Liste, Datenschutz eine zweite, Compliance eine dritte. Alle drei sind plausibel, keine zwei sind identisch. Die Frage, welcher Stand gilt, ist dann nicht mehr beantwortbar, sondern verhandelbar — und das ist genau das Gegenteil dessen, was ein Nachweis leisten soll.
3. Die Historie fehlt — und darauf kommt es an
Das ist der strukturelle Punkt, nicht bloß ein Pflegeproblem. Eine Tabelle zeigt einen Zustand. Sie zeigt nicht, wie er entstanden ist. Wenn ein Prüfer fragt, welche Risikoeinordnung im März galt und wer sie vorgenommen hat, ist die Antwort in einer überschriebenen Zelle nicht enthalten. Sie ist verloren, und zwar unwiederbringlich.
Excel funktioniert an Tag 1 und versagt an Tag 90. Nicht weil das Werkzeug schlecht wäre — sondern weil eine Tabelle als Datentyp keine Vergangenheit kennt.
Wann eine Tabelle ausreicht — und wann nicht
| Situation | Tabelle reicht |
|---|---|
| Erste Bestandsaufnahme, wenige Systeme, eine verantwortliche Person | Ja |
| Interne Orientierung, keine externe Nachweispflicht | Ja |
| Mehrere Abteilungen pflegen denselben Bestand | Grenzwertig |
| Ein Kunde verlangt im Lieferantenfragebogen einen Nachweis | Nein |
| Nachweispflicht aus NIS2, DORA oder dem AI Act | Nein |
| Rückwirkender Beleg gegenüber Aufsicht oder Gericht | Nein |
Die Trennlinie verläuft dort, wo ein Dritter das Ergebnis prüfen können muss. Solange die Liste nur Ihnen selbst dient, ist sie ausreichend. Sobald jemand anderes ihr vertrauen soll, fehlt ihr die entscheidende Eigenschaft: Sie kann nicht zeigen, dass sie nicht nachträglich verändert wurde.
Was an dieser Stelle anders sein muss
| Eigenschaft | Tabelle | Regovio | Stand |
|---|---|---|---|
| Bestand erfassen | Ja | Register mit Typ, Lebenszyklus, Beziehungen | heute verfügbar |
| Verantwortlichkeit dokumentieren | Als Textfeld | Explizite Rollenzuweisung je Asset | heute verfügbar |
| Änderungshistorie | Nein | Append-only Log mit Akteur, Zeitpunkt, Vorher/Nachher | heute verfügbar |
| Nachträgliche Veränderung erkennbar | Nein | Export mit SHA-256-Manifest je Datei | heute verfügbar |
| Eine gemeinsame Datenbasis für mehrere Rollen | Nein | Mandantengetrennt auf Datenbankebene | heute verfügbar |
| Fertiges PDF-Dossier auf Knopfdruck | Nein | Export als Paket; PDF-Aufbereitung folgt | auf der Roadmap — heute nicht enthalten |
Der letzte Punkt gehört ausdrücklich dazu: Ein fertig gestaltetes Dossier auf Knopfdruck gibt es heute nicht. Der Audit-Export erzeugt ein reproduzierbares Paket, keine Hochglanzunterlage. Wir sagen das lieber vorher als in der Demo.
Wenn Sie gerade vor der konkreten Nachweisfrage stehen, ist der Weg vom Lieferantenfragebogen zum belastbaren Nachweis der passendere Einstieg.