AI-System-Inventur: Der erste Schritt zum auditierbaren Compliance-Status
Warum eine vollständige Systemliste die Basis für jede EU-AI-Act-Compliance ist — und wie ihr sie strukturiert haltet.
Bevor Pflichten gemappt oder Controls dokumentiert werden können, braucht ihr Klarheit darüber, welche AI-Systeme im Einsatz sind. Eine unvollständige Inventur ist der häufigste Grund für Lücken im Compliance-Nachweis.
Was zählt als AI-System?
Im Sinne des AI Act: Software, das für einen Satz von Zielen definierte Ziele verfolgt und Ergebnisse erzeugt, die das Umfeld beeinflussen. Das umfasst oft mehr als „ein großes LLM“ — auch eingebettete Modelle, Scoring-Systeme oder automatisierte Entscheidungsunterstützung.
Mindestfelder pro Eintrag
Feld | Zweck
Name & Owner | Verantwortlichkeit
Einsatzzweck | Risikoeinstufung
Datenquellen | Transparenz & DPIA-Anknüpfung
Provider/Deployer | Pflichtenfilter
Von der Liste zum Nachweis
Die Inventur allein reicht nicht. Pro System solltet ihr den Weg dokumentieren:
- Klassifizierung (inkl. Annex III)
- Zugeordnete Anforderungen
- Implementierte Controls mit Evidence-Links
Octangle verknüpft diese Schritte in einem System-Record — ohne Schreibzugriff auf eure Produktionsumgebung.
Praxis-Tipp
Startet mit den Systemen, die Entscheidungen über Personen betreffen oder in regulierten Domänen laufen. Diese haben typischerweise die kürzeste Zeit bis zur vollständigen Dokumentationspflicht.