KI-Inventar Software · EU AI Act & DSGVO
Stand 3. Oktober 2026 · nach dem Digital Omnibus
KI-Inventar-Software: KI-Systeme erfassen, bewerten, nachweisen
Ein KI-Inventar beginnt oft als Excel-Liste. Sobald mehrere Abteilungen mitarbeiten, Prüftermine anstehen und Nachweise gefragt sind, wird daraus eine Software-Aufgabe. Hier sehen Sie, wann sich der Umstieg lohnt, welche Funktionen eine KI-Inventar-Software haben sollte, wie Sie Anbieter vergleichen, was es kostet – und wie es in SimpleAct aussieht.
7 Tage testen (Kreditkarte nötig) · im Test kündbar
- Excel oder Software? Vergleich in 13 Kriterien
- Neun Kernfunktionen mit Produktansicht
- Auswahl-Checkliste mit Fragen an Anbieter
- Preise offen ausgewiesen, zzgl. MwSt.
KI-Inventar
3 Systeme registriert
KI-basierte Bewerbungsanalyse
OpenAI · HR & Recruiting
Service-Chatbot „Lia"
Microsoft · Kundensupport
Marketing-Texte Generator
OpenAI · Marketing
Übersetzungs-Plugin Website
DeepL
Jetzt klassifizieren →Kurz erklärt
Was eine KI-Inventar-Software leistet
Eine KI-Inventar-Software ist ein zentrales Verzeichnis aller KI-Systeme eines Unternehmens, das über eine Liste hinausgeht: Sie erfasst jedes System strukturiert, leitet Risikoklasse und Pflichten nach der KI-Verordnung ab, legt Verantwortliche und Prüftermine fest und protokolliert jede Änderung, sodass sich der Stand jederzeit belegen lässt.
Die KI-Verordnung (VO (EU) 2024/1689) schreibt kein bestimmtes Werkzeug vor. Sie verlangt aber eine Reihe von Pflichten, die ohne vollständigen Überblick nicht zu erfüllen sind: Maßnahmen zur KI-Kompetenz (Art. 4), das Vermeiden verbotener Praktiken (Art. 5), die Einstufung von Hochrisiko-KI (Art. 6), Betreiberpflichten (Art. 26) und Transparenzpflichten (Art. 50). Das Inventar ist die Arbeitsgrundlage für all das.
Der Unterschied zwischen Liste und Software liegt nicht in den Spalten, sondern im Prozess drumherum. Eine Tabelle zeigt, was jemand zuletzt eingetragen hat. Eine Software zeigt zusätzlich, wer es wann geändert hat, welche Pflichten daraus folgen, welche Prüfung überfällig ist und welche Nachweise noch fehlen. Genau diese Fragen stellen Prüfer, Kunden im Lieferanten-Audit und Betriebsräte.
Ob Sie eine Software brauchen, hängt deshalb weniger von der Unternehmensgröße ab als von Anzahl der Systeme, Zahl der Beteiligten und dem Anspruch an Nachweise. Für einen kleinen, stabilen Bestand reicht eine gut gepflegte Vorlage. Die folgenden Abschnitte helfen, die Grenze für Ihr Unternehmen zu ziehen.
Excel oder Software?
Wo eine Tabelle reicht – und wo nicht mehr
Excel ist für den Einstieg eine gute Wahl, und unsere kostenlose Vorlage ist genau dafür gebaut. Die Grenzen zeigen sich nicht am ersten Tag, sondern nach einigen Monaten: wenn mehrere Personen pflegen, wenn jemand fragt, seit wann eine Einstufung gilt, oder wenn eine Prüfung übersehen wurde. Der Vergleich zeigt beide Seiten ehrlich.
Tabelle seitlich scrollen →
| Kriterium | Excel-Tabelle | KI-Inventar-Software |
|---|---|---|
| Einstieg und Kosten | gutSofort einsatzbereit, keine Lizenz, keine IT-Freigabe nötig. | Lizenzkosten, Einrichtung und kurze Einarbeitung; dafür vorgegebene Struktur ab dem ersten Eintrag. |
| Struktur und Pflichtfelder | eingeschränktDropdowns möglich, lassen sich aber per Kopieren und Einfügen leicht umgehen. | Pflichtfelder und feste Wertelisten; unvollständige Einträge fallen auf. |
| Risikoeinstufung | eingeschränktManuell, Begründung als Freitext, Ergebnis hängt an der Person, die einträgt. | Geführter Fragebogen, Ergebnis mit gespeicherter Begründung, Neubewertung nachvollziehbar. |
| Pflichten ableiten | kaumSelbst recherchieren und in einer zweiten Liste nachhalten. | Checkliste je Risikoklasse mit Artikelbezug und Status je Pflicht. |
| Mehrere Bearbeiter | kaumDateikopien per E-Mail, parallele Fassungen, unklare „aktuelle“ Version. | Eine gemeinsame Datenbasis mit Rollen für Bearbeiten, Lesen und Freigeben. |
| Änderungshistorie | kaumZeigt den letzten Stand; der Versionsverlauf der Datei ist nicht feldgenau auswertbar. | Protokoll je Änderung: wer, wann, welches Feld, alter und neuer Wert. |
| Prüftermine | eingeschränktDatum in einer Spalte; niemand wird erinnert, Überfälliges fällt nur beim Filtern auf. | Fälligkeiten je System oder Dokument, überfällige Punkte werden gesondert angezeigt. |
| Freigaben | kaumBestätigung per E-Mail außerhalb der Datei, schwer zuzuordnen. | Freigabe-Workflow mit Reviewer, Status und Zeitstempel am Objekt. |
| Nachweise und Dokumente | eingeschränktLinks auf Ablageordner, die sich verschieben oder veralten. | Nachweise direkt am System, Vollständigkeit auf einen Blick. |
| Schatten-KI finden | eingeschränktUmfragen und manueller Abgleich mit Lizenz- und Einkaufslisten. | Je nach Produkt Auswertung von Verzeichnisdiensten, Geräteverwaltung oder Proxy-Logs. |
| DSGVO-Bezug | eingeschränktVVT- oder DSFA-Referenz als Text, ohne Prüfung, ob der Eintrag existiert. | Verknüpfung mit VVT und DSFA, Listen der Systeme, bei denen sie fehlen. |
| Bericht für Prüfer | eingeschränktDie Datei selbst; ein lesbarer Bericht muss von Hand gebaut werden. | Bericht als PDF oder DOCX auf Knopfdruck, mit Stand und Version. |
| Zugriffsschutz | eingeschränktDateiberechtigungen im Laufwerk, keine Protokollierung der Lesezugriffe. | Rollenmodell, Single Sign-on und Zwei-Faktor-Anmeldung je nach Produkt und Paket. |
Fünf Signale, dass Excel nicht mehr reicht
Keines davon ist eine gesetzliche Schwelle. Es sind die Punkte, an denen Tabellen in der Praxis anfangen, Arbeit zu machen statt zu sparen.
- 01
Mehr als etwa 20 bis 30 Systeme
Rechnen Sie Funktionen in bestehender Software mit: KI im Office-Paket, im CRM, im Ticketsystem, in der Buchhaltung. Viele Unternehmen landen schneller bei dieser Zahl als gedacht – und der Bestand wächst mit jedem Software-Update.
- 02
Mehr als zwei, drei Personen pflegen
Sobald Fachbereiche ihre Einträge selbst aktualisieren, entstehen Kopien und widersprüchliche Stände. Spätestens dann brauchen Sie getrennte Rechte für Lesen, Bearbeiten und Freigeben.
- 03
Jemand fragt „seit wann?“
Prüfer, Kunden im Lieferanten-Audit oder der Betriebsrat wollen wissen, wann eine Einstufung entstanden ist und wer sie geändert hat. Eine Tabelle kennt nur den letzten Stand; die Historie ist oft wichtiger als der Wert.
- 04
Regelmäßige Prüftermine
Hochrisiko-Systeme nach Anhang III unterliegen ab 2. Dezember 2027 den Betreiberpflichten, und auch unkritische Einträge sollten mindestens jährlich durchgesehen werden. Ohne Erinnerungen und Überfällig-Ansicht rutschen Termine durch.
- 05
Nachweise an einem Ort
Schulungsnachweise nach Art. 4, DSFA, AVV, Betriebsanleitungen und Freigaben liegen verstreut. Wenn das Inventar nur noch auf andere Ablagen verweist, ist es kein Nachweis mehr, sondern ein Inhaltsverzeichnis.
Unsere Faustregel: Treffen zwei dieser fünf Signale zu, kostet die Pflege der Tabelle mehr Zeit, als eine Software einspart. Trifft keines zu, bleiben Sie bei der Vorlage – und prüfen die Frage in einem halben Jahr erneut.
Noch am Anfang? Die kostenlose Excel-Vorlage enthält 24 Spalten, Dropdowns für Risikoklasse, Rolle und Status sowie drei ausgefüllte Beispielzeilen.
Zur kostenlosen Excel-VorlageKernfunktionen
Neun Funktionen, die eine KI-Inventar-Software braucht
Diese Liste ist als neutraler Maßstab gedacht, nicht als Produktbeschreibung. Zu jeder Funktion steht, wofür Sie sie brauchen, welche Vorschrift dahinter steht und wie SimpleAct sie umsetzt. Wählen Sie eine Funktion, um die passende Ansicht aus der Anwendung zu sehen.
Jedes KI-System wird einmal sauber angelegt: Name, Anbieter, Einsatzzweck, betroffene Bereiche und eine verantwortliche Person. Wichtig ist, dass die Software nicht nur eigene Entwicklungen erfasst, sondern auch zugekaufte Tools und KI-Funktionen in bestehender Software. Gerade diese machen in den meisten Unternehmen den Großteil des Bestands aus.
- Pflichtfelder statt Freitext
- Unterscheidung intern betrieben oder als SaaS eingekauft
- Rolle der KI: entscheidungskritisch oder unterstützend
- Bezug
- Grundlage für Art. 4, 5, 6, 26 und 50 KI-VO
- In SimpleAct
- Das Formular „KI-System anlegen“ fragt Stammdaten, Kategorie (intern oder extern), Rolle der KI, betroffene Bereiche und die verantwortliche Person ab.
Das größte Risiko im Inventar sind nicht die Systeme, die jemand meldet, sondern die, von denen niemand weiß. Eine gute Software hilft beim Finden: über Daten, die im Unternehmen ohnehin entstehen, etwa erteilte App-Berechtigungen im Verzeichnisdienst, die App-Landschaft verwalteter Geräte oder Proxy- und DNS-Logs. Funde sollten Sie einzeln entscheiden können, statt sie blind zu übernehmen.
- Funde übernehmen, ignorieren oder als geprüft markieren
- Kein Agent auf Endgeräten nötig
- Die Erkennung selbst ist eine Verarbeitung von Beschäftigtendaten
- Bezug
- Vollständigkeit des Inventars; DSGVO und Mitbestimmung für die Erkennung
- In SimpleAct
- AI Discovery (ab Professional) wertet Microsoft-Entra-ID-Zustimmungen, optional das Intune-App-Inventar und hochgeladene Netzwerk-Logs (CSV) aus und gleicht Funde mit einem Anbieter-Katalog ab.
Aus Zweck und Einsatzkontext folgt die Risikoklasse: verboten, hoch, begrenzt (Transparenzpflichten) oder minimal. Eine Software sollte die Einstufung über nachvollziehbare Fragen führen und die Begründung speichern – denn bei einer Prüfung zählt nicht nur das Ergebnis, sondern wie es zustande kam. Ändert sich der Zweck, muss die Neubewertung genauso nachvollziehbar sein.
- Fragebogen statt eigener Gesetzesauslegung
- Anhang-III-Kategorie wird mit ausgewiesen
- Begründung und Zeitpunkt bleiben gespeichert
- Bezug
- Art. 5, 6 und 50, Anhang III KI-VO
- In SimpleAct
- Der geführte Fragebogen arbeitet sich abschnittsweise durch Hochrisiko-Merkmale, Transparenzpflichten und Einsatzkontext und liefert die Risikostufe samt Anhang-III-Kategorie.
Eine Risikoklasse allein sagt noch nicht, was zu tun ist. Eine Inventar-Software sollte aus Klasse und Rolle – Anbieter oder Betreiber – die konkreten Pflichten ableiten und jede mit Artikelbezug und Status führen. Das ist der Schritt, an dem Excel-Listen meist enden: Die Pflichten landen in einem zweiten Dokument und laufen auseinander.
- Pflichten je Artikel mit Status erfüllt, teilweise oder offen
- Trennung von Anbieter- und Betreiberpflichten
- Hochrisiko: Dokumentation nach Anhang IV oder Art. 26
- Bezug
- Art. 9 bis 15, 26, 27 und 50 KI-VO
- In SimpleAct
- Compliance-Checklisten sind ab Starter enthalten. Die Annex-IV-Dokumentation für Anbieter bzw. die Betreiberpflichten nach Art. 26 und gegebenenfalls die Grundrechte-Folgenabschätzung (Art. 27) kommen ab Professional dazu.
Jedes System braucht eine Person, die es verantwortet, und jedes wichtige Dokument eine zweite, die es prüft. Eine Software sollte Owner, Reviewer, Fälligkeit und Freigabe als feste Schritte abbilden und zwischen Rollen unterscheiden: Wer darf bearbeiten, wer nur lesen, wer freigeben? Sonst endet die Freigabe wieder in einer E-Mail.
- Rollen für Administration, Bearbeitung und Lesezugriff
- Status Entwurf, in Prüfung oder final
- Überfällige Prüfungen sichtbar statt versteckt
- Bezug
- Art. 26 KI-VO (Aufsicht, Zuständigkeiten); Rechenschaftspflicht Art. 5 Abs. 2 DSGVO
- In SimpleAct
- Rollen Admin, Editor und Viewer in allen Paketen; Governance-Workflows mit Owner, Reviewer, Fälligkeit und Freigabe ab Professional. Freigeben dürfen nur Admins im Governance-Admin-Pool.
Ein Nachweis ist nur so viel wert wie die Antwort auf die Frage, ob er nachträglich verändert wurde. Die Software sollte jede Änderung feldgenau mitschreiben – Person, Zeitpunkt, alter und neuer Wert – ohne dass Nutzer daran denken müssen. Ideal ist ein Protokoll, dessen Unveränderlichkeit sich technisch prüfen lässt.
- Wer, wann, was – inklusive alter und neuer Wert
- Auch fehlgeschlagene Versuche werden protokolliert
- Integritätsprüfung statt Vertrauen
- Bezug
- Nachweis- und Rechenschaftspflichten aus KI-VO und DSGVO
- In SimpleAct
- Der Audit-Trail ist in allen Paketen enthalten und als Hash-Kette aufgebaut: Jeder Eintrag versiegelt seinen Vorgänger, die Integrität lässt sich je Datensatz oder für die ganze Organisation prüfen.
Früher oder später will jemand das Inventar sehen, der keinen Zugang zur Software hat: Geschäftsführung, Wirtschaftsprüfer, Aufsichtsbehörde oder ein Kunde. Dafür braucht es lesbare Berichte mit Stand und Version – und, unabhängig davon, einen vollständigen maschinenlesbaren Export, damit Ihre Daten nicht an einen Anbieter gebunden sind.
- Bericht als PDF oder DOCX mit Versionierung
- Auswahl, welche Systeme und Dokumente enthalten sind
- Datenexport bei Vertragsende vertraglich geregelt
- Bezug
- Vorlagepflichten gegenüber Behörden; Art. 20 DSGVO-Gedanke der Portabilität
- In SimpleAct
- Reporting ab Starter (PDF und DOCX mit Versionierung), Register-Export ab Professional. Nach Vertragsende stellen die AGB die Daten 30 Tage in einem gängigen Format (z. B. CSV, JSON, PDF) bereit.
Fast jedes KI-System im Büroalltag verarbeitet personenbezogene Daten. Dann gehört es auch ins Verzeichnis von Verarbeitungstätigkeiten, und bei hohem Risiko braucht es eine Datenschutz-Folgenabschätzung. Eine gute Software verbindet beide Welten, statt zwei getrennte Listen zu führen – und zeigt, wo die Verknüpfung noch fehlt.
- KI-System mit VVT-Eintrag verknüpfen
- Liste: Systeme ohne VVT-Eintrag
- DSFA am System, mit Risiken, Maßnahmen und Freigabe
- Bezug
- Art. 28, 30 und 35 DSGVO
- In SimpleAct
- Das DSGVO-Modul (ab Professional) umfasst Verarbeitungsverzeichnis, DSFA, TOMs und AVV. Eigene Ansichten listen KI-Systeme ohne VVT-Eintrag und hochriskante oder personenbezogene Systeme ohne DSFA.
Je größer das Unternehmen, desto wichtiger ist, dass die Inventar-Software sich in die vorhandene IT einfügt: Anmeldung über den bestehenden Verzeichnisdienst, automatische Nutzerverwaltung, eine dokumentierte API für eigene Auswertungen. Fragen Sie konkret nach Protokollen und danach, in welchem Paket sie enthalten sind.
- Single Sign-on über gängige Protokolle
- Nutzerprovisionierung aus dem Verzeichnisdienst
- API und Webhooks für eigene Prozesse
- Bezug
- IT-Sicherheit und Betrieb; keine KI-VO-Pflicht
- In SimpleAct
- Single Sign-on über OIDC, SAML und LDAP ab Professional; SCIM-Provisionierung, REST-API und Webhooks im Enterprise-Paket.
01Strukturierte Erfassung
KI-System anlegen
Neuer Inventar-Eintrag
Stammdaten
Schritt 1 von 2So funktioniert es in SimpleAct
Vom ersten Eintrag zum prüffähigen Nachweis
Die Ansichten unten stammen aus der Anwendung und zeigen den Ablauf mit Beispieldaten des Demo-Mandanten. Vier Schritte, die aufeinander aufbauen – jeder Schritt nutzt die Angaben des vorherigen, statt sie neu abzufragen.
- Schritt 01
Systeme erfassen
Sie legen jedes KI-System mit Stammdaten an: Name, Anbieter, Zweck, intern oder als SaaS eingekauft, Rolle der KI und betroffene Bereiche. Eine verantwortliche Person übernimmt das System. Systeme, die AI Discovery gefunden hat, stehen daneben und lassen sich direkt übernehmen.
- Formular mit Pflichtfeldern
- Verantwortliche Person je System
- Funde aus der Schatten-KI-Erkennung übernehmen
app.simpleact.deKI-System anlegen
Neuer Inventar-Eintrag
DEAStammdaten
Schritt 1 von 2KategorieInternExtern (SaaS)Rolle der KIEntscheidungskritischUnterstützendBetroffene BereicheVertriebMarketingVerantwortliche PersonThomas Müllert.mueller@demo-org.deOrganisation: Demo Organisation GmbHSpeichern & bewerten - Schritt 02
Risiko einstufen
Ein geführter Fragebogen klärt Abschnitt für Abschnitt, ob Hochrisiko-Merkmale vorliegen, Transparenzpflichten greifen und in welchem Kontext das System eingesetzt wird. Das Ergebnis ist die Risikostufe samt Anhang-III-Kategorie – und darunter die Anforderungen je Artikel mit Status.
- Ja-Nein-Fragen statt Gesetzestext
- Risikostufe mit Anhang-III-Kategorie
- Anforderungen je Artikel: erfüllt, teilweise, offen
app.simpleact.deRisiko-Einstufung
KI-basierte Bewerbungsanalyse
DEASystem wählenFragen beantwortenErgebnisAbschnitt A: Hochrisiko-Merkmale
18/21 beantwortet2Trifft oder beeinflusst das System Entscheidungen über natürliche Personen?
JaNein3Entfaltet das Ergebnis rechtliche oder ähnlich erhebliche Wirkung?
JaNein4Werden besondere Kategorien personenbezogener Daten verarbeitet?
JaNeinRisikostufe
Hoch
Annex III · Beschäftigung & Personalmanagement
Anforderungen
- RisikomanagementsystemArt. 9 EU AI ActErfüllt
- Daten-GovernanceArt. 10 EU AI ActTeilweise
- Menschliche AufsichtArt. 14 EU AI ActOffen
- Schritt 03
Verantwortung und Freigabe regeln
Für Risikobewertung, Dokumentation und Checkliste ist festgelegt, wer verantwortet, wer prüft und bis wann. Jedes Objekt läuft denselben Weg von Entwurf über Prüfung zu final. Die Kacheln oben zeigen, was in Prüfung liegt und wo eine Frist überschritten ist.
- Owner, Reviewer, Fälligkeit, Freigabe
- Status Entwurf, in Prüfung, final
- Überfälliges zuerst
app.simpleact.deGovernance Hub
Owner, Reviews und Nachweise pro Objekt
DEAWorkflows12
In Review3
Überfällig1
Nachweise28
RISK_ASSESSMENT
KI-basierte Bewerbungsanalyse
4/4 Checks erledigtFINALOwnerReviewerFälligkeitApprovalANNEX_IV_DOSSIER
Service-Chatbot „Lia"
3/4 Checks erledigtIN REVIEWOwnerReviewerFälligkeitApprovalCOMPLIANCE_CHECKLIST
Marketing-Texte Generator
1/4 Checks erledigtDRAFTOwnerReviewerFälligkeitApproval - Schritt 04
Nachweisen und exportieren
Jede Änderung landet ohne Zutun im Audit-Log. Ein Readiness-Wert zeigt, welcher Anteil der Nachweise vollständig, teilweise oder fehlend ist. Berichte lassen sich als PDF oder DOCX ausgeben – für Geschäftsführung, Prüfer oder Kunden.
- Protokoll wer, wann, was
- Vollständigkeit der Nachweise
- Export auf Knopfdruck
app.simpleact.deAudit-Log & Export
247 von 312 Einträgen
DEAAudit-Readiness
Audit-bereitVollständig
Teilweise
Fehlend
PDF exportierenEU-Konformitätserklärung (Art. 47)
PDF · DE/EN · inkl. Audit-Historie
Aktion Entität Ereignis UPDATE Risk Assessment Neubewertung abgeschlossen A. Schmidt 18.08.2026 CREATE Evidence Nachweis „DPIA-Report" hinterlegt T. Müller 15.08.2026 UPDATE Governance Freigabe durch Reviewer L. Weber 11.08.2026 CREATE KI-System System „Chatbot Lia" angelegt A. Schmidt 02.08.2026
Auswahl-Checkliste
Diese Fragen sollten Sie Anbietern stellen
Kreuzen Sie an, was Ihnen wichtig ist. Rechts entsteht die passende Fragenliste für Demos und Ausschreibungen – neutral formuliert, für jeden Anbieter verwendbar. Mit einem Klick kopieren Sie sie in E-Mail, Ticket oder Bewertungsmatrix.
Fragen an Anbieter
Für Demo, Angebot oder Ausschreibung
Wählen Sie links mindestens eine Anforderung aus.
Die Liste läuft vollständig in Ihrem Browser; es werden keine Angaben gespeichert oder übertragen.
Bewertungskriterien
Worauf Sie bei der Auswahl achten sollten
Funktionen lassen sich in jeder Demo zeigen. Die Unterschiede liegen oft in Punkten, die erst bei Vertrag, Einführung oder Prüfung auffallen. Die Tabelle nennt je Kriterium, worauf es ankommt, wie Sie es prüfen und welche Antwort ein Warnsignal ist.
Tabelle seitlich scrollen →
| Kriterium | Worauf es ankommt | So prüfen Sie es | Warnsignal |
|---|---|---|---|
| Hosting und Datenstandort | Das Inventar enthält Einsatzzwecke, Verantwortliche und oft Hinweise auf personenbezogene Verarbeitungen – sensible Unternehmensinformationen. | Land und Betreiber von Anwendung, Datenbank und Backups schriftlich nennen lassen. | „Cloud in Europa“ ohne konkreten Betreiber oder Ort. |
| DSGVO und AVV | Der Anbieter der Inventar-Software ist selbst Auftragsverarbeiter nach Art. 28 DSGVO. | AVV und Liste der Unterauftragsverarbeiter vor Vertragsschluss einsehen. | AVV erst nach Unterschrift oder nur auf Nachfrage. |
| Rollenmodell | Fachbereiche sollen pflegen, aber nicht freigeben; Prüfer sollen lesen, aber nichts ändern. | In der Demo einen Nutzer mit Leserechten anlegen lassen und prüfen, was er sieht. | Nur „Admin“ und „Nutzer“, keine getrennte Freigabe. |
| Audit-Trail | Nachweise müssen zeigen, wer was wann geändert hat – und dass daran nichts nachträglich verändert wurde. | Eine Änderung vornehmen und die Protokollzeile mit altem und neuem Wert zeigen lassen. | Nur „zuletzt geändert am“ ohne Inhalt der Änderung. |
| Exporte und Ausstieg | Berichte für Prüfer und ein vollständiger Datenexport schützen vor Abhängigkeit. | Einen Bericht und einen Rohdaten-Export erzeugen lassen; Regelung bei Vertragsende in AGB nachlesen. | Export nur als Bild-PDF oder nur gegen Aufpreis. |
| Preismodell | Der Bestand wächst; was heute günstig ist, kann bei 50 Systemen oder 20 Nutzern teuer werden. | Preis für den heutigen Stand und für das Doppelte an Systemen und Nutzern nennen lassen. | Preise nur auf Anfrage, auch für Standardpakete. |
| Onboarding-Aufwand | Der größte Kostenblock ist meist die interne Zeit für Erfassung und Abstimmung, nicht die Lizenz. | Fragen, wie lange die Erfassung von zehn typischen Systemen dauert und wer dabei hilft. | Pflicht-Beratungspaket vor der ersten Nutzung. |
| Rechtsstand der Logik | Die KI-Verordnung wurde durch den Digital Omnibus 2026 bereits geändert; weitere Leitlinien folgen. | Fragen, wann die letzte rechtliche Anpassung erfolgt ist und wie Kunden davon erfahren. | Fristen auf altem Stand, etwa Hochrisiko-Pflichten „ab August 2026“. |
| Datenschutz der Erkennung | Schatten-KI-Erkennung wertet aus, wer welche Tools nutzt – das betrifft Beschäftigtendaten und oft die Mitbestimmung. | Fragen, welche Personendaten gespeichert werden und wie lange. | Vollständige Nutzerlisten je Tool ohne Begrenzung. |
Die Kriterien gelten für jede KI-Inventar-Software, auch für SimpleAct. Ein strukturierter Vergleich mehrerer Lösungen steht auf unserer Seite zum AI-Act-Software-Vergleich. Zum Vergleich →
Kosten
Was eine KI-Inventar-Software kostet
Preise für KI-Inventar-Software reichen von einfachen Registern bis zu Plattformen mit Governance, Datenschutz und Integrationen. Wir weisen unsere Preise offen aus – so können Sie sie mit anderen Angeboten und mit dem internen Aufwand einer Tabelle vergleichen.
Starter
Für kleine Unternehmen und erste KI-Governance-Prozesse
199 €/Monat
159 € pro Monat bei jährlicher Zahlung
- Bis zu 5 KI-Systeme & 3 Nutzer
- KI-Inventar und Risikoklassifizierung
- Compliance-Checklisten
- Reporting
Professional
Für mehrere Teams und echte Governance-Anforderungen
349 €/Monat
279 € pro Monat bei jährlicher Zahlung
- Alles aus Starter
- Unbegrenzte KI-Systeme und Nutzer
- Annex-IV-Dokumentation bzw. Betreiberpflichten nach Art. 26
- Vendor Register und Modellregister
- AI Discovery: Schatten-KI aufspüren
- Governance-Workflows und Audit-Readiness-Score
- Single Sign-on: OIDC, SAML und LDAP
- Register-Export
- DSGVO-Modul: VVT, DSFA, TOMs und AVV
Enterprise
Für komplexe Compliance-, Governance- und Sicherheitsanforderungen
Auf Anfrage
- Alles aus Professional
- SCIM-Provisionierung
- REST-API und Webhooks
- Individuelle Integrationen und priorisierter Support
- Onboarding-Workshops und individuelle SLAs
Alle Preise zzgl. MwSt. 7 Tage kostenlos mit vollem Starter-Umfang. Für den Test hinterlegen Sie eine Kreditkarte: Kündigen Sie nicht, läuft danach das Starter-Abo weiter, und wir erinnern Sie 3 Tage vorher an den fälligen Betrag. Im Test jederzeit kündbar. Ein Upgrade auf Professional ist jederzeit möglich.
Alle Preise und LeistungenWovon die Kosten abhängen
- Anzahl der KI-SystemeViele Anbieter staffeln nach Systemen. Zählen Sie realistisch, inklusive KI-Funktionen in bestehender Software, und planen Sie Wachstum ein.
- Anzahl der NutzerPflegen nur zwei Personen oder jede Fachabteilung selbst? Das entscheidet oft über die Paketstufe.
- ModuleReines Inventar, oder auch Governance-Workflows, DSGVO-Modul, Discovery und Integrationen? Ein Paket, das beides abdeckt, kann günstiger sein als zwei Werkzeuge.
- Interner AufwandErfassung, Abstimmung mit Fachbereichen und Pflege kosten Arbeitszeit – mit und ohne Software. Software verkürzt vor allem die laufende Pflege und die Vorbereitung auf Prüfungen.
Sicherheit und Datenschutz
Wo Ihre Inventardaten liegen
Ein KI-Inventar beschreibt, wie Ihr Unternehmen KI einsetzt – das ist vertraulich. Deshalb gehören Hosting, Verträge und Zugriffsschutz in jede Auswahlentscheidung. So ist es bei SimpleAct geregelt.
Hosting in Deutschland
Anwendung und selbst betriebene PostgreSQL-Datenbank laufen bei Hetzner in Nürnberg, Backups in Falkenstein. Für Hosting und Datenbank werden keine US-amerikanischen oder außereuropäischen Cloud-Provider genutzt. Ausnahme: Ist der KI-Assistent eingeschaltet, verarbeitet Anthropic die dafür eingereichten Texte auch in den USA.
ISO-27001-Rechenzentrum
Gehostet wird in einem ISO-27001-zertifizierten Hetzner-Rechenzentrum. Die Zertifizierung bezieht sich auf das Rechenzentrum; die eigenen technischen und organisatorischen Maßnahmen sind im Security-Whitepaper beschrieben.
Verschlüsselung
Alle Daten werden bei der Übertragung (TLS) und im Ruhezustand verschlüsselt.
AVV und Subprozessoren offen
Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist vorab als Volltext einsehbar. Die Subprozessoren Hetzner, Stripe, Brevo und Anthropic (nur bei eingeschaltetem KI-Assistenten) sind dort mit Sitz, Zweck und Verarbeitungsort aufgeführt.
Rollen und Anmeldung
Rollen Admin, Editor und Viewer mit getrennten Rechten; Admins können eine Zwei-Faktor-Anmeldung einrichten. Single Sign-on über OIDC, SAML und LDAP ab Professional.
Manipulationsgeschütztes Protokoll
Der Audit-Trail ist als Hash-Kette aufgebaut. Ob ein Eintrag nachträglich verändert wurde, lässt sich selbst prüfen – je Datensatz oder für die ganze Organisation.
SimpleAct selbst trägt keine ISO-27001-Zertifizierung; die Zertifizierung gilt für das Rechenzentrum des Hosting-Anbieters.
Rechtlicher Rahmen
Welche Pflichten auf dem KI-Inventar aufbauen
Ein internes KI-Inventar ist in der KI-Verordnung nicht als eigenes Dokument vorgeschrieben. Die folgenden Pflichten setzen aber voraus, dass Sie wissen, welche Systeme Sie wofür einsetzen. Die Tabelle zeigt, welche Angabe im Inventar welche Pflicht stützt.
Tabelle seitlich scrollen →
| Vorschrift | Worum es geht | Was das Inventar dafür liefern muss | Gilt ab |
|---|---|---|---|
| Art. 4 KI-VO | KI-Kompetenz: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und ihrer Beauftragten zu unterstützen (Neufassung durch den Digital Omnibus). | Welche Gruppen welche Systeme nutzen – daraus folgt, wer welche Schulung oder Einweisung braucht. | 2.2.2025 |
| Art. 5 KI-VO | Verbotene Praktiken, etwa Social Scoring oder Emotionserkennung am Arbeitsplatz. | Den konkreten Einsatzzweck je System, damit er einmal sauber gegen die Verbote geprüft wird. | 2.2.2025 |
| Art. 6 mit Anhang III | Einstufung als Hochrisiko-KI, z. B. in Personalauswahl, Kreditwürdigkeit oder Bildung. | Risikoklasse mit Begründung und, falls zutreffend, die Anhang-III-Kategorie. | 2.12.2027 |
| Art. 6 mit Anhang I | Hochrisiko-KI als Sicherheitsbauteil regulierter Produkte, etwa Maschinen oder Medizinprodukte. | Bezug zum Produkt und zur einschlägigen Harmonisierungsvorschrift. | 2.8.2028 |
| Art. 26 KI-VO | Pflichten der Betreiber von Hochrisiko-KI: Einsatz nach Betriebsanleitung, menschliche Aufsicht, Aufbewahrung von Protokollen, Information Betroffener. | Verantwortliche Person, Aufsichtsperson, Ablage der Betriebsanleitung und Prüftermine. | 2.12.2027 (Anhang III) |
| Art. 49 und 71 KI-VO | EU-Datenbank: Anbieter registrieren Anhang-III-Systeme, Betreiber, die Behörden oder öffentliche Stellen sind, registrieren ihre Nutzung. | Kennzeichen, ob eine Registrierung nötig ist und ob sie erfolgt ist. | mit den Hochrisiko-Pflichten |
| Art. 50 KI-VO | Transparenz: Hinweis bei Chatbots, Kennzeichnung synthetischer Inhalte und Deepfakes. Für Abs. 2 gilt bei Systemen, die vor dem 2.8.2026 in Verkehr gebracht wurden, eine Übergangsfrist bis 2.12.2026. | Ob ein System mit Menschen interagiert oder Inhalte erzeugt – und welcher Hinweis wo steht. | 2.8.2026 |
| Art. 30 DSGVO | Verzeichnis von Verarbeitungstätigkeiten (VVT). | Verweis auf den VVT-Eintrag, sobald ein KI-System personenbezogene Daten verarbeitet. | gilt bereits |
| Art. 35 DSGVO | Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko für Betroffene. | Verweis auf die DSFA, etwa bei Profilbildung, automatisierter Bewertung oder Überwachung. | gilt bereits |
| Art. 28 DSGVO | Auftragsverarbeitungsvertrag mit Dienstleistern, die personenbezogene Daten verarbeiten. | Ob mit dem KI-Anbieter ein AVV besteht – und ebenso mit dem Anbieter der Inventar-Software selbst. | gilt bereits |
Fristen nach VO (EU) 2024/1689 in der Fassung des Digital Omnibus, VO (EU) 2026/1744, in Kraft seit 27. Juli 2026. Vereinfachte Darstellung; maßgeblich ist der Wortlaut im Amtsblatt.
FAQ
Häufige Fragen zur KI-Inventar-Software
Noch Fragen? Wir helfen gerne weiter. E-Mail schreiben · 7 Tage testen (Kreditkarte nötig)
Quellen und Stand
Zuletzt geprüft am · Redaktion SimpleAct
- Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex
- Verordnung (EU) 2026/1744 (Digital Omnibus on AI), EUR-Lex
- Verordnung (EU) 2016/679 (DSGVO), EUR-Lex
Diese Seite dient der Orientierung bei der Auswahl einer Software und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut im Amtsblatt der EU. Produktangaben beziehen sich auf den Stand oben.
Änderungen an dieser Seite
- 10. Oktober 2026 – Art. 4 im Omnibus-Wortlaut.
- 3. Oktober 2026 – Neu aufgebaut: Vergleich Excel und Software, Kernfunktionen mit Produktansichten, Auswahl-Checkliste mit Anbieterfragen, Bewertungskriterien, Preise und Fristen nach Digital Omnibus.
- 16. Juni 2026 – Erste Fassung.
Weiterführend
- KI-Register Vorlage (Excel, kostenlos)
- KI-Register: Definition und Pflichtangaben
- AI-Act-Software im Vergleich
- EU AI Act Fristen nach Digital Omnibus
- KI-Risikoeinstufung
- SimpleAct im Überblick
- SCIM-Provisionierung aus Entra ID oder Okta (Enterprise)
- MLflow: Modellversionen ins Model Registry übernehmen (Enterprise)
KI-Inventar in SimpleAct aufbauen
Erfassen Sie Ihre KI-Systeme, stufen Sie das Risiko ein und behalten Sie Verantwortliche, Prüftermine und Nachweise an einem Ort – gehostet in Deutschland.