Einordnung zum Veröffentlichungszeitpunkt: Ein KI-Register sollte Einsatz, Verantwortlichkeiten und Risikoeinordnung getrennt von den jeweils maßgeblichen Anwendungsfristen führen. Änderungen am regulatorischen Fahrplan sind ein Anlass zur Überprüfung des Registers; sie ändern nicht automatisch den tatsächlichen Zweck eines Systems.

Ein KI-Register klingt zunächst wie ein Verwaltungsartefakt: eine Liste, ein Tool, ein paar Felder, fertig. Genau so werden viele Register auch gebaut – und genau deshalb funktionieren sie später weder im Audit noch im Betrieb. Denn ein Register, das nur „Daten sammelt“, wird schnell veraltet, erzeugt Diskussionen und wird umgangen. Ein Register, das dagegen Audit und Betrieb bedient, ist etwas anderes: Es ist die zentrale Steuerungsspur für Verantwortlichkeiten, Klassifizierung, Änderungen und Nachweise. Und es ist vor allem so gestaltet, dass es im Alltag genutzt wird, nicht nur im Prüfungsfall.

AI Governance ist gerade dabei, zwei typische Extreme zu produzieren. Das erste Extrem ist „wir machen erst mal gar nichts, bis alles klar ist“. Das zweite Extrem ist „wir bauen sofort ein großes Programm, das alles abdeckt“. Beides führt in der Praxis selten zu einem stabilen Ergebnis. Das erste Extrem endet meistens in Schattennutzung und hektischer Nacharbeit. Das zweite endet oft in Überkomplexität, Widerstand und Workarounds. Die brauchbare Mitte ist unspektakulärer: Sie definieren ein Minimum, das sofort handlungsfähig macht – und ein Maximum, das sinnvoll ist, wenn Volumen, Kritikalität und externe Anforderungen steigen.

Der Trick dabei ist, AI Governance nicht als neues „Thema“ zu behandeln, sondern als Erweiterung dessen, was gute Organisationen ohnehin tun: Entscheidungen vorbereiten, Risiken steuern, Änderungen kontrollieren, Nachweise so ablegen, dass sie im Ernstfall und im Audit funktionieren. KI bringt dabei nur eine neue Dynamik hinein: Systeme verändern sich schneller (Modelle, Daten, Features), ihre Wirkung ist oft schwerer intuitiv einzuschätzen, und viele Bausteine liegen außerhalb Ihres direkten Einflusses (Cloud-Services, Anbieter, Modelle von Dritten). Genau deshalb braucht es eine Governance, die nicht nur „schön“ aussieht, sondern im Alltag belastbar ist.

Einordnung zum Veröffentlichungszeitpunkt: Die Risikoeinordnung richtet sich nach Zweck und Einsatzkontext. Sie ist von der Frage zu trennen, wann eine konkrete Pflicht anwendbar wird. Ein gemeinsamer Stichtag für sämtliche KI-Systeme wäre deshalb keine tragfähige Planungsgrundlage.

Auf dem Papier wirkt die Risikologik des EU AI Act zunächst wie eine saubere Sortierung: Einordnen, Pflichten ableiten, fertig. In der Praxis ist genau dieser Schritt einer der größten Stolpersteine. Nicht, weil Teams das Thema „nicht verstehen“, sondern weil Klassifizierung im Alltag selten an einem klaren, stabilen Entscheidungsprozess hängt. Stattdessen passiert sie oft nebenbei: im Projekt, im Einkauf, in der IT, manchmal in der Fachabteilung – je nachdem, wer gerade am schnellsten ist. Das Ergebnis ist dann eine Mischung aus gut gemeinten Annahmen und unvollständigen Informationen. Und genau dort entstehen Fehlklassifizierungen.