KI-Datenreife-Bewertung & Dateninventar

Die meisten KI-Projekte im Mittelstand scheitern nicht am Modell, sondern an den Daten: Niemand weiß, welche Dateien es gibt, welche aktuell sind, wer sie sehen darf und ob sie maschinenlesbar sind. Ein kurzes, strukturiertes Inventar samt Reifegrad-Bewertung je Quelle macht aus „Wir sollten etwas mit KI machen“ eine Rangliste: was sofort starten kann, was zwei Tage Aufräumen braucht und was warten muss. Kleine Skripte und ein lokales Modell übernehmen das mühsame Zählen und Stichproben ziehen; die Entscheidungen treffen Menschen.

Problem & Nutzen

• Wer: IT-Leitungen und Geschäftsführungen von Unternehmen mit 20-500 Beschäftigten, die einen Copilot, einen Chatbot oder ein Dokumenten-KI-Werkzeug gekauft haben oder angeboten bekamen und nun sagen müssen: „Welche Daten füttern wir damit?“
• Heute: Wissen liegt in Ordnern von Dateifreigaben, Postfächern, Excel-Tabellen, DATEV, einem ERP und auf Papier. Niemand hat den Überblick; die Antwort kommt von dem einen Kollegen, der „weiß, wo was liegt“.
• Warum KI hilft: Eine Dateifreigabe zu durchsuchen und Typen, Alter, Duplikate und Größen zu zählen, ist Skriptarbeit; eine Stichprobe von Dokumenten zu klassifizieren („Vertrag / Angebot / personenbezogene Daten / veraltet“) ist Aufgabe eines kleinen Sprachmodells. So schrumpft das Inventar von Wochen an Interviews auf Tage.
• Nutzen: vermeidet gescheiterte Pilotprojekte (falsche Daten, Überfreigabe, unlesbare Scans) und liefert eine belastbare Prioritätenliste. Messen Sie Ihre eigene Ausgangslage: Quellen, Anteil der als „bereit“ bewerteten Quellen, Aufräumstunden je Anwendungsfall.

Varianten

• Leicht (KMU): Inventar als Tabelle mit 10-30 Quellen, Interviews, Statistiken zur Dateifreigabe per Skript.
• Je Anwendungsfall: Ausgangspunkt ist ein Kandidat für einen Anwendungsfall (siehe PREP-002); bewertet werden nur die Quellen, die er braucht.
• Großunternehmen: laufendes Scannen mit Katalog- oder DSPM-Werkzeugen (DATA-007, SEC-017).
• Öffentlicher Dienst: gleiche Methode, zusätzlich Aktenpläne.

So funktioniert es

1. interviews + system list
2. file-share / mailbox / export crawl
3. sampling
4. local LLM classifies sample (type, topic, personal data, language, obsolete?)
5. scoring sheet (quality, format, access, legal)
6. traffic light per source & use case
7. gap list + effort
8. backlog (PREP-005, -006, -009, -023 …)

• Durchsuchen (Crawl): Ein Python- oder PowerShell-Skript (oder n8n-Workflow) listet Pfad, Typ, Größe, Eigentümer, letzte Änderung und Berechtigungen auf; Microsoft Graph für SharePoint/OneDrive, Google-Drive-API, Nextcloud-WebDAV für Dateispeicher.
• Stichprobe und Klassifikation: 50-200 Dokumente je Quelle gehen an ein kleines lokales Sprachmodell (über Ollama) oder eine in der EU gehostete API, die JSON-Labels zurückgibt. Die Ergebnisse sind Schätzungen, keine Fakten.
• Bewertung: fünf Kriterien mit je 0-2 Punkten: auffindbar (bekannter Ablageort und Verantwortliche(r)), lesbar (Textebene, Standardformat), aktuell (letzte Prüfung), sauber (Duplikate, Versionen), zulässig (Rechtsgrundlage, Berechtigungen).
• Mensch-in-der-Schleife (Human-in-the-Loop): Abteilungsleitungen bestätigen Verantwortliche(n) und Schutzbedarf je Quelle; die Datenschutzbeauftragte bzw. der Datenschutzbeauftragte bestätigt die Kennzeichnung personenbezogener Daten. Das Modell entscheidet nie über Zugriffsrechte.

Datenaufbereitung

Die Bewertung ist selbst Datenaufbereitung; Eingaben sind daher die Systemliste und die rohen Dateilisten. - Wo die Daten liegen: Dateifreigaben und SharePoint (meist der größte Teil), Postfächer, ERP-/DATEV-Exporte, Excel-Tabellen auf Arbeitsplatzrechnern (PREP-003), Papierordner (PREP-006), CRM- und Ticketsysteme. - Typische Lücken: Scans ohne Textebene, fünf Versionen derselben Datei, Ordner ohne Verantwortliche, Berechtigungen für „Jeder“, Daten jenseits der Aufbewahrungsfristen, Exporte, die nur der eine Administrator ausführen kann. - Schritte und Aufwand (realistisch, KMU mit ca. 10-30 Quellen): Systemliste und Verantwortliche 0,5 Tage; Crawl der Dateifreigabe 0,5-1 Tag (nach dem ersten Durchlauf existiert das Skript); Stichprobe und Klassifikation 1 Tag; Bewertungsworkshop mit Abteilungsleitungen 0,5 Tage; Bericht 0,5 Tage. Insgesamt 3-4 Arbeitstage plus Kalenderzeit für Interviews. - Folge-Anwendungsfälle: PREP-002 Zuordnung zu Anwendungsfällen, PREP-003 Excel-Schattensysteme, PREP-005 Exporte, PREP-009 Umstrukturierung, PREP-023 Bereinigung der Überfreigaben, PREP-024 Klassifikationsregeln, PREP-025 Prüfung der Rechtsgrundlage. Siehe auch GUIDE-003.

Umsetzungswege

Welcher Weg für wen

• smb: C - Die Stichprobe enthält Verträge, Personal- und Kundendaten, daher sollte die Klassifikation im Haus bleiben; ein Skript, n8n und ein kleines Ollama-Modell laufen auf einem vorhandenen Server oder Laptop (HW1), und derselbe Aufbau bedient spätere Anwendungsfälle.
• enterprise: A - Katalog- und Discovery-Produkte (Microsoft Purview, Collibra, Atlan) sind Standardware und lassen sich bereits an Identitäts- und Speichersysteme anbinden.
• developer: C - Skripte plus quelloffene Parser und lokale Modelle, wiederverwendbar bei mehreren Kunden.
• public: C - Souveränität, Vergaberegeln und sensible Akten sprechen für Werkzeuge vor Ort (On-Premises).

Weg A — Kaufen (Standardsoftware)

• Microsoft Purview (Data Map, Vertraulichkeitsbezeichnungen, Inhalts-Explorer; Lizenzierung an Microsoft-365-E5-/Compliance-Stufen gebunden, prüfen Sie Ihren Vertrag); Collibra, Atlan oder Alation für Kataloge im Konzernmaßstab; Varonis oder Ähnliches für Berechtigungsanalysen.
• In der EU gehostete oder EU-basierte Optionen: Purview unterstützt die EU-Datenresidenz in der Microsoft EU Data Boundary; es gibt europäische Katalog-Anbieter (Hosting im AVV prüfen). Preise gibt es nur auf Anfrage, und sie übersteigen meist KMU-Budgets.
• Wählen Sie diesen Weg, wenn Sie die Lizenzstufe bereits besitzen oder Tausende Nutzende haben.

Weg B — Auf Cloud-KI-Diensten aufbauen

• Durchsuchen mit Microsoft Graph oder der Google-Drive-API, Stichproben klassifizieren mit einer Modell-API in einer EU-Region (zum Beispiel Mistral La Plateforme, in der EU gehostet; Azure OpenAI in einer EU-Region; IONOS AI Model Hub oder STACKIT AI Model Serving als deutsche/EU-Clouds).
• Erfordert einen AVV (Art. 28 DSGVO) und eine Entscheidung, ob Dokumentinhalte das Haus verlassen dürfen; für reine Metadaten (Namen, Größen, Daten) ist kein Modell nötig.

Weg C — Selbst betreiben (Open Source)

• Durchsuchen: Python (pathlib, msal/Graph-SDK), rclone für Cloud-Speicher, czkawka oder fdupes für Duplikate; Orchestrierung in n8n (selbst betrieben, in der EU installierbar).
• Einlesen: Docling oder Apache Tika zur Textextraktion; OCRmyPDF, um zu prüfen, ob Scans eine Textebene haben.
• Klassifizieren: Ollama mit einem kleinen Instruktionsmodell (Qwen, Llama, Mistral oder Gemma-Klasse, 7-14B) für Labels als JSON; läuft für einige hundert Dokumente auf der CPU oder einer bescheidenen GPU.
• Erfassen: Inventar in einer Excel-/Nextcloud-Tabelle, Baserow oder NocoDB; später zu einem Katalog ausbaubar (DATA-007).
• Betriebsaufwand: einige Stunden für die Einrichtung, danach kaum etwas.

Weg D — Eigenes Training

Fast nie. Ein feingetunter Klassifikator (text-classifier) lohnt sich nur, wenn Sie wiederholt große, einheitliche Archive scannen; beginnen Sie mit Prompts.

Stand der Technik (2026)

• Kleine lokale Modelle klassifizieren Dokumenttyp und Thema auf sauberem Text gut, ausreichend für Stichproben; schwach sind sie bei Scans, gemischten Sprachen, Fachjargon und der Erkennung personenbezogener Daten.
• Herstellerwerkzeuge (Purview, DSPM) bündeln KI-gestützte Erkennung, berichten aber, was vorhanden ist, nicht die Eignung für einen bestimmten Anwendungsfall. Dieses Urteil bleibt beim Menschen.
• Fehlerbilder: einen Ordner als „bereit“ zählen, nur weil Dateien existieren; LLM-Labels ohne Stichprobenprüfung vertrauen; Berechtigungen ignorieren, sodass ein Assistent später Personalakten zutage fördert (siehe PREP-023).

Gemeinsame Bausteine & Kombinationen

• Gemeinsamer Aufbau: Der Aufbau aus n8n + Ollama + Parser ist derselbe „Baukasten“ wie für PREP-006 (OCR), PREP-010 (Verschlagwortung), PREP-022 (Pseudonymisierung) und spätere RAG-Assistenten.
• Lässt sich kombinieren mit: PREP-002 (was jeder Anwendungsfall braucht), PREP-004 (Verantwortliche), DATA-007 (Katalog), SEC-017 (Scannen sensibler Daten).

Aufwand, Kosten & Kennzahlen

• Weg A: Lizenzen dominieren; Einrichtung dauert Wochen.
• Weg B: 3-5 Tage; die API-Kosten für einige hundert Stichproben sind gering.
• Weg C: 3-5 Tage inklusive Einarbeitung; keine Lizenzkosten; vorhandene Hardware.
• Kennzahlen: Prozentsatz der inventarisierten Quellen mit benanntem Verantwortlichen; Anteil der Quellen mit Ampel grün/gelb/rot; Vorbereitungsstunden je Anwendungsfall; Anteil der Dokumente mit Textebene; Duplikatquote; Anzahl der Ordner mit zu weit gefassten Berechtigungen.

Menschen & Veränderung

Früh einbinden: die Geschäftsleitung (Sponsor, Umfang), die IT (Konten, Lesezugriff), die Abteilungsleitungen als Verantwortliche für ihre Quellen, die Datenverantwortlichen für ERP/DMS, die IT-Sicherheit für Zugriffe und die Datenschutzbeauftragte bzw. den Datenschutzbeauftragten, weil das Inventar selbst personenbezogene Daten berührt. Endnutzende werden gefragt, nicht gescannt: Erklären Sie, warum Sie Ordner ansehen (GUIDE-008).

Betriebsrat: hängt vom Einzelfall ab. Ein Crawl, der je Datei den letzten Bearbeiter und die Änderungszeit auflistet, kann Verhalten sichtbar machen, und nach Auffassung des BAG genügt die objektive Eignung für § 87 Abs. 1 Nr. 6 BetrVG. Vereinbaren Sie den Umfang vorab: keine Auswertung je Person, Ergebnisse je Quelle aggregiert. § 90 Abs. 1 Nr. 3 verlangt rechtzeitige Unterrichtung, wenn Arbeitsabläufe mit KI geplant sind; ein Sachverständiger nach § 80 Abs. 3 kann helfen (GUIDE-004). Öffentliche Stellen beteiligen den Personalrat.

Datenschutz: Der Crawl verarbeitet personenbezogene Daten (Namen in Pfaden, Inhalte in Stichproben). Dokumentieren Sie Zweck und Rechtsgrundlage, schließen Sie mit jeder Cloud-API einen AVV ab und betreiben Sie das Modell möglichst lokal. Eine Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO) ist für das Inventar selbst in der Regel nicht nötig, kann es aber für die dadurch ermöglichten Anwendungsfälle sein (GUIDE-005).

KI-Kompetenz: Art. 4 KI-Verordnung (AI Act) verlangt seit dem 27. Juli 2026 von Anbietern und Betreibern Maßnahmen zur Förderung der KI-Kompetenz ihres Personals; geben Sie dem Projektteam eine kurze Einweisung, was der Klassifikator beurteilen kann und was nicht (GUIDE-006).

Pilot und Bedenken: Beginnen Sie mit einer Abteilung und ihren zwei wichtigsten Quellen; die typische Sorge lautet „Sie kontrollieren meine Ordner“ - sagen Sie klar, dass nichts gelöscht oder verschoben wird (GUIDE-009). Der Mensch behält die Kontrolle: Die Verantwortlichen zeichnen die Bewertung ab.

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): minimales Risiko; das Werkzeug ist eine interne Analysehilfe. Art. 4 KI-Kompetenz gilt. Das Inventar hilft zu erkennen, ob ein späterer Anwendungsfall (zum Beispiel Personalwesen) unter Anhang III fällt, dessen Pflichten ab dem 2. Dezember 2027 gelten (GUIDE-014).
• DSGVO: Durchsuchen und Stichproben sind Verarbeitung; beschränken Sie sich auf das Nötige, speichern Sie Ergebnisse ohne Dokumentinhalte, wenden Sie Löschfristen an, schließen Sie AVV mit Auftragsverarbeitern ab.
• Sicherheit: Das Inventar bildet Ihre sensiblen Daten ab; schützen Sie es entsprechend und nutzen Sie Dienstkonten mit reinem Lesezugriff (GUIDE-013).
• Gegenmaßnahmen: nur Lesezugriff, aggregierte Berichte, Prüfung der Stichproben durch die Verantwortlichen, keine Inhalte im Inventar gespeichert, protokollierte Läufe.

Erste Schritte

1. Erstellen Sie die Systemliste: jeder Ort, an dem Geschäftsdaten liegen, mit benannter Verantwortlicher bzw. benanntem Verantwortlichen (0,5 Tage).
2. Führen Sie eine Auflistung mit reinem Lesezugriff für die größte Dateifreigabe oder SharePoint-Site durch und sehen Sie sich Typen, Alter, Duplikate und Berechtigungen an.
3. Klassifizieren Sie 100 Stichproben-Dokumente mit einem lokalen Modell und prüfen Sie 20 von Hand, um die Fehlerquote zu messen.
4. Bewerten Sie die Quellen in einem halbtägigen Workshop (auffindbar, lesbar, aktuell, sauber, zulässig) und markieren Sie sie grün/gelb/rot.
5. Geben Sie die roten/gelben Punkte an die passenden PREP-Anwendungsfälle weiter und gleichen Sie die Ergebnisse mit Ihrem ersten KI-Anwendungsfall ab (GUIDE-001, GUIDE-003).

Quellen

1. Microsoft Learn - Microsoft Purview data governance and Data Map documentation - https://learn.microsoft.com/purview/
2. Microsoft - EU Data Boundary for the Microsoft Cloud - https://learn.microsoft.com/privacy/eudb/eu-data-boundary-learn
3. Ollama - project documentation - https://github.com/ollama/ollama
4. Docling project - https://github.com/docling-project/docling
5. OCRmyPDF documentation - https://ocrmypdf.readthedocs.io/
6. n8n - documentation - https://docs.n8n.io/
7. Regulation (EU) 2024/1689 (AI Act) - https://eur-lex.europa.eu/eli/reg/2024/1689/oj
8. Regulation (EU) 2016/679 (GDPR) - https://eur-lex.europa.eu/eli/reg/2016/679/oj
9. Betriebsverfassungsgesetz (BetrVG), §§ 80, 87, 90 - https://www.gesetze-im-internet.de/betrvg/