Kurz beantwortet

Was ist ein KI-Managementsystem nach ISO/IEC 42001?

ISO/IEC 42001:2023 legt Anforderungen an ein KI-Managementsystem (AIMS) fest: KI-Richtlinie und Ziele, Rollen und Verantwortlichkeiten, KI-Risikobewertung und Folgenabschätzung für KI-Systeme, Maßnahmen entlang des KI-Lebenszyklus, interne Audits und kontinuierliche Verbesserung. Die Norm folgt der gemeinsamen Struktur der ISO-Managementsysteme und lässt sich daher mit einem nach ISO 27001 integrieren. Sie ist freiwillig und zertifizierbar und hilft, Anforderungen des EU AI Act strukturiert umzusetzen.

Mit dem EU AI Act steigen die Erwartungen an den verantwortungsvollen Umgang mit KI. Gleichzeitig fragen Kunden und Partner zunehmend: Wie steuert ihr eigentlich eure KI? ISO/IEC 42001 gibt darauf eine strukturierte Antwort.

Aufbau der Norm

ISO/IEC 42001 ist – wie ISO 27001 – nach der gemeinsamen Struktur der ISO-Managementsystemnormen aufgebaut. Die Kapitel behandeln Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Ergänzend enthält die Norm Anhänge mit Maßnahmen und Umsetzungshinweisen.

Die zentralen Anforderungen

  • KI-Richtlinie und Ziele: Wofür setzt die Organisation KI ein, und nach welchen Grundsätzen?
  • Rollen: Ist die Organisation Entwickler, Anbieter oder Nutzer von KI – oder mehreres?
  • KI-Risikobewertung: Risiken für die Organisation und für Betroffene systematisch bewerten und behandeln.
  • Folgenabschätzung für KI-Systeme: Auswirkungen auf Einzelpersonen, Gruppen und die Gesellschaft einschätzen.
  • Lebenszyklus: Anforderungen an Daten, Entwicklung, Prüfung, Betrieb und Außerbetriebnahme.
  • Lieferanten: KI-Komponenten und -Dienste Dritter steuern.
  • Bewertung und Verbesserung: Interne Audits, Managementbewertung, Korrekturmaßnahmen.

Verbindung zu ISO 27001

Wer bereits ein ISMS betreibt, hat viele Grundlagen: Kontextanalyse, Risikomethodik, Dokumentenlenkung, Audits und Managementbewertung. Ein AIMS kann darauf aufsetzen – mit gemeinsamer Dokumentation und kombinierten Audits. Das spart Aufwand und verhindert Parallelstrukturen. Mehr zum ISMS: ISO 27001 mit solbytech.

Verbindung zum EU AI Act

ISO/IEC 42001 ist freiwillig, der AI Act verpflichtend. Die Norm ersetzt keine gesetzlichen Pflichten, schafft aber die Strukturen, um sie nachvollziehbar umzusetzen: Inventar, Risikobewertung, Dokumentation, Verantwortlichkeiten und Überprüfung. Welche Fristen aktuell gelten, steht im EU-AI-Act-Hub.

Typische Stolpersteine

  • KI-Inventar fehlt: Ohne Überblick über eingesetzte und entwickelte KI-Systeme lässt sich der Geltungsbereich nicht sinnvoll festlegen.
  • Nur Technik betrachtet: Folgenabschätzungen betreffen auch Fairness, Transparenz und die Auswirkungen auf Kundinnen, Kunden und Mitarbeitende.
  • Parallelstrukturen: Ein AIMS neben einem bestehenden ISMS, ohne gemeinsame Dokumentation und Audits, verdoppelt den Aufwand.
  • Lieferanten vergessen: Viele KI-Funktionen stammen von Drittanbietern – deren Steuerung gehört dazu.

Der Weg zum AIMS

  1. GAP-Analyse: Wo steht die Organisation gegenüber der Norm?
  2. Geltungsbereich festlegen: Welche KI-Systeme und Prozesse sind erfasst?
  3. Risiko- und Folgenabschätzung: Methodik einführen, erste Bewertungen durchführen.
  4. Richtlinien und Maßnahmen: KI-Richtlinie, Verfahren, Schulungen.
  5. Prüfen: Internes Audit und Managementbewertung.
  6. Zertifizierung: optional durch eine akkreditierte Zertifizierungsstelle.

Fazit

ISO/IEC 42001 bringt Ordnung in den KI-Einsatz – besonders wertvoll für Unternehmen, die KI entwickeln oder geschäftskritisch nutzen. Mit einem bestehenden ISMS ist der Einstieg deutlich leichter. Wir begleiten Sie beim Aufbau eines AIMS.