ISO 42001 ist die internationale Norm für KI-Managementsysteme. Sie hilft Unternehmen, den verantwortungsvollen Einsatz von KI systematisch zu steuern, nachzuweisen und kontinuierlich zu verbessern.
ISO 42001 ist die weltweit erste internationale Norm für Managementsysteme für Künstliche Intelligenz (AIMS – AI Management System, ein strukturiertes System zur verantwortungsvollen Entwicklung, Bereitstellung und Nutzung von KI im Unternehmen). Sie wurde im Dezember 2023 von der Internationalen Organisation für Normung (ISO) gemeinsam mit der Internationalen Elektrotechnischen Kommission (IEC) veröffentlicht.
Die Norm folgt der bekannten High Level Structure (einem einheitlichen Aufbau, den alle modernen ISO-Managementsystemnormen teilen), die auch ISO 27001 und ISO 9001 zugrunde liegt. Wer bereits ein ISMS nach ISO 27001 betreibt, kann ISO 42001 als Erweiterung aufsetzen und erhebliche Synergien nutzen.
ISO 42001 ist freiwillig, aber zertifizierbar. Sie richtet sich an alle Unternehmen, die KI-Systeme entwickeln, einsetzen oder betreiben, unabhängig von Branche und Größe.
ISO 42001 ist sinnvoll für Unternehmen, die KI systematisch und nachweisbar verantwortungsvoll einsetzen wollen. Typische Szenarien:
Kunden, Auftraggeber oder Behörden verlangen einen Nachweis über den verantwortungsvollen Umgang mit KI-Systemen. Das Unternehmen entwickelt oder betreibt KI-Systeme und möchte Risiken strukturiert managen. Das Unternehmen bereitet sich auf die Anforderungen des EU AI Acts vor und will die Compliance-Arbeit in einem Managementsystem bündeln.
ISO 42001 und EU AI Act ergänzen sich: Die Norm liefert das strukturelle Framework, der EU AI Act die regulatorischen Anforderungen. Wer ISO 42001 implementiert, ist für die meisten EU-AI-Act-Anforderungen gut aufgestellt.
ISO 42001 folgt dem PDCA-Zyklus (Plan-Do-Check-Act: ein Regelkreis aus Planen, Umsetzen, Prüfen und Verbessern) und strukturiert sich in mehrere Kernbereiche:
Das Unternehmen definiert eine KI-Politik (ein Grundsatzdokument zum verantwortungsvollen Umgang mit KI) und legt klare Verantwortlichkeiten fest. Die Unternehmensleitung trägt die Gesamtverantwortung.
KI-spezifische Risiken werden identifiziert und bewertet: Risiken durch fehlerhafte Ausgaben, Diskriminierung, Datenschutzverletzungen oder mangelnde Transparenz. Das Ergebnis fließt in einen Risikobehandlungsplan.
ISO 42001 fordert eine strukturierte Bewertung der gesellschaftlichen und ethischen Auswirkungen von KI-Systemen, ähnlich einer Datenschutz-Folgenabschätzung, aber auf KI-spezifische Risiken ausgerichtet.
Eingesetzte KI-Systeme müssen dokumentiert sein: Zweck, Trainingsdaten, Einschränkungen und bekannte Risiken. Entscheidungen, die durch KI unterstützt werden, müssen nachvollziehbar bleiben.
Wer KI-Systeme von Drittanbietern einsetzt, muss sicherstellen, dass diese die eigenen KI-Anforderungen erfüllen. Verträge und Prüfprozesse für KI-Dienstleister sind zu etablieren.
Das AIMS wird regelmäßig intern auditiert und weiterentwickelt. KI-Vorfälle und Abweichungen werden dokumentiert und analysiert.
ISO 42001 und EU AI Act verfolgen ähnliche Ziele, sind aber unterschiedliche Instrumente. Der EU AI Act ist Pflichtrecht mit Bußgeldandrohung, ISO 42001 ist eine freiwillige Norm.
In der Praxis ergänzen sie sich gut: ISO 42001 liefert die Managementstruktur und Dokumentationsbasis, die der EU AI Act für Hochrisiko-KI-Systeme fordert. Wer ISO 42001 zertifiziert ist, kann wesentliche Teile der EU-AI-Act-Compliance damit nachweisen.
Digimojo begleitet dich beim Aufbau eines AIMS nach ISO 42001: von der Bestandsaufnahme der eingesetzten KI-Systeme über die Risikobeurteilung und KI-Politik bis zur Vorbereitung auf die Zertifizierung.
Wenn bereits ein ISMS nach ISO 27001 besteht, nutzen wir die vorhandene Managementstruktur als Basis. DigimojoCOMPLY unterstützt die strukturierte Dokumentation beider Normen in einem gemeinsamen System.
Schreib uns kurz, worum es geht. Wir melden uns innerhalb von 24 Stunden mit konkreten nächsten Schritten.
