Was ist ISO/IEC 42001?
ISO/IEC 42001:2023 ist die erste internationale Norm für Managementsysteme für künstliche Intelligenz (AIMS). Sie hilft Organisationen, die KI-Systeme entwickeln, anbieten oder nutzen, KI-Risiken zu steuern, verantwortungsvoll zu handeln und Kunden sowie Behörden zu zeigen, dass KI unter Kontrolle ist.
Die Norm folgt derselben Struktur mit Kapiteln 4–10 wie ISO 9001 und ISO/IEC 27001 und lässt sich daher in ein bestehendes Managementsystem integrieren. Anhang A enthält 38 Referenzmaßnahmen, etwa zu KI-Richtlinie, Folgenabschätzung für KI-Systeme, Datenqualität, Lebenszyklus von KI-Systemen und Beziehungen zu Dritten. Das Zertifikat stellt eine akkreditierte Zertifizierungsstelle aus.
Für wen ist ISO 42001 relevant?
- SaaS- und Technologieunternehmen, die KI-Funktionen in ihre Produkte einbauen
- Unternehmen, deren Großkunden nach KI-Governance und -Kontrollen fragen
- Organisationen, die sich auf die Pflichten aus der EU-KI-Verordnung (AI Act) vorbereiten
- Fintech-, Gesundheits-, HR-Tech- und andere Unternehmen, die KI für sensible Entscheidungen nutzen
- Unternehmen mit ISO/IEC 27001, die ihr Managementsystem auf KI erweitern wollen
Was die ISO 42001 Selbstbewertung prüft
- Anwendungsbereich des KI-Managementsystems und Ihre Rolle: Entwickler, Anbieter oder Nutzer von KI
- KI-Richtlinie, Engagement der Leitung und Verantwortlichkeiten
- KI-Risikobeurteilung und Folgenabschätzung für Menschen und Gesellschaft
- Datenqualität, Datenherkunft und Dokumentation von KI-Systemen
- Maßnahmen im Lebenszyklus: Entwurf, Verifizierung, Bereitstellung, Überwachung und Außerbetriebnahme
- Lieferanten und KI von Dritten, Transparenz für Nutzer, internes Audit und Verbesserung
Typische Lücken
- Es gibt kein Verzeichnis der im Unternehmen genutzten KI-Systeme und KI-Tools
- KI-Risiken werden informell besprochen, aber nicht bewertet oder dokumentiert
- Keine Folgenabschätzung für KI-Systeme, die Kunden oder Mitarbeitende betreffen
- Es fehlen Regeln für Mitarbeitende zur Nutzung generativer KI
- KI-Modelle und APIs von Dritten werden ohne Lieferantenbewertung eingesetzt
ISO 42001 und die EU-KI-Verordnung
ISO/IEC 42001 ist freiwillig, die EU-KI-Verordnung ist Gesetz. Beides ist nicht dasselbe, doch ein KI-Managementsystem schafft die Governance, das Risikomanagement und die Dokumentation, die auch der AI Act erwartet. BALTUM bietet zusätzlich eine eigene Selbstbewertung zum EU AI Act.