ISO/IEC 42001
Bauen Sie ein KI-Managementsystem auf, das ein Auditor prüfen kann
ISO/IEC 42001 ist die internationale Norm für den verantwortungsvollen Umgang mit KI. AIMS liefert Ihnen Inventar, Risikobeurteilungen und Folgenabschätzungen, Maßnahmen aus Anhang A und Auditaufzeichnungen, wie die Norm sie verlangt.
Grundlagen
Was ist ISO/IEC 42001?
ISO/IEC 42001:2023 legt Anforderungen an ein KI-Managementsystem (AIMS) fest: die Richtlinien, Rollen, Prozesse und Aufzeichnungen, mit denen eine Organisation KI verantwortungsvoll entwickelt, bereitstellt oder nutzt.
Die Norm folgt derselben harmonisierten Struktur wie ISO 27001 und ISO 9001 und lässt sich daher neben einem bestehenden Informationssicherheits- oder Qualitätsmanagementsystem betreiben. Die Abschnitte 4 bis 10 enthalten die Anforderungen an das Managementsystem. Anhang A listet die Maßnahmen auf, Anhang B gibt zu jeder Maßnahme Hinweise zur Umsetzung.
Die Norm ist zertifizierbar. Eine akkreditierte Zertifizierungsstelle auditiert Ihr Managementsystem und stellt ein Zertifikat aus, wenn es die Anforderungen erfüllt. Das Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits.
2023
Im Dezember 2023 von ISO und IEC veröffentlicht
38
Maßnahmen in Anhang A, verteilt auf neun Bereiche
3 Jahre
Zertifizierungszyklus mit jährlichen Überwachungsaudits
Anforderungen
Die Abschnitte 4 bis 10, verständlich erklärt
Das sind die „Muss“-Anforderungen, die jede zertifizierte Organisation erfüllt, unabhängig davon, welche Maßnahmen sie auswählt.
Abschnitt 4
Kontext der Organisation
Anwendungsbereich, enthaltene KI-Systeme, Ihre Rolle und die Erwartungen interessierter Parteien bestimmen.
Abschnitt 5
Führung
Verpflichtung der obersten Leitung, KI-Politik sowie klare Rollen und Verantwortlichkeiten.
Abschnitt 6
Planung
KI-Risikobeurteilung und -behandlung, Folgenabschätzung für KI-Systeme, Ziele und die Anwendbarkeitserklärung (Statement of Applicability).
Abschnitt 7
Unterstützung
Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Information.
Abschnitt 8
Betrieb
Die geplanten Prozesse umsetzen, einschließlich Risikobehandlung und Folgenabschätzungen, und Änderungen steuern.
Abschnitt 9
Bewertung der Leistung
Überwachen und messen, interne Audits durchführen und Managementbewertungen abhalten.
Abschnitt 10
Verbesserung
Nichtkonformitäten behandeln, Korrekturmaßnahmen ergreifen und fortlaufend verbessern.
Anhang A
Die 38 Maßnahmen nach Bereichen
Sie wählen die Maßnahmen aus, die für Sie gelten, und begründen die Auswahl in Ihrer Anwendbarkeitserklärung.
| Bereich | Inhalt | Maßnahmen |
|---|---|---|
| A.2 KI-bezogene Richtlinien | KI-Politik, Abstimmung mit anderen Richtlinien, Überprüfung der KI-Politik | 3 |
| A.3 Interne Organisation | Rollen und Verantwortlichkeiten für KI, Meldung von Bedenken | 2 |
| A.4 Ressourcen für KI-Systeme | Daten, Werkzeuge, Rechenleistung und personelle Ressourcen | 5 |
| A.5 Folgenabschätzung von KI-Systemen | Prozess der Folgenabschätzung und Auswirkungen auf Einzelpersonen und Gesellschaft | 4 |
| A.6 Lebenszyklus von KI-Systemen | Verantwortungsvolle Gestaltung, Entwicklung, Verifizierung, Bereitstellung, Überwachung und Protokolle | 9 |
| A.7 Daten für KI-Systeme | Beschaffung, Qualität, Herkunft und Aufbereitung von Daten | 5 |
| A.8 Informationen für interessierte Parteien | Informationen für Nutzer, externe Berichterstattung, Kommunikation bei Vorfällen | 4 |
| A.9 Nutzung von KI-Systemen | Prozesse, Ziele und bestimmungsgemäße Verwendung für eine verantwortungsvolle Nutzung | 3 |
| A.10 Beziehungen zu Dritten und Kunden | Zuweisung von Verantwortlichkeiten, Lieferanten und Kunden | 3 |
| Gesamt | 38 | |
Weg zur Zertifizierung
Vom ersten Inventar zum Zertifikat
Die Reihenfolge, der die meisten Organisationen folgen. AIMS unterstützt jeden Schritt bis zum externen Audit.
- 01
Anwendungsbereich und Inventar
Legen Sie fest, welche Teile der Organisation und welche KI-Systeme zum Anwendungsbereich gehören, und erfassen Sie sie.
- 02
Gap-Analyse
Vergleichen Sie die aktuelle Praxis mit den Abschnitten 4–10 und Anhang A, um Lücken zu erkennen.
- 03
Umsetzung
Erstellen Sie die KI-Politik, führen Sie Risikobeurteilungen und Folgenabschätzungen durch, setzen Sie Maßnahmen um und dokumentieren Sie Nachweise.
- 04
Internes Audit und Managementbewertung
Prüfen Sie das System selbst und lassen Sie die Leitung Ergebnisse und Ziele bewerten.
- 05
Zertifizierungsaudit
Eine akkreditierte Stelle führt ein Stufe-1-Audit (Prüfung der Dokumentation) und ein Stufe-2-Audit (Prüfung der Umsetzung) durch.
ISO 42001 und die EU-KI-Verordnung
Ein Managementsystem, zwei Regelwerke
Die EU-KI-Verordnung legt rechtliche Pflichten für bestimmte KI-Systeme fest. ISO/IEC 42001 schafft das organisationsweite Managementsystem, das diese Pflichten voraussetzen: Risikoprozesse, Dokumentationsdisziplin, Rollen und fortlaufende Verbesserung.
ISO/IEC 42001 ist keine harmonisierte Norm im Sinne der KI-Verordnung. Eine Zertifizierung begründet daher keine Konformitätsvermutung. Teams, die beides umsetzen, sparen trotzdem Arbeit, weil Inventar, Risikobeurteilungen und Nachweise gemeinsam genutzt werden.
Zum Leitfaden KI-Verordnung
Kostenlose Vorlagen
Starten Sie mit den Vorlagen aus dem Playbook
30 bearbeitbare Vorlagen für Ihr KI-Managementsystem, darunter KI-Politik, Risikoregister, Folgenabschätzung und Anwendbarkeitserklärung, aus Appendix A des „ISO 42001 Implementation Playbook for AI Leaders“.
Häufige Fragen zu ISO 42001
Ist ISO/IEC 42001 verpflichtend?
Wie lange dauert eine Zertifizierung nach ISO 42001?
Brauchen wir zuerst ISO 27001?
Was ist eine Anwendbarkeitserklärung (Statement of Applicability)?
Kann Arelis uns zertifizieren?
Planen Sie Ihre Einführung von ISO 42001
Sehen Sie, wie AIMS die Abschnitte 4–10 und alle 38 Maßnahmen aus Anhang A Verantwortlichen und Nachweisen zuordnet, für Ihren eigenen Anwendungsbereich.