ISO/IEC 42001 – KI-Managementsystem
ISO 42001 ist der erste internationale Standard für KI-Managementsysteme. Er beantwortet die Frage, an der die meisten Unternehmen beim EU AI Act scheitern: Welche KI-Systeme laufen eigentlich bei uns, wer verantwortet sie, und woran messen wir, dass sie tun, was sie sollen?
Vor zwei Jahren niemand. Heute vier Gruppen gleichzeitig – und keine davon akzeptiert „wir nutzen nur ChatGPT“ als Antwort.
Was gefragt wird
Neu in Lieferantenfragebögen: Setzen Sie KI in der Leistungserbringung ein? Werden unsere Daten für Training verwendet? Wer prüft die Ergebnisse, bevor sie uns erreichen?
Was das System leistet
Ein AIMS liefert das Verzeichnis, die Verantwortlichkeiten und die Aufsichtsregelung, aus denen diese Antworten kommen – belastbar statt aus dem Bauch.
Was gefragt wird
Welche Rolle haben Sie – Anbieter oder Betreiber? In welche Risikoklasse fällt jedes System? Die Einstufung nimmt niemand für Sie vor. Und ohne Verzeichnis gibt es keine Einstufung.
Was das System leistet
Es setzt genau dort an: Bestandsaufnahme, Risikobewertung, Daten-Governance, menschliche Aufsicht, Vorfallbehandlung. Die Verordnung setzt all das voraus, ohne es Ihnen beizubringen.
Was gefragt wird
Nach einem Vorfall – einer fehlerhaften automatisierten Entscheidung, einem Datenabfluss über ein KI-Werkzeug: Was wussten Sie vorher? Wer durfte eingreifen? Wurde es protokolliert?
Was das System leistet
Der Unterschied zwischen „wir arbeiten daran“ und einem extern geprüften Managementsystem ist in dieser Situation erheblich – auch wenn das Zertifikat keine Konformität begründet.
Was gefragt wird
Darf ich das hier hochladen? Muss ich kennzeichnen, dass der Text von einer KI stammt? Wer haftet, wenn das Ergebnis falsch ist? Ohne Antwort entsteht Schatten-KI – und die ist bereits da.
Was das System leistet
Klare Regeln, benannte Zuständigkeiten und die KI-Kompetenzschulung, die Art. 4 der KI-Verordnung ohnehin verlangt – unabhängig von der Risikoklasse.
Die Norm schreibt Ihnen nicht vor, welche KI Sie einsetzen dürfen. Sie verlangt, dass Sie wissen, was Sie einsetzen, warum, mit welchem Risiko – und wer die Verantwortung trägt. Das ist weniger exotisch, als es klingt: dieselbe Logik wie bei ISO 27001, nur angewendet auf Systeme, die selbst entscheiden.
Der sichtbarste Effekt liegt nicht beim Kunden, sondern im eigenen Haus: Aus einzelnen Experimenten wird eine Praxis, über die man sprechen kann.
Statt Unsicherheit darüber, was erlaubt ist, gibt es eine Freigabeliste und eine klare Grenze. Das erhöht die Nutzung messbar – weil niemand mehr heimlich arbeitet.
KI-Werkzeuge laufen bisher oft über Kreditkarten einzelner Abteilungen. Das Verzeichnis macht Kosten, Verträge und Datenflüsse zum ersten Mal sichtbar.
Jeder Einsatz bekommt einen definierten Prüfpunkt: Wer schaut das Ergebnis an, bevor es nach außen geht? Diese eine Frage verhindert die meisten Vorfälle.
Sie können im Beirat, gegenüber der Bank und gegenüber dem Versicherer belegen, dass KI-Einsatz bei Ihnen gesteuert wird. Nicht als Behauptung, sondern als Nachweis.
Wir sagen das deutlicher als andere, weil die Verwechslung teuer werden kann.
Die KI-Verordnung arbeitet mit harmonisierten europäischen Normen. ISO/IEC 42001 ist eine internationale Norm und gehört nicht dazu. Wer Ihnen erzählt, ein 42001-Zertifikat erfülle den AI Act, verkauft Ihnen eine Abkürzung, die es nicht gibt.
Es baut genau die Strukturen, die die Verordnung voraussetzt: Bestandsaufnahme, Rollenklärung, Risikobewertung, Daten-Governance, menschliche Aufsicht, Vorfallbehandlung, Dokumentation. Wer das stehen hat, erfüllt die Pflichten nicht automatisch – aber kann sie erfüllen, statt bei der Frage nach dem Systemverzeichnis von vorn anzufangen.
Wenn Ihr Produkt selbst ein Hochrisiko-KI-System im Sinne der Verordnung ist, brauchen Sie ein Konformitätsbewertungsverfahren für dieses Produkt. Das Managementsystem ist die Organisation darum herum, nicht der Ersatz dafür.
Ja. Die Norm unterscheidet nicht zwischen selbst entwickelter und eingekaufter KI. Entscheidend ist, ob KI-Ergebnisse in Ihre Leistung, Ihre Entscheidungen oder Ihre Kommunikation einfließen. Bei den meisten Unternehmen tun sie das längst – nur ungesteuert.
Die Managementstruktur steht dann bereits: Leitlinie, Rollen, Risikoverfahren, interne Audits, Managementbewertung. Neu sind das KI-Systemverzeichnis, die Bewertung der Auswirkungen auf betroffene Personen, die Daten-Governance für Trainings- und Eingabedaten und die Regelung der menschlichen Aufsicht. Der Zusatzaufwand ist deutlich kleiner als ein zweites System.
Das hängt davon ab, wie viele KI-Systeme bei Ihnen laufen und wie gut sie dokumentiert sind. Der längste Posten ist fast immer die Bestandsaufnahme – nicht, weil sie schwierig ist, sondern weil sie Dinge findet, von denen die Geschäftsführung nichts wusste. Wir schätzen den Rahmen im Erstgespräch anhand Ihrer Systemlandschaft ein.
Für das Managementsystem nicht. Sie brauchen jemanden, der weiß, welche Werkzeuge im Haus benutzt werden, und jemanden, der Entscheidungen treffen darf. Die fachliche Beurteilung einzelner Modelle ist nicht Gegenstand der Norm.
Artikel 4 der KI-Verordnung verpflichtet Anbieter und Betreiber, für ausreichende KI-Kompetenz ihres Personals zu sorgen – unabhängig von der Risikoklasse. Diese Pflicht gilt bereits. Die Schulung und ihr Nachweis sind Teil dessen, was wir mit aufbauen.
Die Zertifizierungsstelle prüft in zwei Stufen: zuerst die Dokumentation, dann die gelebte Praxis. Gefragt wird nicht „haben Sie eine Richtlinie“, sondern „zeigen Sie mir das letzte Mal, als jemand nach dieser Richtlinie entschieden hat“. Darauf bereiten wir Sie vor.
Wir fangen nicht mit der Norm an, sondern mit einer Bestandsaufnahme Ihrer KI-Nutzung. Danach wissen Sie, ob ISO 42001 für Sie jetzt ansteht – oder erst nach dem nächsten Kundenaudit.
Gerne beraten wir Sie und beantworten all Ihre Fragen rund um die Themen Digitalisierung, Datenschutz und Blockchain.
