ISO 42001 einfach erklärt

Standpunkte der DQS als unabhängige, akkreditierte Zertifizierungsstelle.

ISO/IEC 42001 ist die erste internationale Norm für Managementsysteme im Bereich der künstlichen Intelligenz (KI). Sie legt Anforderungen an ein KI-Managementsystem (AIMS) fest, das die verantwortungsvolle Entwicklung, den Einsatz und die Nutzung von KI-Systemen innerhalb einer Organisation unterstützt. Die Norm befasst sich mit der Steuerung, dem Risikomanagement und der fortlaufenden Verbesserung von KI-Aktivitäten und berücksichtigt dabei die spezifischen Merkmale der KI: darunter Datenabhängigkeit, kontinuierliches Lernen, Erwartungen an Transparenz sowie Auswirkungen auf Menschen, Organisationen und die Gesellschaft.

Die Norm ist für jede Organisation relevant, die KI-Systeme bereitstellt, entwickelt oder nutzt: im öffentlichen Sektor, in der Privatwirtschaft und im akademischen Bereich. Kunden, Aufsichtsbehörden, Partner in der Lieferkette und die Öffentlichkeit erwarten zunehmend dokumentierte Nachweise dafür, dass Organisationen KI verantwortungsvoll verwalten. 

Die aktuelle Ausgabe ist ISO/IEC 42001:2023, veröffentlicht im Dezember 2023. Da die Norm relativ neu ist, wächst die Zahl der zertifizierten Organisationen noch, und auch die Akkreditierungsumgebung wie nationale Akkreditierungsstellen und von der IAF anerkannte Akkreditierungsvereinbarungen wird schrittweise ausgebaut. Die Zertifizierung nach ISO/IEC 42001 entwickelt sich rasch zu einem anerkannten Instrument  für Organisationen, um im Kontext des EU AI Act und anderer neu entstehender KI-Vorschriften und Verhaltenskodizes eine verantwortungsvolle KI-Governance nachzuweisen.

Was ist ISO 42001 aus Sicht einer Zertifizierungsstelle?

ISO/IEC 42001 ist die erste zertifizierbare Norm für ein KI-Managementsystem. Eine akkreditierte Zertifizierungsstelle bewertet das KI-Managementsystem einer Organisation anhand der Normanforderungen im Rahmen eines unabhängigen, zweistufigen Zertifizierungsaudits und stellt bei Konformität ein ISO/IEC 42001 Zertifikat aus, dessen Gültigkeit durch regelmäßige Überwachungsaudits aufrechterhalten wird.

ISO/IEC 42001 folgt der Harmonized Structure, die auch bei anderen ISO-Managementsystemnormen verwendet wird, wodurch sie im Rahmen eines integrierten Managementsystems mit ISO 9001, ISO 27001 und ISO 14001 kompatibel ist. Die Zertifizierung durch eine unabhängige Stelle ist ein verlässlicher Nachweis der Konformität und wird von Kunden, Regulierungsbehörden und Partnern in der Lieferkette zunehmend als Beleg für eine verantwortungsvolle KI-Governance herangezogen. Auf die Norm wird in politischen Diskussionen zum EU-KI-Gesetz, zum EU-Verhaltenskodex für Allzweck-KI und zu anderen sich entwickelnden Rahmenwerken Bezug genommen.

Als Zertifizierungsstelle begutachtet und zertifiziert die DQS die Konformität Ihres KI-Managementsystems, aber sie implementiert es nicht. Diese Unabhängigkeit verleiht einem Zertifikat seinen Wert: Die Organisation baut das Managementsystem auf und betreibt es, und ein unabhängiger, akkreditierter Dritter auditiert es anhand der Norm.

Die wichtigsten Fakten auf einen Blick

Warum Unternehmen auf ISO/IEC 42001 setzen

KI-Regulierung und der EU AI Act

Die Erwartungen der Öffentlichkeit und der Regulierungsbehörden in Bezug auf KI haben rapide zugenommen. Das EU-KI-Gesetz (Verordnung (EU) 2024/1689) führt einen horizontalen, risikobasierten Rechtsrahmen für KI-Systeme ein, die auf dem EU-Markt in Verkehr gebracht werden, wobei das Inkrafttreten schrittweise zwischen den Jahren 2025 bis 2028 erfolgt. Die Norm ISO/IEC 42001 gewährleistet für sich genommen zwar keine Konformität mit dem KI-Gesetz, doch ihr risikobasierter Managementsystemansatz steht in engem Einklang mit den Anforderungen des Gesetzes in Bezug auf Risikomanagement, Transparenz und Aufsicht. Zudem wird ISO/IEC 42001 in Diskussionen zur Umsetzung des EU AI Act häufig zur Orientierung herangezogen.

Erwartungen von Kunden, Lieferkettenpartnern und Beschaffungsstellen

Unternehmen, die KI-basierte Produkte oder Dienstleistungen anbieten, werden von ihren Kunden und Beschaffungspartnern zunehmend aufgefordert, eine dokumentierte KI-Governance nachzuweisen. Die Zertifizierung nach ISO/IEC 42001 bietet diesen Unternehmen eine standardisierte Möglichkeit nachzuweisen, dass sie KI-Systeme über den gesamten Systemlebenszyklus hinweg verantwortungsvoll verwalten: vom Entwurf über die Daten bis hin zu Training, Einsatz, Überwachung und Außerbetriebnahme.

Vertrauen, Transparenz und gesellschaftliche Auswirkungen

KI-Systeme werden in Kontexten eingesetzt, in denen ihre Auswirkungen auf Menschen, Organisationen und die Gesellschaft sichtbar und folgenreich sind. ISO/IEC 42001 verpflichtet Organisationen dazu, diese Auswirkungen systematisch zu berücksichtigen, unterstützt eine fundierte Entscheidungsfindung durch die Führungsebene und die Interessengruppen und bietet eine dokumentierte Grundlage für das Management von KI-Risiken sowie für die Nutzung von KI-Chancen.

ISO/IEC 42001 Kernanforderungen

4 Kontext der Organisation

Definiert den für das KI-Managementsystem relevanten externen und internen Kontext, einschließlich der interessierten Parteien, des regulatorischen Umfelds und der Grenzen des KI-Managementsystems. Organisationen müssen die spezifischen Merkmale von KI-Systemen in ihrem Kontext berücksichtigen, darunter Datenquellen, Verwendungszwecke und vernünftigerweise vorhersehbare Fehlanwendungen. 

5 Führung

Legt die Verantwortung der obersten Leitung für das KI-Managementsystem (AIMS), die KI-Richtlinie, organisatorische Rollen und Verantwortlichkeiten sowie die Integration der KI-Governance in die übergeordnete Unternehmensführung fest. Das Engagement der Führungsebene ist für eine verantwortungsvolle KI von zentraler Bedeutung.

6 Planung

Behandelt das Risiko- und Chancenmanagement, KI-Ziele, die Planung von Änderungen sowie die Prozesse zur KI-Risikobewertung und zur KI-Folgenabschätzung. Anhang C enthält KI-spezifische Risikoquellen, die zu berücksichtigen sind. Die Anhänge A und B enthalten KI-spezifische Kontrollmaßnahmen und Leitlinien zur Umsetzung.

7 Unterstützung

Behandelt Ressourcen, Kompetenz, Sensibilisierung, Kommunikation und dokumentierte Informationen, einschließlich der spezifischen Kompetenz- und Sensibilisierungsanforderungen im Zusammenhang mit KI-Entwicklungs- und -Betriebsteams.

8 Betrieb

Legt Anforderungen an die Betriebsplanung und -kontrolle fest, einschließlich des Umgangs mit KI-Risiken, der KI-Auswirkungsbewertung, von Kontrollmaßnahmen über den gesamten Lebenszyklus des KI-Systems hinweg, des Datenmanagements sowie des Managements von KI-Lieferanten und KI-Partnern.

9 Leistungsbewertung

Behandelt Überwachung, Messung, Analyse und Bewertung, interne Audits sowie die Managementbewertung, wobei besonderes Augenmerk auf die Überwachung der Leistung von KI-Systemen und die fortlaufende Überprüfung von KI-Risiken gelegt wird.

10 Verbesserung

Behandelt Korrekturmaßnahmen und die fortlaufende Verbesserung, einschließlich des Lernens aus KI-Vorfällen und der Anpassung von Kontrollmaßnahmen im Zuge der Weiterentwicklung von KI-Systemen und ihres Kontexts.

Anhang A und Anhang B – Referenzkontrollziele und Leitlinien

Anhang A listet Referenzkontrollziele und Kontrollmaßnahmen für das AIMS auf, Anhang B enthält Leitlinien zur Umsetzung. Zusammen  stellen sie Richtlinien dar für KI, die interne Organisation im Bereich KI, Ressourcen für KI-Systeme, die Bewertung von Auswirkungen, den Lebenszyklus von KI-Systemen, Daten für KI, Informationen für interessierte Parteien, die Nutzung von KI-Systemen sowie Beziehungen zu Dritten und Kunden.

Zielgruppen und Anwendungsbereiche

ISO/IEC 42001 gilt für jede Organisation, die KI-Systeme bereitstellt, entwickelt oder nutzt. Typischerweise umfasst der Anwendungsbereich Technologieunternehmen, die KI-Produkte und -Dienstleistungen entwickeln; Organisationen in regulierten Sektoren (Finanzdienstleistungen, Gesundheitswesen, öffentliche Verwaltung), die KI in Entscheidungs- und Betriebsprozessen einsetzen; öffentliche Einrichtungen, die KI bei der Erbringung von Dienstleistungen und der Umsetzung von Richtlinien nutzen; sowie Organisationen in den Bereichen Fertigung, Logistik und Verbraucherdienstleistungen, die KI im operativen Geschäft einsetzen.

Die Norm unterstützt fundierte Entscheidungen von Führungsteams, Risiko- und Compliance-Funktionen, Technologie- und Datenverantwortlichen sowie Kunden und Beschaffungspartnern. Die ISO/IEC 42001 Zertifizierung bietet eine strukturierte Grundlage für den Nachweis einer verantwortungsvollen KI-Governance und für einen glaubwürdigen Umgang mit Regulierungsbehörden, Kunden und der Öffentlichkeit.

Organisationen, die sich in einer frühen Phase der KI-Einführung befinden, können ISO/IEC 42001 als Werkzeug nutzen, um ihre KI-Governance von Anfang an zu gestalten. Organisationen mit ausgereiften KI-Aktivitäten können die Norm nutzen, um uneinheitliche Vorgehensweisen  in der KI-Governance in ein einziges, zertifizierbares Managementsystem zu integrieren.

Verwandte Normen

Harmonisierte Struktur und typische Kombinationen

ISO/IEC 42001 folgt der Harmonized Structure, die auch bei ISO 9001, ISO 27001, ISO 14001 und anderen Managementsystemnormen verwendet wird. Organisationen, die bereits ein integriertes Managementsystem betreiben, können ihre bestehenden Prozesse in den Bereichen Governance, interne Audits, Managementbewertung und Verbesserung um Anforderungen des KI-Managementsystems erweitern.

ISO/IEC 42005 und KI-Folgenabschätzung

ISO/IEC 42005:2025 bietet umfassende Leitlinien zur Bewertung der Auswirkungen von KI-Systemen auf Einzelpersonen, Gruppen und die Gesellschaft über deren gesamten Lebenszyklus hinweg, da diese Bewertung eine Voraussetzung für ein AIMS ist. Die Leitlinie dient als unterstützende Norm zur Zertifizierungsnorm ISO/IEC 42001:2023, indem sie einen strukturierten Ansatz zur Bewertung, Dokumentation und Steuerung potenzieller Schäden und Vorteile bietet.

ISO 27001 und Informationssicherheit

KI-Systeme sind in hohem Maße auf Daten angewiesen, und Informationssicherheit ist ein grundlegendes Element verantwortungsvoller KI. ISO 27001 legt Anforderungen an ein Managementsystem für Informationssicherheit fest; ISO/IEC 42001 verweist auf Informationssicherheit als Teil der Kontrollmaßnahmen für KI, dupliziert jedoch nicht die Anforderungen von ISO 27001. Organisationen, die über eine Zertifizierung nach ISO 27001 verfügen, sind gut aufgestellt, um ihr Managementsystem auf ISO/IEC 42001 auszuweiten.

ISO/IEC 23894 und Leitfaden zum KI-Risikomanagement

ISO/IEC 23894 bietet Leitlinien zum Management von KI-bezogenen Risiken. Es handelt sich um ein Leitliniendokument – nicht um eine zertifizierbare Norm für Managementsysteme – und ergänzt ISO/IEC 42001 durch detailliertere Inhalte zum Risikomanagement, die Organisationen zur Umsetzung der Anforderungen von ISO/IEC 42001 nutzen können.

ISO/IEC 38507 und Auswirkungen auf die KI-Governance

ISO/IEC 38507 befasst sich mit den Auswirkungen der KI auf die Unternehmensführung und richtet sich an Vorstände und Leitungsgremien. Es handelt sich um einen Leitfaden, der die ISO/IEC 42001 ergänzt, und nicht um ein zertifizierbares System.

EU KI-Verordnung und regulatorische Verhaltenskodizes

Der EU AI Act ist der wichtigste KI-spezifische Rechtsrahmen in der EU und tritt schrittweise zwischen 2025 und 2028 in Kraft. Parallel zum Gesetz werden Verhaltenskodizes für KI-Modelle mit allgemeinem Verwendungszweck, branchenspezifische Leitlinien und harmonisierte Normen entwickelt. ISO/IEC 42001 wird in diesen Diskussionen häufig herangezogen und bietet einen anerkannten Bezugspunkt für Managementsysteme von Organisationen, die Kontrollmaßnahmen nach dem EU AI Act umsetzen. Eine Zertifizierung nach ISO/IEC 42001 ist jedoch formal nicht gleichbedeutend mit der Einhaltung des KI-Gesetzes.