Was ein KI-Managementsystem ist
Ein Managementsystem ist ein Satz von Regeln, Prozessen und Verantwortlichkeiten, mit dem ein Unternehmen ein Thema dauerhaft steuert. Bei ISO 27001 ist das die Informationssicherheit, bei ISO 9001 die Qualität. ISO 42001 überträgt dieses Prinzip auf den Umgang mit KI: Ziele festlegen, Risiken bewerten, Maßnahmen umsetzen, Wirksamkeit prüfen und verbessern.
Aufbau der Norm
| Kapitel | Inhalt |
|---|---|
| 4 Kontext der Organisation | Rolle bei KI klären, interessierte Parteien, Anwendungsbereich des Managementsystems |
| 5 Führung | Verantwortung der Leitung, KI-Richtlinie, Rollen |
| 6 Planung | KI-Risikobeurteilung, KI-Folgenabschätzung, Ziele |
| 7 Unterstützung | Ressourcen, Kompetenz, Bewusstsein, Kommunikation, Dokumentation |
| 8 Betrieb | Umsetzung der Risikobehandlung und Folgenabschätzungen im Alltag |
| 9 Bewertung der Leistung | Überwachung, interne Audits, Managementbewertung |
| 10 Verbesserung | Korrekturmaßnahmen und fortlaufende Verbesserung |
Ergänzend enthält Anhang A konkrete Maßnahmen, die im Rahmen der Risikobehandlung ausgewählt werden, etwa zu KI-Richtlinien, interner Organisation, Ressourcen, Folgenabschätzungen, Lebenszyklus von KI-Systemen, Daten, Information interessierter Parteien, verantwortungsvoller Nutzung und Beziehungen zu Dritten.
Für wen sich eine Zertifizierung lohnt
- Anbieter von KI-Produkten, deren Kunden einen Nachweis verantwortungsvoller Entwicklung verlangen
- Dienstleister, die KI in Kundenprojekten einsetzen, etwa in Beratung, Softwareentwicklung oder Personalwesen
- Unternehmen mit Hochrisiko-Anwendungen nach dem AI Act, die ein strukturiertes Risikomanagement brauchen
- Organisationen mit bestehender ISO-27001-Zertifizierung, die KI-Themen in einem Zug mit abdecken wollen
Für ein kleines Unternehmen, das lediglich ChatGPT Business und DeepL nutzt, ist eine Zertifizierung meist überdimensioniert. Hier reichen eine KI-Richtlinie, ein Freigabeprozess und Schulungen. Die Norm kann trotzdem als Orientierung dienen.
ISO 42001 und ISO 27001
Beide Normen folgen der einheitlichen Grundstruktur für Managementsysteme. Kapitel wie Führung, Planung, Dokumentation, Audits und Managementbewertung lassen sich gemeinsam betreiben. Der Unterschied liegt im Gegenstand: ISO 27001 schützt Informationen, ISO 42001 steuert den verantwortungsvollen Umgang mit KI, einschließlich Themen wie Fairness, Transparenz und Auswirkungen auf Betroffene.
ISO 42001 und der AI Act
Die Norm und das Gesetz verfolgen ähnliche Ziele, sind aber nicht deckungsgleich. ISO 42001 ist freiwillig und beschreibt ein Managementsystem. Der AI Act ist verbindlich und knüpft konkrete Pflichten an Rolle und Risikoklasse. Eine Zertifizierung nach ISO 42001 begründet keine automatische Konformität mit dem AI Act. Sie schafft aber Strukturen, mit denen sich viele Anforderungen, etwa an Risikomanagement, Dokumentation und menschliche Aufsicht, deutlich leichter erfüllen lassen.
Der Weg zur Zertifizierung
- Anwendungsbereich festlegen: Welche KI-Systeme und Bereiche umfasst das Managementsystem?
- Bestandsaufnahme und Lückenanalyse gegen die Anforderungen der Norm
- KI-Richtlinie, Rollen und Risikobeurteilung aufbauen
- Maßnahmen aus Anhang A auswählen und umsetzen
- Internes Audit und Managementbewertung durchführen
- Zertifizierungsaudit durch eine akkreditierte Stelle