KI-Managementsystem (AIMS): Ein AIMS (Artificial Intelligence Management System) ist ein Managementsystem nach ISO/IEC 42001, mit dem Organisationen Einsatz und Entwicklung von KI systematisch steuern: über Richtlinien, Rollen, Risikobewertungen und Kontrollen entlang des gesamten KI-Lebenszyklus.
Die Norm ISO/IEC 42001:2023, veröffentlicht im Dezember 2023, ist die weltweit erste zertifizierbare Managementsystemnorm für künstliche Intelligenz. Sie folgt der Harmonized Structure (Kapitel 4 bis 10), also demselben Aufbau wie ISO 9001 oder ISO 27001 — ein AIMS lässt sich deshalb gut in bestehende Managementsysteme integrieren.
Kernelemente eines AIMS sind:
- KI-Politik und Ziele: Grundsätze, nach denen die Organisation KI entwickelt oder einsetzt
- Rollen und Verantwortlichkeiten: Wer gibt KI-Systeme frei, wer überwacht sie?
- KI-Risikobewertung: systematische Analyse der Risiken einzelner KI-Systeme
- KI-Folgenabschätzung: Bewertung der Auswirkungen auf Betroffene — eine Besonderheit der ISO 42001 gegenüber anderen Managementsystemnormen
- Maßnahmen aus Anhang A: ein Katalog von Referenzmaßnahmen, deren Anwendbarkeit die Organisation in einer Erklärung zur Anwendbarkeit (Statement of Applicability) begründet
- Lebenszyklus-Steuerung: von Datenbeschaffung und Entwicklung über Betrieb bis zur Außerbetriebnahme
Ein AIMS ist nicht nur für KI-Entwickler gedacht. Auch Unternehmen, die fremde KI-Werkzeuge einsetzen — vom Chatbot bis zum Prognosemodell — können damit nachweisen, dass sie Auswahl, Freigabe und Überwachung im Griff haben. Die Norm verlangt keine bestimmte Technik, sondern nachvollziehbare Prozesse in angemessenem Umfang: Ein Fünf-Personen-Betrieb dokumentiert deutlich schlanker als ein Konzern.
Relevanz für die Zertifizierung
Ein AIMS ist nach ISO/IEC 42001 zertifizierbar — auch im nicht akkreditierten Bereich, etwa durch KCERT als sechste Norm neben ISO 9001 bis 50001. Das Zertifikat belegt Kunden und Partnern einen geordneten KI-Einsatz. Wichtig für die Einordnung: Es ist kein Konformitätsnachweis nach der EU-KI-Verordnung. Die Norm hilft aber, deren Pflichten — etwa KI-Kompetenz, Transparenz und Risikomanagement — strukturiert umzusetzen. Wer eine akkreditierte Zertifizierung benötigt, etwa für Ausschreibungen, braucht eine DAkkS-akkreditierte Stelle.
Häufige Fragen zu KI-Managementsystem (AIMS)
Nein. Die EU-KI-Verordnung verlangt kein Managementsystem nach ISO 42001. Sie fordert aber je nach Rolle konkrete Prozesse: Risikomanagement für Anbieter von Hochrisiko-KI (anwendbar ab 2. Dezember 2027 für Anhang-III-Systeme, Stand: September 2026), KI-Kompetenz des Personals seit Februar 2025 und Transparenzpflichten seit August 2026. Ein AIMS bündelt diese Anforderungen freiwillig in einem System — ähnlich wie ISO 9001 gesetzliche Produktpflichten nicht ersetzt, aber ihre Erfüllung organisiert.
Ein ISMS nach ISO 27001 schützt Informationen vor Verlust von Vertraulichkeit, Integrität und Verfügbarkeit. Ein AIMS nach ISO 42001 steuert dagegen die verantwortungsvolle Nutzung und Entwicklung von KI — inklusive Fairness, Nachvollziehbarkeit und Auswirkungen auf Betroffene. Beide Normen teilen die Harmonized Structure und ergänzen sich: Wer bereits ein ISMS betreibt, kann Risikoprozesse, Dokumentenlenkung und Auditroutinen für das AIMS wiederverwenden.
Das hängt vom Reifegrad ab. Unternehmen mit bestehendem Managementsystem (etwa ISO 9001 oder 27001) schaffen den Aufbau typischerweise in drei bis sechs Monaten, ohne Vorerfahrung sind sechs bis neun Monate realistisch. Das anschließende Zertifizierungsverfahren dauert bei KCERT sechs bis acht Wochen: Stufe-1-Audit der Dokumentation (remote), dann Stufe-2-Audit der gelebten Praxis. Das Zertifikat gilt drei Jahre mit jährlichem Überwachungsaudit.