ISO 42001: ISO 42001 ist die 2023 veröffentlichte internationale Norm für Managementsysteme künstlicher Intelligenz; sie regelt, wie Unternehmen Entwicklung, Bereitstellung und Nutzung von KI-Systemen verantwortungsvoll steuern.
Die Norm folgt wie ISO 27001 der High-Level-Structure mit den Kapiteln 4 bis 10 und ergänzt einen eigenen Anhang mit KI-spezifischen Controls, etwa zu Datenqualität, Transparenz gegenüber Betroffenen, Auswirkungen auf Grundrechte und dem Umgang mit KI-generierten Inhalten. Adressiert werden sowohl Unternehmen, die eigene KI-Systeme entwickeln, als auch solche, die fremde KI-Lösungen einsetzen.
- Governance-Struktur für KI-Entscheidungen und -Risiken
- Bewertung von Auswirkungen auf Betroffene und Gesellschaft
- Anforderungen an Datenqualität und Nachvollziehbarkeit
- Integration in bestehende Managementsysteme wie ISO 27001 möglich
Für Unternehmen, die bereits ein ISMS nach ISO 27001 betreiben, lässt sich ISO 42001 dank identischer Grundstruktur vergleichsweise ressourcenschonend als Ergänzung aufbauen, da Rollen, Dokumentenlenkung und Managementbewertung wiederverwendet werden können.
Da die Norm noch jung ist, entwickeln sich Auditpraxis und branchenspezifische Auslegung derzeit noch weiter.
Für Unternehmen, die selbst keine KI-Systeme entwickeln, sondern lediglich Standardsoftware mit integrierten KI-Funktionen nutzen, ist der Handlungsdruck aktuell meist geringer als für Entwickler eigener KI-Anwendungen. Wer jedoch KI-gestützte Entscheidungen trifft, die Kunden oder Mitarbeitende unmittelbar betreffen, etwa bei automatisierten Bewerbungsvorauswahlen, sollte die eigene KI-Governance frühzeitig prüfen, unabhängig davon, ob eine formale Zertifizierung angestrebt wird.
Relevanz für die Zertifizierung
Radikale Ehrlichkeit an dieser Stelle: KCERT zertifiziert aktuell ISO 9001, 14001, 45001, 27001 und 50001, nicht ISO 42001. Unternehmen, die KI-Systeme intensiv einsetzen oder entwickeln und dafür einen normativen Nachweis benötigen, sollten sich an spezialisierte Zertifizierungsstellen wenden. Wer bereits ein ISMS nach ISO 27001 bei KCERT zertifizieren lässt, schafft mit den dort etablierten Strukturen wie Risikomanagement und Managementbewertung aber eine gute Grundlage für eine spätere ISO-42001-Einführung an anderer Stelle. Wer sich frühzeitig mit den Grundprinzipien der Norm vertraut macht, etwa Transparenz gegenüber Betroffenen und dokumentierte Risikobewertung von KI-Anwendungen, verschafft sich einen Vorsprung, sollte eine Zertifizierung nach ISO 42001 für das eigene Geschäftsmodell künftig relevant oder von Kunden verlangt werden.
Häufige Fragen zu ISO 42001
Nein. KCERT zertifiziert aktuell ISO 9001, 14001, 45001, 27001 und 50001. Für ISO 42001, die Norm für KI-Managementsysteme, sollten Unternehmen eine darauf spezialisierte Zertifizierungsstelle kontaktieren. Bestehende Strukturen aus einem ISO-27001-ISMS lassen sich bei einer späteren ISO-42001-Einführung dank identischer High-Level-Structure gut wiederverwenden.
Vor allem Unternehmen, die KI-Systeme selbst entwickeln, in Produkte integrieren oder in geschäftskritischen Prozessen einsetzen und dafür gegenüber Kunden, Aufsichtsbehörden oder im Rahmen der EU-KI-Verordnung einen strukturierten Nachweis über verantwortungsvolle KI-Governance erbringen möchten. Für reine Anwender einzelner Standardsoftware ist sie meist nicht erforderlich.
Beide Normen folgen derselben High-Level-Structure mit den Kapiteln 4 bis 10, was eine gemeinsame Nutzung von Rollen, Dokumentenlenkung und Managementbewertung in einem integrierten Managementsystem erleichtert. Inhaltlich ergänzen sie sich: ISO 27001 sichert Informationen ab, ISO 42001 adressiert zusätzlich KI-spezifische Risiken wie Verzerrung oder mangelnde Transparenz.