ISO/IEC 42001: Der Standard für KI-Managementsysteme

ISO/IEC 42001 wurde im Dezember 2023 von der Internationalen Organisation für Normung und der Internationalen Elektrotechnischen Kommission veröffentlicht. Sie ist die weltweit erste zertifizierbare Norm für ein Managementsystem für künstliche Intelligenz, kurz KI-Managementsystem oder AIMS. Damit überträgt sie den bewährten Ansatz etablierter Managementsystemnormen auf den Bereich der KI.

Ziel der Norm ist es, Organisationen einen strukturierten Rahmen für die verantwortungsvolle Entwicklung, Bereitstellung und Nutzung von KI-Systemen an die Hand zu geben. Sie adressiert die besonderen Herausforderungen der KI, etwa den Umgang mit Unsicherheit, Verzerrungen, Transparenz und kontinuierlichem Lernen, und verankert diese in nachvollziehbaren Prozessen.

Wie andere Managementsystemnormen folgt ISO/IEC 42001 der harmonisierten Grundstruktur, der sogenannten High-Level-Structure. Das erleichtert die Integration mit bestehenden Systemen wie ISO/IEC 27001 für Informationssicherheit oder ISO 9001 für Qualitätsmanagement. Sie ist branchen- und größenunabhängig anwendbar.

ISO/IEC 42001 folgt dem aus anderen Managementsystemnormen bekannten Zyklus von Planung, Umsetzung, Überprüfung und Verbesserung, dem sogenannten Plan-Do-Check-Act-Modell. Organisationen müssen den Kontext und die interessierten Parteien bestimmen, eine KI-Politik festlegen, Rollen und Verantwortlichkeiten zuweisen sowie Ziele definieren.

Ein zentrales Element ist die Risikobeurteilung. Die Norm verlangt, die Risiken und Auswirkungen von KI-Systemen systematisch zu bewerten, einschließlich der Folgen für Einzelpersonen und die Gesellschaft. Hierzu sieht sie eine eigene Folgenabschätzung für KI-Systeme vor, die über die rein technische Betrachtung hinausgeht.

Im Anhang enthält die Norm einen Katalog von Steuerungsmaßnahmen, die je nach Risikolage ausgewählt und umgesetzt werden. Dazu zählen Vorgaben zu Daten, zur Dokumentation des Lebenszyklus von KI-Systemen, zur Transparenz gegenüber Nutzern und zur menschlichen Aufsicht. Die Kompetenz der beteiligten Personen ist dabei ausdrücklich Teil der Anforderungen.

ISO/IEC 42001 und die EU-KI-Verordnung verfolgen ein gemeinsames Ziel, unterscheiden sich aber grundlegend in ihrer Verbindlichkeit. Die KI-Verordnung ist verbindliches Recht mit unmittelbarer Geltung in allen Mitgliedstaaten. ISO/IEC 42001 ist hingegen ein freiwilliger Standard, dessen Anwendung nicht gesetzlich vorgeschrieben ist.

Beide können sich in der Praxis ergänzen. Die KI-Verordnung enthält verbindliche Anforderungen; die Norm bietet einen strukturierten Managementrahmen. Ein nach ISO/IEC 42001 aufgebautes System kann Prozesse unterstützen, ersetzt aber keine Prüfung der jeweils einschlägigen Rechtsvorschriften.

Harmonisierte europäische Normen können unter bestimmten Voraussetzungen eine Konformitätsvermutung begründen. ISO/IEC 42001 entfaltet diese Wirkung nicht automatisch. Kompetenzanforderungen der Norm können als organisatorischer Bezugspunkt für Maßnahmen nach Artikel 4 dienen.

Der Aufbau eines Managementsystems nach ISO/IEC 42001 beginnt mit einer Bestandsaufnahme der bestehenden KI-Aktivitäten und einer Lückenanalyse gegenüber den Anforderungen der Norm. Auf dieser Grundlage werden die fehlenden Prozesse, Richtlinien und Maßnahmen entwickelt und im Unternehmen verankert.

Nach einer angemessenen Betriebsphase, in der das System gelebt und durch interne Audits sowie eine Managementbewertung überprüft wird, folgt das externe Zertifizierungsaudit. Eine akkreditierte Zertifizierungsstelle prüft in der Regel in zwei Stufen, ob das Managementsystem die Anforderungen erfüllt. Bei Erfolg wird ein Zertifikat ausgestellt.

Das Zertifikat ist üblicherweise drei Jahre gültig und wird durch jährliche Überwachungsaudits begleitet. Vor Ablauf erfolgt ein Rezertifizierungsaudit. Die Zertifizierung ist damit kein einmaliges Ereignis, sondern Teil eines fortlaufenden Verbesserungsprozesses.

Eine ISO/IEC-42001-Zertifizierung bewertet das KI-Managementsystem einer Organisation. Sie ist nicht dasselbe wie ein Kurszertifikat für einzelne Beschäftigte und bescheinigt nicht automatisch die individuelle KI-Kompetenz jeder Person.

Umgekehrt macht ein Teilnahme-Zertifikat aus einer KI-Schulung weder die teilnehmende Person noch das Unternehmen ISO/IEC-42001-zertifiziert. Eine solche Zertifizierung kann nur nach einem entsprechenden Audit des Managementsystems durch eine dafür geeignete Zertifizierungsstelle erfolgen.

Personalschulung kann ein Baustein eines Managementsystems sein. Inhalt, Tiefe und Zielgruppen sollten sich aber an Rollen, Kenntnissen und Einsatzkontext orientieren. Artikel 4 EU-KI-VO schreibt keine ISO-Zertifizierung und kein bestimmtes Schulungszertifikat vor.

Eine Zertifizierung nach ISO/IEC 42001 kann Kunden und Partnern zeigen, dass ein KI-Managementsystem anhand eines anerkannten Standards geprüft wurde. Welche Bedeutung dies bei Ausschreibungen oder in regulierten Branchen hat, hängt vom jeweiligen Verfahren und Kontext ab.

Darüber hinaus reduziert ein strukturiertes KI-Managementsystem das Risiko von Fehlern, Datenschutzverstößen und Compliance-Lücken. Durch die systematische Risikobeurteilung werden Probleme früher erkannt und beherrscht. Das senkt langfristig Kosten und stärkt die Resilienz der Organisation.

Nicht zuletzt kann die Norm die strukturierte Bearbeitung gesetzlicher Anforderungen unterstützen. Kompetenzaufbau und Schulung lassen sich in das Managementsystem einbetten; dies ersetzt jedoch weder die kontextbezogene Bewertung nach Artikel 4 noch garantiert es vollständige Rechtskonformität.